知られざる暗号評価プロジェクト CRYPTREC 第4回「選定ルール」 | ScanNetSecurity
2024.07.20(土)

知られざる暗号評価プロジェクト CRYPTREC 第4回「選定ルール」

セキュリティに関わる技術や製品の有効性を、客観的定量的に評価できたら最高以外の何ものでもないが、そこには「どんな事業で」「何を守るために」「どのように運用するか」といった変数が多数存在し、各社千差万別である。

製品・サービス・業界動向 業界動向
知られざる暗号評価プロジェクト CRYPTREC 第4回「選定ルール」
知られざる暗号評価プロジェクト CRYPTREC 第4回「選定ルール」 全 2 枚 拡大写真
 セキュリティに関わる技術や製品の有効性を、客観的定量的に評価できたら最高以外の何ものでもないが、そこには「どんな事業で」「何を守るために」「どのように運用するか」といった変数が多数存在し、各社千差万別である。

 製品評価に一律の基準を設けることは容易ではないが、ここにセキュリティ技術の優劣を定量的に明確に白黒つけることができる夢の領域が存在した。暗号である。

 暗号はどれだけ時間をかければ破ることができるのか等を、それこそ定量的に計算し算出することができる。だから採用の可否をゼロイチで決めることが可能だ。

 「 CRYPTREC(クリプトレック)」とは、日本政府の暗号の採用可否を助言する複数の会議体の総称である。暗号における評価手法を、そのままセキュリティ製品一般に適用することなどもちろんありえない。しかし、評価がどのような手順で行われ、どのような役割を担った組織分掌が行われているかを知ることは、日々嘘くさいセールストークにうんざりしているセキュリティ製品選定者にとって、もはや一服の清涼剤にすらなるのではあるまいか。そんな目論見のもと ScanNetSecurity 編集人 上野を聞き手に本取材は敢行された。

> 第1回「三つの会議体」
> 第2回「三つの暗号リスト」
> 第3回「リスト入りの基準」

●選定ルール

【独立行政法人情報処理推進機構】次は、利用実績があるかないか、製品化がされているかどうかの判断をどうするか、というところで選定ルールのフレームワークを作りました。暗号技術活用委員会の前身の暗号運用委員会が考えました。

 安全性の評価・実装の評価をクリアすると「推奨候補暗号リスト」に入ります。

 その後に、評価Aと評価Bというふたつの判断基準があります。Aは利用実績が十分であり、今後も安定的に利用可能であるかどうか、評価Bはまだそこまではクリアしていないけれど、今後利用される可能性が高そうかどうかを評価します。

 実際には「市販製品でどれぐらい使われていますか?」「暗号を作った会社だけが使っているわけではなくて、それ以外の会社にもちゃんと供給していますか?」「オープンソースありますか?」「政府で使われていますか?」「国際規格に入っていますか?」などで、まずAの項目が評価されます。ここで十分だとなれば第二次選定に入ることになります。

《ScanNetSecurity》

関連記事

この記事の写真

/

特集

PageTop

アクセスランキング

  1. イセトーへのランサムウェア攻撃で日本生命保険の個人情報が漏えい

    イセトーへのランサムウェア攻撃で日本生命保険の個人情報が漏えい

  2. 新日本製薬にランサムウェア攻撃、全ての業務は通常通り稼働

    新日本製薬にランサムウェア攻撃、全ての業務は通常通り稼働

  3. イセトーへのランサムウェア攻撃で東海信金ビジネスの個人情報が漏えい

    イセトーへのランサムウェア攻撃で東海信金ビジネスの個人情報が漏えい

  4. 2021年の「不正アクセスによる情報流出の可能性に関するお詫びとお知らせ」を2024年9月30日に削除 ~ 丸紅パワー&インフラシステムズ

    2021年の「不正アクセスによる情報流出の可能性に関するお詫びとお知らせ」を2024年9月30日に削除 ~ 丸紅パワー&インフラシステムズ

  5. マクニカネットワークスが忘れない CrowdStrike 三つのエピソード

    マクニカネットワークスが忘れない CrowdStrike 三つのエピソードPR

  6. 国際手配のランサム犯 逮捕されずに世界中を旅行

    国際手配のランサム犯 逮捕されずに世界中を旅行

  7. JAXA への不正アクセスによる情報漏えい、未知のマルウェア使用で侵害の検知を困難に

    JAXA への不正アクセスによる情報漏えい、未知のマルウェア使用で侵害の検知を困難に

  8. 日本生命保険の元社員を威力業務妨害の容疑で逮捕

    日本生命保険の元社員を威力業務妨害の容疑で逮捕

  9. マイクロソフトが 7 月のセキュリティ情報公開、悪用の事実を確認済みの脆弱性が 2 件

    マイクロソフトが 7 月のセキュリティ情報公開、悪用の事実を確認済みの脆弱性が 2 件

  10. 東京都教育委員会「Teams 事故再発防止委員会」設置

    東京都教育委員会「Teams 事故再発防止委員会」設置

ランキングをもっと見る