《金融工具業務經營者等監管綜合指南》（草案）部分修改美國 OpenID 基金會已就所謂的證券詐欺應對措施向其提交了以下公開意見。由於美國 OpenID 基金會網站目前僅提供英文版本，因此我們在此發布日文版本。
《金融工具業務經營者綜合監理指引（徵求意見稿）》公開徵求意見（新舊指引對照表）
1. 對《金融服務法》的評估以及擬議修訂的意義
首先，我對此次修訂草案的整體框架深表敬意。這次《監管指南》修訂意義重大，它為整個行業提供了切實可行的指導方針，使其能夠有效應對近年來日益複雜和詭計多端的網絡釣魚、未經授權的訪問等網絡威脅。尤其值得一提的是，強制性防網釣多因素身份驗證而且，增強行為偵測，防止詐欺交易措施的系統化我們高度讚賞納入上述高水準的國際要求。此外，鼓勵使用行業指南和ISAC等資訊共享組織的架構並非僅僅是一項法規，而是以「持續改進」為前提的實踐框架，我們認為這可以說是監管指南的典範。
2. 問題及改進建議
（1）P.5 關於禁止在電子郵件和短信中發送鏈接
擬議修訂規定，「提示使用者輸入密碼的頁面或登入連結的URL不應包含在電子郵件或簡訊中」。雖然從保護使用者的角度來看，這一點很重要，但在實踐中，有些連結是出於正當理由發送的（例如密碼重設連結、魔術連結、相容於WebOTP的簡訊等）。 WebOTP尤其具有強大的抗釣魚功能，因為它可以與瀏覽器協同工作，自動將資訊輸入正確的網站，無需人工幹預。
另一方面，預計攻擊者將繼續發送包含有用連結的訊息。它並非全面禁止，而是“原則上禁止，只有在沒有適當替代方案時才允許”我們認為，為了在使用者的便利性和安全性之間取得平衡，最好將該措施的定位推遲到後期，作為「確保安全的補充措施」。
（2）P.5 驗證網站真實性的措施定位
「驗證使用者所造訪網站是否真實的措施」也很重要，但依賴人類視覺辨識的措施對網路釣魚的抵抗力有限。附加措施如下然而，我們認為主要的防禦應該是自動化的、基於加密的、防網路釣魚的身份驗證技術。
（3）P.6 實施並強制使用防網路釣魚多因素身份驗證
「在登入、提款、更改提款帳戶等重要操作中強制執行防釣魚多重身份驗證」至關重要。然而，在實際操作中，許多情況下客戶會因為設定麻煩而自行恢復使用密碼驗證，或僅在特殊交易帳戶中保留密碼驗證。毋庸置疑，即使為交易設定了高級身份驗證，如果仍然保留密碼身份驗證帳戶，那麼設定也毫無意義。
出於這個原因，一旦設定了高級身份驗證，密碼將被廢除，用戶無法將其改回。明確說明這一點是可取的。此外，透過利用目前基於風險的身份驗證概念，登入密碼和交易密鑰這將使尚未提供API的證券公司能夠繼續使用個人理財管理平台（PFM），並降低風險。從中期來看，API 配置和進階身份驗證的同時切換預計這將有助於防止欺詐，同時最大限度地減少對消費者的影響。
（4）註冊身份驗證方法時確保安全性
有攻擊者可能利用密碼登入作為立足點來註冊自己的金鑰的風險。僅在經過強身份驗證（例如公共個人身份驗證）的會話內才允許進行金鑰等高級身份驗證的初始註冊。需要明確指出的是
（5）P.6 行為檢測的持續應用
目前的提案建議將行為檢測作為臨時措施，直到強制使用密碼為止。即使引入了密鑰，會話劫持和未經授權的操作仍然可能發生因此，行為檢測和分析應該是一個永久的要求。
（6）P.6 帳戶鎖定的風險與替代方案
當使用連續的客戶編號作為登入識別碼時，「當身份驗證重複失敗時自動鎖定帳戶」尤其重要。DoS 攻擊導致大規模帳戶鎖定和呼叫中心飽和攻擊預計攻擊者將利用這種混亂來接管帳戶。延遲回應（例如等待 1 分鐘）或額外的身份驗證請求是有效的，並且帳戶鎖定應被視為最後的手段。
（7）加強會話安全性與公司間協作
這個提議在會話安全方面似乎有些薄弱。透過偵測 Cookie 傳送者的瀏覽器和 IP 位址的變更來限制權限而且，企業間共享異常交易檢測訊息（例如，美國網路安全和基礎設施安全局（CISA）和國家安全局（NSA）建議使用OpenID共享訊號框架。）透過包含此類訊息，可以大規模防止詐欺。
（8）術語審查：從“多因素身份驗證”到“高級身份驗證”或“安全客戶身份驗證”
雖然在許多地方添加了“防網絡釣魚”一詞，這似乎沒什麼問題，但“多因素身份驗證”這個術語總體上過於寬泛，而且存在低質量的多因素身份驗證被自動採用的風險。這項提案真正需要強調的是抵禦各種威脅，包括「防網路釣魚」。替換和補充術語將明確其意圖，並有望在實踐中提高品質。
3.最後
此次擬議修訂並非僅僅是一項正式的法規，而是根據最新的攻擊方法和技術趨勢，強調其有效性。我們認為這是在用戶保護與便利性之間取得平衡的開創性嘗試。擬議的改進旨在兼顧更高水準的防禦能力和操作可行性，並充分考慮了現場實踐和最新的國際趨勢。我們對金融服務管理局在製定此類高水準指南方面持續發揮的領導作用抱有高度期待和敬意。