《金融工具业务经营者等监管综合指南》（草案）部分修改美国 OpenID 基金会已就所谓的证券欺诈应对措施向其提交了以下公开意见。由于美国 OpenID 基金会网站目前仅提供英文版本，因此我们在此发布日文版本。
《金融工具业务经营者综合监管指引（征求意见稿）》公开征求意见（新旧指引对照表）
1. 对《金融服务法》的评估以及拟议修订的意义
首先，我对此次修订草案的整体框架深表敬意。此次《监管指南》修订意义重大，它为整个行业采取有效措施应对近年来日益复杂和诡计多端的网络威胁（例如网络钓鱼和未经授权的访问）提供了切实可行的指导方针。尤其值得一提的是，强制性防网络钓鱼多因素身份验证而且，增强行为检测，防止欺诈交易措施的系统化我们高度赞赏纳入上述高水平的国际要求。此外，鼓励使用行业指南和ISAC等信息共享组织的架构并非仅仅是一项法规，而是一个以“持续改进”为前提的实践框架，我们认为这可以说是监管指南的典范。
2. 问题及改进建议
（1）P.5 关于禁止在电子邮件和短信中发送链接
拟议修订规定，“提示用户输入密码的页面或登录链接的URL不应包含在电子邮件或短信中”。虽然从保护用户的角度来看，这一点很重要，但在实践中，有些链接是出于正当理由发送的（例如密码重置链接、魔术链接、兼容WebOTP的短信等）。WebOTP尤其具有很强的抗钓鱼功能，因为它可以与浏览器协同工作，自动将信息输入正确的网站，无需人工干预。
另一方面，预计攻击者将继续发送包含有用链接的消息。它并非全面禁止，而是“原则上禁止，只有在没有适当替代方案时才允许”我们认为，为了在用户的便利性和安全性之间取得平衡，最好将该措施的定位推迟到后期，作为“确保安全的补充措施”。
（2）P.5 验证网站真实性的措施定位
“验证用户所访问网站是否真实的措施”也很重要，但依赖人类视觉识别的措施对网络钓鱼的抵抗力有限。附加措施如下然而，我们认为主要的防御应该是自动化的、基于加密的、防网络钓鱼的身份验证技术。
（3）P.6 实施并强制使用防网络钓鱼多因素身份验证
“在登录、提款、更改提款账户等重要操作中强制执行防钓鱼多重身份验证”至关重要。然而，在实际操作中，很多情况下客户会因为设置麻烦而自行恢复使用密码身份验证，或者仅在特殊交易账户中保留密码身份验证。毋庸置疑，即使为交易设置了高级身份验证，如果仍然保留密码身份验证账户，那么设置也毫无意义。
出于这个原因，一旦设置了高级身份验证，密码将被废除，用户无法将其改回。明确说明这一点是可取的。此外，通过利用当前基于风险的身份验证概念，登录密码和交易密钥这将使尚未提供API的证券公司能够继续使用个人理财管理平台（PFM），并降低风险。从中期来看，API 配置和高级身份验证的同时切换预计这将有助于防止欺诈，同时最大限度地减少对消费者的影响。
（4）注册身份验证方法时确保安全性
存在攻击者可能利用密码登录作为立足点来注册自己的密钥的风险。仅在经过强身份验证（例如公共个人身份验证）的会话内才允许进行密钥等高级身份验证的初始注册。需要明确指出的是
（5）P.6 行为检测的持续应用
当前的提案建议将行为检测作为临时措施，直到强制使用密码为止。即使引入了密钥，会话劫持和未经授权的操作仍然可能发生因此，行为检测和分析应该是一个永久的要求。
（6）P.6 账户锁定的风险和替代方案
当使用连续的客户编号作为登录标识符时，“当身份验证重复失败时自动锁定帐户”尤为重要。DoS 攻击导致大规模帐户锁定和呼叫中心饱和攻击预计攻击者将利用这种混乱来接管账户。延迟响应（例如等待 1 分钟）或额外的身份验证请求是有效的，并且帐户锁定应被视为最后的手段。
（7）加强会话安全性和公司间协作
这个提议在会话安全方面似乎有些薄弱。通过检测浏览器和 Cookie 发送者的 IP 地址的变化来限制权限而且，企业间共享异常交易检测信息（例如，美国网络安全和基础设施安全局（CISA）和国家安全局（NSA）建议使用OpenID共享信号框架。）通过包含此类信息，可以大规模防止欺诈。
（8）术语审查：从“多因素身份验证”到“高级身份验证”或“安全客户身份验证”
虽然在很多地方添加了“防网络钓鱼”一词，这似乎没什么问题，但“多因素身份验证”这个术语总体上过于宽泛，而且存在低质量的多因素身份验证被自动采用的风险。这项提案真正需要强调的是抵御各种威胁，包括“防网络钓鱼”。替换和补充术语将明确其意图，并有望在实践中提高质量。
3.最后
此次拟议修订并非仅仅是一项正式的法规，而是根据最新的攻击方法和技术趋势，强调其有效性。我们认为这是在用户保护与便捷性之间取得平衡的开创性尝试。拟议的改进旨在兼顾更高水平的防御能力和操作可行性，并充分考虑了现场实践和最新的国际趋势。我们对金融服务管理局在制定此类高水平指南方面持续发挥的领导作用抱有高度期待和敬意。