4月1日、デジタル庁から本人確認ガイドラインの改定に向けた有識者会議（令和6年度）の取りまとめが公表されました。「DS-500 行政手続におけるオンラインによる本人確認の手法に関するガイドライン」（通称「本人確認ガイドライン」）は、行政手続きをデジタル化する時に、安全に本人確認するためのルールや方法をまとめたものです。例えるなら、オンラインでの「本人確認の教科書」みたいなものですね。このガイドラインは、アメリカのNISTという機関が作ったガイドラインなどを参考にしつつ、マイナンバーカードを使った本人確認など、日本独自のやり方も取り入れています。
最近は、行政手続きのオンライン化が進んだり、マイナンバーカードを使う人が増えたり、ネットを使った詐欺も増えたりと、本人確認を取り巻く環境が大きく変わってきています。
アメリカでは、NISTのガイドラインの改定案が出ていますし、ヨーロッパでは、スマホで使えるデジタルIDの仕組み「デジタル・アイデンティティ・ウォレット」も導入されようとしています。
そこで、デジタル庁では、専門家を集めて「本人確認ガイドラインの改定に向けた有識者会議」を開き、今の課題や海外の動きを踏まえ、ガイドラインをどう変えていくか話し２年間にわたって話し合ってきました。最終回が令和６年度第５回の会合でした。
公表されたのは、「本人確認ガイドライン改定方針 令和6年度とりまとめ（案）」と、本人確認ガイドライン改定案（令和6年度とりまとめ時点案）および、これらを受けての有識者コメントをまとめた議事録 （これら指摘事項も反映されていくはず）です。
なお、文末に Youtube 版解説も付けましたので、そちらも合わせて御覧ください。
資料1：本人確認ガイドライン改定方針 令和6年度とりまとめ（案）
まず、
ですが、これは、令和6年度のこの有識者会議の結果をまとめたもので、ガイドラインをどう変えていくかのアイデアが書かれています。ここでは、以下のようなことが書かれています。
改定の背景
- 行政手続のオンライン化やマイナンバーカードの普及
- フィッシング攻撃の高度化や本人確認書類の偽造事件の増加
- 米国NISTのガイドライン改定や欧州でのデジタルIDウォレット導入の動き
改定の主なポイント
- ガイドラインの適用対象と名称の見直し: 対面での本人確認や行政手続以外の行政サービスも対象とする。
- 本人確認手法検討における「基本的な考え方」の定義: 事業目的の遂行、公平性、プライバシー、ユーザビリティ・アクセシビリティ、セキュリティの5つの観点を重視する。
- 本人確認の基本的な枠組みの定義: 身元確認、当人認証、フェデレーションの概念を明確化し、連携モデルと非連携モデルのシステム実装モデルを定義、連携モデルをその基本とする。
- 脅威と対策の最新化、保証レベルの見直し: 最新の脅威動向や技術動向を踏まえ、身元確認と当人認証における脅威と対策、保証レベルの位置づけと対策基準を見直す。
- リスク評価プロセスの全面的な見直し: 本人確認手法の評価プロセスを5つの観点から行い、リスク評価プロセスを単純化する。
その他
- ガイドライン本編とは別に、具体的な技術や手法、事例などをまとめた「本人確認ガイドライン解説書」を新たに整備する。
資料2：本人確認ガイドライン改定案（令和6年度とりまとめ時点案）
一方、
ですが、実際のガイドライン改定案が示されています。
主なポイントとしては以下のようなことが書かれています。
- リスクに応じた「適切な保証レベル」の選択:
- 従来は画一的に高い保証レベルが求められがちで、利便性を損なうケースがあった。
- 本改定では、手続のリスクに応じた適切な保証レベル (本人確認の確からしさの段階) を選択することを基本とする。
- 過剰な厳格さを避け、安全・安心で利便性の高い行政サービスの実現を目指す。
- 検討の5つの観点:
- 保証レベルや本人確認手法の選択にあたり、以下の5つの観点を考慮する。
- 事業目的の遂行 (本人確認が手続きの障壁にならないか)
- 公平性 (特定の人だけが利用できない等の不公平がないか)
- プライバシー (個人情報の取扱いは適切か)
- ユーザビリティ及びアクセシビリティ (利用者にとって使いやすいか)
- セキュリティ (リスクに対して適切な強度か)
- 保証レベルや本人確認手法の選択にあたり、以下の5つの観点を考慮する。
- 本人確認の構成要素:
- 本人確認を以下の3つの要素で定義・整理する。
- 身元確認 (Identity Proofing): 申請者が実在し、生存する人物であることを確認する (属性収集、書類検証、申請者検証等)。
- 当人認証 (Authentication): 手続を利用しようとする者が、身元確認時に登録された者と同一人物であることを確認する (知識、所有物、生体情報に基づく認証)。
- フェデレーション (Federation): 信頼できる他のIDプロバイダが行った身元確認や当人認証の結果に依拠する。
- 本人確認を以下の3つの要素で定義・整理する。
- 実装モデル:
- 連携モデル (Federated): 共通のIDプロバイダを利用するモデル (効率化のため第一候補)。
- 非連携モデル (Non-Federated): 各システムが独自に本人確認機能を構築するモデル。
- 両者の組み合わせも可能。
- 脅威と対策:
- 身元確認、当人認証、フェデレーションそれぞれにおける脅威 (なりすまし、書類偽造、フィッシング、重複登録等) を具体的に示し、それらに対する対策プロセスや手法例、保証レベルごとの対策基準を定義している。
- 特に身元確認では、真正性確認手法 (デジタル署名検証、信頼できる情報源への照会、物理的検査等) や申請者検証手法 (容貌確認、暗証番号、確認コード送付等) を整理。
- 当人認証では、多要素認証の重要性やフィッシング耐性のある認証方式 (公開鍵認証等) に言及。
- 本人確認手法の検討プロセス:
- ①リスク特定 → ②リスク影響度評価 (高・中・低) → ③保証レベル判定 (レベル1～3) → ④手法の評価 (5つの観点) → ⑤補完的対策や例外措置の検討 → ⑥継続的な評価・改善、というプロセスを提示。
- 法人等の身元確認 (別紙2):
- 個人とは異なる考え方が必要。
- ①法人等の実在性確認 (法人番号、名称、所在地等)、②申請者個人の実在性確認、③法人等と申請者個人の紐づき確認 (代表者印、委任状等) の3ステップで整理。
今後の予定
ガイドライン改定案の公開、意見募集、各省協議等を経て、改定版を発行することになるはずです。わりと良い文書になっているとおもうので、今から楽しみです。英語版もぜひ作っていただきたいところです。
詳細
以下、もう少し詳細に説明したものになります。ご参考まで。
主要なテーマ
ガイドラインの適用範囲と名称の拡大・変更:
- 現行の「オンラインによる本人確認」から、対面の手続きや行政手続き以外の行政サービスも含むように適用範囲を拡大する。
- ガイドライン名称を「DS-511 行政手続等での本人確認におけるデジタルアイデンティティの取扱いに関するガイドライン」に変更する。
- 文書番号もDS-500からDS-511へ変更する。
- （資料1 より）「デジタル技術を活用した本人確認の機会が対面や行政手続以外にも拡大していることを踏まえ、本ガイドラインの 適用対象を拡大する方針とする。」
- （資料2 P.2 より）「本ガイドラインは、国の行政機関が提供する行政手続又は行政サービス（以下「対象手続」という。）において、個人又は法人等が申請・届出・アカウント登録・ログイン等を行う際の本人確認を対象とする。」
検討にあたる「基本的な考え方」の定義:
- 手続き等の特性に応じた適切な手法選択のため、「事業目的の遂行」「公平性」「プライバシー」「ユーザビリティ及びアクセシビリティ」「セキュリティ」の5つの観点を定義する。
- （資料2 P.i より）「今回の改定では、対象手続のリスクに応じた「適切な保証レベル」を選択できるようにすることを念頭におき、そのための基本的な考え方として「事業目的の遂行」、「公平性」、「プライバシー」、「ユーザビリティ及びアクセシビリティ」及び「セキュリティ」の 5つの観点を定義した。」
- （資料1 より）「単にセキュリティレベルの高い手法を選べばよい訳ではない。事業目的の遂行、公平性、プラ イバシー、ユーザビリティ及びアクセシビリティへの影響も考慮しながら、リスクに応じたレ ベルの本人確認手法を選択することが必要である。」
本人確認の基本的な枠組みの定義:
- 本人確認を「身元確認（Identity Proofing）」、「当人認証（Authentication）」、「フェデレーション（Federation）」の3つの要素で構成すると定義する。
- 実装モデルとして「連携モデル（Federated Model）」と「非連携モデル（Non-Federated Model）」を定義する。
- （資料2 P.9 より）「本ガイドラインでは、本人確認を構成する要素として「身元確認」と「当人認証」を定義する。さらに、身元確認や当人認証を他者（信頼できる IDプロバイダ）に依拠して実現する要素として「フェデレーション」を定義する。」
脅威と対策の最新化、保証レベルの見直し:
- 国内外の脅威動向、最新技術動向、NIST SP 800-63-4の改定内容を踏まえ、各要素における想定脅威と手法例を最新化する。
- 身元確認保証レベルと当人認証保証レベルの位置づけと対策基準を、脅威への耐性の観点から見直す。
- 身元確認のプロセスを「属性情報の収集」「本人確認書類の検証」「申請者の検証」「登録」に定義し、各プロセスにおける脅威を明確化する。
- 身元確認保証レベルは、ICチップ等によるデジタルな検証の有無を重要な差異とし、低リスク手続き向けの「レベル1」を再定義する（簡易的な身元確認）。
- 当人認証のプロセスを「認証器の登録」「当人認証の実施」「盗難・紛失時の対応」「アカウント回復」と定義し、ライフサイクル全体での対策を考慮する。
- 当人認証保証レベルの対策基準を、フィッシング耐性などの最新脅威への対応を強化する方向で見直す。レベル3では全ての利用者にフィッシング耐性のある認証方式を必須とする。
- フェデレーションにおいては保証レベルを定めず、一律の対策基準を定義する。NIST SP 800-63-4 FAL2の要件を参考に、信頼関係の確立、設定・登録・鍵管理、アサーションに関する対策、定期的な確認と見直しに関する基準を定める。
- （資料2 P.3 より）「３ 本人確認における脅威と対策」
- （議事録より）「NIST SP800-63-4の動向にかかわらず、日本では ICチップを利用した厳格な身元確認が比較的利用しやすい環境が作られてきました。しかし、注意喚起だけではフィッシング詐欺を防ぐことができないことなどから、身元確認保証レベル 3 がより重要になってきていると思います。」
- （議事録より）「当人認証保証レベルの表には、フィッシング耐性（推奨）といった表記があります。身元確認において容貌の確認をすることについても、同様に推奨するというような記載を加えるのはいかがでしょうか。対面時において容貌確認のない暗証番号による検証は強固な検証であるといった誤解を解くようなきっかけになるのではないかと思います。」
リスク評価プロセスの全面的な見直し:
- 保証レベル判定までのプロセスを簡略化しつつ、事業目的、公平性、プライバシー等への影響を考慮した評価プロセスを導入する。
- リスク評価の初期段階として「リスクの特定」プロセスを新設する。
- 影響度の評価基準を、利用者の権利権益の侵害を軸としつつ、プライバシーへの深刻な影響や犯罪・攻撃への悪用が想定される場合は「高位」とする。
- 本人確認手法の評価プロセスを新設し、「基本的な考え方」で定義した5つの観点から評価する。
- 評価結果に基づき、複数の手法の併用、追加対策、より高い/低い保証レベルの手法の採用などの補完的対策を検討するプロセスを導入する。
- 継続的な評価と改善のためのプロセスを具体化し、利用者からの問い合わせ、セキュリティイベント、脅威動向などを収集・分析し、必要に応じて改善措置を講じる。
- （資料1 より）「4章のリスク評価プロセスは、保証レベル判定までのプロセスを簡略化しつつ、事業目的の遂行、公平性、プライ バシー等への影響を考慮したテーラリングの考え方を取り入れる形で全面的に見直し。」
- （資料2 P.40 より）「４ 本人確認手法の検討方法」
ガイドライン解説書の新規整備:
- Normativeな本編に対し、Informativeな「本人確認ガイドライン解説書」を新たに整備する。
- 解説書には、具体的な技術、手法、事例、検討用ワークシートなど、変化の速い情報を集約し、本編の簡潔化と柔軟な改定への対応を図る。
- （資料1より）「今回の改定にあわせ、本編とは別に「本人確認ガイドライン解説書」を整備する方針とする。」
- （資料1より）「Normative である本編に対し、「解説書」はInformativeとする。変化のサイクルの速い情報（具体的な技術、手 法、事例等）を「解説書」にとりまとめることで、今後の動向変化にも柔軟に対応できる構成とする。」
- 法人等の手続きにおける身元確認の考え方:
- 個人に対する身元確認とは異なる考え方や手法が必要となるため、別紙として法人等の手続きにおける身元確認のプロセスと手法例を示す。
- 法人等の実在性確認、申請者個人の実在性確認、法人等と申請者個人の紐づきの確認の3つの段階で構成される。
- （資料2 P.48 より）「別紙２ 法人等の手続における身元確認の考え方について」
議事録での指摘事項
- マイナンバーカードのスマートフォン搭載など、技術の進展を考慮したガイドラインの記述が求められている。（議事録 より）
- ガイドラインが法令や施行規則と相互に影響することを考慮し、FAQなどで関係性を明確化する必要がある。（議事録より）
- フィッシング詐欺対策として、より厳格な身元確認手続き（容貌の確認など）の重要性が高まっている。（議事録より）
- 身元確認保証レベルと脅威耐性のマッピングをとりまとめ資料にも反映することが望ましい。（議事録 より）
- 当人認証におけるフィッシング耐性の推奨と同様に、身元確認における容貌の確認も推奨する旨を記載することが、誤解を解く上で有効ではないか。（議事録より）
- 暗証番号の桁数表示や有効期限の記載など、利用者に誤解を与えないような図表の修正が必要である。（議事録より）
- フェデレーションにおけるIDプロバイダからの情報取得について、より明確な記述が求められている。（議事録より）
- デジタル認証アプリの民間事業者による利用も考慮した、わかりやすい記載が望ましい。（議事録より）
- IDプロバイダ側で身元確認を行う場合のプロセス明文化と監査の必要性が指摘されている。（議事録より）
- 耐タンパ性に関する部分は電子署名全体ではなく、鍵に関する記述であることが明確になるよう、表現を修正する必要がある。（議事録より）
- 本人確認、保証レベルなどの用語定義について、より正確で理解しやすい表現への見直しが提案されている。（議事録より）
- 「本人確認」の構成要素に関する記述の整合性を取る必要がある。（議事録 より）
- 図表内での用語の統一（例: 暗証番号 vs PIN）が必要である。（議事録より）