解説

CPS（Certification Practice Statement：認証局運用規定）とは、「認証局（CA）の認証業務の詳細な運用方法・手続き・ポリシーを規定した文書」（c：正解）。証明書の発行・失効・更新の手続き、本人確認の方法、鍵管理方法、セキュリティ対策、監査・法的責任などを詳細に記述する。PKI（公開鍵基盤）では、CAが利用者（依拠当事者）に対して自身の運用方針を透明性高く開示するためCPSをWebサイト等で公開するのが一般的。CPSと混同されやすいCP（Certificate Policy：証明書ポリシー）との違いは、CPがどのような目的・条件で証明書が使えるかを定める「WHAT（何を）」を示すのに対し、CPSはその実現のために認証局が「HOW（どのように）」運用するかを詳細に規定する点にある。RFC 3647がCPSの標準フレームワークを定義している。

なぜ他の選択肢は違うのか

選択肢 ア

「デジタル証明書の所有者が策定したセキュリティ宣言」はCPSではなく、証明書を発行するCAではなく証明書を利用する側（加入者：Subscriber）の声明に相当する。CPSを策定するのはCAであり、証明書の所有者（エンドエンティティ）が策定するものではない。

選択肢 イ

「認証局でのデジタル証明書発行手続きを代行する事業者」はRA（登録局：Registration Authority）に相当するが、CPSはRAの運用文書ではなくCA自体の運用を詳細に規定したものである。RAはCAの下で本人確認を行う機関であり、CAが策定するCPSとは異なる立場の文書となる。

選択肢 エ

「認証局を監査する第三者機関の運用などに関する詳細を規定した文書」はCPSの説明ではなく、第三者監査機関（例：WebTrust）や認定機関の運用基準文書に相当する。CPSは認証局自身が策定・公開する自身の運用規定であり、監査機関の文書とは本質的に異なる。

解くときのポイント

PKI文書の種類: CP（Certificate Policy：証明書ポリシー）は「何を」するかの方針、CPS（Certification Practice Statement）は「どのように」するかの詳細手順。CPはCPSより抽象度が高い。