PKI・CPSとは？

PKI・CPSの意味

PKIは公開鍵証明書を用いて本人性を担保する基盤。CPSは認証局が自らの認証業務（証明書の発行から失効まで）の運用手順を詳細に定めて公開する文書で、利用者が信頼性を判断する材料となる。

PKI・CPSの具体例

認証局が本人確認の方法、失効手続、鍵の保護方法をCPSに定めて公開する。

PKI・CPSは試験でどう引っ掛けられる？

CP（証明書ポリシー）とCPSの区別が要点。CPは証明書の適用目的や要求水準を定めた方針、CPSはそれをどう実現するかの具体的な運用手順書。監査では認証局の実務がCPSどおりかを確かめる対象になる。

PKI・CPSと関連する用語

• コードサイニング証明書

PKI・CPSが出た過去問

• 公開鍵基盤におけるCPS（Certification Practice Statement）に該当するものはどれか。

  正解：認証局の認証業務の運用などに関する詳細を規定した文書

  要点：CPSは認証局が自らの認証業務の運用手順を詳細に定めた公開文書

  CPS（認証業務運用規程）は、認証局が自らの認証業務をどのような体制と手順で運用するかを詳細に記述した公開文書である。加入者の本人確認方法、証明書の発行・失効の手続、鍵の管理、設備のセキュリティなどが記載され、利用者はこれを読んでその認証局を信頼できるか判断する。上位方針である証明書ポリシ（CP）を、具体的な運用手順に落とし込んだものと位置づけられる。

  出典：令和2年度 10月 システム監査技術者試験 am2 問19（IPA）

• 公開鍵基盤におけるCPS（Certification Practice Statement）に該当するものはどれか。

  正解：認証局の認証業務の運用などに関する詳細を規定した文書

  要点：CPSは認証局が認証業務の運用手順を定めた文書

  CPS（認証実施規程）は、認証局が証明書の発行・更新・失効といった認証業務をどのような手順と管理体制で運用するかを詳細に定めた文書である。上位のポリシーであるCP（証明書ポリシー）が「何を満たすか」を示すのに対し、CPSは「どのように実施するか」を具体的に記述し、認証局の信頼性を外部が判断する根拠となる。

  出典：令和5年度 秋期 システム監査技術者試験 am2 問17（IPA）

• X.509におけるCPS（Certification Practice Statement）はどれか。

  正解：認証局が証明書を発行、管理、失効、更新する際などの運用についての規定

  要点：CPSは認証局が証明書の発行から失効までの運用手順を定めた規定

  CPS（認証業務運用規程）は、認証局が証明書の発行、管理、失効、更新といった認証業務をどのような手順と体制で行うかを詳細に定めた公開文書である。利用者はこれを読んで、その認証局が発行する証明書をどの程度信頼できるかを判断する。上位方針である証明書ポリシ（CP）を具体的な運用手順へ落とし込んだ位置づけになる。

  出典：令和6年度 秋期 システム監査技術者試験 am2 問17（IPA）