2019年度
実務者説明会(説明会資料抜粋)

日時：2020年2月17日(月) 14時～16時
場所：六本木ファーストビル１階（第１～3会議室)(東京都港区六本木1丁目9番9号 )一般財団法人日本情報経済社会推進協会
電子署名・認証センター

目次
1. 電子署名法と変更認定
2. 認定認証業務の品質維持等に向けた情報共有
2.1 業務関係
2.2 設備関係
3. 電子署名に関する国内の動向

11. 電子署名法と変更認定(1) 電子署名法第3条の「電磁的記録の真正な成立の推定」を支える特定認証業務に関する認定の制度(2) 認定の基準に関する電子署名法等の条文(3) 変更認定に関する電子署名法等の条文(4) 変更認定の考え方(5) 変更認定の実施、及び問合せ状況(6) 変更認定が不要となった事例

2

1. 電子署名法と変更認定(1)電子署名法第3条の「電磁的記録の真正な成立の推定」を支える特定認証業務に関する認定の制度
電 子 署 名 法電子署名法

特定認証業務の認定を受けるためには、どのような技術・設備水準が必要なのか示されており、電子署名の方式や業務の用に供する設備、利用者の真偽確認の方法等が定められ、こうした認定を受けた認証局が発行する電子証明書は、一定レベルの信頼性を保ったものだと判断される。

3

1. 電子署名法と変更認定(2) 認定の基準に関する電子署名法等の条文
電子署名法第四条（認定）
特定認証業務を行おうとする者は、主務大臣の認定を受けることができる。
２ 前項の認定を受けようとする者は、主務省令で定めるところにより、次の事項を記載した申請書その他主務省令で定める書類を主務大臣に提出しなければならない。
一 氏名又は名称及び住所並びに法人にあっては、その代表者の氏名
二 申請に係る業務の用に供する設備の概要
三 申請に係る業務の実施の方法
電子署名法第六条（認定の基準）
主務大臣は、第四条第一項の認定の申請が次の各号のいずれにも適合していると認めるときでなければ、その認定をしてはならない。
一 申請に係る業務の用に供する設備が主務省令で定める基準に適合するものであること。
二 申請に係る業務における利用者の真偽の確認が主務省令で定める方法により行われるものであること。
三 前号に掲げるもののほか、申請に係る業務が主務省令で定める基準に適合する方法により行われるものであること。
※ 解説
電子署名法第六条で定められた「認定の基準」は、さらに施行規則や指針・方針に落ちてきて、より具体的で細かな判断基準が定められ、事業者が実施している業務一つ一つに展開されている。

＜凡例＞○設備の要件・・青字で記載○真偽確認方法・・マゼンタで記載○業務の方法・・緑字で記載
4

1. 電子署名法と変更認定(3) 変更認定に関する電子署名法等の条文
電子署名法 第九条（変更の認定等）
認定認証事業者は、第四条第二項第二号又は第三号の事項を変更しようとするときは、主務大臣の認定を受けなければならない。
ただし、主務省令で定める軽微な変更については、この限りでない。
電子署名法 第四条第二項第二号又は第三号
二 申請に係る業務の用に供する設備の概要
三 申請に係る業務の実施の方法

施行規則 第九条（軽微な変更）
電子署名法第九条第一項ただし書の主務省令で定める軽微な変更は、同一室内における既設の設備と同等以上の性能を有する設備への変更及びその増設とする。
5

1. 電子署名法と変更認定(4) 変更認定の考え方 ～フローチャート～
Step1

変更する内容によって個別判断となる設備又は業務の実施の方法の変更に該当するか？

いいえ

はい
業務の実施の方法の変更

設備の変更

Step2
変更内容は、同一室内における既存の設備と同等以上の性能を有する設備への変更及びその増設のみか？
いいえ
はい

変更認定

必要

電子署名法第９条第１項ただし書きに該当し、変更認定 不要

変更認定

不要

6

1. 電子署名法と変更認定(5) 変更認定の実施、及び問合せ状況◼

実施状況（2019年度）– 業務の実施方法変更に伴う変更認定0件– 設備の変更に伴う変更認定1件◼

問合せ状況（2019年2月1日～2020年1月31日）– 認定認証事業者からの全問合せの内、変更認定に関する問合せの割合は約53%71. 電子署名法と変更認定(6) 変更認定が不要となった事例
昨年(2019年2月)の実務者説明会以降の問合せで、事業者が特定されず、かつ汎用的に参考となる事例を抽出し、変更認定は不要であると判断された事例を紹介する。
なお、施行規則第十二条第一項第四号ホに基づき、認証業務用設備及び施行規則第四条各号（変更の対象となる設備や装置等が該当する号）の基準に適合するために必要な設備の維持管理に関する記録を作成、保存し、更改後の更新調査時に指定調査機関による確認を受ける。
＜業務系＞① 電子委任状法対応 (電子署名法に関する業務の方法の変更がない場合)② 暗号アルゴリズム移行完了に伴う措置等③ CPSに記載の連絡先窓口の部署名等の変更＜設備系＞④ 登録用端末設備の設置場所変更⑤ HSMの更改
81. 電子署名法と変更認定(6)変更認定が不要となった事例－業務関係―① 電子委任状法対応 (電子署名法に関する業務の方法の変更がない場合)（質問）
電子委任状の普及の促進に関する法律への対応として、電子証明書に代理権に関する項目を属性として記載することは、変更認定に該当するか。
（回答）
電子署名法第四条第二項第三号の事項についての変更に当たらないのであれば、変更の認定は不要である。具体的な内容について、指定調査機関に相談して欲しい。
なお、CP/CPSに記述する電子委任状法に対応していることを示すための事項については、電子署名法による認定の対象外であるが、不明瞭であったり他の記述と齟齬のある記述であったりすると認証業務に対する信頼性を損なうおそれを否定できないため、明確かつ適切に記述して欲しい。
9

1. 電子署名法と変更認定(6)変更認定が不要となった事例－業務関係―② 暗号アルゴリズム移行完了に伴う措置等（質問）
暗号アルゴリズムの移行について、SHA-1withRSAで署名された全ての利用者電子証明書の有効期限が切れるため、CP/CPS及び規程類の修正を行うが、変更認定に該当するか。
（回答）
業務において発行された「SHA-1withRSAで署名された利用者電子証明書」の有効期間がすべて満了を迎える場合、実情に即してCP/CPS及び規程類の記述を修正することについては、業務の実施方法の変更とまでは言えず、変更認定は不要である。

10

1. 電子署名法と変更認定(6)変更認定が不要となった事例－業務関係―③ CPSに記載の連絡先窓口の部署名等の変更（質問）
CPSに記載の連絡先窓口の組織名称等を変更することとなった場
合、変更認定に該当するか。

（回答）
法人名称の変更であれば、法第九条第四項のとおり、主務大臣への届け出が必要となる。また、規則第六条第一項第十三号に基づき、指針第十二条第一項第一号では「認証業務の実施に関する規程」の掲載事項として、事業者の名称及び連絡先の規定を求めている。したがって、CPSに記載されている事業者の名称に変更があった場合、CPSの該当箇所を修正する必要があるが、業務の実施方法の変更とまでは言えず、変更認定は不要である。
11

1. 電子署名法と変更認定(6)変更認定が不要となった事例－設備関係―④ 登録用端末設備の設置場所変更（質問）
登録用端末設備の設置場所を変更することは、変更認定に該当するか。
なお、新しい設置場所は、現在の設置場所同様、指針第四条第二号に規定されている「関係者以外が容易に登録用端末設備又は利用者識別設備に触れることができないようにするための施錠等の措置」が講じられる。
（回答）
登録用端末設備の設置場所変更のみの場合は、設備の概要の変更に該当しないため、変更認定は不要である。
ただし、設置場所変更に伴って、設備を増設したり、不正なアクセス等を防止する措置を変更したりする場合は変更認定が必要になるため、あらかじめ変更認定の必要性を問い合わせること。
12

1. 電子署名法と変更認定(6)変更認定が不要となった事例－設備関係―⑤ HSMの更改（質問）
HSMの老朽化に伴い、現在のHSMと同等以上の性能をもつHSMに更改することは、変更認定に該当するか。

（回答）
現在のHSMと同等以上の性能をもつ装置に変更することは、電子署名法第９条第１項ただし書きの軽微な変更に該当するため、変更認定は不要である。
ただし、HSMの変更に伴い、発行者署名符号の生成手順を変更する場合や、複数の者による発行者署名符号の作成及び管理その他当該発行者署名符号の漏えいを防止するために必要な措置を変更する場合など、他の要件を変更する場合は変更認定が必要になるため、あらかじめ変更認定の必要性を問い合わせること。

13

2. 認定認証業務の品質維持等に向けた情報共有
2.1 業務関係(1) 規程・手順の適切な作成と遵守(2) 誤発行等の事例紹介(3) 遅滞なく失効すべき事例(4) 電子証明書の重複発行（失効漏れ）(5) 失効通知(6) 帳簿書類の保存状況(7) 更新調査中、更新の認定前のCP/CPS改定、公開
2.2 設備関係(1) ログ欠損(2) 不適切な権限設定(3) 設備更改時の設定漏れ
2.3 障害時の対応

14

2.1 業務関係(1) 規程・手順の適切な作成と遵守(1/2)◼

電子署名法に対する不適合の予防– 規程・手順の遵守、業務の実態に即した見直し– 業務の実施記録の帳簿には、実施日付、実施者、責任者（＊）◼

(参考) ハインリッヒの法則 (労働災害、品質管理など)– 重大事故・災害1件の陰に◼

29件の軽微な事故・災害◼

300件のヒヤリハット(事故にいたらない、ヒヤリ ハッとする事象)– 重大事故の防止には、ヒヤリハットの撲滅＊責任者を記録する必要がある帳簿（調査項番4106、4108、4109、4204、4301～4305、4404～4407）

15

2.1 業務関係(1) 規程・手順の適切な作成と遵守(2/2)◼

電子署名法に対する不適合の予防:– 規程・手順の遵守、業務の実態に即した見直し、情報共有◼ 規程・手順の見直しの意図、理由、背景を共有し検討する。
◼ 規程・手順の教育では、関連する施行規則や指針等の条文を提示し、電子署名法を遵守する重要性を認証業務全体で共有する。
◼ 日常的、定期的に、違反には至らなかった「ヒヤリハット事例」を収集し、共有 (朝礼・終礼・小集団活動など)◼ 規程・手順が不明瞭であったり、要員が理解し辛かったりした場合等、規定された内容が適切に共有、認識されるよう迅速に検討し改訂する。
◼ リスク検出を容易にするために、チェック項目の追加や表現形式の変更等により、作業記録様式を改善する。
– 業務の実施記録の帳簿には実施日付、担当者、責任者を記録◼ 担当者に対する責任者の管理・監督– 実施前の可否判断– 実施後の可否判断– 規定された記録の保存場所の徹底
16