暗号を核とする情報セキュリティ評価の在り方について
2002年4月16日
暗号技術検討会顧問
暗号技術評価委員会顧問
辻井重男（中央大学）
1

(1) 暗号については委員会組織としてのCRYPTRECが電子政府で利用しうる暗号方式をリストアップ(2) 情報製品に対するISO15408関連については、独立法人製品評価技術基盤機構が評価機関を認定(3) 運用に入った情報システム･ネットワークに対する管理･運用基準としてのISO17799（我が国ではISMS適合性評価制度）については、日本情報処理開発協会が評価機関を認定(4) 電子署名及び認証業務に関する法律に対応して、日本品質保証機構（電子署名・認証調査センター）が認証機関を認定

2

図１

情報セキュリティ評価基準と暗号技術
ＩＳＯ１７７９９（ＢＳ７７９９−２，１９９９）
日本ＩＳＭＳ適合性評価制度

ＩＳＯ１５４０８

暗号技術
CRYPTREC
プロトコルの安全性
実装上の安全性
アクセスコントロール

リスクマネージメント

アルゴリズムの安全性
ＳＰＡ・テンペストetc.
電子署名及び認証業務

日本品質保証機構

ＪＩＰＤＥＣ
経済産業省・製品評価技術基盤機構（独立行政法人）
評価機関 民間４社 認定取得待ち認定取得準備

日本品質保証機構(財)日本検査キューエイ(株)ＫＰＭＧ審査登録機構（株）

3

暗号理解の4段階• 第1段階 暗号＝諜報
軍事・外交，エシュロン
文春新書 エシュロンと情報戦争 p.66

• 第2段階 ＩＴ社会にも必要らしい• 第3段階 証真防偽シテ真偽峻別• 第4段階 証明可能安全性4図２ 電子署名及び認証業務に関する法律の構成
電磁的記録の真正
電磁的記録の真正な成立の推定な成立の推定
電子署名の法律上の取扱いを明確化する本人による電子署名が付されている電子文書等の真正な成立の推定（第3条）
本人が電子署名を行ったことが裁判上認められることを期待

特定認証業務に関する
特定認証業務に関する認定の制度
認定の制度
信頼できる認証業務に対する認定制度を導入する① 認証業務の認定（第４条〜16条）
・欠格条項（第5条）
・利用者の真偽の確認を行う業務を認定（第6条）
・利用者確認に係る情報の目的外使用の禁止（第12条）
・認定を受けた旨の表示が可能（第13条）

その他必要な事項
その他必要な事項①主務大臣による特定認証業務に対する援助等（第33条)②国の措置
国民への教育活動、広報活動（第34条）③国家公安委員会の役割（第37条）

・外国の認証業務の取扱い（第15､16条）② 指定調査機関（第17条〜32条）③ 罰則（第41条〜47条）

電子署名の円滑な利用の確保による情報の電磁的方式による流通及び情報処理の促進
電子商取引等、ネットワークを通じた社会経済活動の円滑化

国民生活の向上及び国民経済の健全な発展に資する
2002年3月15日電子署名法の認定基準等に関する検討会資料

5

図３ 特定認証業務に関する認定制度
国
国
申請
（任意）

（注２）

（注１）

認定 （注１）

業務の実地の調査については指定調査機関（国が指定、公益法人に限られない）に行わせることが可能。

特定認証業務を行う者
特定認証業務を行う者

申込み

（注２）

申請者の真偽等を確認の上、証明書を発行すること等により、電子署名に用いる鍵等が申請者本人のものであることを証明

送信者送信者
電子署名をした電子文
書等に電子証明書を添付して送信外国の認証事業者も認定を受けることが可能。その際、外国の承認調査機関による実地の調査を受けることができる。また外国で認定を受けている場合に実地の調査を省略することも可能。

インターネット

電子商取引等

受信者
受信者認定を受けている業務である旨の表示により、申請者の真偽等が確認された
電子署名であることがわかる

2002年3月15日電子署名法の認定基準等に関する検討会資料

6

図４ 電子署名及び認証業務に関する法律に基づく認定認証業務一覧

平成１４年３月１日現在
第１号

第2号

第3号

第4号

第5号

認定に係る特定認証業務の名称

AccreditedSign
パブリックサービス

電子入札用
電子認証サービス

AccreditedSign
パブリックサービス２

株式会社日本電子公証機構
認証サービスｉPROVE

日本行政書士会連合会
認証サービス業務を行う者の名称

日本認証サービス
株式会社

株式会社
帝国データバンク

日本認証サービス
株式会社

株式会社
日本電子公証機構

日本行政書士会連合会

業務を行う者の住所

東京都港区芝一丁目10番11号

東京都港区南青山
二丁目５番２０号

東京都港区芝一丁目10番11号

東京都渋谷区代々木３丁目２５番３号

東京都目黒区青葉台三丁目１番６号

認定の年月日平成13年7月13日

平成13年9月6日

平成13年10月19日

平成13年12月14日

平成14年3月1日

認定がその効力を失う時期

平成14年7月12日

平成14年9月5日

平成14年10月18日

平成14年12月13日

平成15年2月28日

日本認証サービス株式会社の提供するAccreditedSignパブリックサービス２については、平成１４年２月１３日付けで業務の実施方法の変更認定を行い、同年２月２２日付けで、民間認証局として初めてＧＰＫＩのブリッジ認証局との相互認証が認められたところ。
2002年3月15日電子署名法の認定基準等に関する検討会資料

7

図５ 認定制度に係る国際相互承認について
 外国の認証事業者から認定の申請があった場合、下記の３つの要件を満たせば当該認証事業者は、日本の省令で定める事項を記載した書類を提出することで、実地の調査が免除される。 （電子署名法第１５条第３項）− 当該外国において、日本の認定制度に類する認定等を受けていること− 我が国と当該外国の間で、認証事業者の相互認証等に関する国際約束等が存在していること− 主務大臣が、その国際約束を誠実に履行するために必要があると認めたこと※ 本年１月、日・シンガポール新時代経済連携協定（JSEPA）の中で法第１５条第３項の適用を予定している国際約束が締結されている。

国際約束

日本国政府
認定

Ｘ国政府
認定

認定

認証事業者Ⅱ
認証事業者Ⅱ

認証事業者Ⅰ
認証事業者Ⅰ
Aの電子証明書を発行

Aの電子証明書
有効性を確認

送信者Ａ
送信者Ａ

受信者Ｂ
受信者Ｂ
送信文１

Ｙの電子証明書の有効性を確認

受信者Ｚ
受信者Ｚ

Ｙの電子証明書
を発行

送信文２

送信者Ｙ
送信者Ｙ

＋Ｙの電子証明書＋Aの電子証明書

送信文３＋Ｙの電子証明書

2002年3月15日電子署名法の認定基準等に関する検討会資料8

図６ 発行者署名検証符号（ＣＡ公開鍵）情報の告示について
CA名○○○
認証業務名 △△△
その他情報 □…□
CA公開鍵

ハッシュ関数

上位C A

CA公開鍵証明書
CA公開鍵証明書

認定認証業務の特定は、認定認証事業者がその業務に用いる秘密鍵で行う。
→秘密鍵は他人に知られてはいけないので、秘密鍵に対応する「公開鍵」値をハッシュ値に変換して業務を特定する。

CA公開鍵証明書のハッシュ値または、認証業務を特定する方法として一般的に用いられている「CAの公開鍵証明書」の値のハッシュ値をもって特定する。

上位CAの署名認証機関（CA）
その他業務利用者● CA公開鍵と認証業務の一致は実地調査の中で確認する。

公開鍵

認定認証業務＜注＞
電子署名法では、上位CAを認定のための調査対象としていない。
認定認証業務について主務官庁が業務名称等を告示しているが、その際、業務で使用されるCA公開鍵の情報も告示する。

認証事業者
ＣＡ

真偽確認 ＋
CA公開鍵登録

認定認証業務に使用する鍵ペアの作成（秘密鍵は認定認証業務にのみ使用できる）

真偽確認
CA秘密鍵
で署名

秘密鍵

住民票等

電子証明書

利用者公開鍵証明書 の発行

利用者氏名 ○○ ○○利用者住所 △△△ー△
その他情報 □□……□
利用者公開鍵CAの署名（認定認証業務用）

利用者

公開鍵登録
鍵ペア作成

2002年3月15日電子署名法の認定基準等に関する検討会資料

9図７ 操作者及び利用者情報等による設備の動作について
認証事業者

施錠等の措置済の室

利用者
住民票等

<真偽確認>
登録用端末設備

認証設備室<利用者情報登録> <電子証明書発行><鍵ペア生成>
秘密鍵

公開鍵

ＰＩＮ

ＲＡｻｰﾊﾞ操作者

Ｉ ＡｻｰﾊﾞＰ Ｉ Ｎに関する情報<利用者情報の識別><利用者情報>
公開鍵

利用者情報識別設備

ＰＩＮ

作動させる権限

ｅｔｃ．．．

作動させる情報
施錠等の措置済の室

利用者情報

電子証明書

<電子証明書受領>
2002年3月15日電子署名法の認定基準等に関する検討会資料10

図８ 「電子署名法の認定基準等に関する検討会」 と 「暗号技術に関する検討会」 の体制< 電子署名法の認定基準等に関する検討会 >電子署名技術ＷＧ
電子署名及び認証業務に関する法律における電子署名及び認証業務に関する法律における特定認証業務の認定基準等に関する検討会
特定認証業務の認定基準等に関する検討会（松本勉グループ長）
・ 特定認証業務で対象となる電子署名の基準を検討（辻井重男座長）（辻井重男座長）

認定基準等ＷＧ(事務局：総務省／法務省／経済産業省)(事務局：総務省／法務省／経済産業省)（手塚悟グループ長）

・ 特定認証業務の認定要件について検討。
⇒ 政省令の作成・見直し作業に反映

・ 設備基準、利用者の真偽確認基準、業務管理・運用基準等、認定に係る基準を検討< 暗号技術に関する検討会 >暗号技術検討会
暗号技術検討会

暗号技術評価委員会
暗号技術評価委員会•評価依頼• 技術事項に関する助言依頼（今井秀樹座長）（今井秀樹座長）(事務局：総務省／経済産業省)(事務局：総務省／経済産業省)• 両省に対して暗号利用に関する助言を行う。
• 電子政府における暗号利用に関する政策的判断を行う。
• 具体的な暗号の評価依頼を行う。

暗号技術要件調査WG（佐々木良一リーダ）• 評価結果の報告• 技術事項に関する助言（今井秀樹委員長）（今井秀樹委員長）(事務局：情報処理振興事業協会／(事務局：情報処理振興事業協会／通信・放送機構)
通信・放送機構)• 技術評価を行う。
• 電子政府暗号利用に資するガイドライン作成。
• 技術事項に関する助言を行う。

共通鍵暗号評価小委員会（金子敏信委員長）
公開鍵暗号評価小委員会（松本勉委員長）
2002年3月15日電子署名法の認定基準等に関する検討会資料

11

図９

フランスの安全性評価・認証・認定・監査等の体制
DCSSI organization
DirectorateCommunication

Training center

REGULATIONOPERATIONSInternational Relations

CERTA

Regulation

Consultancy

TECHNICAL
Information technology

Cryptography
Certification Body

AuditsIndustrial Relations

Key management

TEMPEST

12

①

OECD暗号政策ガイドラインに謳われているように、暗号・セキュリティ技術に対する信頼感の醸成②

公的機関が利用する標準方式の選定上の必要性③

万一、暗号が解読されるような事態における責任問題等に関連して、その時点での最高の技術的知見の動員による継続的安全性評価の必要性④

グローバル化に対応して、国際間で必要となる相互承認に際しての必要性

いずれにしても、このような機関がないことには、国家としてのインテグリィティに欠け、我が国は諸外国から先進国としての鼎(かなえ)の軽重を問われかねない。
明治の先覚者は、通信主権の重要性をいち早く覚っていた｡
現代はいわば情報セキュリティ主権の時代である。

13