平成28年度（2017年）
実務者説明会(説明会資料抜粋)

日時：平成29年2月23日(木) 14時～16時
場所：六本木ファーストビル１階（第１～3会議室)(東京都港区六本木1丁目9番9号 )一般財団法人日本情報経済社会推進協会
電子署名・認証センター

目次
1. 電子署名法と変更認定
2. 認定認証業務の品質維持等に向けた情報共有
2.1 業務関係
2.2 設備関係
3. 電子署名に関する国内の動向
4. 指定調査機関からのお願いとお知らせ

11. 電子署名法と変更認定(1) 法第3条の「電磁的記録の真正な成立の推定」を支える
特定認証業務に関する認定の制度(2) 認定の基準に関する電子署名法令等の条文(3) 変更認定に関する電子署名法等の条文(4) 変更認定の考え方(5) 変更認定の実施、及び問合せ状況(6) 変更認定が不要となった事例

2

1. 電子署名法と変更認定(1) 法第3条の「電磁的記録の真正な成立の推定」を支える特定認証業務に関する認定の制度

特定認証業務の認定を受けるた
めには、どのような技術・設備水準が必要なのか示されており、電子署名の方式や業務の用に供する設備、利用者の真偽確認の方法等が定められ、こうした認定を受けた認証局が発行する電子証明書は、一定レベルの信頼性を保ったものだと判断される。

3

1. 電子署名法と変更認定(2) 認定の基準に関する電子署名法令等の条文
法第四条（認定）
特定認証業務を行おうとする者は、主務大臣の認定を受けることができる。
２ 前項の認定を受けようとする者は、主務省令で定めるところにより、次の事項を記載した申請書その他主務省令で定める書類を主務大臣に提出しなければならない。
一 氏名又は名称及び住所並びに法人にあっては、その代表者の氏名
二 申請に係る業務の用に供する設備の概要
三 申請に係る業務の実施の方法
法第六条（認定の基準）
主務大臣は、第四条第一項の認定の申請が次の各号のいずれにも適合していると認めるときでなければ、その認定をしてはならない。
一 申請に係る業務の用に供する設備が主務省令で定める基準に適合するものであること。
二 申請に係る業務における利用者の真偽の確認が主務省令で定める方法により行われるものであること。
三 前号に掲げるもののほか、申請に係る業務が主務省令で定める基準に適合する方法により行われるものであること。
※ 解説
法第六条で定められた「認定の基準」は、さらに施行規則や指針・方針に落ちてきて、より具体的で細かな判断基準が定められ、事業者が実施している業務一つ一つに展開されている。
＜凡例＞○設備の要件・・青字で記載○真偽確認方法・・マゼンタで記載○業務の方法・・緑字で記載
4

1. 電子署名法と変更認定(3) 変更認定に関する電子署名法等の条文
電子署名法 第九条（変更の認定等）
認定認証事業者は、第四条第二項第二号又は第三号の事項を変更しようとするときは、主務大臣の認定を受けなければならない。
ただし、主務省令で定める軽微な変更については、この限りでない。
電子署名法 第四条第二項第二号又は第三号
二 申請に係る業務の用に供する設備の概要
三 申請に係る業務の実施の方法
施行規則 第九条
法第九条第一項ただし書の主務省令で定める軽微な変更は、同一室内における既設の設備と同等以上の性能を有する設備への変更及びその増設とする。

5

1. 電子署名法と変更認定(4) 変更認定の考え方 ～フローチャート～
Step1

設備又は業務の実施の方法の変更に該当するか？

変更する内容によって個別判断となる

いいえ

はい業務の実施の方法の変更

設備の変更

Step2
変更内容は、同一室内における既存の設備と同等以上の性能を有する設備への変更及びその増設のみか？
いいえ
はい

変更認定 必要施行規則第９条の軽微な変更に該当し、変更認定 不要

変更認定 不要61. 電子署名法と変更認定(5) 変更認定の実施、及び問合せ状況○実施状況（2016年度）
本人確認の変更に伴う変更認定1件のみ○問合せ状況（2016年2月1日～2017年1月20日）
認定認証事業者からの全問合せの内、変更認定に関する問合せの割合は43%
分類種類

変更認定に関する問合せの件数設備機器・設定変更

11部屋移動・変更

7

本人確認方法の変更

3

帳簿保管場所の移動・増設

3

業務7

1. 電子署名法と変更認定(6) 変更認定が不要となった事例
前年の実務者説明会以降の問合せで、変更認定は不要であると判断された事
例を紹介する。事業者が特定されず、かつ汎用的に参考となる事例を抽出して紹介する。
なお、施行規則第十二条第一項第四号ホに基づき、認証業務用設備及び施行規則第四条各号（変更の対象となる設備が該当する号）の基準に適合するために必要な設備の維持管理に関する記録を作成、保存し、更改後の更新調査時に指定調査機関による確認を受けること。
＜設備系＞①設備間の通信回線の変更②仮想環境での運用③監視カメラ等の交換④認証設備室の監視室の移転＜業務系＞⑤帳簿書類の保管場所の変更
81. 電子署名法と変更認定(6)変更認定が不要となった事例①設備間の通信回線の変更（質問）
RA設備とIA設備間の通信回線をISDN回線からインターネット常時接続に変更することを考えている。
変更する際は、現状でも実施している不正アクセス防止や、設備間の誤認・盗聴・改変を防止する対策を行う。更にインターネット上でのSSL/TLS通信の使用について十分なセキュリティ対策（最新のバージョンの使用など）を実施する。変更認定は必要であるか。

（回答）
設備間の通信回線をお問合せのように変更することは、法第四条第二項第二号に規定する設備の概要の変更には該当しないため、変更認定は不要である。
現状でも実施している対策や、SSL/TLS通信に十分なセキュリティ対策を実施することにより、指針第五条第二号の「設備の誤認並びに通信の内容の盗聴及び改変を防止する措置」に変更がないように留意する。

9

1. 電子署名法と変更認定(6)変更認定が不要となった事例②仮想環境での運用（質問）
認証設備室に設置しているAPサーバとDBサーバを、1台の仮想サーバ上で運用することを考えている。仮想化されたAPサーバ、DBサーバで使用するソフトウエアやその設定は、現状と同じもので運用する。変更認定は必要であるか。

（回答）
仮想化されたAPサーバやDBサーバが、現行のものと同等以上の性能を有している場
合、 施行規則第九条で定める軽微な変更に該当するため、変更認定は不要である。

10

1. 電子署名法と変更認定(6)変更認定が不要となった事例③監視カメラ等の交換（質問）
認証設備室の遠隔監視用のカメラや、モーションセンサの老朽化に伴い、交換を検討している。交換するカメラやモーションセンサは現在と同等の機能のものである。変更認定は必要であるか。

（回答）
交換するカメラやモーションセンサが、現行のものと同等以上の性能を有している場合、施行規則第九条で定める軽微な変更に該当するため、変更認定は不要である。

11

1. 電子署名法と変更認定(6)変更認定が不要となった事例④認証設備室の監視室の移転（質問）
認証設備室の不正侵入等を監視している監視室の移転、及び監視室の機器の移設を考えている。移設時は認証設備室に入室権限者２名以上を在室させ異常がないことを確認する。変更認定は必要であるか。

（回答）
移設した監視室及び機器が、現行のものと同等以上の性能を有している場合、施行規則第九条で定める軽微な変更に該当するため、変更認定は不要である。

12

1. 電子署名法と変更認定(6)変更認定が不要となった事例⑤帳簿書類の保管場所の変更（質問）
帳簿書類を保管している部屋が手狭になってきたため、大きな部屋に保管場所を変更したいと考えている。
保管場所変更後は、従来使用していた書棚等を移設してそのまま保管する。部屋の仕様は従来の部屋と全く同様で、保管方法についても、従来の部屋と同様に実施する。変
更認定は必要であるか。

（回答）
帳簿書類の保管方法に変更がなく、保管場所のみの変更であれば、法第四条第二項第三号に規定する業務の実施の方法の変更には該当せず、変更認定は不要である。

13

2. 認定認証業務の品質維持等に向けた情報共有
2.1 業務関係(1)不要な失効の防止(2)手順の厳格な遵守(3)住所の真偽確認ルールの統一(4)誤発行の事例紹介(5)個人情報（生体情報／画像情報）の扱い(6)（参考）監査と調査
2.2 設備関係(1)ログ消失の防止(2)入退出管理装置の発報設定漏れ

142.1 認定認証業務の品質維持等に向けた情報共有 (業務関係)(1) 不要な失効の防止 (1/2)


法令に規定された失効の事由– 利用者からの請求(施行規則第六条第十号、 指針第八条第三号)– 電子証明書に記録された事項に事実と異なるものが発見されたとき(同上)– 利用者署名符号が危殆化し、又は危殆化したおそれがある場合(指針第八条第三号)– 認定認証業務の廃止 (指針第十二条第二項)– 発行者署名符号が危殆化し、又は危殆化した恐れがある場合(方針第4第８項(3)ア)– 利用者署名符号を認定認証事業者が作成した場合で、安全かつ確実に利用者に渡すことができない場合(施行規則第六条第三号、方針第4第2項(1)ウ)

失効すべきその他の事由– 記録媒体(ICカード等)の券面の表示不備、料金の未納、上記の各事由に発展するおそれのある場合など、認証業務が必要と判断した場合
15

2.1 認定認証業務の品質維持等に向けた情報共有 (業務関係)(1) 不要な失効の防止(2/2)
まとめ– 電子証明書に記録された事項に、真偽確認結果との齟齬がなければ、失効する必要はない。

16

2.1 認定認証業務の品質維持等に向けた情報共有 (業務関係)(2) 手順の厳格な遵守 (1/2)


電子署名法に対する不適合の予防:– 手順の厳格な遵守、業務の実態に即した見直し– 業務の実施記録の帳簿に、実施日付、実施者、責任者(参考) ハインリッヒの法則 (労働災害、品質管理など)– 重大事故1件の陰に– 29件の軽度事故– 300件のヒヤリハット(事故に至らない、ひやり、はっとする事象)– 重大事故の防止には、ヒヤリハットの撲滅

172.1 認定認証業務の品質維持等に向けた情報共有 (業務関係)(2) 手順の厳格な遵守 (まとめ) (2/2)
電子署名法に対する不適合の予防:– 手順の厳格な遵守、業務の実態に即した見直し（例） 手順の見直し、変更時は、意図、理由、背景も情報共有して議論する。
 日常的、あるいは定期的に、違反には至らなかった「ヒヤリハット事例」の収集と情報共有を実施する。
– 業務の実施記録の帳簿に、実施日付、担当者、責任者
 担当者に対する責任者の管理・監督– 実施前の可否判断– 実施後の可否判断(記録内容を精査の上で承認)– 記録の保管場所の徹底
18

2.1 認定認証業務の品質維持等に向けた情報共有 (業務関係)(3) 住所の真偽確認ルールの統一「住所の真偽確認ルール一覧表」が2016年9月30日付けで電子認証局会議にて制定された。
– 認定認証事業者にて情報共有(電子認証局会議の非会員には、指定調査機関を経由)
事務取扱要領等から参照する等、認定認証業務の効率向上に活用可能。

19

2.1 認定認証業務の品質維持等に向けた情報共有 (業務関係)(5) 個人情報（生体情報／映像情報）の扱い（1/2）＜電子署名及び認証業務に関する法律に基づく特定認証業務の認定に係る指針第四条第一号イ又はニに基づく要件＞① 生体情報：認証設備室に入室するため要員の生体情報が入退室管理装置等に記録され、入退室の記録が保存される（生体情報は、改正個人情報保護法の「個人識別符号」に該当）② 映像情報：認証設備室に入室した要員や非入室権限者の映像情報が、映像記録装置に記録され、一定期間保存される

23

2.1 認定認証業務の品質維持等に向けた情報共有 (業務関係)(5) 個人情報（生体情報／映像情報）の扱い（2/2）


当該個人情報の取得に際して個人情報保護法から見た必要な措置– ①②いずれの場合も、当該情報の取得は個人情報保護法第18条第1項の「個人情報を取得した場合」に該当し、当該個人情報の「利用目的を、本人に通知し、又は公表」する必要がある。

– ①の場合であれば、電子署名法施行規則の要件に基づき、生体登録時に生体情報が取得され登録されること、入退室の記録が一定期間保存されることを本人に説明し、同意を得る。（例えば、生体登録時の記録用紙等に当該事項を明記した上で登録させる）– ②の場合であれば、電子署名法施行規則の要件に基づき、入室の間の映像記録が取得（録画）され、一定期間保存されることを、認定認証業務に関連するホームページやCP/CPS等の公開資料により公表する。
– 加えて、②の場合は隠し撮り等の疑念を持たれないように、監視カメラが作動中であることを認証設備室内に掲示することが推奨される。
24

2.1 認定認証業務の品質維持等に向けた情報共有 (業務関係)(6) (参考) 監査と調査

調査:事を明らかにするために調べること。
(大辞林 第三版、三省堂より抜粋)



監査:正確性、適正性あるいは妥当性などを判断し、監査人の責任において意見を表明すること。
(日本大百科全書(ニッポニカ) 、小学館より抜粋)＜指定調査機関による調査＞
法令に適合している(法第6条)ことを明らかにするために、みなし公務員として(法23条2項)実地の調査を行い(法第6条2項)、その結果を主務三省にご報告(通知)している(法第17条4項)。
不適合状態が検出されれば、指摘を行う。
25