運用監視暗号リストとは？互換性維持と新規採用の違い【SG試験】

まず結論

運用監視暗号リストは、推奨すべき状態ではなくなった暗号技術のうち、互換性維持のために継続利用を容認する暗号技術のリストです。

SG試験では、運用監視暗号リストと電子政府推奨暗号リストを混同させてくることがあります。

特に大切なのは、運用監視暗号リストは「安全なので積極的に使うリスト」ではないという点です。

選択肢で、

互換性維持のために継続利用を容認する

と書かれていたら、運用監視暗号リストを考えます。

一方で、

利用実績が十分であり、利用を推奨する

と書かれていたら、電子政府推奨暗号リストの説明です。

直感的な説明

運用監視暗号リストは、古い機械をすぐには捨てられない状況に似ています。

新しく買うなら、今の基準に合った安全な機械を選ぶべきです。でも、古い設備とつながっているため、すぐには入れ替えられない場合があります。

暗号技術も同じです。

古くなって、今後の安全性に注意が必要な暗号技術でも、既存システムとの互換性のために、すぐには完全にやめられないことがあります。

そこで、

新しく使うことを推奨するわけではないが、互換性維持のために継続利用を容認する

という位置づけで整理されるのが、運用監視暗号リストです。

CRYPTREC暗号リストの3分類で見ると、次のようになります。

分類直感的な意味

電子政府推奨暗号リスト今、利用を推奨する暗号推奨候補暗号リスト将来、推奨に入る可能性がある暗号運用監視暗号リスト古くなったが互換性維持のため残す暗号

試験では、監視＝推奨ではないと覚えると判断しやすくなります。

定義・仕組み

運用監視暗号リストは、CRYPTREC暗号リストの分類の一つです。

公式情報は、次のページで確認できます。

CRYPTREC暗号リスト（電子政府における調達のために参照すべき暗号のリスト）

運用監視暗号リストは、かんたんに言うと、今後も積極的に使う暗号ではないが、既存システムとの関係で継続利用を認める暗号技術です。

ここで大切なのは、次の2点です。

新規利用を積極的に推奨するものではない
互換性維持のために継続利用を容認する

暗号技術は、時間がたつと安全性の評価が変わることがあります。

昔は十分安全と考えられていた暗号でも、計算機の性能向上や攻撃手法の進歩によって、解読されるリスクが高まることがあります。

このように、安全性の面で推奨しにくくなった暗号技術でも、既存システムで使われている場合、急に廃止すると業務に影響が出ることがあります。

そのため、運用監視暗号リストでは、互換性維持を目的として、一定の範囲で継続利用を認める考え方になります。

電子政府推奨暗号リストとの違い

電子政府推奨暗号リストは、今、利用を推奨する暗号技術です。

一方、運用監視暗号リストは、推奨すべき状態ではないが、互換性維持のために継続利用を容認する暗号技術です。

比較電子政府推奨暗号リスト運用監視暗号リスト

位置づけ利用を推奨継続利用を容認主な目的安全な暗号技術の利用既存システムとの互換性維持新規採用基本的に候補になる積極的には選ばない試験でのキーワード利用実績、普及見込み、推奨互換性維持、継続利用、監視

SG試験では、「容認」と「推奨」は違うと考えることが重要です。

どんな場面で使う？

運用監視暗号リストは、古いシステムとの互換性を考える場面で関係します。

たとえば、次のような場面です。

既存システムで古い暗号技術を使っている

取引先や外部システムとの接続で、すぐには暗号方式を変更できない

システム更改までの間、一時的に継続利用する必要がある

古い暗号技術から推奨暗号技術へ移行計画を立てる

委託先が使っている暗号方式を確認する

実務では、運用監視暗号リストに関係する暗号技術を使っている場合、

使えているから問題ない

ではなく、

いつまで使うのか、どのように移行するのか

を考える必要があります。

SG試験では、科目Bのケース問題でも、古いシステムや委託先管理の文脈で判断させる形が考えられます。

たとえば、選択肢で、

古い暗号方式を使っているが、互換性維持のために継続利用している。今後は推奨暗号方式への移行を検討する。

とあれば、現実的な対応として自然です。

一方で、

運用監視暗号リストに掲載されているので、新規システムでも積極的に採用する。

とあれば誤りです。

よくある誤解・混同

誤解1：運用監視暗号リストは、安全なので使ってよいリストである

これは誤りです。

運用監視暗号リストは、積極的に利用を推奨するリストではありません。

互換性維持のために、継続利用を容認するリストです。

選択肢で「安全なので新規採用する」といった表現があれば注意しましょう。

誤解2：継続利用を容認するなら、電子政府推奨暗号リストと同じである

これも誤りです。

容認は、やむを得ず認めるという意味合いです。

推奨は、使うことをすすめるという意味合いです。

SG試験では、この言葉の違いがひっかけになります。

言葉試験での判断

推奨電子政府推奨暗号リスト候補推奨候補暗号リスト容認・互換性維持運用監視暗号リスト

誤解3：運用監視暗号リストにある暗号は、すぐに使用禁止である

これも必ずしも正しくありません。

運用監視暗号リストは、すぐに完全禁止というより、互換性維持のために継続利用を容認する位置づけです。

ただし、これは「安心して使い続けてよい」という意味ではありません。

継続利用する場合でも、移行計画やリスク確認が重要になります。

誤解4：古いシステムで使っているなら、更新しなくてもよい

これも誤りです。

互換性維持のために一時的に使うことはあっても、古い暗号技術を使い続けるほどリスクは高まります。

情報セキュリティマネジメントでは、リスクを把握し、必要に応じて対策を検討することが大切です。

運用監視暗号リストに関係する暗号技術を使っている場合は、将来的に推奨暗号技術へ移行する視点を持つ必要があります。

まとめ（試験直前用）

運用監視暗号リストは、推奨すべき状態ではなくなった暗号技術を、互換性維持のために継続利用するリストです。

試験では、次のように切り分けます。

利用を推奨する → 電子政府推奨暗号リスト

今後、推奨に掲載される可能性 → 推奨候補暗号リスト

互換性維持のため継続利用を容認 → 運用監視暗号リスト

運用監視暗号リストは、危険だから即禁止という意味ではありません。

ただし、積極的に新規採用する暗号でもありません。

最後は、次の一言で覚えます。

運用監視は「古いが互換性のために残す暗号」です。

🔗 関連記事

🏠 情報セキュリティマネジメントトップに戻る