解説

CPS（Certification Practice Statement：認証業務運用規程）は、認証局（CA）が自身の認証業務をどのように運用しているかを詳細に規定した文書です。具体的には「証明書の発行手順」「身元確認の方法」「鍵管理の方法」「失効手続き」「セキュリティ対策」「責任の範囲」などを規定します。CPSはCA/Browser Forum（主要CAとブラウザベンダーの業界団体）のガイドラインに従って策定され、公開されています。利用者はCPSを確認することで、そのCAが信頼できる運用を行っているかを判断できます。PKIの信頼基盤はこのCPSの透明性に依存しています。

なぜ他の選択肢は違うのか

選択肢 ア

「証明書所有者が策定したセキュリティ宣言」は誤りです。CPSを策定・公開するのは認証局（CA）であり、証明書の所有者（申請者）ではありません。

選択肢 イ

「代行事業者が策定したセキュリティ宣言」も誤りです。RA（Registration Authority：登録局）は証明書申請の受付を代行しますが、CPSは認証局自身が策定するものです。

選択肢 エ

「認証局を監査する第三者機関の規定」も誤りです。認証局を監査するのはWebTrustなどの第三者監査機関ですが、CPSは監査機関ではなく認証局自身が運用規程として策定します。

解くときのポイント

CPS＝「認証局が自分の運用ルールを詳細に文書化したもの」。CP（Certificate Policy：証明書ポリシー）はCPSより上位の方針文書。「誰が作るか」＝CA本人、「何を規定するか」＝業務運用の詳細、が判断の軸。