鍵管理とは？

鍵管理の意味

暗号鍵の生成、配付、保管、更新、破棄までの一連の管理を、権限を分けて記録を残しながら行うこと。暗号方式が強くても鍵の扱いが甘ければ保護は成り立たない。監査では鍵の所在と操作記録、責任者の分離を確かめる観点で問われる。

鍵管理の具体例

顧客データの暗号化を監査する場面で、鍵が専用の暗号装置内で生成され外部へ平文で出ない設計か、鍵を扱える管理者と業務データを扱える管理者が別人か、年次の鍵更新と旧鍵の廃棄が記録されているかを、手順書と操作ログの突合で検証する。

鍵管理は試験でどう引っ掛けられる？

データの暗号化を実施していれば統制は有効と判断しがちだが、鍵が同じサーバ上に平文で置かれていれば保護の意味がない。またバックアップ媒体を暗号化した場合、鍵を失うと復旧できなくなるため退避手順の有無まで確かめる必要がある。

鍵管理と関連する用語

• TLS
• デジタル署名
• 職務分掌

鍵管理が出た過去問

• FIPS PUB 140-2の記述内容はどれか。

  正解：暗号モジュールのセキュリティ要求事項

  要点：FIPS 140-2は暗号モジュールの要求事項の規格

  FIPS PUB 140-2は、米国で定められた暗号モジュールに対するセキュリティ要求事項の規格です。物理的な耐タンパ性や鍵管理、自己テストなどを4段階のセキュリティレベルで規定しています。

  出典：平成29年度 春期 情報処理安全確保支援士試験 am2 問7（IPA）

• FIPS PUB 140-2の記述内容はどれか。

  正解：暗号モジュールのセキュリティ要求事項

  要点：FIPS 140-2は暗号モジュールの要求事項規格

  FIPS PUB 140-2は、暗号モジュールが満たすべきセキュリティ要求事項を定めた米国の規格です。鍵管理、自己テスト、物理的な耐タンパ性などをレベル1から4の4段階で規定しています。

  出典：平成30年度 秋期 情報処理安全確保支援士試験 am2 問5（IPA）

• FIPS PUB 140-3はどれか。

  正解：暗号モジュールのセキュリティ要求事項

  要点：FIPS 140-3は暗号モジュールのセキュリティ要求事項

  FIPS PUB 140-3は、米国と加国が定める暗号モジュールのセキュリティ要求事項の規格で、旧版の140-2を置き換えるものである。鍵管理、物理的な耐タンパ性、自己診断、動作環境などの観点でセキュリティレベル1から4までを規定し、認証を受けた製品は政府調達の要件を満たす。日本のJCMVPもこの体系に対応している。

  出典：令和3年度 秋期 情報処理安全確保支援士試験 am2 問7（IPA）

• 公開鍵基盤におけるCPS（Certification Practice Statement）はどれか。

  正解：認証局の認証業務の運用などに関する詳細を規定した文書

  要点：CPSは認証局が認証業務の運用手順を定めた文書

  CPS（認証局運用規程）は、認証局が証明書の発行・失効・鍵管理・設備運用などをどのような手順と管理体制で実施するかを具体的に記述した文書です。上位の方針文書であるCP（証明書ポリシー）が「何を満たすか」を定めるのに対し、CPSは「どう実施するか」を定めます。利用者や依拠当事者は、CPSを読むことでその認証局の信頼性を判断できます。

  出典：令和7年度 春期 情報処理安全確保支援士試験 am2 問9（IPA）