金融廳修訂監理準則。防釣魚身份驗證方法將成為強制性要求。它並非某些文章所說的生物辨識身分驗證！公眾意見徵詢截止日期為8月18日。

金融廳15日宣布發布《金融工具業務經營者等監管綜合指南》部分修訂草案 我們已開始接受公眾對此標題的評論。截止日期為18月17日星期一下午00:XNUMX（必須在此日期前提交）。

此修訂是針對網路交易服務中，利用偽裝成證券公司網站的釣魚網站竊取客戶資訊（登入ID、密碼等）進行非法存取及非法交易（第三方交易）的情況頻發，旨在加強網路交易的認證手段及防範詐欺措施。

本部落格的讀者可能會對什麼感興趣？ （附錄 1）

《金融領域網路安全指南》雅日本證券業協會《防止網路交易非法存取的指南》是否根據所提供服務的內容，採取適當的安全措施，考慮到上述情況。「中間人」和「瀏覽器中間人」攻擊您是否考慮過以下情況？
（剪斷）
在登入、提現、更改提現銀行帳戶等重要操作期間防網釣多因素身份驗證（例如：密碼認證、基於 PKI（公鑰基礎設施）的認證）實施和強制性（設為預設值）
（資料來源）金融廳《金融工具業務經營者等監理綜合指引》（草案）部分修訂【新舊指引對照表】

防釣魚身份驗證現已成為強制性要求。其重要性如下：“一次性密碼無法阻止的即時網路釣魚威脅：使用密鑰抵禦網路釣魚的本質”另請參閱上文。另一方面，我認為關於「多因素身份驗證」是否有必要存在一些爭議。正如我之前所說，我認為是時候擺脫「多因素身份驗證的魔咒」了，而更多地關注「它正在應對哪些威脅」。

其他材料包括：

（附錄1）《金融工具業務經營者等監理綜合指引》（草案）部分修訂【新舊指引對照表】
（附錄2）《信用評等機構監理指引》（徵求意見稿）部分修改【新舊對照表】
（附錄3）《高頻交易者監管指南》部分修改（徵求意見稿）【新舊對照表】
（附錄4）《投資管理相關業務監理指引》部分修改（徵求意見稿）【新舊對照表】

另一方面，也有一些令人難以理解的報導－生物特徵認證將不會是強制性的！

另一方面，也有一些報道難以理解。一個典型的例子就是日經新聞的“金融服務局和日本證券業協會發布新指南，強制實施生物辨識認證，以防止證券帳戶劫持“尼金也日本金融服務局提議強制實施生物辨識和其他多因素身份驗證，以加強防範證券帳戶劫持的措施。文章指出：

然而，上述修訂後的監管指南並未提及「生物特徵認證」。雖然舉了密碼鑰匙的例子，但密碼鑰匙並非生物特徵認證。我希望他們能就此進行更正，而不是僅僅為了迴避「這很容易理解」的藉口。這次重要的是，強制性防網釣多因素身份驗證是的，這不是生物特徵認證。顯然，你不能在本地進行“生物特徵認證”，然後將密碼發送到網站。

因此，我懇請媒體從業人員務必小心謹慎。

生物辨識身份驗證可以是本地的，也可以是遠端的。對於使用行動裝置的用戶，ISO 已製定了以下標準化。兩者都是 SC27 資訊安全、網路安全和隱私保護的出版物，我目前是該委員會相關國內技術委員會的主席。

ISO/IEC 27553-1:2022 資訊安全、網路安全和隱私保護 - 在行動裝置上使用生物辨識技術進行身份驗證的安全和隱私要求 - 第 1 部分：本地模式
ISO/IEC 27553-2:2025 資訊安全、網路安全和隱私保護 - 在行動裝置上使用生物辨識技術進行身份驗證的安全和隱私要求 - 第 2 部分：遠端模式

希望這可以幫助。