FIPS PUB 140-2の記述内容｜情報処理安全確保支援士 平成30年 秋期午前Ⅱ試験 問5
出典：平成30年秋期 午前Ⅱ 問5
分野：セキュリティ ／ セキュリティ技術評価
FIPS PUB 140-2の記述内容はどれか。
- ア：暗号モジュールのセキュリティ要求事項
- イ：情報セキュリティマネジメントシステムの要求事項
- ウ：デジタル証明書や証明書失効リストの技術仕様
- エ：無線LANセキュリティの技術仕様
TSUNAGARU-ADVICE
まず押さえたいこと
FIPS PUB 140-2は、暗号モジュールに対するセキュリティ要求事項を定めた規格です。暗号アルゴリズムそのものの一覧ではなく、暗号機能を実装するモジュールについて、物理的保護、役割と認証、鍵管理、自己テストなどの要件を定めている点が重要です。
迷ったときの判断軸
情報セキュリティマネジメントシステムの要求事項はISO/IEC 27001、デジタル証明書やCRLの技術仕様はX.509、無線LANセキュリティはWPA/WPA2/WPA3やIEEE802.11iなどに関係します。FIPS PUB 140-2は、暗号モジュールの安全性を評価するための要求事項と判断しましょう。
科目Bにつなげるために
科目Bでは、HSM・TPM・暗号鍵管理・認証装置・クラウドの鍵管理サービスなどと絡めて問われることがあります。暗号を安全に使うにはアルゴリズムの強度だけでなく、鍵を扱うモジュール自体が安全に設計・運用されているかを見る視点を持ちましょう。
FIPS PUB 140-2は、暗号モジュールに対するセキュリティ要求事項を定めた米国の標準です。
暗号アルゴリズムを実装するハードウェアやソフトウェアなどを対象に、暗号鍵の管理・物理的セキュリティ・自己テスト・認証・動作環境などについて要求事項を定めています。
したがって、アが適切です。
❌他選択肢が誤りの理由イ：情報セキュリティマネジメントシステムの要求事項
⇒ISO/IEC 27001の説明です。ISO/IEC 27001は、組織がISMSを構築・運用・維持・改善するための要求事項を定めています。FIPS PUB 140-2は、暗号モジュールのセキュリティ要求事項を定めたものです。
ウ：デジタル証明書や証明書失効リストの技術仕様
⇒X.509の説明です。X.509は、公開鍵証明書や証明書失効リストなどの形式や構造を定めた規格です。FIPS PUB 140-2は、証明書の仕様ではなく、暗号モジュールの安全性に関する標準です。
エ：無線LANセキュリティの技術仕様
⇒IEEE 802.11iなどに関する説明です。無線LANの認証や暗号化方式を定める技術仕様であり、暗号モジュール全般のセキュリティ要求事項を定めるFIPS PUB 140-2とは異なります。