2021年度
実務者説明会（説明会資料抜粋版）

日時：2022年2月16日(水) 14時～16時

一般財団法人日本情報経済社会推進協会
デジタルトラスト評価センター

目次

1. 電子署名法と変更認定
2. 認定認証業務の品質維持等に向けた情報共有
2.1 業務系
2.2 設備系

3. 指定調査機関からのお願いとお知らせ

11. 電子署名法と変更認定
1.1 変更認定に関する考え方の整理(1) 電子署名法第3条の「電磁的記録の真正な成立の推定」を支える特定認証業務に関する認定の制度(2) 認定の基準に関する電子署名法等の条文(3) 変更認定に関する電子署名法等の条文(4) 変更認定の考え方
1.2 変更認定が不要となった事例(1) 業務系(2) 設備系
1.3 変更認定が必要となった事例(1) 設備系
2

1. 電子署名法と変更認定

1.1 変更認定に関する考え方の整理(1) 電子署名法第3条の「電磁的記録の真正な成立の推定」を支える特定認証業務に関する認定の制度
国:『電子署名及び認証業務に関する法律』(電子署名法)

特定認証業務の認定を受けるためには、どのような技術・設備水準が必要なのか示されており、電子署名の方式や業務の用に供する設備、利用者の真偽確認の方法等が定められ、こうした認定を受けた認証局が発行する電子証明書は、一定レベルの信頼性を保ったものだと判断される。
3

1. 電子署名法と変更認定

1.1 変更認定に関する考え方の整理(2) 認定の基準に関する電子署名法等の条文
電子署名法第四条（認定）
特定認証業務を行おうとする者は、主務大臣の認定を受けることができる。
２ 前項の認定を受けようとする者は、主務省令で定めるところにより、次の事項を記載した申請書その他主務省令で定める書類を主務大臣に提出しなければならない。
一 氏名又は名称及び住所並びに法人にあっては、その代表者の氏名
二 申請に係る業務の用に供する設備の概要
三 申請に係る業務の実施の方法
電子署名法第六条（認定の基準）
主務大臣は、第四条第一項の認定の申請が次の各号のいずれにも適合していると認めるときでなければ、その認定をしてはならない。
一 申請に係る業務の用に供する設備が主務省令で定める基準に適合するものであること。
二 申請に係る業務における利用者の真偽の確認が主務省令で定める方法により行われるものであること。
三 前号に掲げるもののほか、申請に係る業務が主務省令で定める基準に適合する方法により行われるものであること。
※ 解説
電子署名法第六条で定められた「認定の基準」は、さらに施行規則や指針・方針に落ちてきて、より具体的で細かな判断基準が定められ、事業者が実施している業務一つ一つに展開されている。

＜凡例＞○設備の要件・・青字で記載○業務の方法・・緑字で記載

4

1. 電子署名法と変更認定

1.1 変更認定に関する考え方の整理(3) 変更認定に関する電子署名法等の条文
電子署名法 第九条（変更の認定等）
認定認証事業者は、第四条第二項第二号又は第三号の事項を変更しようとするときは、主務大臣の認定を受けなければならない。
ただし、主務省令で定める軽微な変更については、この限りでない。
電子署名法 第四条第二項第二号又は第三号
二 申請に係る業務の用に供する設備の概要
三 申請に係る業務の実施の方法
施行規則 第九条（軽微な変更）
電子署名法第九条第一項ただし書の主務省令で定める軽微な変更は、同一室内における既設の設備と同等以上の性能を有する設備への変更及びその増設とする。

5

1. 電子署名法と変更認定

1.1 変更認定に関する考え方の整理(4) 変更認定の考え方～フローチャート～
Step1

設備又は業務の実施の方法の変更に該当するか？

変更する内容によって個別判断となる
いいえ

はい業務の実施の方法の変更

設備の変更

Step2
変更内容は、同一室内における既存の設備と同等以上の性能を有する設備への変更及びその増設のみか？
いいえ
はい

変更認定

必要

電子署名法第９条第１項ただし書きに該当し、変更認定 不要

変更認定

不要
6

1. 電子署名法と変更認定

1.2 変更認定が不要となった事例
昨年(2021年2月)の実務者説明会以降の問合せで、事業者が特定されず、かつ汎用的に参考となる事例を抽出し、変更認定は不要であると判断された事例を紹介する。
なお、施行規則第十二条第一項第四号ホに基づき、認証業務用設備及び施行規則第四条各号（変更の対象となる設備や装置等が該当する号）の基準に適合するために必要な設備の維持管理に関する記録を作成、保存し、更改後の更新調査時に指定調査機関による確認を受ける。
＜業務系＞①個人事業主の確認方法の追加②電子委任状法に基づく認定申請＜設備系＞③認証設備室へのセンサー設置④FWとIDS機能をもつFWへの更改⑤暗号装置の更改
7

1. 電子署名法と変更認定

1.2 変更認定が不要となった事例 －業務系―①個人事業主の確認方法の追加（質問）
利用者を、法人の役員、従業員または個人事業主に限定しています。法人に属さない士業は個人事業主であると思料されますが、その確認書類に、士業法に基づいて士業名簿の登録等の業務を行う会が発行する証明書類（発行日から３か月以内のもの）を追加することは可能でしょうか。
（回答）
個人事業主であることの確認は、電子署名法における認定の対象外であり、お問い合わせの範囲内で個人事業主の確認方法を追加することは、可能であると思料します。審査手順の変更に際しては、関係する規程・帳表等に明確かつ適切に規定し、関係する要員に対する新しい手順の教育を実施し、記録を残してください。

8

1. 電子署名法と変更認定

1.2 変更認定が不要となった事例 －業務系―②電子委任状法に基づく認定申請（質問）
電子委任状の普及の促進に関する法律への対応として、電子証明書に代理権に関する項目を属性として記載することは、変更認定に該当しますか。

（回答）
電子署名法第四条第二項第三号の事項についての変更に当たらないのであれば、変更の認定は不要です。具体的な内容について、指定調査機関に相談してください。
なお、CP/CPSに記述する電子委任状法に対応していることを示すための事項については、電子署名法による認定の対象外ですが、不明瞭であったり他の記述と齟齬のある記述であった
りすると認証業務に対する信頼性を損なうおそれを否定できないため、明確かつ適切に記述してください。
9

1. 電子署名法と変更認定

1.2 変更認定が不要となった事例 －設備系―③認証設備室へのセンサー設置（質問）
認証設備室に消費電力及び室温の監視を目的としたセンサーを設置することは 、変更認定に該当しますか。
（回答）
指針第七条第二号ロに基づく調査表の適合例1532の措置、及び指針第七条第二号ニに基づく調査表の適合例1552の措置が、それぞれ引き続き担保されるのであれば、施行規則第九条で定める軽微な変更に該当するため、変更の認定は不要です。
・適合例1532
認証設備室は、侵入が可能となるような開口部を設けていない。
・適合例1552
ケーブルが防火区画を貫通する場合は、当該ケーブルが貫通する部分及び貫通する部分から両側1ｍ以内の部分は不燃材料等による延焼防止措置を講じている。
10

1. 電子署名法と変更認定

1.2 変更認定が不要となった事例 －設備系―④FWとIDS機能をもつFWへの更改（質問）
現在使用しているFWに代わり、 IDS機能をもつFWへの更改は、変更認定に該当しますか。
（回答）
指針第五条第一号、指針第五条第二号、及び指針第六条第一項第三号に従い求められる措置が引き続き担保され、かつ同一室内における既設の設備と同等以上の性能を有する設備への変更である場合、施行規則第九条で定める軽微な変更に該当するため、変更の認定は不要です。
・指針第五条第一号：
認証業務用設備が電気通信回線に接続している場合においては、認証業務用設備（登録用端末設備を除く。）に対する当該電気通信回線を通じて行われる不正なアクセス等を防御するためのファイアウォー
ル及び不正なアクセス等を検知するシステムを備えること。
・指針第五条第二号：
認証業務用設備が二以上の部分から構成される場合においては、一の部分から他の部分への通信に関し、送信をした設備の誤認並びに通信内容の盗聴及び改変を防止する措置
・指針第六条第一項第三号
電気通信回線経由の遠隔操作が不可能であるように設定されていること。ただし、電子証明書の発行及び失効の要求その他の電子証明書の管理に必要な登録用端末設備の操作については、この限りでない。
111. 電子署名法と変更認定

1.2 変更認定が不要となった事例 －設備系―⑤暗号装置の更改（質問）
暗号装置（HSM）の機種変更は、変更認定に該当しますか。なお、機種変更に伴いこれまでのHSMの操作手順など、他の要件の変更はございません。
（回答）
HSMの機種変更について、平成25年度（2014年）の実務者説明会
において、「同一室内に既存の設備と同等以上の性能を有する機種に変更する場合は、変更認定は不要である。ただし、HSMの機種変更に伴い、発行者署名符号の生成手順を変更する場合や、複数の者による発行者署名符号の作成及び管理その他当該発行者署名符号の漏えいを防止するために必要な措置を変更する場合など、他の要件を変更する場合は変更認定が必要になる場合があるため、あらかじめ変更認定の必要性を問い合わせること。」と整理されています。
HSMの機種変更に伴い他の要件を変更せず、かつ同一室内に既存の設備と同等以上の性能を有する機種に変更するのであれば、施行規則第九条で定める軽微な変更に該当するため、変更の認定は不要です。
12

1. 電子署名法と変更認定

1.3 変更認定が必要となった事例
昨年(2021年2月)の実務者説明会以降の問合せで、事業者が特定されず、かつ汎用的に参考となる事例を抽出し、変更認定は必要であると判断された事例を紹介する。
＜設備系＞①リポジトリサーバのクラウドサービスへの移行

13

1. 電子署名法と変更認定

1.3 変更認定が必要となった事例 －設備系―①リポジトリサーバのクラウドサービスへの移行（質問）
発行者署名検証符号に係る電子証明書のフィンガープリントを公開しているリポジトリサーバの、インターネット上のIaaS(Infrastructure as a Service)への移行は、変更認定に該当しますか。
（回答）
平成25年度（2014年）における実務者説明会において、「リポジトリ用コンテンツを収容しているサーバの更改及び当該サーバの収容先変更を同一室内において実施する場合は、変更認定は不要である。しかし、別室への収容先変更は、設備の概要の変更に該当するため、変更認定が必要である。」と整理されています。
リポジトリサーバをインターネット上に移設することから、別室への収容先変更に該当し、電子署名法第九条に基づく解釈は適用できず、変更認定が必要であると思料します。
14

2. 認定認証業務の品質維持等に向けた情報共有
2.1 業務系(1) 規程・手順の適切な作成と遵守(2) 誤発行等の事例紹介(3) CP/CPSでの期限より古い住民票の写し等を使用(4) 法人番号情報サイトと登記事項証明書の齟齬

2.2 設備系(1) 変更認定が必要だったと判断される暗号装置の機種変更(2) 認証業務用設備の動作に関する記録の欠損(3) 不適切な入退室権限設定(4) 認証業務用設備のOSアカウントの不適切な設定(5) 障害時の対応
15

2.1 業務関係(1)規程・手順の適切な作成と遵守(1/3)◼

電子署名法に対する不適合の予防– 規程・手順の遵守、業務の実態に即した見直し– 業務の実施記録の帳簿には、実施日付、実施者、責任者（＊）– 定期的な教育（研修）等の実施◼

(参考) ハインリッヒの法則 (労働災害、品質管理など)– 重大事故・災害1件の陰に◼

29件の軽微な事故・災害◼

300件のヒヤリハット(事故にいたらない、ヒヤリ ハッとする事象)– 重大事故の防止には、ヒヤリハットの撲滅＊責任者を記録する必要がある帳簿（調査項番4106、4108、4109、4204、4301～4305、4404～4407）
16

2.1 業務関係(1)規程・手順の適切な作成と遵守(2/3)◼

内部監査や調査で、毎年、指摘を受ける状況にあるときは、今回もうまくゆくだろうと考えがちとは思いますが、複数年の間にヒヤリハットの件数は累積し、重大事故発生が迫っていると考えることが重要ではないかと思料します。

◼

下記のような状況で、兼務等による通常業務量の繫忙や時間不足を言い訳にすると、業務品質低下や誤発行の原因となり、業務の実施内容を悪化させるのではないかと思料します。
– 是正措置の検討、計画立案に時間を掛けすぎ– 規定やチェックシートからの逸脱の継続、放置– システム改修時のテストケース検討不足– 業務の属人化（業務実施体制の硬直化）、担当者任せ（責任者の形骸化）
17

2.1 業務関係(1)規程・手順の適切な作成と遵守(3/3)◼

電子署名法に対する不適合の予防:– 規程・手順の遵守、業務の実態に即した見直し、情報共有◼ 規程・手順の見直しや教育では、意図、理由、背景、関連する施行規則や指針等の条文、電子署名法を遵守する重要性を認証業務全体（必要に応じて経営層を含む）で共有する。
◼ 日常的、定期的に、違反には至らなかった「ヒヤリハット事例」を収集し、共有 (朝礼・終礼・小集団活動など)◼ 規程・手順が不明瞭であったり、要員が理解し辛かったりした場合等、規定された内容が適切に共有、認識されるよう迅速に検討し改訂する。
◼ リスク検出を容易にするために、チェック項目の追加や表現形式の変更等により、作業記録様式を改善する。
◼ 規定・手順の改定時に、調査表を見直して法令を確認する。
– 業務の実施記録の帳簿には実施日付、担当者、責任者を記録◼ 担当者に対する責任者の管理・監督– 実施前の可否判断– 実施後の可否判断
18– 規定された記録の保存場所の徹底