CRYPTRECは何をする？似た制度との区別を整理
情報セキュリティマネジメント試験 2022年 サンプル問題 問7 ／ セキュリティ › 情報セキュリティ
過去問にチャレンジ
CRYPTRECの役割として，適切なものはどれか。
- ア
外国為替及び外国貿易法で規制されている暗号装置の輸出許可申請を審査，承認する。
- イ
政府調達においてIT関連製品のセキュリティ機能の適切性を評価，認証する。
- ウ
電子政府での利用を推奨する暗号技術の安全性を評価，監視する。
- エ
民間企業のサーバに対するセキュリティ攻撃を監視，検知する。
会話形式の解説
講師今回はCRYPTRECという取組が何をしているかを問う問題です。選択肢には名前の似た制度や組織の役割が混ぜてあるので、それぞれ誰の仕事なのかを見分けられるかがポイントです。
受験者名前に「CRYPT」が入っているので、暗号に関係するものだとは思いました。ただ、暗号装置の輸出許可の選択肢も暗号の話なので、そこで迷っています。
講師「CRYPT」は暗号（Cryptography）のことなので、そこから絞るのは良い考え方です。ただ、輸出許可の審査や承認は、外国為替及び外国貿易法にもとづく輸出管理の話です。この許可は経済産業省が扱うもので、CRYPTRECの役割ではありません。暗号という言葉が出てくるので、引っかけになりやすい選択肢です。
受験者では、政府調達でIT製品のセキュリティ機能を評価・認証するというのはどうですか。「評価」という言葉が入っているので、CRYPTRECのような気もします。
講師それはITセキュリティ評価及び認証制度、略してJISECの役割です。JISECが評価するのは製品のセキュリティ機能です。CRYPTRECが評価するのは暗号技術そのものの安全性なので、評価する対象が違います。
受験者対象が製品なのか暗号技術なのかで分けるのですね。民間企業のサーバへの攻撃を監視・検知するというのも、CRYPTRECとは違いそうです。
講師そのとおりです。サーバへの攻撃を監視・検知するのは、一般にSOC（Security Operation Center）、つまりセキュリティ監視の専門部署が担う仕事です。CRYPTRECは民間企業のサーバを監視する組織ではありません。
受験者そうすると残るのは、電子政府で使うことを推奨する暗号技術の安全性を評価・監視するという説明ですね。
講師はい、それがCRYPTRECの役割そのものです。CRYPTRECは評価の結果をもとに、推奨できる暗号をまとめた暗号リストを整備しています。
受験者整理すると、暗号技術の安全性の評価はCRYPTREC、製品のセキュリティ機能の認証はJISEC、暗号装置の輸出管理は経済産業省、攻撃の監視はSOCということですね。
講師よくまとまっています。補足すると、CRYPTRECが評価するのは共通鍵暗号、公開鍵暗号、ハッシュ関数などの暗号技術です。この種の問題は「暗号」「評価」「認証」といった似た言葉で選択肢が作られます。何を評価するのか、誰が担うのかを分けて覚えておくと、迷わずに選べます。
まとめ
CRYPTRECは、電子政府で使うことを推奨する暗号技術の安全性を評価・監視する取組で、推奨できる暗号をまとめた暗号リストを整備しています。評価の対象は、共通鍵暗号、公開鍵暗号、ハッシュ関数などの暗号技術そのものです。IT製品のセキュリティ機能を評価・認証するのはJISECで、暗号装置の輸出管理は外国為替及び外国貿易法にもとづいて経済産業省が扱います。サーバへの攻撃の監視・検知は、一般にSOCが担います。何を評価するのか、誰が担うのかを分けて覚えておくと、似た選択肢を見分けられます。
解答・解説
正解はウです
この問題のテーマ
日本の暗号技術の評価体制であるCRYPTRECが何をしているかを問う問題です。似た名前の制度や組織と混同しないかも確かめられます。
解き方の考え方
CRYPTRECの「CRYPT」は暗号（Cryptography）を指すので、まず暗号技術そのものに関わる選択肢に絞ります。そのうえで、輸出の規制、製品の認証、攻撃の監視は、それぞれ別の制度や組織が受け持っていることを思い出して外していきます。最後に、電子政府で使う暗号の安全性を評価・監視するという説明が残ります。
選択肢ごとの解説
- ×ア 外国為替及び外国貿易法で規制されている暗号装置の輸出許可申請を審査，承認する。暗号装置の輸出許可を審査・承認するという説明は、外国為替及び外国貿易法にもとづく輸出管理の話です。この許可は経済産業省が扱うもので、CRYPTRECの役割ではありません。暗号に関係する話なので、まぎらわしい選択肢です。
- ×イ 政府調達においてIT関連製品のセキュリティ機能の適切性を評価，認証する。IT製品のセキュリティ機能を評価・認証するという説明は、ITセキュリティ評価及び認証制度（JISEC）の役割です。JISECが評価するのは製品のセキュリティ機能で、暗号技術そのものの安全性を評価するCRYPTRECとは対象が違います。
- ○ウ 電子政府での利用を推奨する暗号技術の安全性を評価，監視する。電子政府で使うことを推奨する暗号技術の安全性を評価・監視するという説明は、CRYPTRECの役割そのものです。CRYPTRECは評価の結果をもとに、推奨できる暗号をまとめた暗号リストを整備しています。
- ×エ 民間企業のサーバに対するセキュリティ攻撃を監視，検知する。サーバへの攻撃を監視・検知する仕事は、一般にSOC（Security Operation Center）が担います。CRYPTRECは民間企業のサーバを監視する組織ではありません。
補足
CRYPTRECの評価対象は、共通鍵暗号、公開鍵暗号、ハッシュ関数などの暗号技術そのものです。この種の問題では、「暗号」「評価」「認証」といった似た言葉を使って選択肢が作られます。何を評価するのか（暗号技術なのか製品なのか）と、誰が担うのかを分けて覚えておくと、迷わずに選べます。
POINT
- CRYPTRECは、電子政府で使う暗号技術の安全性を評価・監視する取組です。
- CRYPTRECは、推奨できる暗号をまとめた暗号リストを整備しています。
- IT製品のセキュリティ機能の評価・認証は、CRYPTRECではなくJISECが担います。
- 暗号装置の輸出管理は、外国為替及び外国貿易法にもとづく経済産業省の所管です。