1.はじめに
1.1概要企業認証証明書ポリシー（以下「本CP」という）は、セコムトラストシステムズ株式会社（以下「当社」という）が運用するSC Organization Validation CA（以下「本CA」という）が発行する証明書の利用目的、適用範囲、利用者手続を示し、証明書に関するポリシーを規定するものである。本CAの運用維持に関する諸手続については、セコム電子認証基盤認証運用規程（以下「CPS」という）に規定する。本CAは、Security Communication RootCA2またはSecurity Communication ECC RootCA1より、片方向相互認証証明書の発行を受けている。本 CA が発行する証明書は、サーバー認証や、通信経路で情報の暗号化を行うことに利用する。証明書の有効期間は、証明書を有効とする日から起算して398日以内とする。本CAから証明書の発行を受ける者は、証明書の発行を受ける前に自己の利用目的と本CPおよびCPSとを照らし合わせて評価し、承諾する必要がある。本CAは、https://www.cabforum.org/で公開されるCA/ Browser ForumのBaseline Requirements（以下「BR」という）に準拠する。本CAは、認証業務の一部をBRに準拠した外部の事業者に委託する場合があり（以下「外部委託先」という）、二社間の契約についてはPB-SSL/TLS証明書発行サービス約款（以下「当約款」という）に定めるものとする。なお、本CPの内容が当約款、CPSの内容に抵触する場合は、当約款、本CP、CPSの順に優先して適用されるものとする。また、当社と契約関係を持つ組織団体等との間で、別途契約書等が存在する場合、当約款、本CP、CPSより契約書等の文書が優先される。本CPは、本CAに関する技術面、運用面の発展や改良に伴い、それらを反映するために必要に応じ改訂されるものとする。本CPは、IETFが認証局運用のフレームワークとして提唱するRFC3647「Internet X.509 Public Key Infrastructure Certificate Policy and Certification Practices Framework」に準拠している。 1.2文書名と識別本CPの正式名称は、「企業認証証明書ポリシー」という。本CPは、表「1.2-1 OID（本CP)」に示すOIDにより識別される。表1.2-1 OID（本CP） © 2018 SECOM Trust Systems Co.,Ltd.
本CPに関連するCPSのOIDを表「1.2-2 OID（CPS）」に示す。

1.3 PKIの関係者
1.3.1 CA
CAは、証明書の発行、失効、CRL（Certificate Revocation List：証明書失効リスト）の開示、OCSP（Online Certificate Status Protocol）サーバーによる証明書ステータス情報の提供などを行う。電子認証基盤の上で運用されるCAの運営主体は当社である。
1.3.2 RA
RAは証明書発行に必要な情報の登録、CAに対する証明書発行要求等を行う主体のことをいう。証明書申請を受け、内容の審査、証明書の発行、失効を申請する証明書利用者の実在性確認および証明書発行、失効するための登録業務等を行い、また、証明書発行の承認または却下、証明書の失効要求を受けた場合は承認を行う。外部委託先は本CPの「3.2.7 ドメインの認証」を除く業務を行うことができる。
1.3.3証明書利用者
証明書利用者とは、本CAより証明書の発行を受け、発行された証明書を利用する個人、法人、その他の組織とする。 1.3.4検証者検証者とは、証明書利用者の身元と公開鍵の有効性を検証する個人、法人その他の組織をいう。また、かかる公開鍵を使って証明書利用者が所有するWebサーバーとの間で暗号化通信を行う目的で、CP、CPSを信頼し利用する個人、法人その他の組織をいう。 1.3.5他の関係者他の関係者とは、監査人や、当社との間でサービス契約等が存在する企業や組織、そのシステムインテグレーションを行う業者などが含まれる。 1.4証明書の用途1.4.1適切な証明書の用途本CAが発行する証明書は、サーバー認証や通信経路でデータの暗号化を行うことに利用することができる。 1.4.2禁止される証明書の用途本CAが発行する証明書は、サーバー認証や通信経路でデータの暗号化を行うこと以外に証明書を利用してはならない。 1.5ポリシー管理1.5.1文書を管理する組織本CPの維持・管理は当社が行う。 1.5.2連絡先本CPに関する連絡先は次のとおりである。窓口：セコムトラストシステムズ株式会社CAサポートセンター住所 ： 〒181-8528  東京都三鷹市下連雀8-10-16電子メールアドレス： ca-support@secom.co.jp 1.5.3ポリシー適合性を決定する者本CPの内容については、認証サービス改善委員会（以下「本委員会」という）が適合性を決定する。 1.5.4承認手続本CPは、本CAの本委員会の承認によって発効する。 © 2018 SECOM Trust Systems Co.,Ltd. 1.6定義と略語あ～ん
アーカイブ
法的またはその他の事由により、履歴の保存を目的に取得する情報のことをいう。エスクロー第三者に預けること（寄託）をいう。鍵ペア公開鍵暗号方式において、秘密鍵と公開鍵から構成される鍵の対のことをいう。監査ログ認証局システムへのアクセスや不正操作の有無を検査するために記録される認証局システムの動作履歴やアクセス履歴等をいう。
公開鍵
公開鍵暗号方式において用いられる鍵ペアの一方をいい、秘密鍵に対応し、通信相手の相手方に公開される鍵のことをいう。認証ドメイン名：ADN（Authorization Domain Name）特定のFQDNに対して、証明書発行のための認証を取得するために使用されるドメイン名
秘密鍵
公開鍵暗号方式において用いられる鍵ペアの一方をいい、公開鍵に対応する本人のみが保有する鍵のことをいう。「私有鍵」ともいう。
タイムスタンプ
電子ファイルの作成日時やシステムが処理を実行した日時等を記録したデータのことをいう。
電子証明書
ある公開鍵を、記載された者が保有することを証明する電子データのことをいう。CA が電子署名を施すことで、その正当性が保証される。 © 2018 SECOM Trust Systems Co.,Ltd.
リポジトリー
CA証明書およびCRL等を格納し公表するデータベースのことをいう。
A～Z
Baseline Requirements CA/Browser Forumが証明書の発行・管理に関する基本要件を定めた文書のことをいう。
CA（Certification Authority）：認証局
証明書を発行する認証局であり、証明書の発行・更新・失効、CA秘密鍵の生成・保護および証明書利用者の登録等を行う主体のことをいう。本CPでは発行局（IA:Issuing Authority）も含まれる。
CAA (Certificate Authority Authorization)
ドメインを使用する権限において、DNSレコードの中にドメインに対して証明書を発行できる認証局情報を記述し、意図しない認証局からの証明書誤発行を防ぐ機能をいう。
CA/Browser Forum
認証局とインターネット・プラウザベンダによって組織され、証明書の要件を定義し、標準化する活動をしている非営利団体組織である。
CP  (Certificate Policy)
CAが発行する証明書の種類、用途、申込手続等、証明書に関する事項を規定する文書のことをいう。
CPS  (Certification Practices Statement)：認証運用規程
CAを運用する上での諸手続、セキュリティ基準等、CAの運用を規定する文書のことをいう。
CRL（Certificate Revocation List）:証明書失効リスト
証明書の有効期間中に、証明書記載内容の変更、秘密鍵の紛失等の事由により失効された証明書情報が記載されたリストのことをいう。
CT  (Certificate Transparency)
RFC 6962で規定され、発行された証明書の情報を監視・監査するためにログサーバーに証明書の情報を登録し、公開する仕組みのことをいう。
FIPS140-2
米国NIST（National Institute of Standards and Technology）が策定した暗号モジュールに関するセキュリティ認定基準のこという。最低レベル１から最高レベル４まで定義されている。
INAN(Internet Assigned Numbers Authority)
IPアドレスやポート番号など、インターネットに関連する情報をグローバルに管理している団体のことをいう。
OID  (Object Identifier) :オブジェクト識別子
ネットワークの相互接続性やサービス等の一意性を維持管理するための枠組みであり、国際的な登録機関に登録された、世界中のネットワーク間で一意となる数字のことをいう。 OCSP（Online Certificate Status Protocol）証明書のステータス情報をリアルタイムに提供するプロトコルのことをいう。 PKI（Public Key Infrastructure）：公開鍵基盤電子署名、暗号化、認証といったセキュリティ技術を実現するための、公開鍵暗号方式という暗号技術を用いる基盤のことをいう。
RA（登録局） (Registration Authority) : 登録機関
CAの業務のうち、申込情報の審査、証明書発行に必要な情報の登録、CAに対する証明書発行要求、リポジトリーの維持・管理等を行う主体のことをいう。
RFC3647  (Request For Comments 3647)_
インターネットに関する技術の標準を定める団体であるIETF (The Internet Engineering Task  Force）が発行する文書であり、CP/CPSのフレームワークを規定した文書のことをいう。
RSA
公開鍵暗号方式として普及している最も標準的な暗号技術のひとつである。
SHA-1  (Secure Hash Algorithm 1)
電子署名に使われるハッシュ関数（要約関数）のひとつである。ハッシュ関数とは、与えられた原文から固定長のビット列を生成する演算手法をいう。ビット長は160ビット。データの送信側と受信側でハッシュ値を比較することで、通信途中で原文が改ざんされて© 2018 SECOM Trust Systems Co.,Ltd.いないかを検出することができる。
SHA-256  (Secure Hash Algorithm 256)_
電子署名に使われるハッシュ関数（要約関数）のひとつである。ビット長は256ビット。データの送信側と受信側でハッシュ値を比較することで、通信途中で原文が改ざんされていないかを検出することができる。
WebTrust for CA
米国公認会計士協会（AICPA）とカナダ勅許会計士協会（CICA）によって、認証局の信頼性、および、電子商取引の安全性等に関する内部統制について策定された基準およびその基準に対する認定制度である。
WebTrust for Baseline Requirements
米国公認会計士協会（AICPA）とカナダ勅許会計士協会（CICA）によって、認証局がSSL証明書を発行するにあたっての審査、証明書に関する規定について策定された監査基準である。
WHOIS
IPアドレスやドメイン名の登録者などに関する情報を、インターネット上で参照できるサービスのことをいう。
X.500
ネットワーク上での分散ディレクトリサービスに関する、コンピュータネットワーク標準規格のシリーズのことをいう。
2.公開とリポジトリーの責任
2.1リポジトリー
本CAは、証明書利用者および検証者がCRL情報を24時間365日利用できるようリポジトリーを維持管理する。ただし、保守等により、一時的にリポジトリーおよびOCSPを利用できない場合もある。 2.2証明情報の公開本CAは、本CPおよびCPSをリポジトリー上に公開し、証明書利用者および検証者がオンラインによって参照できるようにする。
2.3公開の時期または頻度
本CPおよびCPSは、変更の都度、リポジトリーに公開される。CRLは、本CPに従って処理された失効情報を含み、発行の都度、リポジトリーに公開される。
2.4リポジトリーへのアクセス管理
証明書利用者および検証者は、随時、リポジトリーを参照できる。リポジトリーへのアクセスに用いるプロトコルは、HTTP（HyperText Transfer Protocol）、HTTPS（HTTP）にSSL/TLSによるデータの暗号化機能を付加したプロトコル）とする。リポジトリーの情報は一般的なWebインターフェースを通じてアクセス可能である。
3.識別と認証
3.1名前決定
3.1.1名前の種類
証明書に記載される証明書発行者である本CAの名前と発行対象である証明書利用者の名前は、X.500の識別名（DN：Distinguished Name） 形式に従い設定する。本CA が発行する証明書には下記の情報を含むものとする。 1.  「国名」(C)はJPとする。 2. 「組織名」(O)とは、法人、会社、またはその他の法人からなる組織および個人の名称とする。 3.  「組織単位名」（OU）は、任意選択の記入欄とする。OUの欄は、組織内のさまざまな部門等（例えば、人事、マーケティング、開発の各部門）を区別するために使用する。 4.    「コモンネーム」(CN)は本CAが発行する証明書をインストールする予定のWebサーバーにおいて使用するホスト名とする。
3.1.2名前が意味を持つことの必要性
本CA が発行する証明書に用いられるコモンネームの有用性は、証明書利用者が本CAが発行する証明書をインストールする予定のWebサーバーのDNS内で使われるホスト名とする。 3.1.3証明書利用者の匿名性または仮名性本CAが発行する証明書の組織名およびコモンネームには、匿名や仮名での登録は行わない。 3.1.4様々な名前形式を解釈するための規則様々な名前の形式を解釈する規則は、X.500シリーズの識別名規定に従う。 3.1.5名前の一意性本CAが発行する証明書に記載される識別名(DN)の属性は、発行対象となるWebサーバーに対して一意なものとする。
3.1.6認識、認証および商標の役割
本CAは、証明書申請に記載される名称について、知的財産権を有しているかどうかの検証を行わない。証明書利用者は、第三者の登録商標や関連する名称を、本CAに申請して© 2018 SECOM Trust Systems Co.,Ltd.はならない。本CAは、登録商標等を理由に証明書利用者と第三者間で紛争が起こった場合、仲裁や紛争解決は行わない。また、紛争を理由に証明書利用者からの証明書申請の拒絶や発行された証明書失効をする権利を有する。
3.2初回の本人確認
3.2.1秘密鍵の所持を証明する方法
証明書利用者が秘密鍵を所有していることの証明は、次の方法で行う。証明書発行要求（Certificate Signing Request：以下、「CSR」という）の署名の検証を行い、当該CSRが、公開鍵に対応する秘密鍵で署名されていることを確認する。
3.2.2組織の認証
本CAは、国や地方公共団体が発行する公的書類、国や地方公共団体のWebページもしくはそのデータベース、または本CAが信頼する第三者による調査もしくはそのデータベースを用いて組織の実在性確認を行う。
3.2.3個人の認証
本CAは、国や地方公共団体が発行する公的書類、または本CAが信頼する第三者による調査もしくはそのデータベースを用いて、証明書の申込を行う者が証明書利用者もしくはその代理人であることについて、本人性の確認および申込の意思確認を行う。
3.2.4検証されない証明書利用者の情報
当社は、証明書の識別名に含まれる証明書利用者の商号や名称、所在地などBRで定められた情報を検証する。なお、サービスの提供上、請求先情報などの事務手続きに必要な情報の提供を求めることがある。
3.2.5権限の正当性確認
本CAは、証明書に関する申請を行う者が、その申請を行うための正当な権限を有していることを本CP「3.2.2.組織の認証」または「3.2.3.個人の認証」によって確認する。
3.2.6相互運用の基準
本CAは、Security Communication RootCA2またはSecurity Communication ECC RootCA1より、片方向相互認証証明書を発行されている。
3.2.7ドメインの認証
本CAは、証明書利用者がドメイン名の使用権を有しているか確認するため、BRに準拠し© 2018 SECOM Trust Systems Co.,Ltd.た次の方法を使用してドメインの認証を行う。なお、本項で記載するランダム値は、本CAが生成する112ビット以上の乱数から成るものとし、その生成より30日間のレスポンス確認の使用に有効なものとする。 1. WHOISレジストリサービスに登録されたドメイン連絡先へ電子メール、ファックス、 SMS、または郵便にてランダム値を送信し、ランダムな値が含まれた確認応答を受け取ることによって、FQDNに対する申請者の権限を立証する。ランダム値は、ドメイン連絡先と認識される電子メールアドレス、ファックス番号、SMS番号、または住所宛に送付する。また、電子メール、ファックス、SMS、または郵便で、複数の認証ドメイン名の管理を確認することもできる。 (BRセクション3.2.2.4.2) 2.ローカル部は'admin'、 'administrator'、 'webmaster'、 'hostmaster'、または’ postmaster’とし、「�」以下は認証ドメイン名として作成した電子メールアドレスにランダム値を送信して、ランダムな値が含まれた確認応答を受け取ることによって、要求されたFQDNの制御を実証する。電子メールアドレスで使用する「�」以下の認証ドメイン名は、証明書発行対象となるFQDNに含まれるドメイン名とし、また、認証ドメインが同じであれば、電子メールで複数のFQDNを確認することもできる。(BRセクション3.2.2.4.4) 3.要求トークンまたはランダム値がファイルの内容に含まれていることを検証することにより、FQDNに対する申請者の制御を確認する。本CAは承認済みポートを介してアクセスし、「http（またはhttps）:// [証明書発行対象となるFQDN] /.well-known/pki-validation」ディレクトリの配下にランダム値が配置されていること、リクエストから正常なHTTPまたはHTTPS応答を受信することを確認する。(BRセクション3.2.2.4.18) 4.証明書発行対象となるFQDN、または認証ドメイン名（それぞれ先頭にアンダースコア文字で始まるラベルを接頭語に持つものも含まれる)のいずれかの、DNS CNAME、 TXTまたはCAAレコード内のどちらかに、ランダム値か申請トークンがあることを確認することで、FQDNに対する申請者の権限を立証する。(BRセクション3.2.2.4.7) 5.認証ドメイン名のDNS CAA レコードのEmail連絡先へ、電子メール経由でランダム値を送信し、ランダム値が含まれた確認応答を受け取ることによって、FQDNに対する申請者の権限を立証する。また、Email連絡先が同じであれば、電子メールで複数のFQDNを確認することもできる。 (BRセクション3.2.2.4.13) 6.認証ドメイン名のDNS TXTレコードのEmail連絡先へ、電子メール経由でランダム値を送信し、ランダム値が含まれた確認応答を受け取ることによって、FQDNに対する申請者の権限を立証する。また、Email連絡先が同じであれば、電子メールで複数のFQDNを確認することもできる。(BRセクション3.2.2.4.14) 7.ドメイン連絡先の電話番号へ電話し、認証ドメイン名の使用許可のレスポンスを得ることで、FQDNに対する申請者の権限を立証する。また、複数の認証ドメイン名においてドメイン連絡先の電話番号が同じ場合、各認証ドメイン名を提示して使用許可のレスポンスを得ることで、複数のFQDNに対して権限を立証することもできる。 (BRセクション3.2.2.4.15) 8.  DNS TXTレコードの電話連絡先の電話番号へ電話し、認証ドメイン名の使用許可のレスポンスを得ることで、FQDNに対する申請者の権限を立証する。また、複数の認証ドメイン名において電話連絡先の電話番号が同じ場合、各認証ドメイン名を提示して使用許可のレスポンスを得ることで、複数のFQDNに対して権限を立証することもできる。 (BRセクション3.2.2.4.16) 9. DNSCAAレコードの電話連絡先の電話番号へ電話し、認証ドメイン名の使用許可のレスポンスを得ることで、FQDNに対する申請者の権限を立証する。また、複数の認証ドメイン名において電話連絡先の電話番号が同じ場合、各FQDNを提示して使用許可のレスポンスを得ることで、複数のFQDNに対して権限を立証することもできる。(BRセクション3.2.2.4.17) 3.3鍵更新申請時の本人性確認と認証3.3.1通常の雛更新時における本人性確認と認証鍵更新時における証明書利用者の本人性確認および認証は、本 CP「3.2 初回の本人確認」と同様とする。 3.3.2証明書失効後の鍵更新時における本人性確認と認証失効した証明書の更新は行わない。証明書申請は新規扱いとし、証明書利用者の本人性確認および認証は、本CP「3.2 初回の本人性確認」と同様とする。 3.4失効申請時の本人性確認と認証本CAは、証明書利用者または申請者から所定の手続きにより失効申請を受け付けた後、 © 2018 SECOM Trust Systems Co.,Ltd. Certificate Policy Ver.1.16証明書利用者の本人性確認と認証を行う。 © 2018 SECOM Trust Systems Co.,Ltd. 4.証明書のライフサイクルに対する運用上の要件4.1証明書申請4.1.1証明書の申請を行うことができる者証明書の申請を行うことのできる者は、証明書を利用する個人、法人、その他の組織、および証明書利用者から委任された代理人（以下「申請者」という）とする。
4.1.2申請手続および責任
証明書利用者および申請者は、証明書の発行申請を行うにあたり、本CPおよびCPSの内容を承諾した上で申請を行うものとする。また、本CAに対する申請内容が正確な情報であることを保証しなければならない。 4.2証明書申請手続証明書利用者または申請者は、外部委託先が提供する証明書発行サービスをとおして証明昔の申請をする。
4.2.1本人性確認と認証の実施
本CAは、証明書申請を受け付けた後、本CP「3.2初回の本人確認」に基づく確認を行う。 4.2.2証明書申請の承認または却下本CAは、審査の結果、承認を行った申請について証明書の発行を行い、証明書利用者に審査終了および証明書発行について通知する。また、すべての項目の審査が正常に完了しない証明書の申請を却下できるものとするのとし、以下理由を含むものは却下とする。 ・以前に拒否された、または以前に契約の条項に違反していた申請者または証明書利用者の証明書。 ・内部のサーバー名または予約済みのIPアドレス本CAは外部委託先を通じ、申請者または証明書利用者に、不備の内容と書類再提出等の通知をするものとする。
4.2.3証明書申請の処理時間
本CAは、承認を行った証明書申請について、すみやかに証明書の発行を行う。
4.2.4 CAAレコードの確認
本CAは、申請情報の審査時にCAAレコードを確認する。CAAレコードに記載する本CAの© 2018 SECOM Trust Systems Co.,Ltd.ドメインは「secomtrust.net」とする。 4.3証明書の発行4.3.1証明書発行時の処理手続証明書申請の審査終了後に証明書発行を行い、証明書利用者だけがアクセス可能なホームページ、メール送付、または郵送にて証明書を証明書利用者に対して送付する。 4.3.2証明書利用者への証明書発行通知証明書利用者に対し、証明書利用者だけがアクセス可能なホームページ、メール送付、または郵送で証明書を送付することで発行通知とする。 4.4証明書の受領確認4.4.1証明書の受領確認手続証明書利用者が証明書をダウンロードしたことをもって、あるいは他の方法によって証明書利用者が送付された証明書をサーバーに導入した時点をもって、証明書が受領されたものとする。 4.4.2認証局による証明書の公開本CAは、証明書利用者の証明書の公開は行わない。 4.4.3他のエンティティに対する認証局の証明書発行通知本CAは、証明書申請時に登録された担当者以外への証明書発行通知は行わない。 4.5鍵ペアおよび証明書の用途4.5.1証明書利用者の秘密鍵および証明書の用途証明書利用者は、秘密鍵および証明書の用途として、サーバー認証や通信経路で情報の暗号化を行うことに利用する。証明書利用者は、本CAが承認をした用途のみに当該証明書および対応する秘密鍵を利用するものとする。その他の用途に利用してはならない。 4.5.2検証者の公開鍵および証明書の用途検証者は、本CPおよびCPSの内容について理解し、承諾したうえで、本CAの証明書を使用するものとする。検証者は本CAの証明書を使用して、証明書利用者の証明書を検証する事ができる。 © 2018 SECOM Trust Systems Co.,Ltd. 4.6証明書の更新本CAは、証明書利用者が証明書を更新する場合、新たな鍵ペアを生成すること推奨する。 4.6.1証明書の更新事由雛更新を伴わない証明書の更新は、証明書の有効期間が満了する場合に行う。 4.6.2証明書の更新申請を行うことができる者本CP「4.1.1.証明書の申請を行うことができる者」と同様とする。 4.6.3証明書の更新申請の処理手続本CP「4.3.1.証明書発行時の処理手続」と同様とする。 4.6.4証明書利用者に対する新しい証明書発行通知本CP「4.3.2.証明書利用者への証明書発行通知」と同様とする。 4.6.5更新された証明書の受領確認手続本CP「4.4.1.証明書の受領確認手続」と同様とする。 4.6.6認証局による更新された証明書の公開本CP「4.4.2.認証局による証明書の公開」と同様とする。 4.6.7他のエンティティに対する認証局の証明書発行通知本CP「4.4.3.他のエンティティに対する認証局の証明書発行通知」と同様とする。 4.7鍵更新を伴う証明書の更新4.7.1更新事由証明書の更新は、証明書の有効期間が満了する場合に行うことができる。失効した証明書または有効期限が切れた証明書は更新できない。 4.7.2新しい証明書の申請を行うことができる者本CP「4.1.1.証明書の申請を行うことができる者」と同様とする。 4.7.3更新申請の処理手続本CP「4.3.1.証明書発行時の処理手続」と同様とする。 © 2018 SECOM Trust Systems Co.,Ltd. 4.7.4証明書利用者に対する新しい証明書の通知本CP「4.3.2.証明書利用者への証明書発行通知」と同様とする。 4.7.5鍵更新された証明書の受領確認手続本CP「4.4.1.証明書の受領確認手続」と同様とする。 4.7.6認証局による鍵更新済みの証明書の公開本CP「4.4.2.認証局による証明書の公開」と同様とする。 4.7.7他のエンティティに対する認証局の証明書発行通知本CP「4.4.3.他のエンティティに対する認証局の証明書発行通知」と同様とする。 4.8証明書の変更本CAは、証明書に登録された情報の変更が必要となった場合、その証明書の失効および新規発行とする。 4.8.1証明書の変更事由規定しない。 4.8.2証明書の変更申請を行うことができる者本CP「4.1.1.証明書の申請を行うことができる者」と同様とする。 4.8.3変更申請の処理手続本CP「4.3.1.証明書発行時の処理手続」と同様とする。 4.8.4証明書利用者に対する新しい証明書発行通知本CP「4.3.2.証明書利用者への証明書発行通知」と同様とする。 4.8.5変更された証明書の受領確認手続本CP「4.4.1.証明書の受領確認手続」と同様とする。 4.8.6認証局による変更された証明書の公開本CP「4. 4. 2.認証局による証明書の公開」と同様とする。 4.8.7他のエンティティに対する認証局の証明書発行通知© 2018 SECOM Trust Systems Co.,Ltd.本CP「4.4.3.他のエンティティに対する認証局の証明書発行通知」と同様とする。 4.9証明書の失効と一時停止4.9.1証明書失効事由証明書利用者は、次の事由が発生した場合、本CAに対しすみやかに証明書の失効申請を行わなければならない。 ・　証明書記載情報に変更があった場合秘密鍵の盗難、紛失、漏洩、不正利用等により秘密鍵が危殆化したまたは危殆化のおそれがある場合証明書の内容、利用目的が正しくない場合証明書の利用を中止する場合また本CAは、次の事由が発生した場合に、本CAの判断により証明書利用者の証明書を失効することができる。 •本CP、CPS、関連する契約または法律に基づく義務を履行していない場合•本CAが、証明書利用者および本CAの秘密鍵が危殆化した、または危殆化のおそれがあると判断した場合本CAが、証明書に記載されている情報のいずれかに不適切な文字列や記号を使用、不正確または誤解を招く内容と判断した場合証明書がBR、本CPまたはCPSに準拠して発行されていないことを知りえた場合証明書利用者および本CAの秘密鍵が侵害され、アルゴリズムのタイプと基準要件の雛サイズの要件を遵守していないこと、あるいは証明書が他の方法で悪用されているという合理的な証拠を得た場合契約違反その他の事由により当社から証明書の発行拒否または失効を受けたことがあると判明した場合証明書のドメイン名またはIPアドレスの使用が、もはや法的に許可されていない合理的な証拠を得た場合（例えば、ドメイン名登録者と証明書利用者との間のライセンス契約またはサービス契約が終了した場合、またはドメイン名登録者がドメイン名の更新に失敗した場合など） •外部委託先と本CAとの二者間の契約の契約条項をもはや満たしていない場合本CAが失効を必要とすると判断するその他の状況が認められた場合なお、本CAは次の事象のうち１つ以上が発生した場合、24時間以内に失効処理を行うものとする。証明書利用者が書面で本CAに証明書の失効を要求した場合.証明書利用者が本CAに対し、元の証明書要求が承認されていなかったこと、および© 2018 SECOM Trust Systems Co.,Ltd.遡及的に承認を許可しないことを通知した場合本CAが、証明書利用者の証明書内の公開鍵に対応する秘密鍵が危殆化された証拠を得た場合本 CA が、証明書の公開鍵（Debian 弱鍵など。 https：//wiki.debian.org/SSLkeysを参照）に基づいて利用者の秘密鍵を簡単に計算できる、実証済みまたは証明された方法を認識した場合本CAが、証明書内におけるドメイン認証の承認、または完全修飾ドメイン名やIPアドレスの管理が信用できない証拠を得た場合また、本CAは次の事象のうち１つ以上が発生した場合、５日以内に失効処理を行うものとする。 •　証明書がBRのセクション6.1.5および6.1.6の要件に準拠しなくなった場合本CAが、証明書の不正使用の証拠を得た場合証明書利用者がサービス契約、または利用規約に基づく重大な義務の1つ以上に違反していることを本CAが知り得た場合•本CAが、証明書内における完全修飾ドメイン名またはIPアドレスの使用が、法的にもはや許可されていないことを示す状況を知り得た場合(たとえば、ドメイン名を使用するドメイン名登録者の権利が裁判所または裁定者によって失効となった、ドメイン名登録者と申請者との間の関連するライセンス契約またはサービス契約が解除された、ドメイン名登録者がドメイン名の更新を怠ったなど)証明書がBRまたは本CPやCPSに従って発行されなかったことを本CAが知り得て、失効が必要と判断した場合証明書に表示されている情報が不正確であると、本CAが判断または知り得た場合BRに基づいて証明書を発行するための本CAの権利が期限切れ、失効、または停止となった場合(本CAがCRL/OCSPリポジトリーの維持を継続するための手配を済ませている場合を除く）本CPやCPSにより、失効が必要とされた場合•本CAが、証明書利用者の秘密鍵を危殆化させる実証済みの方法、または秘密鍵の生成に使用された特定の方法に欠陥があるという明確な証拠があることを認識した場山また、本CAは次の事象のうち１つ以上が発生した場合、７日以内に失効処理を行うものとする。 •下位CAが書面で失効を要求した場合•下位CAが発行CAに対し、元の証明書要求が承認されていなかったこと、および遡及的に承認を許可しないことを通知した場合© 2018 SECOM Trust Systems Co.,Ltd.発行CAが、下位CAの証明書内の公開鍵に対応する秘密鍵が危殆化された、またはセクション6.1.5および6.1.6の要件に準拠しなくなった証拠を得た場合発行CAが、証明書の不正使用の証拠を得た場合証明書がBRまたは適用される証明書ポリシーや認証局運用規定に従って発行されなかったこと、または下位CAがBRまたは適用される証明書ポリシーや認証局運用規定に準拠していないことを、発行CAが知り得た場合証明書に表示されている情報が不正確または誤解を招く恐れがあると発行CAが判断した場合発行CAまたは下位CAが何らかの理由で運用を中止したが、証明書の失効サポートが別のCAによって提供されるように手配しなかった場合BRに基づいて証明書を発行するための発行CAまたは下位CAの権利が期限切れ、失効、または停止となった場合(発行CAがCRL/OCSPリポジトリーの維持を継続するための手配を済ませている場合を除く）発行CAの証明書ポリシーや認証局運用規定によって失効が必要になった場合また、以下のような場合では、商業的に合理的な期間内に失効処理を行う場合もある。 •利用者事由の証明書記載情報に変更に伴う証明書の失効•サービス終了やサイト閉鎖などの利用者事由による、証明書の利用中止に伴う証明書の失効利用者からの支払いの遅延や滞納に伴う証明書の失効•サーバーの入れ替えなどの利用者事由により証明書が再発行された場合の、元証明書の失効当社との契約終了に伴う、証明書の失効倒産や会社閉鎖に伴う証明書の失効4.9.2証明書の失効申請を行うことができる者証明書の失効申請を行うことができる者は、証明書利用者または申請者とする。なお、本CP/CPS「4.9.1 証明書失効事由」に該当すると本CAが判断した場合、本CAが申請者となる場合もある。
4.9.3失効申請手続
証明書利用者または申請者は、本CAまたは外部委託先が提供するアプリケーションなどを使用し、定める手続きを行うことにより本CAへ届け出るものとする。本CAは、所定の手続によって受け付けた情報を確認し、証明書の失効処理を行う。 4.9.4失効申請の猶予期間© 2018 SECOM Trust Systems Co.,Ltd.証明書利用者または申請者は、秘密鍵が危殆化したまたは危殆化のおそれがあると判断した場合には、すみやかに失効申請を行わなければならない。 4.9.5認証局が失効申請を処理しなければならない期間本CAは、有効な失効申請を受け付けてからすみやかに証明書の失効処理を行い、CRLへ当該証明書情報を反映させる。
4.9.6失効確認の要求
本CAが発行する証明書には、CRL格納先のURL、およびOCSPのURLを記載する。 CRLおよびOCSPは、一般的なWebインターフェースを用いてアクセスすることができる。なお、CRLには、有効期限の切れた証明書情報は含まれない。検証者は、証明書利用者の証明書について、有効性を確認しなければならない。証明書の有効性は、リポジトリーに掲載しているCRLまたはOCSPにより確認する。 4.9.7証明書失効リストの発行頻度CRL は、失効処理の有無にかかわらず、24時間ごとに更新を行う。証明書の失効処理が行われた場合は、その時点でCRLの更新を行う。 4.9.8証明書失効リストの発行最大遅延時間本CAが発行したCRLは、即時にリポジトリーに反映させる。 4.9.9オンラインでの失効/ステータス確認の適用性オンラインでの証明書ステータス情報は、OCSPを通じて提供される。証明書の失効ステータス情報は、失効処理の有無にかかわらず、24時間ごとに更新を行う。証明書の失効処理が行われた場合は、その時点で証明書ステータス情報を更新しOCSPを通じて提供される。 4.9.10オンラインでの失効/ステータス確認を行うための要件検証者は、証明書利用者の証明書について、有効性を確認しなければならない。リポジトリーに掲載しているCRLにより、証明書の失効登録の有無を確認しない場合には、OCSPにより提供される証明書ステータス情報の確認を行わなければならない。
4.9.11利用可能な失効情報の他の形式
本CAは、RFC4366に従い、ステープリングを利用してOCSPレスポンスを配布できる。この場合、本CAは証明書利用者がTLS処理に証明書のOCSPレスポンスを含めることを確実なものにする。本CAは、証明書利用者に対してこの要件を実施する場合、サービ© 2018 SECOM Trust Systems Co.,Ltd.ス利用規定または証明書利用者との契約書等、あるいは本CAによる技術確認およびサービス責任者の承認を経て対応するものとする。 4.9.12鍵の危殆化に対する特別要件検証者は、次の方法で鍵の危殆化を実証するものとする。 •秘密鍵自体の提出、または秘密鍵を含むデータと、データから秘密鍵を抽出する方法の提出•　危殆化されたと認識される識別名などのデータを含み、かつ署名の検証ができるCSRの提出•　公開鍵によって検証可能な、本CAが指定したチャレンジ・レスポンスと公開鍵への秘密鍵による署名の提出・侵害を検証できる脆弱性や、参照したセキュリティ・インシデント・ソースの提供本CAは、証明書利用者の秘密鍵が危殆化した可能性があることを知りえた場合、証明書利用者に秘密鍵が危殆化された可能性があることを通知する。なお本CAが、秘密鍵が危殆化した、または危殆化のおそれがあると判断した場合、本CP 「4.9.1証明書失効事由」の対応を行うものとする。 4.9.13証明書の一時停止事由本CAは、証明書の一時停止は行わない。 4.9.14証明書の一時停止申請を行うことができる者適用外とする。 4.9.15証明書の一時停止申請手続適用外とする。 4.9.16一時停止を継続することができる期間適用外とする。 4.10証明書のステータス確認サービス4.10.1運用上の特徴証明書利用者はOCSPを通じて証明書ステータス情報を確認することができる。 4.10.2サービスの利用可能性© 2018 SECOM Trust Systems Co.,Ltd.本CAは、24時間365日、証明書ステータス情報を確認できるようOCSPを管理する。ただし、保守等により、一時的にOCSPを利用できない場合もある。 4.10.3オプショナルな仕様規定しない。 4.11加入（登録）の終了証明書利用者は証明書の利用を終了する場合、証明書の失効申請を行わなければならない。なお、証明書の更新申請を行わず、該当する証明書の有効期間が満了した場合にも終了となる。 4.12キーエスクローと鍵回復4.12.1キーエスクローと鍵回復ポリシーおよび実施本CAは、証明書利用者の秘密鍵のエスクローは行わない。 4.12.2セッションキーのカプセル化と鍵回復のポリシーおよび実施適用外とする。 5.設備上、運営上、運用上の管理5.1物理的管理5.1.1立地場所および構造本項については、CPSに規定する。 5.1.2物理的アクセス本項については、CPSに規定する。 5.1.3電源および空調本項については、CPSに規定する。 5.1.4水害対策本項については、CPSに規定する。 5.1.5火災対策本項については、CPSに規定する。 5.1.6媒体保管本項については、CPSに規定する。 5.1.7廃棄処理本項については、CPSに規定する。 5.1.8オフサイトバックアップ本項については、CPSに規定する。 5.2手続的管理5.2.1信頼すべき役割本項については、CPSに規定する。 5.2.2職務ごとに必要とされる人数本項については、CPSに規定する。 © 2018 SECOM Trust Systems Co.,Ltd. 5.2.3個々の役割に対する本人性確認と認証本項については、CPSに規定する。 5.2.4職務分割が必要となる役割本項については、CPSに規定する。 5.3人事的管理5.3.1資格、経験および身分証明の要件本項については、CPSに規定する。 5.3.2背景調査本項については、CPSに規定する。 5.3.3教育要件本項については、CPSに規定する。 5.3.4再教育の頻度および要件本項については、CPSに規定する。 5.3.5仕事のローテーションの頻度および順序本項については、CPSに規定する。 5.3.6認められていない行動に対する制裁本項については、CPSに規定する。 5.3.7独立した契約者の要件本項については、CPSに規定する。 5.3.8要員へ提供される資料本項については、CPSに規定する。 5.4監査ログの手続5.4.1記録されるイベントの種類本項については、CPSに規定する。 © 2018 SECOM Trust Systems Co.,Ltd. 5.4.2監査ログを処理する頻度本項については、CPSに規定する。 5.4.3監査ログを保持する期間本項については、CPSに規定する。 5.4.4監査ログの保護本項については、CPSに規定する。 5.4.5監査ログのバックアップ手続本項については、CPSに規定する。 5.4.6監査ログの収集システム本項については、CPSに規定する。 5.4.7イベントを起こした者への通知本項については、CPSに規定する。 5.4.8脆弱性評価本項については、CPSに規定する。 5.5記録の保菅5.5.1アーカイブの種類本CAは、CPS「5.4.1.記録されるイベントの種類」の本CAに関連するシステムに係るログに加えて、次の情報をアーカイブとして保存する。 •発行した証明書およびCRL • CRLの発行に関する処理履歴CPS . • CPSに基づき作成された認証局の業務運用を規定する文書認証業務を他に委託する場合においては、委託契約に関する書類監査の実施結果に関する記録および監査報告書. • OCSPへのアクセスログ証明書利用者からの審査に関する提出書類. 5.5.2アーカイブ保存期間© 2018 SECOM Trust Systems Co.,Ltd.本CAは、アーカイブを最低7年間保存する。 5.5.3アーカイブの保護アーカイプは、許可された者しかアクセスできないよう制限された施設において保管する。
5.5.4アーカイブのバックアップ手続
証明書発行、取消またはCRLの発行等、本CAに関連するシステムに関する重要なデータに変更がある場合は、適時、アーカイブのバックアップを取得する。
5.5.5記録にタイムスタンプを付与する要件
本CAは、NTP（Network Time Protocol）を使用して本CAに関連するシステムの時刻同期を行い、本CAに関連するシステム内で記録される重要な情報に対しタイムスタンプを付与する。 5.5.6アーカイブ収集システムアーカイブの収集システムは、本CAに関連するシステムの機能に含まれている。
5.5.7アーカイブの検証手続
アーカイプは、セキュアな保管庫からアクセス権限者が入手し、定期的に媒体の保管状況の確認を行う。また必要に応じ、アーカイプの完全性および機密性の維持を目的として、新しい媒体への複製を行う。
5.6鍵の切り替え
本CAの鍵ペア更新または証明書更新は、原則として証明書利用者に発行した証明書の最大有効期間よりも短くなる前に実施する。新しい鍵ペアが生成された後は、新しい鍵ペアを使って証明書およびCRLの発行を行う。
5.7危殆化および災害からの復旧
5.7.1事故および危殆化時の手続本CAは、事故および危殆化が発生した場合に速やかに本CAに関連するシステムおよび関連する業務を復旧できるよう、以下を含む事故および危殆化に対する対応手続を策定する。 • CA秘密鍵の危殆化・ハードウェア、ソフトウェア、データ等の破損、故障•火災、地震等の災害© 2018 SECOM Trust Systems Co.,Ltd. 5.7.2ハードウェア、ソフトウェアまたはデータが破損した場合の手続本CAは、本CAに関連するシステムのハードウェア、ソフトウェアまたはデータが破損した場合、バックアップ用として保管しているハードウェア、ソフトウェアまたはデータを使用して、すみやかに本CAに関連するシステムの復旧作業を行う。
5.7.3秘密鍵が危殆化した場合の手続
本CAは、本CAの秘密鍵が危殆化したまたは危殆化のおそれがあると判断した場合、および災害等により本CAに関連するシステムの運用が中断、停止につながるような状況が発生した場合には、予め定められた計画、手順に従い、安全に運用を再開させる。
5.7.4災害後の事業継続性
本CAは、不測の事態が発生した場合に速やかに復旧作業を実施できるよう、あらかじめ本CAに関連するシステムの代替機の確保、復旧に備えたバックアップデータの確保、復旧手続の策定等、可能な限り速やかに認証基盤システムを復旧するための対策を行う。
5.8認証局または登録局の終了
本CAを終了する場合、3か月前に外部委託先を通じて証明書利用者その他の関係者にその旨を通知する。本CAによって発行されたすべての証明書は、本CAの終了以前に失効を行う。
6.技術的セキュリティ管理
6.1鍵ペアの生成およびインストール
6.1.1鍵ペアの生成
認証基盤システムでは、FIPS140-2レベル3準拠の暗号装置でCAの鍵ペアを生成する。雛ペアの生成作業は、複数名の権限者による操作によって行う。証明書利用者の鍵ペアは、証明書利用者自身が生成する。 6.1.2証明書利用者に対する秘密鍵の交付本CAからの秘密鍵の交付は行わない。
6.1.3認証局への公開鍵の交付
本CAに対する証明書利用者の公開鍵の交付は、オンラインによって行うことができる。この時の通信経路はSSL/TLSにより暗号化を行う。 6.1.4検証者へのCA公開鍵の交付検証者は、本CAのリポジトリーにアクセスすることによって、本CAの公開鍵を入手することができる。
6.1.5鍵サイズ
本CAの鍵ペアは、RSA方式で鍵長2048ビットまたはECC方式で鍵長384ビットとする。証明書利用者の鍵ペアについては、RSA方式で鍵長2048ビットまたはECC方式で鍵長384ビットとする。 6.1.6公開鍵のパラメーターの生成および品質検査本CAの公開鍵のパラメーターの生成、およびパラメーターの強度の検証は、鍵ペア生成に使用される暗号装置に実装された機能を用いて行われる。証明書利用者の公開鍵のパラメーターの生成および品質検査について規定しない。
6.1.7鍵の用途
本CAおよび本CAが発行する証明書の鍵の用途は以下のとおりとする。
© 2018 SECOM Trust Systems Co.,Ltd.
6.2秘密鍵の保護および暗号装置技術の管理6.2.1暗号装置の標準および管理本CAの秘密鍵の生成、保管、署名操作は、FIPS140-2レベル3準拠の暗号装置を用いて行う。証明書利用者の秘密鍵については規定しない。
6.2.2秘密鍵の複数人管理
本CAの秘密鍵の活性化、非活性化、バックアップ等の操作は、安全な環境において複数人の権限者によって行う。証明書利用者の秘密鍵の活性化、非活性化、バックアップ等の操作は、証明書利用者の管理の下で安全に行わなければならない。 6.2.3秘密鍵のエスクロー本CAは、本CAの秘密鍵のエスクローは行わない。本CAは、証明書利用者の秘密鍵のエスクローは行わない。 6.2.4秘密鍵のバックアップ本CAの秘密鍵のバックアップは、セキュアな室において複数名の権限者によって行われ、暗号化された状態で、セキュアな室に保管される。証明書利用者の秘密鍵のバックアップは、証明書利用者の管理の下で安全に保管しなければならない。 6.2.5秘密鍵のアーカイブ本CAでは、本CAの秘密鍵のアーカイブは行わない。証明書利用者の秘密鍵については規定しない。 © 2018 SECOM Trust Systems Co.,Ltd. 6.2.6秘密鍵の暗号モジュールへのまたは暗号モジュールからの転送本CAの秘密鍵の暗号装置への転送または暗号装置からの転送は、セキュアな室において、秘密鍵を暗号化した状態で行う。証明書利用者の秘密鍵については規定しない。 6.2.7暗号装置への秘密鍵の格納本電子認証基盤の上で運用されるCAの秘密鍵は、暗号化された状態で暗号装置内に格納する。証明書利用者の秘密鍵については規定しない。 6.2.8秘密鍵の活性化方法本CAの秘密鍵の活性化は、セキュアな室において複数名の権限者によって行う。証明書利用者の秘密鍵については規定しない。 6.2.9秘密鍵の非活性化方法本CAの秘密鍵の非活性化は、セキュアな室において複数名の権限者によって行う。証明書利用者の秘密鍵については規定しない。 6.2.10秘密鍵の破棄方法本CAの秘密鍵の廃棄は、複数名の権限者によって完全に初期化または物理的に破壊することによって行う。バックアップについても同様の手続によって行う。証明書利用者の秘密鍵については規定しない。 6.2.11暗号装置の評価本CAで使用する暗号装置の品質基準については、本CP「6.2.1.暗号装置の標準および管理」のとおりである。証明書利用者の秘密鍵については規定しない。 6.3鍵ペアのその他の管理方法6.3.1公開鍵のアーカイブ本CAの公開鍵についてはCPS「6.2.1暗号装置の標準および管理」のとおりである。証明書利用者の秘密鍵については規定しない。 6.3.2秘密鍵および公開鍵の有効期間本CAの秘密鍵および公開鍵の有効期間は20年以内とする。証明書利用者の秘密鍵については規定しない。 6.4活性化データ© 2018 SECOM Trust Systems Co.,Ltd. 6.4.1活性化データの生成および設定本項については、CPSに規定する。 6.4.2活性化データの保護本項については、CPSに規定する。 6.4.3活性化データの他の考慮点本項については、CPSに規定する。 6.5コンピュータのセキュリティ管理6.5.1システム開発管理本項については、CPSに規定する。 6.5.2セキュリティ運用管理本項については、CPSに規定する。 6.6ライフサイクルセキュリティ管理6.6.1システム開発管理本項については、CPSに規定する。 6.6.2セキュリティ運用管理本項については、CPSに規定する。 6.6.3ライフサイクルセキュリティ管理本項については、CPSに規定する。 6.7ネットワークセキュリティ管理本項については、CPSに規定する。 6.8タイムスタンプ本項については、CPSに規定する。 © 2018 SECOM Trust Systems Co.,Ltd. 7.証明書および証明書失効リストおよびOCSPのプロファイル7.1証明書のプロファイル本CAが発行する証明書はRFC5280に準拠している。プロファイルは、次表のとおりである。
© 2018 SECOM Trust Systems Co.,Ltd.
サーバー証明書プロファイル
© 2018 SECOM Trust Systems Co.,Ltd.
© 2018 SECOM Trust Systems Co.,Ltd.
OCSPサーバー証明書プロファイル
© 2018 SECOM Trust Systems Co.,Ltd.
7.1.1バージョン番号本CAは、バージョン3を適用する。 7.1.2証明書拡張本CAが発行する証明書は、証明書拡張フィールドを使用する。 7.1.3アルゴリズムオブジェクト識別子本サービスにおいて用いられるアルゴリズムOIDは、次のとおりである。
7.1.4名前形式本CAおよび利用者は、X.500識別名に従って定義されたDNによって一意に識別される。 © 2018 SECOM Trust Systems Co.,Ltd. 7.1.5名前制約必要に応じて本CAで設定する。 7.1.6 CPオブジェクト識別子本CAから発行する証明書のOIDは、本CP「1.2文書名と識別」のOIDのとおりである。 7.1.7ポリシー制約拡張の利用設定しない。 7.1.8ポリシー修飾子の文法および意味ポリシー修飾子については、本CPおよびCPSを公表するWeb ページのURIを格納している。 7.1.9重要な証明書ポリシー拡張の処理の意味設定しない。 7.2 CRLのプロファイル本CAが発行するCRLはRFC5280に準拠している。プロファイルは、次表のとおりであろ。
表 7.2-2    CRLプロファイル7.2.1バージョン番号本CAは、CRLバージョ2を適用する。 7.2.2 CRL拡張本CAが発行するCRL拡張フィールドを使用する。 7.3 OCSPのプロファイル本CAは、RFC5019および6960に準拠するOCSPを提供する。 7.3.1バージョン番号本CAは、OCSPバージョン1を適用する。 7.3.2 OCSP拡張© 2018 SECOM Trust Systems Co.,Ltd. Certificate Policy Ver.1.16本CP「7.1.証明書のプロファイル」に記載する。 © 2018 SECOM Trust Systems Co.,Ltd. 8.準拠性監査と他の評価本CAは、本CPおよびCPSに準拠して運用がなされているかについて、適時監査を行う。本CAが行う準拠性監査に関する諸事項については本CPおよびCPSに規定する。
8.1監査の頻度
本CAは、本CAが本CPおよびCP Sに準拠して運用されているかに関して、定期的に準拠性監査を行う。 8.2監査人の身元／資格本CAの準拠性監査は、CAの業務に精通している監査人が行う。また、WebTrust認証を受けるCAの監査は、監査法人が行う。 8.3監査人と被監査部門の関係監査人は、本CAとの間に特別な利害関係のない監査人を選定する。 8.4監査で扱われる事項監査は、本CAの運用にかかる業務を対象として行う。また、認証局のためのWebTrust for CA規準、WebTrust for BR規準に基づいて行われることもある。 8.5不備の結果としてとられる処置本CAは、監査報告書で指摘された事項に関し、すみやかに必要な是正措置を行う。
8.6監査結果の開示
監査報告書は、本委員会に報告される。監査報告書は、許可されたものだけがアクセスできるよう保管管理される。なお、WebTrust for CA、WebTrust for BRの検証に関する報告書は、WebTrust for CA、 WebTrust for BR認定の規則に従い、特定のサイトにて参照可能となる。 9.他の業務上および法的事項9.1料金9.1.1証明書の発行または更新にかかる料金契約書等に別途定める。 9.1.2証明書のアクセス料金規定しない。 9.1.3失効またはステータス情報のアクセス料金規定しない。 9.1.4他サービスの料金規定しない。 9.1.5返金ポリシー契約書等に別途定める。 9.2財務的責任9.2.1保険の補償セコムトラストシステムズは、本CAの運用維持にあたり、十分な財務的基盤を維持するものとする。 9.2.2その他の資産規定しない。 9.2.3エンドエンティティの保険または保証範囲規定しない。 9.3企業情報の機密性9.3.1機密情報の範囲本項については、CPSに規定する。 © 2018 SECOM Trust Systems Co.,Ltd. 9.3.2機密情報の範囲外の情報本項については、CPSに規定する。 9.3.3機密情報を保護する責任本項については、CPSに規定する。 9.4個人情報の保護9.4.1個人情報保護方針本項については、CPSに規定する。 9.4.2個人情報として扱われる情報本項については、CPSに規定する。 9.4.3個人情報とみなされない情報本項については、CPSに規定する。 9.4.4個人情報を保護する責任本項については、CPSに規定する。 9.4.5個人情報の使用に関する通知と同意本項については、CPSに規定する。 9.4.6司法または行政手続に沿った情報開示本項については、CPSに規定する。 9.4.7その他の情報開示条件本項については、CPSに規定する。 9.5知的財産権本CPは著作権を含み、当社の権利に属するものとする。 9.6表明保証9.6.1 CAの表明保証本CAは、CAの業務を遂行するにあたり次の義務を負う。 © 2018 SECOM Trust Systems Co.,Ltd. CA秘密鍵のセキュアな生成・管理を行うこと• RAからの申請に基づいた証明書の正確な発行、失効および管理を行うこと・　システムの運用、稼動監視を行うことCRLの発行、公表を行うことOCSPの公開を行うこと
9.6.2 RAの表明保証
本CAは、RAの業務を遂行するにあたり次の義務を負う。 •登録端末のセキュアな環境への設置・運用を行うこと証明書発行時、実在性確認等の審査を的確に行うこと証明書発行・失効等の指示を正確かつすみやかに行うことリポジトリーの維持・管理を行うこと
9.6.3証明書利用者の表明保証
証明書利用者は、次の義務を負うものとする。 .証明書利用者は証明書の発行申請に際して、正確かつ完全な情報を提供すること・　当該情報に変更があった場合には、その旨をすみやかに本CAまで通知すること•危殆化から自身の秘密鍵を保護すること証明書の使途は本CPおよびCPSに従うこと証明書に記載の公開鍵に対応する秘密鍵が危殆化した、またはそのおそれがあると証明書利用者が判断した場合、登録情報に変更があった場合、または本CAから「4.9.1証明書失効事由」にもとづき証明書失効の指示があった場合は、証明書利用者は証明書の失効をすみやかに申請すること9.6.4検証者の表明保証検証者は、次の義務を負うものとする。 ・本CAの証明書について、有効性の確認を行うこと•証明書利用者の情報を信頼するかの判断は検証者の責任で行うこと秘密雛が侵害されたことを認識した、またはその疑いがある場合は、本CAにすみやかに通知することまた、検証者は本CPに遵守しない場合、すべての責任を有するものとする。 9.6.5他の関係者の表明保証規定しない。 9.7無保証本CAは、本CP「9.6.1 CAの表明保証」および「9.6.2 RAの表明保証」に規定する保証に関連して発生するいかなる間接損害、特別損害、付随的損害または派生的損害に対する責任を負わず、また、いかなる逸失利益、データの紛失またはその他の間接的もしくは派生的損害に対する責任を負わない。
9.8責任の制限
本CPにおいて、次の場合、本CAは責任を負わないものとします。 ・本CAに起因しない不法行為、不正使用または過失等により発生する一切の損害確認された情報の誤りが申請者の詐欺または故意の不正行為の結果である場合、いかなる場合にも生じるすべての責任証明書利用者が自己の義務の履行を怠ったために生じた損害外部委託先および証明書利用者のシステムに起因して発生した一切の損害•外部委託先および証明書利用者の環境（ハードウェア、ソフトウェア）の瑕疵、不具合あるいはその他の動作自体によって生じた損害本CAの責に帰することのできない事由で証明書およびCRL、OCSPに公開された情報に起因する損害•本CAの責に帰することのできない事由で正常な通信が行われない状態で生じた一切の損害証明書の使用に関して発生する取引上の債務等、一切の損害•外部委託先のサービス提供終了など、外部委託先がサービス提供の義務の履行を怠ったために生じた損害•現時点の予想を超えた、ハードウェア的あるいはソフトウェア的な暗号アルゴリズム解読技術の向上に起因する損害•天変地異、地震、噴火、火災、津波、水災、落雷、戦争、動乱、テロリズムその他の不可抗力に起因する、本CAの業務停止に起因する一切の損害9.9補償本CAが発行する証明書に関する補償については、別途規定する。 9.10有効期間と終了9.10.1有効期間本CPは、本委員会の承認により有効となる。 9.10.2終了本CPは、本CAを終了した時点で無効となる。 © 2018 SECOM Trust Systems Co.,Ltd. 9.10.3終了の効果と効果継続証明書利用者が証明書の利用を終了する場合、外部委託先がサービスの提供を終了する場合、または本CA自体を終了する場合であっても、その性質上存続されるべき条項は終了の事由を問わず証明書利用者、および本CAに適用されるものとします。
9.11関係者間の個別通知と連絡
本CAは必要な通知を外部委託先に行い、外部委託先は、証明書利用者および検証者に対する必要な通知をホームページ、電子メールまたは書面等によって行う。 9.12改訂9.12.1改訂手続本CPは、本CAの判断によって適宜改訂され、本委員会の承認によって発効する。 9.12.2通知方法および期間本CPを変更した場合、変更した本CPをすみやかに公表することをもって、関係者に対しての告知とする。 9.12.3オブジェクト識別子が変更されなければならない場合認証サービス改善委員会で必要であると判断した場合に、OIDを変更する。
9.13紛争解決手続
本CAが発行する証明書に関わる紛争について、本CAに対して訴訟、仲裁等を含む法的解決手段に訴えようとする場合は、本CAに対して事前にその旨を通知するものとする。仲裁および裁判地は東京都区内における紛争処理機関を専属的管轄とする。
9.14準拠法
本CP、CPSの解釈、有効性および証明書の利用にかかわる紛争については、日本国の法律を適用する。
9.15適用法の遵守
本CAは、国内における各種輸出規制を遵守し、暗号ハードウェアおよびソフトウェアを取扱うものとする。 9.16雑則© 2018 SECOM Trust Systems Co.,Ltd.
9.16.1完全合意条項
当社は、証明書利用者または検証者の義務等を本CPおよび当約赦、CPSによって包括的に定め、これ以外の口頭であると書面であるとを問わず、いかなる合意も効力を有しないものとする。
9.16.2権利譲渡条項
当社が本CAを第三者に譲渡する場合、本CPおよび当約款、CPSにおいて記載された責務およびその他の義務の譲渡を可能とする。 9.16.3分離条項本CPおよび当約款、CPSの一部の条項が無効であったとしても、当該文書に記述された他の条項は有効であるものとする
9.16.4強制執行条項
本サービスに関する紛争は東京地方裁判所を管轄裁判所とし、当社は、各規定文書の契約条項に起因する紛争、当事者の行為に関する損害、損失および費用について、補償および弁護士費用を当事者に求めることができる。
9.16.5不可抗力
当社は、天変地異、地震、噴火、火災、津波、水災、落雷、動乱、テロリズム、その他の不可抗力により生じた一切の損害について、その予見可能性の有無を問わず一切責任を負わないものとし、本CAの提供を不可能にするに至ったときは、当社はその状況の止むまでの間、本CAを停止することができる。 9.17その他の条項規定しない。