日欧電子署名の法制度の比較
2017年7月4日＠日欧インターネットトラストシンポジウム
株式会社コスモス・コーポレイション 濱口 総志

CosmosPOFESSIONALS OF SAFETY ENGINEERING

eIDAS規則と電子署名法
eIDAS規則における電子署名の定義
eIDAS規則第３条(10)(11)(12)「電子署名」とは、電子データに添付されている又は論理的に関係している電子形式のデータであり、署名者が署名する為に使用するものをいう「先進電子署名」とは、第26条で規定される要求事項に適合する電子署名をいう「適格電子署名」とは、適格電子署名生成装置を利用して生成され、電子署名の為の適格証明書に順ずる先進電子署名をいう

先進電子署名（26条）

署名者に一意的にリンクしている；
署名者を識別することができる；
署名者が、本人単独の管理のもとに、高いレベルの信頼を持って使用することができる電子署名生成データを使って作成されている；
その後のデータへの変更を検知できる方法で署名されたデータにリンクされている。
➡ PKIベースの電子署名

CosmosPOFESSIONALS OF SAFETY ENGINEERING

eIDAS規則と電子署名法
適格電子証明書eIDAS規則 第3条 （15）
「電子署名の為の適格証明書」とは、適格トラストサービスプロバイダによって発行され、付属書 Iの要求事項を満たす電子署名証明書をいう；
適格トラストサービスプロバイダ➡設備、本人確認方法及び運営が
eIDAS規則に適合していると監督機関（国）からお墨付きを得ている事業者

CosmosPOFESSIONALS OF SAFETY ENGINEERING

eIDAS規則と電子署名法
eIDAS規則における電子署名の定義
eIDAS規則第３条(10)(11)(12)「電子署名」➡電子形式の署名「先進電子署名」➡PKIベースの電子署名（デジタル署名）で基準（ETSI規格）を満たすもの「適格電子署名」➡適格電子証明書とICカードのような安全な装置を用いた先進電子署名

CosmosPOFESSIONALS OF SAFETY ENGINEERING

eIDAS規則と電子署名法
日本における電子署名の定義
電子署名及び認証業務に関する法律
第二条
この法律において「電子署名」とは、電磁的記録（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式で作られる記録であって、電子計算機による情報処理の用に供されるものをいう。以下同じ。）に記録することができる情報について行われる措置であって、次の要件のいずれにも該当するものをいう。
一二

当該情報が当該措置を行った者の作成に係るものであることを示すためのものであること。
当該情報について改変が行われていないかどうかを確認することができるものであること。

CosmosPOFESSIONALS OF SAFETY ENGINEERING

eIDAS規則と電子署名法
電子署名法における特定認証業務
第二条

２ この法律において「認証業務」とは、自らが行う電子署名についてその業務を利用する者（以下「利用者」という。）その他の者の求めに応じ、当該利用者が電子署名を行ったものであることを確認するために用いられる事項が当該利用者に係るものであることを証明する業務をいう。
３ この法律において「特定認証業務」とは、電子署名のうち、その方式に応じて本人だけが行うことができるものとして主務省令で定める基準に適合するものについて行われる認証業務をいう。
＊PKIベース

CosmosPOFESSIONALS OF SAFETY ENGINEERING

eIDAS規則と電子署名法
電子署名法における認定認証業務
第四条
特定認証業務を行おうとする者は、主務大臣の認定を受けることができる。
（認定の基準）一 申請に係る業務の用に供する設備が主務省令で定める基準に適合するものであること。
二 申請に係る業務における利用者の真偽の確認が主務省令で定める方法により行われるものであること。
三 前号に掲げるもののほか、申請に係る業務が主務省令で定める基準に適合する方法により行われるものであること。
認証業務➡電子署名が署名者によって行われたことを証明するサービス
特定認証業務➡認証業務の内、PKIベースのサービスで基準（関係指針）を満たすもの
認定認証業務
➡特定認証業務について、主務大臣の認定を受けたサービス

CosmosPOFESSIONALS OF SAFETY ENGINEERING

eIDAS規則と電子署名法
電子署名の法的効力
eIDAS規則第25条
電子署名は、それが電子形式である、又は適格電子署名の要求事項を満たさないという理由だけで、法的効力及び法的手続きにおける証拠としての能力を否定されないこと。
適格電子署名は、手書き署名と同等の法的効力をもつこと。

電子署名及び認証業務に関する法律
第三条
電磁的記録であって情報を表すために作成されたもの（公務員が職務上作成したものを除く。）は、当該電磁的記録に記録された情報について本人による電子署名（これを行うために必要な符号及び物件を適正に管理することにより、本人だけが行うことができることとなるものに限る。）が行われているときは、真正に成立したものと推定する。

CosmosPOFESSIONALS OF SAFETY ENGINEERING

日欧電子署名の定義の比較
EU

日本

適格電子署名➡適格証明書＋適格署名生成装置＋先進電子署名

法適合

先進電子署名➡PKIベースの電子署名（デジタル署名）で基準（ETSI規格）を満たすもの

電子署名➡電子形式の署名

技術適合その他の方式

CosmosPOFESSIONALS OF SAFETY ENGINEERING

認定認証業務で発行される電子証明書に基づいた電子署名

特定認証業務で発行される電子証明書に基づいた電子署名

電子署名➡電子形式の署名

製品評価制度eIDAS規則対応の為の製品評価
HSM及び適格電子署名生成装置➡CC EAL4+及びProtection Profile＊FIPS 140-2?
コモンクライテリア評価／認証の課題➡CCRAの相互承認はEAL2まで

CosmosPOFESSIONALS OF SAFETY ENGINEERING

認定制度の比較
適格トラストサービスプロバイダ➡24ヶ月毎の認定と認定更新➡認定基準：ETSI EN規格及びeIDAS規則➡認定結果はトラストリストによって公開認定認証事業者➡1年毎の認定更新➡認定基準:施行規則／指針➡認定結果は官報によって公開

CosmosPOFESSIONALS OF SAFETY ENGINEERING

監督制度
トラストサービスプロバイダの監督適格トラストサービスプロバイダ≒認定認証事業者
EUでは適格でないトラストサービスプロバイダも監督対象

CosmosPOFESSIONALS OF SAFETY ENGINEERING

認定制度の比較
EU日本Cosmos
POFESSIONALS OF SAFETY ENGINEERING

認定基準の比較
EN 319 401, 411-1,-2と施行規則／指針の要求比較

認定基準の比較
ETSI EN規格の特徴
 マネジメントシステムベース（27002）





リスクアセスメント
プロセスのデモンストレーション

財務上の要求要員のバックグラウンドチェック
懲罰
廃局時の要求CA/Bフォーラムの要求

CosmosPOFESSIONALS OF SAFETY ENGINEERING

認定基準の比較
施行規則／指針の特徴


適合例の明示

暗号モジュールに対する詳細な要求
サンプルチェック

CosmosPOFESSIONALS OF SAFETY ENGINEERING

まとめ
日欧電子署名の法制度のギャップ
1．適格電子署名生成装置
EUでは適格電署名には適格電子署名生成装置の利用が必須
日本では、鍵管理は、署名者の自己責任➡リモート署名の可能性
便利だけでなく、よりセキュアに
2. HSM及び署名生成装置の製品評価
3．トラストリスト
複数の制度間の相互運用／承認の為のトラストリスト或はブリッジ認証局
4．認定基準のギャップ
文化の違い、IETF RFC3647との整合性
5．タイムスタンプ等の他のトラストサービス

CosmosPOFESSIONALS OF SAFETY ENGINEERING

ご清聴ありがとうございました

ご質問等御座いましたら、
コスモス・コーポレイション
ITセキュリティ課
濱口 総志
s.hamaguchi@cosmos-corp.com
までご連絡ください。

CosmosPOFESSIONALS OF SAFETY ENGINEERING