--- title: "FIPS 140-2とは？暗号モジュールのセキュリティ要求事項【SG試験】" description: "FIPS 140-2を暗号モジュールの安全性要件を定める米国連邦標準として整理し、ISMS認証、X.509証明書、無線LAN暗号方式を選ばせるひっかけを避けます。 暗号アルゴリズム単体ではなくモジュール評価の標準である点を押さえ、組織運用や証明書の規格との混同を防ぎます。" last_modified_at: "2026-06-24" canonical_url: "https://stemtazoo.github.io/sg/fips-140-2/" section: "sg" --- ## まず結論 **FIPS 140-2**は、暗号機能を実装する**暗号モジュール**が満たすべきセキュリティ要求事項を定めた米国連邦標準です。 SG試験では、FIPS 140-2を細かい認証レベルまで覚えるより、**「暗号モジュールのセキュリティ要求事項」**という選択肢を選べることが重要です。 なお、現在の標準としてはFIPS 140-3がFIPS 140-2を後継しています。試験でFIPS 140-2と問われた場合は、過去問文脈として「暗号モジュールの要求事項」と判断します。 --- ## このページで切り分けること（先にここだけ） このページは、**FIPS 140-2と似た標準・制度の違い**を中心に整理します。 - FIPS 140-2：暗号モジュールのセキュリティ要求事項 - ISMS：組織の情報セキュリティマネジメントの仕組み - X.509：デジタル証明書や証明書失効リストなどの仕様 > 迷ったら、 > **「暗号を実装する部品・モジュールの安全性の話か」** を見ます。 --- ## 直感的な説明 FIPS 140-2は、暗号機能をもつ部品に対する「安全基準」です。 たとえば、暗号化ソフトウェア、HSM、セキュリティチップ、暗号ライブラリなどは、鍵を扱ったり、暗号処理を行ったりします。 このような暗号機能の中核部分が弱いと、強い暗号アルゴリズムを使っていても、鍵の保護や実装上の問題から安全性が下がります。 そこで、暗号モジュールに対して、設計・実装・運用・物理的保護などの要求事項を定める考え方がFIPS 140系列です。 SG試験では、細かい試験方法ではなく、**「暗号モジュールを対象にした要求事項」**と押さえます。 --- ## 定義・仕組み FIPSは、Federal Information Processing Standards の略です。 FIPS 140-2は、暗号モジュールが満たすべきセキュリティ要求事項を定めた米国連邦標準です。 NISTの公式情報では、FIPS 140-2は暗号モジュールが満たすセキュリティ要求事項を規定し、4段階のセキュリティレベルを設けている標準として説明されています。現在は、FIPS 140-3がFIPS 140-2を後継しています。詳しくは、NIST CSRCの[FIPS 140-2](https://csrc.nist.gov/pubs/fips/140-2/upd2/final)および[FIPS 140-3](https://csrc.nist.gov/pubs/fips/140-3/final)を確認できます。 SG試験向けには、次の表で十分です。 | 観点 | FIPS 140-2で見るポイント | |---|---| | 対象 | 暗号モジュール | | 内容 | 暗号モジュールのセキュリティ要求事項 | | 分野 | 暗号、鍵管理、実装・運用、物理的保護など | | 試験での見分け方 | 「暗号モジュール」が出たらFIPS 140-2を疑う | | 注意 | 現在はFIPS 140-3が後継標準 | 暗号モジュールとは、暗号処理を実装し、鍵などの重要情報を扱うハードウェア、ソフトウェア、ファームウェアなどを含む部品・機能のまとまりです。 --- ## どんな場面で使う？ FIPS 140-2は、暗号機能をもつ製品や部品の安全性を確認したい場面で関係します。 たとえば、次のような場面です。 - 暗号ライブラリを使うシステムを調達する - HSMやセキュリティチップを採用する - 暗号鍵を安全に生成・保管する必要がある - 暗号処理を行うソフトウェアやハードウェアの信頼性を確認する - 公的機関や契約で暗号モジュールの検証済み要件が求められる ただし、SG試験では、実際の検証手順や認証取得の細部よりも、**何の要求事項か**を問う形が中心です。 --- ## SG試験で選択肢を切る判断軸（FIPS 140-2編） - 「暗号モジュールのセキュリティ要求事項」が出る → **FIPS 140-2** の説明です。 - 「情報セキュリティマネジメントシステムの認証基準」が出る → FIPS 140-2ではなく、**ISMS**の文脈です。 - 「デジタル証明書や証明書失効リストの標準仕様」が出る → FIPS 140-2ではなく、**X.509**の文脈です。 - 「無線LANセキュリティ技術」が出る → FIPS 140-2ではなく、**WPA / WPA2 / WPA3**などの文脈です。 --- ## よくある誤解・混同 ### ISMSと混同しない ISMSは、組織が情報セキュリティを継続的に管理するための仕組みです。 FIPS 140-2は、組織全体の管理体制ではなく、暗号モジュールの要求事項です。 | 用語 | 中心テーマ | |---|---| | FIPS 140-2 | 暗号モジュールの安全性 | | ISMS | 組織の情報セキュリティ管理 | 選択肢に「マネジメントシステム」「組織の管理体制」「認証基準」とあれば、ISMSを疑います。 ### X.509と混同しない X.509は、デジタル証明書や証明書失効リストなど、PKIで使われる証明書関連の仕様として問われます。 FIPS 140-2は、証明書の形式やCRLの仕様を定めるものではありません。 | 用語 | 見るポイント | |---|---| | FIPS 140-2 | 暗号モジュールのセキュリティ要求事項 | | X.509 | デジタル証明書、証明書失効リストなどの仕様 | ### WPAと混同しない WPAは、Wi-Fiの通信を保護する無線LANセキュリティ技術です。 FIPS 140-2は、無線LANそのものの方式ではなく、暗号機能を実装するモジュールの要求事項です。 選択肢に「無線LAN」「Wi-Fi」「WPA」とあれば、FIPS 140-2ではなく無線LANセキュリティの文脈として切ります。 ### FIPS 140-2とFIPS 140-3の関係 SG試験の過去問ではFIPS 140-2として問われることがありますが、現在はFIPS 140-3が後継標準です。 試験対策では、次のように押さえます。 | 用語 | 試験での押さえ方 | |---|---| | FIPS 140-2 | 過去問でよく見る、暗号モジュールのセキュリティ要求事項 | | FIPS 140-3 | FIPS 140-2の後継標準 | 細かい版の違いよりも、**FIPS 140系列＝暗号モジュールの要求事項**として判断できることが大切です。 --- ## 関連記事との役割分担（混同防止） - ISMSとの違いを確認したい → [ISMSとは？情報セキュリティを継続的に管理する仕組み](https://stemtazoo.github.io/sg/isms/) - 証明書やPKIの基本を確認したい → [PKIとは？公開鍵基盤の役割をやさしく整理](https://stemtazoo.github.io/sg/pki/) - Wi-Fiのセキュリティ方式を確認したい → [Wi-Fiのセキュリティ方式を比較！WEP・WPA・WPA2・WPA3の違い](https://stemtazoo.github.io/sg/wifi-security-protocols/) --- ## 確認問題（SG試験対策） 暗号装置や暗号ライブラリなどの「暗号モジュール」が満たすべきセキュリティ要件を定めた米国連邦標準として、最も適切なものはどれか。 - ア. FIPS 140-2 - イ. ISO/IEC 27001 - ウ. X.509 - エ. WPA2
▶ クリックして答えと解説を見る（ここを開く） **正解：ア** ### 解説 - ア：正解です。FIPS 140-2は、暗号モジュールのセキュリティ要求事項を定めた標準です。 - イ：ISMSの認証基準に関係する規格です。組織のマネジメントシステムを問う文脈で出ます。 - ウ：X.509は、デジタル証明書などPKIで使われる仕様です。 - エ：WPA2は、無線LANのセキュリティ技術です。 👉 判断ポイント **暗号モジュール**という語が出たらFIPS 140系列を疑う。
--- ## まとめ（試験直前用） - FIPS 140-2は、暗号モジュールのセキュリティ要求事項 - 対象は、暗号処理や鍵を扱うハードウェア・ソフトウェア・ファームウェアなど - ISMSは組織の管理体制、X.509は証明書仕様、WPAは無線LAN技術 - 現在はFIPS 140-3が後継標準 - SG試験では「暗号モジュール」が出たらFIPS 140-2を疑う