www.youtube.com 情報処理安全確保支援士試験の令和6年春期午前II問10を題材に、FIPS 140-3と暗号モジュールの秘密について解説します。新人エンジニアのモモとシステム部のサクラ先輩と一緒に、難解なアルファベットの略語を丸暗記ではなく推論で解く方法を学びましょう。試験対策だけでなく、米国政府基準のセキュリティ要件や実務での応用、未来の耐量子暗号時代における役割まで幅広く知識を深めることができます。 学習すべき重要なキーワードについて説明します。まず中心となるのがFIPSです。これは米国連邦政府の基準を示す略語であり、それに続く番号によって分野が分かれています。今回のテーマである140番台は暗号に関する番号を意味しています。つまり、米国政府が使用する暗号のルールであると推理することができます。これらを制定しているのは、米国国立標準技術研究所であるNISTです。次に暗号モジュールについてですが、これは米国連邦政府機関が利用するハードウェアやソフトウェアのセキュリティ要件を指します。ルーターやICカード、セキュリティソフトなど、暗号化機能を持つ製品が対象となり、ハードウェアだけでなくソフトウェアも含まれる点が重要です。この暗号モジュールのセキュリティレベルは1から4までの4段階で規定されています。レベル1はソフトウェア単体などの最低限の要件、レベル2は開封されたら分かる痕跡が必要なタンパエビデンス、レベル3は開封を検知してデータを消去するタンパ検知と応答、そしてレベル4は環境変動や攻撃に対する完全な保護を提供する最高レベルの機密性を誇ります。他の選択肢に登場するキーワードとの違いを理解することも試験対策において非常に大切です。例えば、ISMSは情報セキュリティマネジメントシステムのことで、FIPSが製品やモジュールといったモノの技術的な基準であるのに対し、ISMSはヒトや組織を対象とした管理の基準です。この規格はJIS Q 27001やISO/IEC 27001として知られており、組織の管理に関する問題で出題されます。また、デジタル証明書に関する技術規格はITU-T X.509であり、無線LANセキュリティの技術規格はIEEE 802.11iです。これらは全く別の規格ですが、選択肢として混ざって出題されるため、正確に区別しておく必要があります。さらに、FIPS 140-3は実務においても重要です。米国政府機関へ製品を納入する際の必須条件となるため対米ビジネスに不可欠であり、日本国内の重要インフラや金融機関の調達要件にもなるなど、安全性が検証済みであることを示すグローバルスタンダードとしての役割を担っています。そして未来の技術である耐量子暗号、すなわちPQCの時代においてもこの枠組みは生き続けます。NISTはすでにPQCの標準化を完了していますが、新しいアルゴリズムを搭載したモジュールも結局はこのFIPS 140-3の枠組みを利用して検証されることになります。基礎をしっかりと押さえることで、試験問題に対応できるだけでなく、現場での強力な武器になります。
