CRYPTRECの役割｜情報セキュリティマネジメント 令和4年 サンプル問題 問7
出典：令和4年度 サンプル問題 科目A 問7
分野：セキュリティ ／ 情報セキュリティ
CRYPTRECの役割として，適切なものはどれか。
- ア：外国為替及び外国貿易法で規制されている暗号装置の輸出許可申請を審査，承認する。
- イ：政府調達においてIT関連製品のセキュリティ機能の適切性を評価，認証する。
- ウ：電子政府での利用を推奨する暗号技術の安全性を評価，監視する。
- エ：民間企業のサーバに対するセキュリティ攻撃を監視，検知する。
TSUNAGARU-ADVICE
まず押さえたいこと
CRYPTRECは、政府が利用する暗号技術について、安全性や信頼性を評価し、継続的に監視するための取組みです。電子政府などで利用する暗号方式を選ぶ際の基準となる、推奨暗号リストなどにも関係します。
試験では、「CRYPTREC＝政府利用の暗号技術を評価・監視する」と押さえると判断しやすくなります。
迷ったときの判断軸
「暗号技術の安全性を評価する」という点がCRYPTRECの判断軸です。IT製品そのもののセキュリティ機能を評価・認証する制度や、企業のサーバを常時監視する組織とは役割が異なります。暗号アルゴリズムの評価・監視と結び付けて覚えましょう。
科目Bにつなげるために
科目Bでは、暗号化を導入しているだけで安全と考えず、現在も安全性が認められている暗号方式を使っているかという視点が重要です。古くなった暗号方式の継続利用や、推奨されない方式の採用がリスクになることを意識し、暗号方式の選定や見直しとつなげて理解しましょう。
CRYPTRECは、政府が利用する暗号技術について、安全性を評価し、電子政府で利用する暗号の選定や継続的な監視を行うための取組みです。暗号アルゴリズムの安全性を評価し、政府機関などでの利用に適した暗号技術を示します。
本問では、「電子政府での利用を推奨する暗号技術」と「安全性を評価，監視する」という部分が判断のポイントです。この役割に該当するため、ウが適切です。
❌他選択肢が誤りの理由ア：外国為替及び外国貿易法で規制されている暗号装置の輸出許可申請を審査，承認する。
⇒暗号装置の輸出許可に関する行政手続の説明であり、経済産業省の役割です。CRYPTRECの役割ではありません。
イ：政府調達においてIT関連製品のセキュリティ機能の適切性を評価，認証する。
⇒IT製品のセキュリティ機能を評価・認証する制度の説明であり、JISECの役割です。CRYPTRECの役割ではありません。CRYPTRECの対象は主に暗号技術そのものの安全性評価です。
エ：民間企業のサーバに対するセキュリティ攻撃を監視，検知する。
⇒サイバー攻撃の監視やインシデント対応を行うSoCの役割の説明です。CRYPTRECは、民間企業のサーバを監視する組織ではありません。