CRYPTRECの役割｜情報セキュリティマネジメント 平成31年 春期午前試験 問3
出典：平成31年春期 午前 問3
分野：セキュリティ ／ 情報セキュリティ
CRYPTRECの役割として，適切なものはどれか。
- ア：外国為替及び外国貿易法で規制されている暗号装置の輸出許可申請を審査，承認する。
- イ：政府調達においてIT関連製品のセキュリティ機能の適切性を評価，認証する。
- ウ：電子政府での利用を推奨する暗号技術の安全性を評価，監視する。
- エ：民間企業のサーバに対するセキュリティ攻撃を監視，検知する。
TSUNAGARU-ADVICE
まず押さえたいこと
CRYPTRECは、電子政府などで利用する暗号技術について、安全性を評価し、継続的に監視するための取組です。暗号アルゴリズムの安全性を確認し、電子政府での利用を推奨する暗号の選定などにつなげます。
迷ったときの判断軸
CRYPTREC = 暗号技術の評価・監視と整理しましょう。IT製品のセキュリティ機能を評価・認証する制度や、民間企業のサーバを監視する仕組みとは異なります。また、暗号装置の輸出許可を審査する機関でもありません。
科目Bにつなげるために
科目Bでは、暗号方式を選定するときに、単に暗号化できるかではなく、現在も十分な安全性がある方式か、推奨されている方式かを確認する視点が重要です。古い暗号方式の継続利用や、暗号アルゴリズムの見直しが必要な事例と結び付けて理解しましょう。
CRYPTRECは、政府が利用する暗号技術について、安全性を評価し、電子政府で利用する暗号の選定や継続的な監視を行うための取組みです。暗号アルゴリズムの安全性を評価し、政府機関などでの利用に適した暗号技術を示します。
本問では、「電子政府での利用を推奨する暗号技術」と「安全性を評価，監視する」という部分が判断のポイントです。この役割に該当するため、ウが適切です。
❌他選択肢が誤りの理由ア：外国為替及び外国貿易法で規制されている暗号装置の輸出許可申請を審査，承認する。
⇒暗号装置の輸出許可に関する行政手続の説明であり、経済産業省の役割です。CRYPTRECの役割ではありません。
イ：政府調達においてIT関連製品のセキュリティ機能の適切性を評価，認証する。
⇒IT製品のセキュリティ機能を評価・認証する制度の説明であり、JISECの役割です。CRYPTRECの役割ではありません。CRYPTRECの対象は主に暗号技術そのものの安全性評価です。
エ：民間企業のサーバに対するセキュリティ攻撃を監視，検知する。
⇒サイバー攻撃の監視やインシデント対応を行うSoCの役割の説明です。CRYPTRECは、民間企業のサーバを監視する組織ではありません。