関係者外秘2023年度
実務者説明会（説明会資料抜粋版）
2024年2月15日（木）14時～16時
一般財団法人日本情報経済社会推進協会
デジタルトラスト評価センター

Copyright © 2024 JIPDEC all rights reserved1関係者外秘1. 電子署名法と変更認定
2. 認定認証業務の品質維持等に向けた情報共有

2.1 業務系

CONTENTS

2.2 設備系

3. 電子署名に関する国内の動向
4. 指定調査機関からのお願いとお知らせ

5. 質疑応答

Copyright © 2024 JIPDEC all rights reserved2

関係者外秘1

電子署名法と変更認定

Copyright © 2024 JIPDEC all rights reserved3関係者外秘1. 電子署名法と変更認定◼ 1.1 変更認定に関する考え方の整理
電子署名法第３条の「電磁的記録の真正な成立の推定」を支える特定認証業務に関する認定の制度
認定の基準に関する電子署名法等の条文

変更認定に関する電子署名法等の条文
変更認定の考え方◼ 1.2 変更認定が不要となった事例
業務系
設備系◼ 1.3変更認定が必要となった事例
業務系
設備系
Copyright © 2024 JIPDEC all rights reserved4関係者外秘1.1 変更認定に関する考え方の整理(1) 電子署名法第３条の「電磁的記録の真正な成立の推定」を支える
特定認証業務に関する認定の制度

国:『電子署名及び認証業務に関する法律』(電子署名法)

特定認証業務の認定を受けるためには、どのような技術・設備水準が必要なのか示されており、電子署名の方式や業務の用に供する設備、利用者の真偽確認の方法等が定められ、こうした認定を受けた認証局が発行する電子証明書は、一定レベルの信頼性を保ったものだと判断される

Copyright © 2024 JIPDEC all rights reserved5関係者外秘1.1 変更認定に関する考え方の整理(2) 認定の基準に関する電子署名法等の条文
電子署名法第４条（認定）
特定認証業務を行おうとする者は、主務大臣の認定を受けることができる。
２ 前項の認定を受けようとする者は、主務省令で定めるところにより、次の事項を記載した申請書その他主務省令で定める書類を主務大臣に提出しなければならない。
一 氏名又は名称及び住所並びに法人にあっては、その代表者の氏名
二 申請に係る業務の用に供する設備の概要
三 申請に係る業務の実施の方法
電子署名法第６条（認定の基準）
主務大臣は、第４条第１項の認定の申請が次の各号のいずれにも適合していると認めるときでなければ、その認定をしてはならない。
一 申請に係る業務の用に供する設備が主務省令で定める基準に適合するものであること。
二 申請に係る業務における利用者の真偽の確認が主務省令で定める方法により行われるものであること。
三 前号に掲げるもののほか、申請に係る業務が主務省令で定める基準に適合する方法により行われるものであること。
※ 解説
電子署名法第六条で定められた「認定の基準」は、さらに施行規則や指針・方針に落ちてきて、より具体的で細かな判断基準が定められ、事業者が実施している業務一つ一つに展開されている。

＜凡例＞○設備の要件・・青字で記載

Copyright © 2024 JIPDEC all rights reserved○業務の方法・・緑字で記載

6

関係者外秘1.1 変更認定に関する考え方の整理(3) 変更認定に関する電子署名法等の条文
電子署名法 第９条（変更の認定等）
認定認証事業者は、第４条第２項第２号又は第３号の事項を変更しようとするときは、主務大臣の認定を受けなければならない。
ただし、主務省令で定める軽微な変更については、この限りでない。
電子署名法 第４条第２項第２号又は第３号
二 申請に係る業務の用に供する設備の概要
三 申請に係る業務の実施の方法

施行規則 第９条（軽微な変更）
電子署名法第９条第１項ただし書の主務省令で定める軽微な変更は、同一室内における既設の設備と同等以上の性能を有する設備への変更及びその増設とする。

Copyright © 2024 JIPDEC all rights reserved7

関係者外秘1.1 変更認定に関する考え方の整理(4) 変更認定の考え方～フローチャート～

変更する内容によって個別判断となる

Step1

いいえ

設備又は業務の実施の方法の変更に該当するか？

はい業務の実施の方法の変更

設備の変更

Step2

変更内容は、同一室内における既存の設備と同等以上の性能を有する設備への変更及びその増設のみか？

いいえ
はい

変更認定

Copyright © 2024 JIPDEC all rights reserved

必要

電子署名法第９条第１項ただし書きに該当し、変更認定 不要

変更認定 不要8

関係者外秘1.2 変更認定が不要となった事例
昨年(2023年2月)の実務者説明会以降の問合せで、事業者が特定されず、かつ汎用的に参考となる事例を抽出し、変更認定は不要であると判断された事例を紹介する。
なお、施行規則第１２条第１項第４号ホに基づき、認証業務用設備及び施行規則第４条各号（変更の対象となる設備や装置等が該当する号）の基準に適合するために必要な設備の維持管理に関する記録を作成、保存し、更改後の更新調査時に指定調査機関による確認を受ける。

＜業務系＞①個人情報の取扱に関する事項の規程公開方法の変更＜設備系＞②建物のレイアウト変更に伴う事務室の移動③登録用端末設備を収容するラックの設置場所変更④ファイアウォール・侵入検知システムの更改⑤認証業務用設備の仮想化⑥ヘルプデスクシステムのクラウドサービス移行について
Copyright © 2024 JIPDEC all rights reserved9関係者外秘1.2 変更認定が不要となった事例① 質問

個人情報の取扱いに関する事項の規定・公開方法の変更について会社としての「個人情報保護方針」が公開されているところ、当該方針と異なる事項、当該方針に記載が無い事項を、CP/CPS、利用規約/利用約款等に規定することで、当該方針と重複がないように整理して公開することとし、また、利用申込み時には、当該方針、CP/CPS、利用規約/利用約款等に対する同意を得る対応とすることで差し支えないでしょうか。

回答
上記お問合せの範囲内で個人情報の取扱いに関する事項の規定・公開方法を変更することは可能であると思料します。変更に際しては、申込画面および関係する規程・帳票等に明確かつ適切に規定し、関係する要員へ教育を実施し、記録を残してください。また、次回更新調査の際に、指定調査機関の確認を受けてください。

Copyright © 2024 JIPDEC all rights reserved

10関係者外秘1.2 変更認定が不要となった事例②

質問
建物のレイアウト変更に伴う事務室の移動
建物のレイアウト変更に伴い、事務室に保管された施行規則第１２条第１項各号に従い求められる帳簿の保存場所を、同一建屋内の別フロアに移動します。この変更は、軽微な変更で実施可能でしょうか。

回答
移動先の保管場所について、施行規則第６条第１５号ヘに従い求められる調査表3C56のそれぞれの要件を満たした上で、運搬時における帳簿の漏洩、滅失棄損防止の対策が講じられ、上記お問合せの範囲内で保管場所を変更することは、電子署名法第４条第２項第３号に規定する業務の実施の方法の変更には該当せず、変更認定は不要であると思料します。
なお、保管場所の変更に際しては、移動対象の帳簿書類の運送、保存等に関して記録を作成、保存いただき、帳簿移動後の更新調査時に指定調査機関による確認を受けていただきますようお願いいたします。

Copyright © 2024 JIPDEC all rights reserved11関係者外秘1.2 変更認定が不要となった事例③ 質問

登録用端末設備を収容するラックの設置場所変更
登録用端末設備が収容されているラック内の機器を、認証設備室内のラックに移設する予定です。変更認定の要否を確認させてください。

回答
平成25年度における実務者説明会において、「登録用端末設備が設置された室の設置場所の変更」について、以下のとおり整理されています。
登録用端末設備室の設置場所変更のみの場合は、設備の概要の変更に該当しないため、変更認定は不要である。
ただし、設置場所変更に伴って、設備を増設したり、不正なアクセス等を防止する措置を変更したりする場合は、変更認定が必要であるため、あらかじめ変更認定の必要性を問い合わせること。

上記整理に従い、変更認定は不要であると思料します。

Copyright © 2024 JIPDEC all rights reserved12関係者外秘1.2 変更認定が不要となった事例④

質問
ファイアウォール・侵入検知システムの更改
ファイアウォール・侵入検知システムの機種を更改する予定です。更改予定の機器においても、ファイアウォール・侵入検知システムに関連する調査表の措置状況は引き続き担保可能であり、性能は「同時セッション最大数」を除き向上し、低下する「同時セッション最大数」においても現行の通信量を十分に処理可能な性能です。変更認定は不要であると考えていますがその認識でよいでしょうか。

回答
上記お問合せの範囲内であれば、電子署名法施行規則第９条で定めた軽微な変更に該当し、変更認定は不要であると思料します。実施に際しましては、以下の事項にご留意いただき、実施後の更新調査時に、指定調査機関による確認を受けていただきますようお願いいたします。
• 施行規則第１２条第１項第４号ロに基づき、機器リプレース前の施行規則第４条第２号の措置に関する記録を作成、保存いただき、当該記録に欠損が生じないようにしてください。
• 施行規則第１２条第１項第４号ホに基づき、施行規則第４条各号（今回の場合は同条第２号、第３号）の基準に適合するために必要な設備の維持管理に関する記録を作成し、保存してください。
• 施行規則第１２条第１項第４号トに基づき、廃棄（返却）する機器のデータに関する完全消去等を実施いただいた上で、その記録を作成し、保存してください。
Copyright © 2024 JIPDEC all rights reserved13関係者外秘1.2 変更認定が不要となった事例⑤

質問

認証業務用設備の仮想化
現行システムは複数の物理サーバで構成されていますが、仮想化による集約を検討しております。仮想サーバを搭載する物理サーバは、現行と同じく認証設備室内の専用ラックに設置します。仮想サーバ上には現行システムの各機能を論理的に分離して構成し、各機能間はファイアウォールを経由しての通信のみを可能とします。本件が変更認定の対象となるか否かについて確認させてください。

回答
上記お問合せの範囲内で、サーバを仮想化することは、電子署名法施行規則第９条で定めた軽微な変更に該当し、変更認定は不要であると思料します。実施に際しましては、以下の事項にご留意いただき、実施後の更新調査時に、指定調査機関による確認を受けていただきますようお願いいたします。
• 施行規則第１２条第１項第４号ハに基づき、機器移設前の施行規則第４条第３号の措置に関する記録を作成、保存いただき、当該記録に欠損が生じないようにしてください。
• 施行規則第１２条第１項第４号ホに基づき、施行規則第４条各号（今回の場合は同条第２号、第３号）の基準に適合するために必要な設備の維持管理に関する記録を作成し、保存してください。
• 施行規則第１２条第１項第４号トに基づき、廃棄（返却）する機器のデータに関する完全消去等を実施いただいた上で、その記録を作成し保存してください。
Copyright © 2024 JIPDEC all rights reserved14関係者外秘1.2 変更認定が不要となった事例
質問⑥ ヘルプデスクシステムのクラウドサービス移行についてヘルプデスクが受けた問い合わせに関する情報を記録するヘルプデスクシステムをオンプレで構築していましたが、クラウドサービスに移行する予定です。ヘルプデスク業務では、申し込み前の問合せや、電子証
明書配付後のシステム操作方法に関する問い合わせ対応を行っており、認証業務にあたる手続きは行っていません。ヘルプデスクシステムへの利用者情報の入力補助を目的として、登録用端末設備内に保存されている電子証明書の申込みに係る情報を、ヘルプデスクシステムに連携しています。変更認定の要否を確認させてください。

回答
お問合せのヘルプデスクシステムを使用する際に連携される申込情報は、施行規則第６条第１５号へに規定された「利用者の真偽の確認に関して知り得た情報」であることから、調査表3C51 から3C54 の適合例に記載された個人情報としての管理が求められます。その観点から、ヘルプデスクシステムをクラウドサービスに切り替えることによって、個人情報の管理として影響を受ける部分について、措置状況に記載が必要となると思料します。上記お問合せの範囲では、法第４条第２項第３号の事項の変更に該当するとは言えず、変更認定の必要はないと思料します。
クラウドサービス採用後の更新調査では、当該登録用端末設備からクラウドサービスに対する接続等の措置状況について、施行規則第６条第１５号ヘに従い、目的外使用が禁止されていることについて、指定調査機関による確認を受けていただきますようお願いいたします。
Copyright © 2024 JIPDEC all rights reserved15関係者外秘1.3 変更認定が必要となった事例
昨年(2023年2月)の実務者説明会以降の問合せで、事業者が特定されず、かつ汎用的に参考となる事例を抽出し、変更認定が必要であると判断された事例を紹介する。

＜業務系＞①利用者の真偽確認の自動化②帳簿書類の廃棄業務の委託、再委託

Copyright © 2024 JIPDEC all rights reserved16関係者外秘1.3 変更認定が必要となった事例 －業務系－① 質問

利用者の真偽確認の自動化
利用者の真偽確認の自動化を検討しています。電子署名により利用者の真偽の確認を行うこと、施行規則第１２条第１項第１号ニにおいて作成する帳簿書類として「利用の申込みに対する諾否を決定した者の氏名」とあるところは、その責任を有する者の氏名を帳簿書類に保存することを人為的な対応なしに自動的に行うことは可能でしょうか。

Copyright © 2024 JIPDEC all rights reserved17関係者外秘1.3 変更認定が必要となった事例 －業務系－① 回答

利用の申込情報等の送信による申請を受付けている特定認証業務において、「利用者の申込みに対する諾否を決定した者の氏名」を記録した帳簿を保存することを求めていることに関する 「真偽の確認」の自動化については、現状行われている手続きの無人化であり、CP/CPSにおいて電子署名の真正性の検証、電子証明書の記載内容、形式等を確認するとともに、利用者が入力した申請情報と電子証明書の記載内容の一致確認を行うなど具体的な確認手法が明記されているのであれば、それを機械的に行うことについて、特に問題ないと考えます。
他方で「諾否の決定」の手続きの自動化にあたっては、CP/CPSにおいて、「利用者の真偽確認」が不備なく完了した場合には必ず利用を応諾する決定をするとの取扱いを定めた上、当該取扱いに従ってシステムが動作することについて、システムの瑕疵等により不適切な発行がなされていないことの定期的な確認や、障害発生時の対応について責任を有する要人を配置するといった前提が必要になるものと考えます。
諾否の決定（応諾の決定）をした者として、その責任者の氏名を自動で帳簿に記入することについては特に問題ないと考えます。
電子署名及び認証業務に関する法律に基づく指定調査機関の調査に関する方針 第６の１．（１）における「受領をした者の識別に関する情報が関連付けられて記録されている」ことについても、以上の適切な管理が行われていることにより、満たされると考えます。

Copyright © 2024 JIPDEC all rights reserved18関係者外秘1.3 変更認定が必要となった事例 －業務系－② 質問

帳簿書類の廃棄業務の委託、再委託
電子証明書の有効満了日より10年間の保管を義務付けられている利用申込書や本人確認資料などの紙媒体の帳簿書類等で、保管の義務が無くなったものを、専門業者に委託して廃棄することを検討しています。

回答
問合せ内容は、施行規則第６条第１５号ハに係る変更であり、変更の認定が必要であると思料します。

Copyright © 2024 JIPDEC all rights reserved19関係者外秘2

認定認証業務の品質維持等に向けた情報共有

Copyright © 2024 JIPDEC all rights reserved20

関係者外秘2. 認定認証業務の品質維持等に向けた情報共有◼2.1 業務系(1)規程・手順の適切な作成と遵守(2)誤発行等の事例紹介(3)個人番号が記載された住民票の写しの扱い(4)電子証明書の誤送付(5)ヘボン式によらない氏名ローマ字の変更手続きに係る規程の不備(6)不適切なCP/CPSの公開(7)受領書 データ の消失(8)有効期間の開始前のCRL公開
Copyright © 2024 JIPDEC all rights reserved21

関係者外秘2. 認定認証業務の品質維持等に向けた情報共有◼2.2 設備系(1)障害発生後の対応(2)認証業務用設備の動作に関する記録の欠損(3)認証設備室内のキャビネットの固定不良(4)発行者署名符号の規定外の方法による廃棄(5)アカウントの二重発行(6)バックアップ運用の不備(7)調査対象となる設備の認識不足(8)任命を受けていない者の指紋登録及び入室権限設定
Copyright © 2024 JIPDEC all rights reserved222.1 業務系

関係者外秘(1)規程・手順の適切な作成と遵守(1/3)◼ 電子署名法に対する不適合の予防◼ 規程・手順の遵守、業務の実態に即した見直し◼ 見直し内容に関係する法定要件、調査表の確認◼ 業務の実施記録の帳簿には、実施日付、実施者、責任者（＊）◼ 定期的な教育（研修）等の実施◼ (参考) ハインリッヒの法則 (労働災害、品質管理など)◼ 重大事故・災害1件の陰に◼ 29件の軽微な事故・災害◼ 300件のヒヤリハット(事故にいたらない、ヒヤリ ハッとする事象)◼ 重大事故の防止には、ヒヤリハットの撲滅

1件
重大な事故・災害

29件
軽微な事故・災害

300件
ヒヤリハッとする事象＊責任者を記録する必要がある帳簿（調査項番4106、4108、4109、4204、4301～4305、4404～4407）

Copyright © 2024 JIPDEC all rights reserved232.1 業務系

関係者外秘(1)規程・手順の適切な作成と遵守(2/3)◼ 内部監査や調査で、毎年、指摘を受ける状況にあるときは、今回もうまくゆくだろうと考えがちとは思いますが、複数年の間にヒヤリハットの件数は累積し、重大事故発生が迫っていると考えることが重要ではないかと思料します。
◼ ヒヤリハットの例: 改訂作業の先祖返り◼ 共同での規程類、帳簿書類の改訂、編集作業の際に担当者間の連携不足によるものと思われる先祖返りが散見されました。
◼ 連携不足の原因は、担当者が異動になった等によるものと推察しています。
◼ 新任者には、疑問点があったり、ルールが無い状況だったりするときは先任者に相談することを教育し、先任者は、丁寧に対応して考え方等を共有することが重要であると思料します。

Copyright © 2024 JIPDEC all rights reserved242.1 業務系

関係者外秘(1)規程・手順の適切な作成と遵守(3/3)◼ 電子署名法に対する不適合の予防:◼ 規程・手順の遵守、業務の実態に即した見直し、情報共有◼ 規程・手順の見直しや教育では、意図、理由、背景、関連する施行規則や指針等の条文、電子署名法を遵守する重要性を認証業務全体（必要に応じて経営層を含む）で共有する。
◼ 日常的、定期的に、違反には至らなかった「ヒヤリハット事例」を収集し、共有 (朝礼・終礼・小集団活動など)◼ 規程・手順が不明瞭であったり、要員が理解し辛かったりした場合等、規定された内容が適切に共有、認識されるよう迅速に検討し改訂する。
◼ リスク検出を容易にするために、チェック項目の追加や表現形式の変更等により、作業記録様式を改善する。
◼ 稀なケースでは、担当者と責任者で規定を確認して実施する。
◼ 業務の実施記録の帳簿には実施日付、担当者、責任者を記録◼ 担当者に対する責任者の管理・監督◼ 実施前の可否判断◼ 実施後の可否判断◼ 規定された記録の保存場所の徹底

Copyright © 2024 JIPDEC all rights reserved25

関係者外秘Copyright © 2024 JIPDEC all rights reserved

26