暗号モジュールのバージョンアップの際に、簡便な認証制度を導入

11/16追記：11/10に運用ガイダンスが更新され、本問題は解消されました。

基本的にJCMVPのサイトが更新されないと書くことがありません。

ということで久しぶりにニュースがありました。

IPA (独立行政法人情報処理推進機構、理事長: 西垣 浩司) は、「暗号モジュール試験及び認証制度」のより一層の普及を図るため、2009年11月2日から、認証済み暗号モジュールのバージョンアップ版に関する簡便な認証制度である「保証継続」を導入しました。

FIPS 140-2では、モジュールの更新を行う際に、それがセキュリティに影響するかどうかを試験機関が判断します。で、影響しない場合は、試験機関が認証機関（NIST/CSE）に一筆書いて終わりです。セキュリティに影響する場合、その影響度を確認します。3割未満の場合は、変更箇所にかかる試験を行い、試験機関が認証機関に一筆書いて終わりです。3割を超える場合は、すべてやり直しになります。つまり、一番の争うポイントになるのは、その変更の影響度が3割を超えるか超えないかです。主観的な判断を行うところがあるとかないとか聞きますが、影響するDTRの割合を確認するのが妥当かと個人的には思います。

本題に戻りますと、

JCMVPでは、認証済み暗号モジュールにバージョンアップ等の変更を加えた場合、変更後の暗号モジュールについての認証を取得するためには、セキュリティに影響が無い変更でも、新規認証時と同様に試験及び認証の手続きを取る必要がありました。

そうだったんですね、って運用ガイダンスと矛盾していないですか。
運用ガイダンスの2.8、1.には、

• 変更が暗号モジュールセキュリティ要件に関連した事項に影響を与えないハードウェア、ソフトウェア、又はファームウェアに対して行われるとき
  

ベンダは、試験機関に変更箇所を識別する関連文書を提供する責任があります。文書には以前の試験報告書、設計文書、ソースコードなどが含まれます。 試験機関はベンダから提供された文書をレビューして、セキュリティに影響を与える変更がないことを確認しなければなりません。試験機関はさらに、暗号モジュールセキュリティ要件の関連項目が変更によって影響を受けてないこと確認するために、必要に応じて追加試験をしなければなりません。

、と書いてあり、ここからは新規認証と同様の試験を行う必要があるとは読み取れないのですが。。。

一番の問題は、認証された製品自体が未だに10しかないこの状況で、再認証の手続きが楽になるからって

「暗号モジュール試験及び認証制度」のより一層の普及につながることを期待します。

に結びつくはずがないということですが。。。