トラストサービスの状況

2019年6月17日

慶應義塾大学手塚 悟
1目次
1. 世界と我が国の動向
2. 米国のトラストサービスの状況

3. EUのトラストサービスの状況
4. 我が国のトラストサービスの状況
5. Society5.0へのトラストサービスの利活用
6. トラストサービスの国際連携構想
2

１．世界と我が国の動向⚫ データのサウジアラビアはどこ

3

１．世界と我が国の動向⚫ GAFA、BAT

4

１．世界と我が国の動向⚫ データ流通圏

5

１．世界と我が国の動向⚫日経新聞朝刊
2019年1月24日⚫Data Free Flow with Trust（DFFT）

6

１．世界と我が国の動向⚫ セーフティ
攻撃者のない事故⚫ セキュリティ
攻撃者による事故⚫ トラスト
相手のリスクを許容する
7

１．世界と我が国の動向⚫ トラスト サービス

8

１．世界と我が国の動向⚫日経新聞朝刊
2019年1月30日

9

１．世界と我が国の動向

10

１．世界と我が国の動向⚫ Business in World⚫ Trust in Local

11１．世界と我が国の動向⚫ Digital Trade⚫ Digital Single Market⚫ Digital Driven Economy
12

目次
1. 世界と我が国の動向
2. 米国のトラストサービスの状況

3. EUのトラストサービスの状況
4. 我が国のトラストサービスの状況
5. Society5.0へのトラストサービスの利活用
6. トラストサービスの国際連携構想
13

２．米国のトラストサービスの状況⚫ DFARS 252.204-7012
米国防総省（DoD）が2017年12月末までに、契約業者に対してNISTが定めたセキュリティー対策ガイドライン「NIST SP800-171」の遵守を義務化することを決定
DFARS遵守の適用範囲

米DoD契約業者

Raytheon、Boing、Lockheed Martin
etc.
セキュリティ規
約
・重要書類
・設計書…
下請け企業

DFARS 252.204-7012
情報システムに対して
NIST SP800-171遵守

日本防衛関連業者

10万社
以上

下請け企業（MHI等）

事案発生時の報告義務

日本国内の下請け
メーカについても、規約遵守を求められている✓ セキュリティ事故の大半は、サプライチェーンで発生✓ 急激な対応指示は業界の反発を招く、慎重に様子を見ながら✓ 次第に要件自体は厳格化、情報システムに限らない対象へ

14

２．米国のトラストサービスの状況⚫ 米国国防省案件について、2017年12月31日を期限として対応するようにDFARS（国防省調達規則）において要求⚫ いくつかのプロジェクトにおいて本件の対応要領が課題となっている⚫ 国内（防衛省）案件では「保護すべき情報」が同様の位置付け• 日本独自の制度化（米国にも認められる形態を）も中長期的に検討を提案⚫ 米国政府（国防省）の調達案件において、サプライチェーンに関わるすべての組織に対して、CUI (Controlled Unclassified Information)の取扱いについて米国からセキュリティ対応要求が出ている⚫ 米国のセキュリティー対応要求は、国際標準であるISMS（ISO27001）とも異なる米国基準による要件• 情報システム - NIST SP800シリーズ （53、63、171など）

15

２．米国のトラストサービスの状況⚫ 対象とする情報 : CUI⚫ CUI (Controlled Unclassified Information)は、 大
統領令 Executive Order 13556 (2010)によって定義された情報カテゴリ⚫ NARAはその指示を受けて連邦政府全体に対してCUI保護の態勢を作る役割を負った⚫ NISTはNARAの指示のもと、CUIを保護するための基準をSP800-171として策定した⚫ CUIは、我が国（防衛省）の「保護すべき情報」に近い領域とみなせる
米国

Classified
Top Secret・Secret・Confidential

CUI

日本

機密・極秘・秘保護すべき情報大統領令 13556
Controlled
Unclassified
Information
November 4, 2010.

NARA

Unclassified

一般情報

秘匿性

16

２．米国のトラストサービスの状況⚫ Personal Identity Verification (PIV) カード⚫ 券面情報（対面での本人確認用）⚫ 電子証明書（LoA4）⚫ 暗号鍵⚫ FASC-N（Federal Agency Smart Credential Number）⚫ 生体情報（指紋、虹彩）

対面での本人確認
券面情報の利用

電子署名
電子証明書の利用

暗号化

電子認証
電子証明書の利用
生体情報
カード認証鍵

電子証明書の利用

論理アクセス
コントロール
電子証明書の利用
生体情報
カード認証鍵

物理アクセス
コントロール
電子証明書の利用及びPIVカードリーダの利用
物理アクセス時に証明書の
有効性検証

17

２．米国のトラストサービスの状況⚫ PIV及びPIV-Iのトポロジー
PIV-I

PIV

18

目次
1. 世界と我が国の動向
2. 米国のトラストサービスの状況

3. EUのトラストサービスの状況
4. 我が国のトラストサービスの状況
5. Society5.0へのトラストサービスの利活用
6. トラストサービスの国際連携構想
19

３．EUのトラストサービスの状況
25th EU-Japan Summit 17 July – Tokyo
A landmark moment for trade and cooperation•A Framework Agreement covering not only political dialogue
and policy cooperation, but also cooperation on regional andglobal challenges•A Free Trade Agreement to stimulate growth on both sides, andwith cooperation at all levels
出典：EU Commission資料より

20

３．EUのトラストサービスの状況
E-commerce chapter of the FTA agrement
Definitions(a)"electronic authentication" means the process or act of verifying the identity of aparty to an electronic communication or transaction or ensuring the integrity of anelectronic communication;
And(b) "electronic signature" means data in electronic form which are attached to or
logically associated with other electronic data and fulfil the following requirements:(i) that it is used by a person to confirm that the electronic data to which it
relates have been created or signed, in accordance with each Party's laws andregulations, by that person; and(ii) that it confirms that information in the electronic data has not been altered.

出典：EU Commission資料より

21

３．EUのトラストサービスの状況
E-commerce chapter of the FTA agrement
ARTICLE 8.77 Electronic authentication and electronic signature
1.Unless otherwise provided for in its laws and regulations, a Party shall not deny the legal
validity of a signature solely on the grounds that the signature is in electronic form.
2.A Party shall not adopt or maintain measures regulating electronic authentication andelectronic signature that would:✓ prohibit parties to an electronic transaction from mutually determining the appropriate
electronic authentication methods for their transaction; or✓ prevent parties to electronic transactions from having the opportunity to establish
before judicial or administrative authorities that their electronic transactions comply
with any legal requirements with respect to electronic authentication and electronic
signature.
3.Notwithstanding paragraph 2, each Party may require that, for a particular category oftransactions, the method of authentication meets certain performance standards or is certified
by an authority accredited in accordance with its laws and regulations
出典：EU Commission資料より

22

３．EUのトラストサービスの状況⚫ eIDAS規則⚫ 2012年6月草案公開 → 2014年9月発効
Regulation (EU) No910/2014 of the European Parliament and of theCouncil of 23July 2014 onelectronic identification and trust services for electronic transactions in
the internal market and repealing Directive 1999/93/EC

electronic Identification, Authentication and Signature Regulation<電子署名指令：欧州議会及び理事会指令1999/93/EC>を上書き⚫ 目的①EUにおけるデジタル単一市場の形成②電子取引における信頼性確保と電子化の促進
Building trust in the online environment is key to economic and social
development. Lack of trust, in particular because of a perceived lack of legal
certainty, makes consumers, businesses and public authorities hesitate to carryout transactions electronically and to adopt new services.

23

３．EUのトラストサービスの状況⚫ 電子署名法指令からeIDAS規則へ
Chapter

Digital-Agenda for
Europe 20102016.7.1
適用開始

Digital Single Market 構想

eSignature
Directive
1999/93/EC

Directive（指令）各国内法への置き換え（期日までに国内法を制定・改正）を指示。

eIDAS
Regulation
EU
No910/2014

Regulation（規則）…
加盟国で同一の規制
内容を示す。

Section
1.一般規定1.一般規定2.監督

2.電子本人確認

3.適格トラストサービス

3.トラストサービス

4.電子署名4.電子文書5.電子シール

5.権限移譲および実施規則

6.電子タイムスタンプ

6.末則

7.電子書留送付サービス
8.ウェブサイト認証

2018年10月現在 215 Q-TSP

24

３．EUのトラストサービスの状況⚫ eIDAS規則とトラストサービス
トラスト
サービス
‘trust service’ means an electronic service
normally provided for remuneration which
consists of:(a)the creation, verification, and validation ofelectronic signatures, electronic seals orelectronic time stamps, electronic registereddelivery services and certificates related tothose services, or(b)the creation, verification and validation ofcertificates for website authentication; or(c）the preservation of electronic signatures,
seals or certificates related to thoseservices;

トラスト
アプリケーションサービス
Cross recognition ofnational eID schemes in the
EU: one-step forward
2018年9月29日以降、eIDASに基づいて各国にて発行されるeIDを相互認証して利用することを義
務付け‘トラストサービス’とは通常、有料で提供される
電子サービスであり以下から構成される(a)電子署名、e-シール、タイムスタンプ、電子登録配布サービス、そしてそれらのサービスに関連した電子証明書の生成、検証、妥当性確認(b) Webサイト認証のための電子証明書の生成、検証、妥当性確認(c）電子署名、e-シール、タイムスタンプ、あるいはそれらのサービスに関連する電子証明書の保存

https://ec.europa.eu/cefdigital/wiki/download/attachments/55887082/Validation%20of%20QES%20v2.00.pdf

25

３．EUのトラストサービスの状況⚫ EUにおけるeIDカード

26

３．EUのトラストサービスの状況⚫ EUにおけるトラストサービスの枠組み
EU委員会
規格化要求 m460
LOTL公開トラステッドリストのリスト

基準が明瞭な
ホワイトリスト
現在/過去

eIDAS
規則

LOTL

TL

ETSI,
CEN,
CENELEC

適格性掲載

技術規格整備

国家
監督機関

国家
認定機関

技術規格

トラステッドリスト
評価報告

指定

認定

適合性
評価機関
評価

EU加盟国

TSP

トラストサービス提供者

27

目次
1. 世界と我が国の動向
2. 米国のトラストサービスの状況

3. EUのトラストサービスの状況
4. 我が国のトラストサービスの状況
5. Society5.0へのトラストサービスの利活用
6. トラストサービスの国際連携構想28

４．我が国のトラストサービスの状況⚫日本 : マイナンバー制度• eID : マイナンバー• A : 電子利用者証明• S : 電子署名

⚫EU

: eIDAS規則• eID : electronic IDentification• A : eAuthentication• S : eSignature29

４．我が国のトラストサービスの状況⚫公的個人認証サービスに関する法律• 電子署名・電子認証に係る地方公共団体の認証業務に関する法律(公的個人認証法)• インタネットを通じて安全・確実な行政手続き等を行うために、
他人によるなりすまし申請や電子データが通信途中で改ざんされていないことを確認するための機能⚫電子署名法• 電子署名及び認証業務に関する法律• 民事訴訟法228条1項
私文書は、その成立が真正であることを証明しなければならない。

30

４．我が国のトラストサービスの状況⚫公的個人認証法の一部改正について【改正点(2)】
行政機関等に限られていた公的個人認証サービスの対象を民間事業者へ拡大（＝検証者の範囲を、行政機関等だけでなく民間事業者へ拡大）
検証者

番号カード
個人番号カード

個人（例）マイ・ポータル

⑦
電
子
証
明
書
の
失
効
情
報
提
供

自己情報
表示機能

プッシュ型
サービス

アクセス記録表示機能

ワンストップ
サービス

⑧電子証明
書が有効
であるこ
とを確認

◎署名用電子証明書

インターネット⑤マイ・ポータル
にログイン

電子証明
書

① 個人番号カード
の発行申請
電子証明
書

安全にログイン⑥電子証明書の失効情報の提供依頼

（ID・パスワード方式は ④ 電子証明書を成りすましの危険性）
番号カードに格
納、交付

市町村
電子証明書
失効管理

電子証明
書
発行

連動

住基ネット
地方公共団体情報システム機構（地方共同法人）【改正点(１)】
署名用電子証明書に加え、利用者証明用電子証明書を新設
電子署名
申請書
等
（平
文）

電子署名
（申請書等を＋ 秘密鍵で署名）＋

電子署名： インターネットで電子文書を送信する際などに、署名用電子証明書を用いて、文書が改ざんされていないかどうか等を確認することができる仕組み◎利用者証明用電子証明書

電子利用者証明③電子証明書を発行＋
本人確認②地方公共団体情報システム機構へ通知公開鍵＋電子証明書（基本４情報含む）

公開鍵＋電子証明書

電子利用者証明： インターネットを閲覧する際などに、利用者証明用電子証明書（基本４情報の記載なし）を用
いて利用者本人であることを証明する仕組み【改正点(３)】
電子証明書の発行を都道府県知事から地方公共団体情報システム機構が行うことに変更
出典：マイナンバー法案についての都道府県・指定都市担当課長説明会資料7より

31

４．我が国のトラストサービスの状況⚫ 商業登記に基づく電子認証• 商業登記制度を所管する法務省殿が，電子商取引等における安
全性・信頼性の基盤として，各法人代表者に対し，現行の印鑑証明書に加えて公開鍵証明書を発行する制度を2000年10月より実施• 現在，日本国内では約400万法人が登記→ 400万法人間でのB to B 電子商取引の利用環境が整備された• 法務省殿公開鍵証明書の特徴– 法人代表者が存在していること（登記されていること）を証明– 利用用途が定義されていない（限定されない）– 法人代表者のみに発行（一人の法人代表者が複数登録可）– 登記事項のうち，以下の内容を記載
•
•
•
•
•

商号または名称
本店または主たる事務所
代表者の資格代表者の氏名
管轄登記所名– 登記事項に変更が生じた場合には公開鍵証明書が失効される
32

４．我が国のトラストサービスの状況⚫(A)公的個人認証サービスに関する法律と電子署名法の違い• 公的個人認証サービスは、電子署名と電子認証を実現• 電子署名法は、電子署名を実現⚫(B)法人の社員等に対する電子署名と電子認証の実現方法が課題• 公的個人認証サービスと電子署名法は、自然人を対象にする制度• 法務省の商業登記に基づく電子認証制度は、法人の代表者等を対象にする制度⚫公的個人認証サービス⚫電子署名法⚫商業登記に基づく電子認証制度⚫法人の代表者等⚫自然人⚫法人の社員等

33

４．我が国のトラストサービスの状況⚫ 電子委任状の普及の促進に関する法律の概要
法人の代表者等が使用人等に代理権を与えた旨を表示する「電子委任状」の普及を促進するための基本的な指針について定めるとともに、法人等の委託を受けて電子委任状を保管し、関係者に提示等する「電子委任状取扱業務」の認定の制度を設けること等により、電子商取引その他の高度情報通信ネットワークを利用した経済活動の促進を図る。
主な規定○

電子委任状等の定義• 「電子委任状」とは、法人の代表者等が使用人等に代理権を与えた旨を表示する電磁的記録をいう。
• 「電子委任状取扱業務」とは、代理権授与を表示する目的で、法人等の委託を受けて、電子委任状を保管し、関係者に対し、当該電子委任状を提示し、又は提出する業務をいう。
○

電子委任状の普及に関する指針

主務大臣（総務大臣及び経済産業大臣）は、電子委任状の普及を促進するための基本的な指針（以下「基本指針」という。）を定めるものとする。
○

電子委任状取扱業務の認定

電子委任状取扱業務を営み、又は営もうとする者は、その業務の実施の方法が基本指針において定められた事項に適合していること等の認定を受けることができることとする。

○ 国等の責務• 国は、広報活動等を通じて、関係者の電子委任状に関する理解を深めるよう努めなければならない。
• 国及び地方公共団体は、自らが一方の当事者となる電子契約において他方の当事者となる事業者の電子委任状の利用を促進するために必要な施策の推進に努めなければならない。
出典：制度検討WG第2回資料を一部修正

34

４．我が国のトラストサービスの状況
法人A社長②電子委任状の登録③電子委任状の保管⑤電子委任状の取得法人Aの代理権①代理権の授与（社員への委任）

電子委任状
取扱事業者

④電子委任状の閲覧の授与を確認⑥契約の締結等
法人A社員

契約相手方（法人B）
出典：制度検討WG第2回資料より

35

４．我が国のトラストサービスの状況⚫ 我が国とEUの比較
機能

eIDAD法

公的個人認証法

電子署名法

商業登記に基づく電子認証制度

電子委任状法

電子署名
(個人)
電子認証
(個人)
タイムスタンプ

法人格(Leagal Entity)
eSeal
電子署名
(法人)
電子認証
(法人)

36

目次
1. 世界と我が国の動向
2. 米国のトラストサービスの状況

3. EUのトラストサービスの状況
4. 我が国のトラストサービスの状況
5. Society5.0へのトラストサービスの利活用
6. トラストサービスの国際連携構想
37

５．Society5.0へのトラストサービスの利活用
５．国家戦略に基づくSociety5.0の取組⚫ Ｓｏｃｉｅｔｙ5.0（超スマート社会）プラットフォームイメージ

出典： 総合科学技術・イノベーション会議重要課題専門調査会
システム基盤技術検討会

38

５．Society5.0へのトラストサービスの利活用⚫ API方式

出典：内閣府データ共有活用基盤研究会より

39

５．Society5.0へのトラストサービスの利活用⚫ セキュアデータ共有活用基盤のアクセス制御＆API方式

アクセス制御出典：内閣府データ共有活用基盤研究会より

40

５．Society5.0へのトラストサービスの利活用⚫ アクセス制御＆API方式
セキュリティの観点から、API方式を利用する際は、利用者のアクセス制御が必要

A社

認証基盤
(Authentication)

権限管理(Authorization)〔補足〕クレデンシャル〔補足〕プロビジョニング

B社
C社は企業コラボレーションサイト①へのアクセス権限が与えられていない

C社

E社

×

クレデンシャル不所持

セ
キ
Aュ
×P ア
デ
I ー
タ
共
有
活
用
基
盤

コラボレーション
サイト①

コラボレーション
サイト②

・・・

D社

コラボレーション環境

・・・

コラボレーションサイトは、企業間での共同作業を可能する環境を提供する。具体的には、ファイル共有、
文書管理、ネット会議、プロセス管理、ルーティング、
製品デザイン等のサプライチェーンでのリアルタイム
での情報のやり取り
や共同作業を可能とする。
※米国では、A&D業界を対象としてExostar社
がForumPassというソリューションを提供している。

41

５．Society5.0へのトラストサービスの利活用⚫ IDの登録
正当な人物が正当なレベルのセキュアデータへアクセス可能

Identify → authentication → authorization

機密情報

極秘情報

A

アクセス制御を実施
秘情報

B
取り扱い情報42

５．Society5.0へのトラストサービスの利活用⚫ IDの発行

行政サービス

医療サービス

個人IDの発行

ID

レベル

1

マイナンバー

レベル3

2

医療ID

レベル3

3

金融ID

レベル2/3

4

商用ID

レベル1

金融サービス

商用サービス43

５．Society5.0へのトラストサービスの利活用⚫ データの分類⚫ 国家間や重要インフラシステム間等での情報共有をする際、秘匿情報分類の整合性が必要
Unclassified
Classified
Top Secret

SecretConfidential

Restricted

機密
Kimitsu極秘
Gokuhi

秘Hi

取り扱い注意Toriatsukaichuui

USTop Secret

SecretConfidential

For Official Use
Only

UK

TOP SECRETSECRET

OFFICIALSENSITIVE

OFFICIALEU

EU TOP SECRETEU SECRET

Japan

EU
EU RESTRICTEDCONFIDENTIAL

出典： NISPOM Appendix B https://en.wikipedia.org/wiki/Classified_information

44

５．Society5.0へのトラストサービスの利活用⚫ データの分類

個人情報

ID

レベル

1

マイナンバー

レベル3

2

医療ID

レベル3

3

金融ID

レベル2/3

医療情報トラストサービス

アクセス制御を実施

4

ID

レベル

商用ID

レベル1

金融情報

一般情報

45

５．Society5.0へのトラストサービスの利活用⚫ システムプラットフォーム・アーキテクチャ (1)システムプラットフォーム

個人情報

マイナンバー

レベル3

2

医療ID

レベル3

3

金融ID

レベル2/3
アクセス制御＆API方式

4

ID

レベル

商用ID

レベル1

医療情報

API

1

Authorization

レベル

Authentication

ID

金融情報

一般情報

46

目次
1. 世界と我が国の動向
2. 米国のトラストサービスの状況

3. EUのトラストサービスの状況
4. 我が国のトラストサービスの状況
5. Society5.0へのトラストサービスの利活用
6. トラストサービスの国際連携構想
47

６．トラストサービスの国際連携構想⚫「自由と信頼」のルールに基くデータ流通圏と国際相互接続の概要
ＴＤｅＸ

ＴＤｅＸ

米国

欧州
トラストサービス

トラストサービス

トラストデータ連携基盤

トラストコンポーネント基盤

日本

トラストデータ連携基盤

ＴＤｅＸ
トラストコンポーネント基盤

システムア
セット

トラストサービス

データ
アセット

トラストデータ連携基盤
トラストコンポーネント基盤
トラスト
アセット

⚫TDeX: Trusted Data eXchange

48

６．トラストサービスの国際連携構想⚫トラストサービスのアーキテクチャ
トラストサービス（業種別）
G to G
G to BG to C電子政府

B to B
SCM
部品調達
貿易
金融

B to C
自動車
家電品（各種アセット）（各種アセット）（各種アセット）

etc
米国（各種アセット）

トラストデータ流通基盤
アクセス制御、レイティング

トラストコンポーネント基盤
トラストアセット（eID、電子署名、電子認証、タイムスタンプ、
eデリバリー、ウェブサイト認証、etc）

国
際
間
相
互
接
続
欧州

49

６．トラストサービスの国際連携構想⚫ 国際間相互連携によるトラストコンポーネント基盤の構成図
US

Japan

EU

GSA

Government CIO / NISC / MIC / METIDG CONNECT

Cross Certification(CC)

FBCA

CBCA

・・・

GPKI
BCA

SAFE
JPKI
BCA

Cross Certification(CC)JBCA

Commercial
BCA

T-RCA

LGPKI
BCA

・・・

G-TL

Trust
List
Aerospace Power Automotive
industry industry industry

BCA

CA for public sector

F-TL

EULoTLBCA

BCA

CA for private sector(Bridge-Type)・・・

CA for private sector(Trust-List-Type)50

６．トラストサービスの国際連携構想⚫ International Mutual Recognition Technical WG (IMRT-WG)⚫ A Technical Working Group (WG) for international mutual recognition is to beformed by Keio University. The WG will consist of three technical experts
each from US, EU, and Japan, and also one technical expert each from the
CA/B Forum.
•Chair

Satoru Tezuka (Keio University)•US (3 people)
Judith Spencer(CertiPath), David Simonetti (SafeBioPharma), Patrick Pattarson(A4A, Carillon)•EU (3 people)
Nick Pope (Security and Standerds Associates), Arno Fiedler (Nimbus), Olivier Delos (Sealed)•Japan (3 people)
Soshi Hamaguchi (Keio University), Kazuo Noguchi (Keio University), Atsushi Inaba (GMO Global
Sign)•Others
Kirk Hall (CA/B Forum, Entrust Data Card)51