Embed Size (px)
Citation preview
WH
ITE PA
PER
:
powered by Symantec
White Paper
SSL サーバ証明書と認証局の選び方
White Paper : SSL サーバ証明書と認証局の選び方
2
Copyright ©2014 Symantec Corporation. All rights reserved. Symantec と Symantec ロゴは、Symantec Corporation または関連会社の米国およびその他の国における登録商標です。その他の会社名、製品名は各社の登録商標または商標です。
合同会社シマンテック・ウェブサイトセキュリティは、本書の情報の正確さと完全性を保つべく努力を行っています。ただし、合同会社シマンテック・ウェブサイトセキュリティは本書に含まれる情報に関して、（明示、黙示、または法律によるものを問わず）いかなる種類の保証も行いません。合同会社シマンテック・ウェブサイトセキュリティは、本書に含まれる誤り、省略、または記述によって引き起こされたいかなる（直接または間接の）損失または損害についても責任を負わないものとします。さらに、合同会社シマンテック・ウェブサイトセキュリティは、本書に記述されている製品またはサービスの適用または使用から生じたいかなる責任も負わず、特に本書に記述されている製品またはサービスが既存または将来の知的所有権を侵害しないという保証を否認します。本書は、本書の読者に対し、本書の内容に従って作成された機器または製品の作成、使用、または販売を行うライセンスを与えるものではありません。最後に、本書に記述されているすべての知的所有権に関連するすべての権利と特権は、特許、商標、またはサービス ･ マークの所有者に属するものであり、それ以外の者は、特許、商標、またはサービス ･ マークの所有者による明示的な許可、承認、またはライセンスなしにはそのような権利を行使することができません。
合同会社シマンテック・ウェブサイトセキュリティは、本書に含まれるすべての情報を事前の通知なく変更する権利を持ちます。
White Paper : SSL サーバ証明書と認証局の選び方
3
CONTENTS
はじめに 4
1.セキュリティ業界を震撼させた認証局の SSL サーバ証明書偽造発行事件 4
2.認証局の見分け方 52.1運用ポリシー 5
2.2運用ポリシーの遵守はどうやって担保されるのか？ 5
3.SSL サーバ証明書の選び方 63.1SSL サーバ証明書の信頼性と利用年数を決める 6
3.2 証明内容の確認方法 8
4.認証局の認知がもたらす影響 94.1 認証済みマークの認知度 10
4.2 信頼感が高まることによる効果 11
まとめ 11
別紙代表的な認証局の認証局運用規定（CPS）の違い 12
White Paper : SSL サーバ証明書と認証局の選び方
4
はじめに
多くの EC サイト、ログインページ、お問い合わせフォームなどでよく見かける SSL はウェブサイトの通信データを暗号化するための施策として最も一般的なセキュリティ施策です。
SSL 対応は SSL サーバ証明書と SSL モジュールを含むウェブサーバがあればできます。SSL サーバ証明書はサーバ上の簡単な操作で作成することができますが、自分で勝手に作った SSL サーバ証明書では暗号化はできても他者には信用してもらえません。そこでインターネット上で公開されているウェブサイトを SSL 対応させる場合は、認証局が発行する SSL サーバ証明書を利用することが一般的です。
認証局が発行する SSL サーバ証明書の価値は顔の見えないインターネット上で取引相手の信頼性を確認できることにあります。
ところが、認証局と呼ばれる SSL サーバ証明書の発行機関は世界に 650 もあると言われ、ウェブサイト運営者にとって自社に最適なSSL サーバ証明書を選ぶ事は非常に困難です。さらにウェブサイトの利用者に対してこれらの認証局は全て同じ役割を果たす訳ではありません。それでは何を基準に認証局や SSL サーバ証明書の種類を選べばよいのでしょうか。本ホワイトペーパーでは、認証局や SSL サーバ証明書の選び方について考察します。
1. セキュリティ業界を震撼させた認証局の SSL サーバ証明書偽造発行事件
認証局は一定の認証プロセスを経てサーバの存在と運営者を証明する「SSL サーバ証明書」を発行します。SSL サーバ証明書を認証局から入手する理由は、自社サイトの「信頼性を担保」してもらうためです。「信頼性の担保」は自分で勝手に作った SSL サーバ証明書では決して得られません。
SSL サーバ証明書を発行する専門機関が第三者的な立場からサイト運営者の情報を確認するからこそ信頼性が担保される訳ですが、逆の捉え方をすればウェブサイトに SSL サーバ証明書を発行する認証局は、SSL サーバ証明書の発行機関として社会的に信頼されるように努めなくてはなりません。
SSL通信 https://
シマンテック
ウェブサーバ等PCブラウザ、携帯ブラウザ
エンドユーザのPC、携帯ブラウザ等向けにシマンテックがルート証明書を広く無償配布（対応プラットフォームが豊富）
1. 企業顧客がシマンテックSSLサーバ証明書を購入し、ウェブサーバ等にインストール（厳格な審査の上、証明書を発行）
2.
ブラウザとウェブサーバ間でSSL通信が行われる
3.
図 1：SSL 暗号化通信の仕組み
White Paper : SSL サーバ証明書と認証局の選び方
5
ところが、2011 年にオランダの認証局から偽造された SSL サーバ証明書が発行されるという事件が連続して発生しました。この事件の問題は、SSL/TLS の仕組みや暗号化に起因するものではなく、SSL サーバ証明書を発行する「認証局」が不正な SSL サーバ証明書を発行することを許してしまった認証局の運営体制にありました。
結果、この認証局から発行された SSL サーバ証明書は正しい手続きによって発行された SSL サーバ証明書も含めて全て無効化されてしまい、ウェブサイト利用者の画面には警告メッセージが表示されることになりました。
ウェブサイトに警告が表示されるとサイトへの信頼性が低下し、ビジネスチャンスを逃してしまう可能性が高まります。例えば、以下のような調査結果があります。
・ 90％の回答者は、購買中に警告メッセージがポップアップ表示すると購入を完了しないと答えています。
・ 56％の回答者が、セキュリティ警告が表示されたら他のウェブサイトで購入する、17％が最初のウェブページに戻って続ける、と答えています。
Symantec U.S. Consumer Research, March 2011
この事件は、認証局が運用を怠ったり誤って SSL サーバ証明書を発行してしまうと、その SSL サーバ証明書を利用しているウェブサイトの信頼性だけでなく、ビジネスを棄損する恐れもあることを実証することになりました。
2. 認証局の見分け方
それでは信頼できる認証局はどのように見分ければ良いのでしょうか。主な認証局は CA/ ブラウザフォーラムが制定した EV ガイドラインや Baseline Requirements※ 1 などのガイドラインに則って認証を実施しており、その審査レベルはある程度標準化されています。しかし、その運用方法の詳細は認証局によって異なります。認証局には、認証局の暗号鍵と発行システムを守るための堅牢なインフラを維持・強化すること、証明書申請者の実在性確認を行う厳格な認証プロセスを確保することが求められています。
2.1 運用ポリシー認証局の運用方法を見分ける 1 つ目のポイントは、厳格な運用ルールを規定しているかどうかです。各認証局は、『証明書ポリシー』
（Certificate Policy, CP） と『認証局運用規定』（Certificate Practice Statement 以下、CPS）という認証局として SSL サーバ証明書を発行するにあたり順守する要件項目を規定し利用者に公表しています。IETF ※ 2 では RFC3647 に、認証局が CP、CPS を策定する際の考慮すべき要素を網羅したフレームワークを定めており、このガイドラインに沿っていない CP や CPS では考慮漏れによる運用リスクが高まると考えられます。
別紙には、各認証局の CPS の一部を比較した例をまとめています。これらも参照しながら、SSL サーバ証明書を総合的に管理しましょう。
2.2 運用ポリシーの遵守はどうやって担保されるのか？ 2 つ目のポイントは、認証局が定めたルールに従って運用されているかどうか、運用手順に漏れがないかです。利用者が実際に確かめるのは難しいので、第三者による監査を受けているかどうかを確かめると良いでしょう。
代表的な確認方法としては、電子商取引認証局監査基準に基づいて審査する WebTrust for CA があります。 このプログラムは、米国公認会計士協会（AICPA) とカナダ勅許会計士協会（CICA）が定めた認証局に対する国際的な審査基準です。ブラウザベンダによっては、この監査を満たした認証局のみを、ブラウザに「信頼されたルート CA」として登録する条件として定めています。
※ 1： CA/ ブラウザフォーラムとは、世界の主要な電子認証局とブラウザベンダーによって設立された業界団体です。EV ガイドラインは、EV SSL 証明書の審査手順を規定したものです。 Baseline Requirements とは CA/ ブラウザフォーラムが制定した認証局や証明書の運用規定をまとめた基本要件です。
※ 2： IEIF は、TCP/IP などのインターネットで利用される技術を標準化する組織で、策定した技術仕様を RFC として公表しています。
White Paper : SSL サーバ証明書と認証局の選び方
6
参考） マイクロソフト ルート証明書プログラムの登録基準
http://technet.microsoft.com/ja-jp/library/cc751157.aspx
WebTrust for CA 以外にも、例えば株式会社シマンテックでは、データセンタ事業の情報セキュリティ管理を実行する ISO27001、また外部委託先の内部統制の整備と運用状況を報告する ISAE3402/SSAE16（受託業務の内部統制に関する保証報告制度） を取得し、定期的に自社の運用状況をチェックしています。
また認証局の自主的な取り組みとして、業界団体 CA/ ブラウザフォーラムは EV ガイドラインや Baseline Requirements を定めて、参加する認証局に遵守を求めています。これらのガイドラインに、SSL サーバ証明書の認証局が準拠しているか確認しましょう。
3. SSL サーバ証明書の選び方
前章では、信頼できる認証局の見分け方について述べてきました。各認証局が発行する SSL サーバ証明書には証明する内容に応じていくつか種類があります。本章では各認証局が発行する SSL サーバ証明書の選び方について解説します。
3.1 SSL サーバ証明書の信頼性と利用年数を決めるSSL サーバ証明書には、（1）通信内容の「暗号化」と、（2）「ウェブサイトを運営する組織・団体、または個人を証明して確認」できるようにする 2 つの基本機能があります。「暗号化」は全ての SSL サーバ証明書の共通の機能ですが、「証明」の内容は SSL サーバ証明書の種類によって異なります。
証明書利用サイトの重要性やサービス提供対象となる利用者やお客様の層に応じて、認証レベル（認証局がウェブサイト運営者の実在性を確認する際の審査・確認項目の違い）を選びます。
SSL サーバ証明書申請者の申請内容に対し、認証局がドメイン名の所有者を特定し、所有者の承認を得て発行されるのが「ドメイン認証」、認証局がウェブサイトの運営組織・団体の実在性を確認した上で発行されるのが「企業認証（企業の実在性証明）」、企業認証に加えて更に厳格に認証を行うのが「EV 認証（Extended Validation 認証）」です。
White Paper : SSL サーバ証明書と認証局の選び方
7
表 1. 認証レベルの違い
ドメイン認証 企業認証 EV認証
実在性証明
企業の法的所在地実在性確認 ○
企業の法的実在性確認 ○ ○
ドメイン登録名義確認 ○ ○ ○
暗号化 ○ ○ ○
前述したようにインターネットでは取引する相手を確認することは困難です。ウェブフォームから送信する情報を暗号保護したとしてもその送信先の相手が意図する送信先とは異なる場合、暗号保護は意味を成しません。
ドメイン認証の SSL サーバ証明書は、認証方法が手軽である反面、ドメイン名の所有者が必ずしもドメイン名と密接に関連する事業者であるということはなく、異なる事業者によって所有・登録されている場合もあります。
SSL サーバ証明書は、いわゆる実社会における運転免許証やパスポートと同じ「身分証明書」です。もし、企業サイト、製品サイトなど不特定多数の消費者と通信を行うウェブサイトに SSL サーバ証明書を利用する場合は、ドメイン名の所有者に加えてウェブサイトの運営団体まで認証されている企業認証以上の SSL サーバ証明書を選択することが好ましいでしょう。
企業認証や EV SSL 証明書の場合、SSL サーバ証明書内に運営団体の企業名が表示されるため、利用者はそのウェブサイトがどの事業者によって運営されているかが分かるようになっています。暗号保護に加えて情報送信先の事業者を確認できるようになることで、ようやく安全な情報送信が行えるようになります。
EV SSL 証明書では、企業の法的実在性に加えて、事業所在地や企業内で正しい手続き・権限付与を経て SSL サーバ証明書が申請されていることなども認証項目に含んでいます。
認証レベルによって異なりますが SSL サーバ証明書には有効期間が設定されています。これは定期的に更新されることで SSL サーバ証明書の効力を有効にするためです。
CA ブラウザフォーラムのガイドラインに準拠した SSL サーバ証明書では有効期間は最大 60ヶ月間と規定されています。有効期間が長い SSL サーバ証明書をインストールすれば、SSL サーバ証明書の入替はその 60ヶ月後となり作業工数を減らすことができ、SSL サーバ証明書も割引価格で購入できるケースがあります。（別途、認証は必要です。）一方、キャンペーンサイト等短期間しか運用しないウェブサイトには、より有効期間が短い SSL サーバ証明書（シマンテック SSL サーバ証明書では、最短 90 日間から）を選びコストを削減することができます。利用シーンに応じて、SSL サーバ証明書の有効期間を正しく選択しましょう。
White Paper : SSL サーバ証明書と認証局の選び方
8
3.2 証明内容の確認方法企業認証の SSL サーバ証明書や EV SSL 証明書を導入すると、SSL サーバ証明書内に企業名など、運営団体名が表示されます。ウェブサイトで SSL 暗号化されたページにアクセスすると、ブラウザに南京錠アイコンが表示されます。このアイコンをクリックするとSSL サーバ証明書の中身が確認できます。EV SSL 証明書の場合は南京錠アイコンをクリックしなくてもアドレスバーなどに運営団体名が分かりやすく表示されます。
認証局の名前とドメイン名
組織名（ドメイン認証の場合は組織名はない）
ドメイン認証の場合 企業認証の場合
図 2： SSL サーバ証明書の中身
White Paper : SSL サーバ証明書と認証局の選び方
9
また多くの認証局では SSL サーバ証明書のオプションとして、サイトに貼りつけるセキュリティシールを提供しています。一般的なセキュリティシールはクリックが可能となっています。クリックし、表示される検証ページで、SSL サーバ証明書の中身と同じ情報を確認することができます。
図 3： ノートン TM セキュアドシールをクリックすると検証ページを表示
4. 認証局の認知がもたらす影響
SSL サーバ証明書の情報やセキュリティシールによってサイト運営者を確認できるようになりますが、信頼感・安心感を持ってもらうためには認証局が社会的に認知されているかどうかという点も重要です。証明書発行主体の知名度と信頼感はSSLサーバ証明書に対する信頼感、ひいては認証されたウェブサイトの信頼性にも反映されるからです。
実社会ではお店のレイアウトや雰囲気、接客の態度などから信頼できるかどうかを判断しています。一方、非対面のコミュニケーションとなるインターネットにおいては、そのウェブサイトが信頼できるかどうかを判断するための材料が制限されてしまいます。そのため、消費者はウェブサイト上の様々な情報を基に、ウェブサイトの信頼性を判断します。
消費者に行った調査結果によると、消費者はサイト訪問時に、プライバシーポリシーや会社ロゴマークよりも緑のアドレスバーや会社証明書シールを見て安全を確認しているという結果が出ています。
①緑のアドレスバー 28.4％
⑤プライバシー ポリシー 8.3％
②会社のロゴ 20.2％
④証明書シール 34.4％
③Pマーク 8.7％
（n=1030）図 4 ウェブサイトの安全性を確認する方法（自社調べ。2010 年 12 月）
White Paper : SSL サーバ証明書と認証局の選び方
10
4.1 認証済みマークの認知度ウェブサイトの信頼性を判断する方法の 1 つに、認証済みマークを確認するということがあります。クリックすると認証結果が確認できます。ところがウェブサイトにマークを掲載したとしても、それを見る人がマークを認知していなければマークを掲載しても効果が限られます。例えばノートンセキュアドシールは 78% の消費者に認知されているマークですが、その他のマークの認知度には約 4 倍以上の差があります。
0%
10%
20%
30%
40%
50%
60%
70%
80%
90%
100%
シマンテック A社 B社 C社
問：次の中で「SSLサーバ証明書」を発行している企業・サービス名の中で、あなたがご存じのものをお答えください。 ※助成想起をさせるため、マークを表示。「企業システムとセキュリティについての調査」2012年5月：株式会社ボーダーズ調べ
また下図は、最も信頼できるマークを選択した際の結果です。消費者はこのマークを、「自分がインターネットを使い始めたときからよく見る」、
「複数のサイトに掲載されている」、「掲載している企業を信頼している」などの理由で信用していると答えています。
0%
10%
20%
30%
40%
50%
60%
70%
80%
90%
100%
シマンテック A社 B社 C社
問：前問で答えた「SSLサーバ証明書」を発行している企業・サービス名の中で、もっとも信頼出来るものをお答えください。 ※助成想起をさせるため、マークを表示。「企業システムとセキュリティについての調査」2012年5月：株式会社ボーダーズ調べ
White Paper : SSL サーバ証明書と認証局の選び方
11
4.2 信頼感が高まることによる効果第三者によってウェブサイトの運営主体を確認できて、安心感を抱いてもらうことはオンラインビジネスを行う主体にとってマーケティング上のメリットとなります。例えば申し込みやお問い合わせフォームの利用者が増えるといった効果が見られることがあります。
マーケティングサービスを提供している株式会社イノベーションでは、EV SSL 証明書とノートンセキュアドシールの表示により、資料請求のコンバージョン率が 86% 向上しました。
まとめ
1. SSL通信の安全性を守るには堅牢な設備と厳格な運用を行う認証局を選ぶ2. ウェブサイトの信頼性を確保するには、ウェブサイトを運営する組織・団体の実在性が認証されたSSLサーバ証明書が必要3. ウェブサイトの安全性を伝えるためには、消費者に認知された認証局を選ぶ
堅牢な設備と厳格な運用を行う認証局を選ぶことは、SSL 通信の安全性を守るための基本となります。また用途に合わせて SSL サーバ証明書の種類も選択する必要があります。SSL サーバ証明書にウェブサイト運営組織の情報を表示するには企業の実在性を認証する SSLサーバ証明書が必要です。加えて、その安全性をウェブサイト訪問者に伝えて安心してサイトを利用してもらうためには、認証局が一般消費者に認知され、信頼されていることが大きな意味をなします。
シマンテックは商用証明書を取り扱う認証局として、サービスの基本となるインフラに継続的に投資し、厳格な認証業務を実施しウェブ サイトの通信の安全を守ってきました。これまで多くのサイトの運営者の実在性を認証し、現在では 165ヶ国 100,000 のウェブサイトにノートンセキュアドシールが掲載されています。その表示回数は 1 日あたり6.5 億回にもなります。
日本国内においても創業当初より業界を牽引しており、特に高い情報セキュリティ水準が求められる銀行業界においては、全国銀行 123行すべてに SSL サーバ証明書を提供しています。日本における業界シェアは 62.3％※ 4。この高い浸透率が、幅広い消費者に認知される認証局として評価される一因となっています。
※ 4： ミック経済研究所『個人認証・アクセス管理型セキュリティソリューション市場の現状と将来展望 2011 年』
White Paper : SSL サーバ証明書と認証局の選び方
12
別紙 代表的な認証局の認証局運用規定（CPS）の違い※ 5
文書フォーマット (RFC-3647)
シマンテック A 社 B 社 C 社
準拠 準拠 準拠 特に明記なし
1. はじめに (4.1)
本文書（CPS）の概要について記載します。当該文書の適用範囲、利用用途、文言等の定義、文書の執筆や登録、改定等文書管理の責任を行う組織の連絡先等が含まれます。
2. 発行とリポジトリ(4.2)
リポジトリ（認証局に関する情報を公開するサイト）の運用責任者情報、公表する内容や公表の頻度、レポジトリへのアクセスコントロール等を説明します。
3.確認と認証(4.3) 証明書を発行するに先立って申請する個人もしくは組織が本人であることの身元確認の手続きについて記載します。初回申請時、鍵（証明書）更新時、再発行時（鍵を一旦失効して再度発行する）、失効時の申請手続きに関する記述が含まれます。
4. 証明書のライフサイクル運用的要件 (4.4)
証明書のライフサイクルに関して各 CA、RA、証明書利用者に対する要件をまとめています。証明書の申請、申請の処理、発行、証明書の受領、証明書の利用方法、証明書の更新、証明書鍵の再生成、証明書の変更、証明書の失効等運用要件が含まれます。
5. マネージメントコントロール、運用コントロールおよび物理的コントロール(4.5)
CA が鍵を生成する際、サブジェクトの認証、証明書発行、失効、監査、保管を安全に行うために CA が実施する技術的ではないセキュリティ制御について記述しています。 これらのセキュリティコントロールは証明書の信頼性を維持するために、最も重要な項目です。
物理的セキュリティコ ントロ ール（4.5.1)
立地場所、および構造に関する説明
記載あり 記載あり 記載あり 記載あり
物理的アクセス制御の実装
講ずる・ 最低 4 階層の物理セキュリティにより保護されており、上位階層へ移動する際には、必ず下位階層を必ずアクセスが要求される
・ 各階層へのアクセスは近接型の入退室カードが必要
・ 階層によって生体認証を含む二要素認証が必須
・ 訪問者や信頼されていない従業員等は付添が必須
・ 認証、証明書の発行を含む証明書のライフサイクルに関するすべての業務は高度物理セキュリティ内で行われる
講ずる・ 業務の重要度に応じた セ キュリティレベルを設置
・ 入退室カード、または生体認証その他技術的手段を用いる
講ずる 講ずる
・ CSU の保管、鍵管理等重要資料へのアクセスは、デュアルコントロールと、生体認証を含む二要素認証が必須
・ 重要資産が保護される保管庫へのアクセスは権限を有する複数名が揃わなければならない
・ 認証局資産は他の組織の構成と共用しない
不明
電源及び空調設備 講ずる 講ずる 講ずる 講ずる
水害対策 講ずる 講ずる 講ずる 講ずる
火災予防 講ずる 講ずる 講ずる 講ずる
メディアの保管場所に関するコントロール
アクセス制限あり。（物理的・論理的）シマンテック施設内、もしくはそれ以外の安全な保管施設で保管
アクセス制限あり アクセス制限あり 不明
廃棄物処理 手順を定める 手順を定める 一般的許容される方法にて機密解除もしくは破壊される
無
オフサイトバックアップ 有 有 有 有
手続的コント ロ ー ル（4.5.2)
役割の区分 有 有 有 不明
各役割に基づく要件の設定
有 有 有 不明
職務毎に必要とされる人数設定
業務毎に管理手続きに必要とされる人数を定め、業務毎に実施する
定める 定める 不明
職務の分離 有 有 有 有
※ 5： 2012 年 6 月時点で各認証局が公開する運用規定（CPS）を参考に、企業認証のサーバ証明書の運用に着目してシマンテックが独自に調査しています。文書のフレームワークの違いや、表記上単純比較できない分に関しては簡素化して記載しています。上記の内容には独自の解釈もふくまれるため、実際の相違に関しては必ず各認証局の最新版 CPS を参照の上ご判断ください。
White Paper : SSL サーバ証明書と認証局の選び方
13
要員的セキュリティコントロール(4.5.3)
経歴、資格、経験等の審査
有 有 有 有
身元調査 有 有 有 有
トレーニング 有 有 有 有
人事異動、配置転換 適用しない 必要に応じて有 有 不明
処罰 有 （解雇含む）懲戒処分含む
有 社内の規定に準ずる
有 適切な処罰を課す
不明
契約社員等に対する要件
有 従業員同等の規定を遵守
有 CPS、社内規定を遵守
有 正規従業員同等の処理、手続き、審査、セキュリティコントロール、トレーニングに従う
不明
危殆化及び災害からの復旧(4.5.7）
対応プラン （システム障害時）
有 有 有 有
対応プラン （認証局秘密鍵危殆化時）
有 無 加入者証明書の秘密鍵危殆化に関する記述のみ
有 有
対応プラン（災害時） 事業継続能力
有・ 災害後24時間以内に、証
明書の発行、失効、失効情報の開示を含む重要な部分の運用を回復
・ バックアップサイトは、米国では主要施設から1000miles以上、日本では800km以上離れた場所に設置
・ 本番環境用のデータベースと定期的に同期をとり、物理的セキュリティ保護および運用コントロールが実施されている
・ 定期的にテストしている
有 ・ 別途業務継続計
画を定める
・ バックアップサイトは主要施設から離れた遠隔地に設置。
・ 認証局の秘密鍵、およびシステムの復旧上重要な資産の原本、またはコピーを保管している
有・ 事業継続計画を
構築する・ リスク分析を行
う。また災害復旧計画を元にセキュリティ要件、オペレーション手続きを決定する
有・ （英国内に）運用サイトを2か所に設置
復旧までの時間 災害後、米国本社の主要施設は1週間以内、日本は10日以内に商業運用が再開されるように設計されている
業務継続計画に、被災状況の調査に基づいて復旧目標を定める
証明書状態情報システムを24時間、365日利用可能状態に保持
・ 可能な限り早急に再構築する
CPS上には記載なし
6. 技術的セキュリティコントロール (4.6)
CA局の暗号鍵と活性化データほ保護するセキュリティ対策について定義します。技術的に安全が保障された鍵管理を行うことは、認可された者だけによって利用されることを保証し、CAが悪用されないことを確保するために極めて重要な項目です。
鍵ペアの生成と導入(4.6.1)
鍵生成時のモジュール（HSM)
FIPS140-1 レベル3以上 FIPS140-1 レベル4
FIPS140-2 レベル3以上
FIPS140-1 レベル4
加入者秘密鍵の保有、配送
対応しない 対応しない 対応する 対応しない
秘密鍵の保護、および秘密鍵を保護するための暗号モジュールの管理 (4.6.2)
秘密鍵保管時の モジュール
FIPS140-1 レベル3以上 FIPS140-1 レベル4
FIPS140-2 レベル3以上
FIPS140-1 レベル4
・ 業務提携をする秘密鍵に関しては、提携先CAが管理する
複数人による管理 ・シークレットシェアリング ・3名の関与が必要
・ 常時複数名により管理
・ 複数名により行う 規定している
秘密鍵の第三者への預託 しない しない しない 不明
秘密鍵のバックアップ 有 有・ 暗号化し複数に
分割して保管。
有・ 複数名の管理下
で行う。
不明
White Paper : SSL サーバ証明書と認証局の選び方
14
合同会社シマンテック・ウェブサイトセキュリティhttps://www.jp.websecurity.symantec.com/〒104-0028 東京都港区赤坂1-11-44赤坂インターシティTel:0120-707-637E-mail:[email protected]
Copyright ©2014 Symantec Corporation. All rights reserved.シマンテック（Symantec）、ノートン（Norton）、およびチェックマークロゴ（the Checkmark Logo）は米国シマンテック・コーポレーション（Symantec Corporation）またはその関連会社の米国またはその他の国における登録商標、または、商標です。その他の名称もそれぞれの所有者による商標である可能性があります。製品の仕様と価格は、都合により予告なしに変更することがあります。本カタログの記載内容は、2014年4月現在のものです。
秘密鍵を活性化するために必要なデータの保護
（4.6.4)
講ずる・ 生成、インストレーション、
保護、データの転送、データの破棄手続きを含む
講ずる・ 生成、インストレ
ーション、保護、および管理について記載有
講ずる 不明
コンピュータセキュリティ コントロール (4.6.5)
講ずる・ プロセッシングセンタ
のソフトウェアはISO/IEC15408-3:1999に準拠
講ずる・ H/W, S/Wは
導入前に事前評価する
講ずる 不明
ライフサイクルにわたるセキュリティコントロール(4.6.6)
講ずる・ システムのアップデート時
にハッシュを生成、ソフトウェアの完全性を証明する
講ずる 講ずる 不明
ネットワークセキュリティコントロール(4.6.7)
講ずる 講ずる 講ずる 不明
7. 証明書、CRL および OCSP のプロファイル（4.7)
証明書のプロファイルおよびCRLを利用する場合のCRLフォーマットを規定します。
8. 準拠性監査（4.8）
CAが受ける監査およびについて記載します。
9. 他の案件と法的事項（4.9）
一般的に求められる業務事項と法的事項にいて記載されます。証明書料金や、税務的に責任、プライバシー、知的財産権、免責事項に関する要件が含まれます。
補償制度 ドメイン認証 － － 最大3750万円 0米ドル
企業認証 100,000米ドル～250,000米ドル
10,000,000円 最大3750万円 10,000米ドル
EV認証 100,000米ドル～250,000米ドル
最大10,000,000円
最大3750万円 250,000米ドル
