令和7年度 春期 情報処理安全確保支援士 午前II 問9

各選択肢の解説

ア

認証局が発行するデジタル証明書の所有者が策定したセキュリティ宣言

誤りです。CPS（認証局運用規程）は、証明書を発行する認証局が作って公開する文書です。証明書の所有者（加入者）が作るものではありません。所有者の宣言では、本人確認や失効手続など、認証局がどう業務を行うかを利用者が確かめる根拠になりません。

イ

認証局でのデジタル証明書発行手続を代行する事業者が策定したセキュリティ宣言

誤りです。証明書発行の申請受付や本人確認を代行する事業者は、登録局（RA）にあたります。CPSはRA独自のセキュリティ宣言ではなく、認証局が自身の認証業務全体の運用方法を定めた文書です。RAの業務も、認証局のCPSの中で規定されます。

ウ

認証局の認証業務の運用などに関する詳細を規定した文書

正しいです。CPSは、認証局が証明書ポリシー（CP）を実際にどう実施するかを詳しく定めた文書です。申請者の本人確認、証明書の発行・更新・失効、CRLの公開、鍵の管理、施設や人員のセキュリティなど、認証業務の運用の詳細を記述します。

エ

認証局を監査する第三者機関の運用などに関する詳細を規定した文書

誤りです。CPSは認証局自身の運用を定めた文書で、監査を行う第三者機関の運用を定めたものではありません。WebTrustなどの監査では、認証局がCPSのとおりに運用しているかが確認されます。つまり、CPSは監査を受ける側の基準となる文書です。