分野 E｜セキュリティ・倫理
デジタル証明書・デジタル署名・PKI
今の制度の過去問（3回分）では、PKI と認証局、CRL、デジタル署名、リスクベース認証が、合わせて5問出ています。
シラバス案 Ver.0.1（2026年8月31日公表）の『6-25-1 公開鍵基盤』
最終更新
よく出る形
- 認証局（CA）の役割や、PKI（公開鍵基盤）の特徴を選ぶ（3回分で2問）
- CRL（証明書失効リスト）に載る証明書の条件を選ぶ（3回分で1問）
- 発行元の確認に使う情報を選ぶ（3回分で1問）
- リスクベース認証の例を選ぶ（3回分で1問）
- 問われるとしたら：事例で、導入する証明書の種類を選ぶ形
- 問われるとしたら：署名とタイムスタンプの a〜c の組合せの形
覚えること
- PKI（公開鍵基盤）：デジタル証明書で、公開鍵の正当性を認証局が保証する仕組み
- 認証局（CA）：デジタル証明書の発行と失効を行う第三者機関
- デジタル証明書（公開鍵証明書）：公開鍵が正当なものだと示す電子的な証明書
- サーバ証明書：アクセス先のサーバが本物であることを保証する証明書
- クライアント証明書：利用者側が本物であることを示す証明書
- ルート証明書：認証局が自分自身の正当性を示すため、自らに発行する証明書
- 証明書失効リスト（CRL）：有効期間内に失効した証明書の情報を載せた公開リスト
- デジタル署名：署名鍵（秘密鍵）で作り、検証鍵（公開鍵）で確かめる署名
- デジタル署名で分かること：作成者本人であること、改ざんがないこと
- タイムスタンプ（時刻認証）：ある時刻にデータが存在し、以後は改ざんがない証明
- リスクベース認証：普段と異なる環境からのログインに、追加の認証を行う方法
- 使い分け：だれの鍵かは証明書、だれが作り改ざんなしかは署名、いつかはタイムスタンプ
- 参考：今のシラバスの用語例にある「トラストアンカー（信頼の基点）」は、案の用語例にない
ひっかけ
- 署名を作る鍵は秘密鍵、確かめる鍵は公開鍵
- タイムスタンプは「いつ」の証明で、「だれが」ではない
- サーバ証明書はサーバ側、クライアント証明書は利用者側
- ログイン時の環境の違いを見るのがリスクベース認証で、ロックや変更の促しとは別
想定問題
4問（四肢択一）。選ぶと、その場で正解と解説が開きます。
A 社が行う対応として、最も適切なものはどれか。
A 社は、会員向けの Web サイトを新しく公開する。利用者が、閲覧しているサイトが A 社の管理するものであると確かめられるようにするために、サイト側に導入するものを検討している。
正解：エ 認証局から、サーバ証明書の発行を受けて、サイトに導入する。
ポイント
閲覧中のサイトが本物であることを示すために、どの証明書を導入するかを問う問題です。
考え方と解き方
証明書は、だれの正当性を示すかで名前が分かれます。サーバ証明書は、利用者がアクセス先を確かめるために、サイト側が導入します。
- A 社が示したいのは、利用者が閲覧しているサイトが A 社の管理するものだということです。
- サイト（サーバ）が本物であることは、認証局が発行するサーバ証明書で保証されます。
- したがって、最も適切なのは エ です。
ほかの選択肢
- ア クライアント証明書は、利用者側が本物であることを示す証明書です。サイトの正当性を示す目的には合いません。
- イ 署名鍵は、デジタル署名を作るための秘密鍵で、それだけでは、だれのサイトかを利用者に示せません。サイトの正当性を示すのは、認証局が発行するサーバ証明書です。
- ウ タイムスタンプは、ある時刻にデータが存在したことを示す物です。サイトの正当性ではなく、時刻の証明です。
覚えておくこと
- サーバ証明書：アクセス先のサーバが本物であることを保証する証明書
- クライアント証明書：利用者側が本物であることを示す証明書
（テーマ・覚えること）
証明書失効リスト（CRL）に関する記述として、最も適切なものはどれか。
正解：ウ 認証局が、有効期間内に失効させた証明書の情報を載せ、利用者が証明書を使う前に確かめられるように公開する。
ポイント
証明書失効リスト（CRL）を、だれが、何を載せ、何のために公開するかを問う問題です。
考え方と解き方
CRL を出すのは、失効を行う認証局です。持ち主が出す物や、更新の知らせと思うと誤ります。また、使える証明書の一覧と思うと、載せる物を逆にしてしまいます。
- CRL は、認証局が、有効期間内に失効させた証明書の情報を載せ、利用者が使う前に確かめられるように公開するリストです。
- したがって、最も適切なのは ウ です。
ほかの選択肢
- ア 公開するのは持ち主ではなく認証局で、目的も更新の予定を知らせることではなく、利用者が使う前に確かめられるようにすることです。
- イ 載るのは、失効していない有効な証明書ではなく、有効期間内に失効させた証明書の情報です。
- エ 公開するのは持ち主ではなく認証局で、載せるのも失効していない有効な証明書ではなく、失効させた証明書の情報です。目的も更新の知らせではありません。
覚えておくこと
- 証明書失効リスト（CRL）：有効期間内に失効した証明書の情報を載せた公開リスト
- 認証局（CA）：デジタル証明書の発行と失効を行う第三者機関
（テーマ・覚えること）
これらの利用に関する記述として、適切なものだけを全て挙げたものはどれか。
A 社は、取引先の B 社へ送る契約書の電子データについて、デジタル署名とタイムスタンプの利用を検討している。
- a A 社が契約書のデータにデジタル署名を付けると、B 社は、署名したあとに内容が書き換えられていないことを確かめられる。
- b A 社が契約書のデータにタイムスタンプを付けると、そのデータがある時刻に存在していたことを、あとから示せる。
- c B 社が署名を確かめるときは、契約書のデータとともに、A 社から署名鍵（秘密鍵）を受け取り、その鍵を使う。
正解：ア a、b
ポイント
デジタル署名、タイムスタンプ、署名に使う鍵の扱いを、a〜c で判定する問題です。
考え方と解き方
署名は作る側が秘密鍵、確かめる側が公開鍵を使います。鍵の渡し方を逆に考えて、c を適切とすると誤ります。署名は「作った人と改ざんの有無」、タイムスタンプは「いつ」を示します。
- a は適切です。デジタル署名は、署名したあとに改ざんがないことの確認に使えます。
- b は適切です。タイムスタンプは、ある時刻にデータが存在したことを示します。
- c は不適切です。署名を確かめるのは検証鍵（公開鍵）で、署名鍵（秘密鍵）は作成者が持ち、相手に渡しません。
- したがって、適切なのは a、b で、ア です。
ほかの選択肢
- イ c も適切としていますが、署名鍵（秘密鍵）を B 社に渡す c は不適切です。
- ウ a も適切なのに入っておらず、不適切な c が入っています。
- エ a、b が適切なのに入っておらず、不適切な c だけになっています。
覚えておくこと
- デジタル署名：署名鍵（秘密鍵）で作り、検証鍵（公開鍵）で確かめる署名
- デジタル署名で分かること：作成者本人であること、改ざんがないこと
- タイムスタンプ（時刻認証）：ある時刻にデータが存在し、以後は改ざんがない証明
（テーマ・覚えること）
ルート証明書に該当するものはどれか。
正解：イ 認証局が、自分自身の正当性を示すために、自らに対して発行した証明書
ポイント
ルート証明書がどんな証明書かを、発行する人と発行を受ける人で区別する問題です。
考え方と解き方
ルート証明書は、認証局が自らに発行する点が特徴です。発行する人か、発行を受ける人のどちらかが違う証明書を、ルート証明書と思うと誤ります。
- ルート証明書は、認証局が自分自身の正当性を示すために、自らに対して発行する証明書です。
- したがって、ルート証明書に該当するのは イ です。
ほかの選択肢
- ア 発行を受ける相手が利用者の端末で、認証局自身ではありません。
- ウ 発行するのが利用者で、認証局ではありません。ルート証明書は認証局が発行します。
- エ 発行を受ける相手が別の認証局で、認証局自身ではありません。
覚えておくこと
- ルート証明書：認証局が自分自身の正当性を示すため、自らに発行する証明書
- 認証局（CA）：デジタル証明書の発行と失効を行う第三者機関
（テーマ・覚えること）
このテーマの過去問
- 令和6年度 問66PKIにおけるCA(CertificateA…四肢択一
- 令和6年度 問77出所が不明のプログラムファイルの使用を避ける…四肢択一
- 令和7年度 問87PKIにおいて，ある条件に当てはまるデジタル…四肢択一
- 令和8年度 問71インターネットバンキングなどのWebサイトで…四肢択一
- 令和8年度 問90PKI(公開鍵基盤)の特徴として，適切なもの…四肢択一・まずこの1問
同じ分野のテーマ（セキュリティ・倫理）
- 情報セキュリティの脅威（なりすまし・ソーシャルエンジニアリング・シャドーIT）今の制度の過去問（3回分）では、脅威と脆弱性の用語、IoT 機器の脅威と対策、ダークウェブが、合わせて5問出ています。
- マルウェアの種類（ランサムウェア・トロイの木馬・スパイウェア）今の制度の過去問（3回分）では、ランサムウェアの説明が1問出ています。
- SQLインジェクション・XSS・DoS攻撃・パスワードリスト攻撃今の制度の過去問（3回分）では、バッファオーバーフローへの対策と、ゼロデイ攻撃・DDoS 攻撃・ブルートフォース攻撃の区別が、合わせて2問出ています。
- フィッシング・標的型攻撃・中間者攻撃とAIを悪用した攻撃今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 情報セキュリティの考え方とマネジメント（機密性・完全性・可用性・ゼロトラスト）今の制度の過去問（3回分）では、3要素の区別、ゼロトラスト、ISMS の最初の手順、経営者の役割、インシデントの管理が、合わせて7問出ています。
- リスクアセスメント（情報資産台帳・リスク分析・リスク評価）今の制度の過去問（3回分）では、ISMS の活動としての、情報資産の洗い出しとリスクの特定・分析・評価が、1問出ています。
- リスク対応（リスク回避・移転・分散・保有）今の制度の過去問（3回分）では、リスク共有の例と、リスク対応の分類の記述が、合わせて2問出ています。
- 情報セキュリティポリシー・CSIRT・ISMAP・各種ガイドライン今の制度の過去問（3回分）では、情報セキュリティ方針の記述、ポリシーを作る作業の順番、CSIRT の活動の例が、合わせて3問出ています。
- マルウェア対策とランサムウェア対策（パターンマッチング・バックアップ）今の制度の過去問（3回分）では、ランサムウェア対策のバックアップが2問、マルウェア感染を防ぐ対策が1問、合わせて3問出ています。
- 暗号（共通鍵暗号・公開鍵暗号・ハッシュ関数）今の制度の過去問（3回分）では、共通鍵暗号方式と公開鍵暗号方式が2問、ハッシュ関数が1問、ブロックチェーンの適用例が1問、合わせて4問出ています。
- 利用者認証（多要素認証・パスキー・ワンタイムパスワード）今の制度の過去問（3回分）では、利用者認証の用語の説明を選ぶ問題が1問、所有を使った認証の例を選ぶ問題が1問、合わせて2問出ています。
- 生体認証（顔認証・静脈認証・本人拒否率FRR・他人受入率FAR）今の制度の過去問（3回分）では、生体認証の例を選ぶ問題が1問、他人受入率と本人拒否率の関係を選ぶ問題が2問、合わせて3問出ています。
- 脆弱性対策とセキュリティ製品（ファイアウォール・WAF・IDS・IPS・EDR）今の制度の過去問（3回分）では、WAF と IDS の説明が、合わせて2問出ています。
- 情報モラルとネチケット（メール誤送信・BCC・デジタルタトゥー）今の制度の過去問（3回分）では、電子メールの宛先欄（Cc と Bcc）に関する問題が、合わせて2問出ています。
- フェイクニュースとデータの不正（ねつ造・盗用・エコーチェンバー）今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- AI倫理とAIのリスク（ハルシネーション・説明可能なAI・生成AIの利用上の注意）今の制度の過去問（3回分）では、ハルシネーションと、AI を使うときの留意点が、合わせて2問出ています。
- 著作権・特許法・商標法・不正競争防止法（営業秘密）今の制度の過去問（3回分）では、著作権、産業財産権、不正競争防止法（限定提供データ）が、合わせて6問出ています。
- 労働基準法・労働契約法・36協定（労働時間と働き方）今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 労働者派遣法・偽装請負・パワハラ防止法・公益通報者保護法今の制度の過去問（3回分）では、労働者派遣と偽装請負が、合わせて2問出ています。
- 特定商取引法・景品表示法・資金決済法（取引関連法規）今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 民法と契約（請負契約・準委任契約・守秘契約NDA・ライセンス契約）今の制度の過去問（3回分）では、請負契約の注文者と請負業者の権利と義務が、1問出ています。
- AI基本法・デジタル社会形成基本法・リサイクル法（デジタル・環境関連法規）今の制度の過去問（3回分）では、官民データ活用推進基本法で、官民データを所有する組織を問う問題が、1問出ています。
- 個人情報保護法（個人データ・要配慮個人情報・匿名加工情報）今の制度の過去問（3回分）では、匿名加工情報の説明を選ぶ問題が、1問出ています。
- マイナンバー法・GDPR・忘れられる権利今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- オプトイン・オプトアウト・第三者提供・データマスキング（同意の取得）今の制度の過去問（3回分）では、個人データの提供で本人の同意が要らない場合が、1問出ています。
- 不正アクセス禁止法（アクセス制御機能・不正アクセス行為）今の制度の過去問（3回分）では、不正アクセス禁止法で規制される行為を選ぶ問題が、1問出ています。
- ウイルス作成罪・サイバーセキュリティ基本法・特定電子メール法今の制度の過去問（3回分）では、サイバーセキュリティ基本法が2問、特定電子メール法が1問、合わせて3問出ています。