激化するサイバー脅威と、信頼性と自由なデータ流通を支えるデジタルトラスト
2023/11/8
デジタルトラスト協議会
NECサイバーセキュリティ戦略統括部 Executive Professional林

亮平, CISSP(Certified Information Systems Security Professional)© Japan Digital Trust Forum 20231

本日お伝えしたいこと






デジタル化・サイバー空間を利用した経済活動によって今までの制約(物理、距離、時間)が縮小し、経済合理性が良くなった(いわゆるDX化の進展)。
その一方、データはサイバー空間で論理的に存在・流通し何かしら処理・利用されるため、サイバー空間の経済活動を狙った脅威が増大。年々脅威が顕在化し大きなインパクトを与える(会社(国家?)の存続に関わるような)インシデントが多発。
経済活動はデジタル依存度が高まり、悪用する輩が増えた。つまり信頼出来ないデータ(改変された、消された、etc)を利用することで経営リスクが増大。
トラストを確保することは経営における説明責任を果たすためにも重要(行為や決定から生じた結果に対して、状況の説明、原因の究明など、事後の対応を行わなければならない義務または責任)
Digital Trustに関わる法令、ガイドライン、ガイダンス、レギュレーションが出てきている。グローバル化の経済では単一的な対応では無く国際通用性を踏まえた対応が必要。

→Digital Trustは幅も広く、奥行きも深いので、是非JDTFにご相談ください。
→競争力を維持、向上させるためにもDXは避けられない。
= 信頼性と自由なデータ流通の普及には産業界で協力することがとても大切。

© Japan Digital Trust Forum 2023

2

アジェンダ
１．自己紹介とJDTFの紹介
２．激化するサイバー脅威
３．セキュリティとトラストの関係
４．日本や欧州等におけるデータ流通、トラストに関する動向
５．具体的な社会課題と手段としてのトラストサービス
６．まとめ© Japan Digital Trust Forum 20233

１．自己紹介とデジタルトラスト協議会の紹介© Japan Digital Trust Forum 2023

4

自己紹介

林 亮平 （Ryohei Hayashi)
CISSP(Certified Information Systems Security Professional)

一般社団法人デジタルトラスト協議会

運営会議構成員

NEC サイバーセキュリティ戦略統括部 Executive Professional
兼 セキュリティ事業統括部、兼CISO統括オフィス

 NEC入社以来、メインフレーム及びオープンシステムの製品計画、パートナアライアンス・M&A戦略推進、ミッションクリティカルシステム事業、パブリックセーフティ事業、サイバーセキュリティ事業等を担当。
 2017年、東京2020組織委に出向。テクノロジーサービス局次⾧として、大会を支えるハイブリッドクラウド、マルチベンダシステムPJを推進し、大会本番時は、24×７のテクノロジーオペレーションを統括。
 2022年よりデジタルトラスト協議会に参画し、トラストサービスの政策提言、普及活動に取り組む。

© Japan Digital Trust Forum 2023

5

(一社)デジタルトラスト協議会

ご紹介

団体名:一般社団法人デジタルトラスト協議会（JDTF(*)）（2022/2/4設立）
目的:デジタル社会における新たなイノベーション創出の基礎となるデジタルトラストの実現
会員数:正会員３３団体 、賛助会員５団体、 特別会員１８団体・個人（2023/5/1現在）
我が国のデジタルトラスト基盤の創設・発展及び国際協調の学界・民間の受け皿としての位置づけの強化を目的として新団体を設立～201920202021

デジタルトラスト協議会(任意団体)トラストサービス推進フォーラム(任意団体)
・ルール形成委員会
・ビジネスプロセス withﾄﾗｽﾄ委員会
・Trusted Digital ID委員会
・サプライチェーン改革委員会
・調査研究委員会
・普及促進委員会(*) JDTF:Japan Digital Trust Forum
URL: https://jdtf.or.jp/

JDTF(*)組織体制

2022

(一社)
デジタルトラスト協議会

・トラストサービスの在り方検討委員会
・デジタルトラスト制度検討委員会
・DADCタスクフォース
・AATL認証タスクフォース
・TaaS(Trust as a Service)タスクフォース© Japan Digital Trust Forum 2023

6

(一社)デジタルトラスト協議会

ご紹介

相手やデータの正しさが見えないゼロトラスト環境下で、人や組織間のデジタル化された手続きを堅牢かつ確実に実現する（堅確化）ために必要となる仕組み・制度を提言
繋がる相手／データの保証をより容易に利用できるようにするTaaS(Trust as a Service)の推進

実現の仕組み：・様々な組織・個人に対し、サービス型のトラストを提供
・それぞれのトラストサービス間での協調が可能に
・１ストップでの情報集約が可能
・サイバー空間内での高速な処理を実現
ルール・制度：・フィジカル空間の手続きの厳格さに応じた、運用や仕組みに関する水準（国際連携を踏まえる）

JDTFが実現をめざす新たな仕組み ‐TaaS‐© Japan Digital Trust Forum 2023

7

２．激化するサイバー脅威© Japan Digital Trust Forum 20238

セキュリティリスクの変化 ＜攻撃ターゲット＞


攻撃者の属性

攻撃の動機
安全保障

国家主導

サイバー攻撃のターゲット
政府

重要インフラ
経済安全保障
先端技術
金銭目的
一般

犯罪者
出典：NEC© Japan Digital Trust Forum 2023

9サイバーセキュリティリスクの動向 ＜経営インパクト＞


出典：NEC© Japan Digital Trust Forum 2023

10

国内外のインシデント事例

出典：総務省におけるトラストサービスの取組について© Japan Digital Trust Forum 2023

11

元CIAのCISOが提言したセキュリティ対策とゼロトラスト


ビッグマン氏が挙げた６つの基本的な「原則」

1.

セキュリティが強化されたイメージ（ソフトウェア）を利用

2.

二要素認証やスマートカードを組み合わせる等して認証を強化

3.

ルート権限、管理者権限を持つアカウントのクレデンシャル管理を徹底

4.

ネットワークレベルでのセグメンテーション（分離）5.

エンドポイントにおいてカーネルやメモリを保護

6.

脆弱性管理

出典：@ITセキュリティセミナ「一にも二にも「防御」を――元CIAのCISOが提言した6つのセキュリティ対策」を元に作成
https://atmarkit.itmedia.co.jp/ait/articles/1903/12/news014.html© Japan Digital Trust Forum 2023

認証を取られてインシデントに繋がるパターンが大半！

12

•
•
•
•
•
•
•
•
•
•
•

•
•
•
•
•
•
出典：NEC© Japan Digital Trust Forum 2023

•13

３．セキュリティとトラストの関係© Japan Digital Trust Forum 2023

14

セキュリティとトラストの関係
“セキュリティを高める”トラストのみならず、“セキュリティを担保した上でサイバー・フィジカル空間を含め闊達な利用促進を支える”トラスト

出典：セキュリティー・トラスト分野の動向と今後の展望、デジタル社会における新たなトラスト形成（国立研究開発法人科学技術振興機構 研究開発戦略センター/CRDS)© Japan Digital Trust Forum 2023

15

トラストとは－ JST(*)報告書より－(*) JST:国立研究開発法人科学技術振興機構

対象真正性: 本人・本物であるか
内容真実性: 内容が事実・真実であるか
振る舞い予想・対応可能性 : 対象の振る舞いに対して想定、対応できるか

トラスト:相手が期待を裏切らないと思える状態→「対象真正性」、「内容真実性」、「振舞い予想・対応可能性」という側面を踏まえた多面的・複合的な検証が必要
出典:デジタル社会における新たなトラスト形成 (https://www.jst.go.jp/crds/report/CRDS-FY2022-SP-03.html)© Japan Digital Trust Forum 2023

16

トラストを取り巻く環境~ トラスト研究開発の観点の違い, そして分野横断での連携の必要性 ~分類[注] おおまかな傾向であり、この見方に収まらない取り組みも存在する[出典] デジタル社会における新たなトラスト形成 (研究開発戦略センター/CRDS)
出典:デジタル社会における新たなトラスト形成 (https://www.jst.go.jp/crds/report/CRDS-FY2022-SP-03.html)© Japan Digital Trust Forum 202317

~ 注目されるトラスト関連政策提言・プログラム事例 ~分類

国

A: デジタルトラスト

日本「Data Free Flow with Trust (DFFT)」（2019年1月ダボス会議、安倍首相）
 デジタルトラスト協議会（2020年8月設立）
 内閣デジタル市場競争本部 Trusted Web推進協議会「Trusted WebホワイトペーパーVer.1」（2021年3月）、「同Ver.2（案）」（2022年7月）
 デジタルガバメント閣僚会議 データ戦略タスクフォース「包括的データ戦略」（2021年6月閣議決定）
 デジタル庁 データ推進戦略ワーキンググループ トラストを確保したDX推進サブワーキンググループ（2021年11月～）

欧州

eIDAS (electronic Identification and Authentication Service) 規則（2014年7月成立、2016年7月施行）:トラストサービスの統一基準

B: フェイク対策

米国

国防高等研究計画局（DARPA）「Media Forensics (MediFor)」プログラム、「Semantic Forensics (SemaFor)」プログラム

C: 信頼されるAI

日本





統合イノベーション戦略推進会議「AI戦略2019」（2019年6月）における主要な研究開発課題として「Trusted Quality AI」
文部科学省2020年戦略目標「信頼されるAI」を受けたJSTプログラム:CREST「信頼されるAIシステム」、さきがけ「信頼されるAI」（2020年度～）
NEDO「次世代人工知能・ロボット中核技術開発事業」において「AIの信頼性」（2020年度～）

英国

英国研究・イノベーション機構（UKRI）「Trustworthy Autonomous Systems Programme」

日本




世界経済フォーラム「Rebuilding Trust and Governance: Towards DFFT」白書（2021年3月）
経済産業省「Governance Innovation Ver.2: アジャイル・ガバナンスのデザインと実装に向けて」（2021年7月）、「AI原則実践のためのガバナンス・ガイ
ドライン Ver. 1.1」（2022年1月）
日本ディープラーニング協会「AIガバナンスとその評価」研究会報告書「AIガバナンス・エコシステム－産業構造を考慮に入れたAIの信頼性確保に向けて－」（2021年7月）

D: AIガバナンス

政策提言・プログラム事例

欧州

欧州委員会「Proposal for a Regulation of the European Parliament and of the Council Laying Down Harmonised Rules on Artificial
Intelligence (Artificial Intelligence Act) and Amending Certain Union Legislative Acts」（2021年4月）© Japan Digital Trust Forum 2023

18

4．日本や欧州等におけるデータ流通、トラストに関する動向© Japan Digital Trust Forum 2023

19

あらゆる組織、人、モノ、コト、価値がサイバー空間で繋がる、デジタルが介在するサイバー空間での繋がりの中で価値が交換され、社会、経済、産業の原動力になる
セキュリティ
リスク

偽装・改ざん
騙す技術

病院

サイバー空間

従業員

銀行

個人
自治体

企業
ＩｏＴ

どのような相手か分からない不正・脆弱性の混入

複雑な技術
・システム

膨大な情報量本物か分からない、見えない、見ても分からない、人の理解の範囲を超える
出典：日立製作所© Japan Digital Trust Forum 2023

20

自国の安全・安心と競争優位性確保に向けたルール形成
見ても分からない

規程どおり実施していることの説明を求めるルール・規制

ルールに則った適切なセキュリティマネジメント、脆弱性管理を実施しているか?
渡した機密情報（製造図面・ノウハウ、個人情報など）は、適切に管理されているか?
[国際連合]
UN‐R155/
UN‐R156
[EU]
NIS指令
[EU]
GDPR
[EU]
DSA/DMA[中国]
デジタル三法(サイバーセキュリティ法等)

[日本]

[米国]
NIST SP
800‐53/171
[米国]
国防権限法
2019

[インド]
個人情報保護法

事業活動の正当性を説明できない

経営リスク
出典：日立製作所© Japan Digital Trust Forum 2023

21

潮流

‐ 高まるサプライチェーンリスク ‐新たなサプライチェーンリスクの広がり
事業環境… サプライチェーンにおける管理範囲の拡大

 デジタル化、DXによるビジネスの急速な変化
 デジタル技術、不足リソースの調達先多様化・外部依存の高まり
 取引のグローバル化、供給ルートの複雑化

社会環境… さまざまなリスクの顕在化

 制御不能な外的要因によるさまざまなリスク顕在化
・地政学リスク:貿易摩擦、政治不安
・社会リスク :人権問題、パンデミック・環境リスク :気候変動、脱炭素© Japan Digital Trust Forum 2023

22

潮流

‐ 経済安全保障推進法 ‐DXの進展に伴い、競争力強化に向けた経済安全保障推進法が成立
基幹インフラ事業者やサプライヤーは対応を求められる
背景対象
分
野

内
容

国際情勢の複雑化、社会経済構造の変化等が進展する中、国民生活や経済活動に対するリスクが顕在化
・サプライチェーンの脆弱性により国民の生命・生活を脅かすリスクが顕在化
・世界各国において、国家の関与が疑われるものも含め、サイバー攻撃により経済が大きく混乱する事例
・AI・量子などの技術革新、科学技術・イノベーションは、激化する国家間の覇権争いの中核にサプライチェーンの強靭化

基幹インフラの安全性・信頼性確保

 重要物資や原材料(例:半導体)のサプライチェーン強靭化 基幹インフラ機能の維持等に係る安全性・信頼性を確保

先端技術開発特許出願の非公開化

 官民連携し、技術情報を共有・活用し、重要技術を育成

 特許非公開化の措置を講じて機微な発明の流出を防止

制度の目的

基幹設備の事前審査制度対象となる事業者・設備

・基幹インフラ設備導入等の際に事前にセキュリティリスク等を排除
・重要設備の導入や維持管理等に係る委託状況やリスクを把握

・基幹インフラを担う設備の導入に際して、政府が事前審査を実施
・設備の機能や設備の供給事業者や委託先の事業者に関する情報

・電力、ガス、水道、情報通信、金融、運輸、郵便、航空、鉄道等
・設備、機器、装置、それらに係るプ
ログラムまで対象が多岐にわたる

出典:経済安全保障法制に関する提言骨子
https://www.cas.go.jp/jp/seisaku/keizai_anzen_hosyohousei/dai4/teigen.pdf© Japan Digital Trust Forum 2023

23

欧州サイバーレジリエンス法
デジタル製品の製造事業者に対し、製品に含まれる脆弱性とソフトウエアコンポーネントを特定・ 一覧化したSBOMの作成、製品ライフサイクル全体に対するセキュリティ要件への適合性証明等の義務化を検討中

出典：CRAdraft.pdf (meti.go.jp)© Japan Digital Trust Forum 2023

24

米国家安全保障局(NSA)：
サプライチェーンリスクのための調達、受入れ試験ガイダンスをリリース

１．エンタープライズグレードのサーバ、PCは堅牢なセキュリティ成果物、構成、機能と共に調達すべき
２．組織の受入部門は自動化された受入検査を実施し、そのデバイスをチェックすべき• セキュアブートが有効• 有効化されアクティブ化されたTPM（Trusted Platform Module）• デバイスのコンポーネントと一致する有効なプラットフォーム証明書

出典:NSA:https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-ReleaseView/Article/3541065/nsa-releases-guidance-on-acceptance-testing-for-supply-chain-risk-management/© Japan Digital Trust Forum 2023

25

データ流通、データスペースの動向

出典:IPA、データスペース入門（https://www.ipa.go.jp/digital/data/jod03a000000a82y-att/dataspaces-gb.pdf）© Japan Digital Trust Forum 2023

26

EUと日本のデータスペースアプローチ
EC、IDSA、Gaia-Xの各組織で設計方針を参照し、データスペース間の接続手順を統一
DSSC(Data Spaces Support Centre)
ﾚｲﾔ縦断でﾃﾞｰﾀｽﾍﾟｰｽ参加者の支援を行う組織(EU, ISDA, Gaia-X共同出資)

欧州委員会(EC)･2018年 GDPR施行･2020年 ｢欧州ﾃﾞｰﾀ戦略｣発表｢欧州ﾃﾞｰﾀｽﾍﾟｰｽの構築により、産業用ﾃﾞｰﾀの有効活用を通じてEU発展を目指す

IDSA：･技術仕様ﾘﾌｧﾚﾝｽ・ｱｰｷﾃｸﾁｬ(RA)を策定

Gaia-X：・IDSAのRAを参照し、GaiaXのRF策定

欧州委員会(EC)：･ﾃﾞｰﾀｽﾍﾟｰｽの基本ﾊﾟｰﾂを作成

IDSA：･IDSｺﾈｸﾀ*を作成

Gaia-X：

出典:IPA、データスペース入門を元に作成（https://www.ipa.go.jp/digital/data/jod03a000000a82y-att/dataspaces-gb.pdf）© Japan Digital Trust Forum 2023

・IDSｸﾈｸﾀをｺｱ技術にEclipseｺ
ﾈｸﾀを開発し、Catena-X等のﾃﾞｰﾀｽﾍﾟｰｽで使用＊ｺﾈｸﾀ:ﾃﾞｰﾀｽﾍﾟｰｽ間でﾃﾞｰﾀ連携を行う仕組み

27

データスペース及びスペース間の連携においても、やはりトラストが必要■データスペースのデータ連携は、主に、①データを探す、②認証・認可、③データ転送/アクセスの３ステップ。
■「相互運用性」、「データ主権」がデータスペースで重要■データスペースの対象領域・社会の幅広い分野でデータスペースが推進されている。
・日本は、データスペースと呼んでいないが、準公共プロ
ジェクトなどデータスペースに類似の取り組みが数多く行われている＊EDS:欧州のデータ戦略で推進されるEurope Data Space
出典:IPA、データスペース入門（https://www.ipa.go.jp/digital/data/jod03a000000a82y-att/dataspaces-gb.pdf）© Japan Digital Trust Forum 2023

28

関係府省庁、DSA、IPAがOne Teamで推進
第３期SIP サーキュラーエコノミーシステム

Trusted Web推進協議会

出典:IPA、データスペース入門等を元に作成© Japan Digital Trust Forum 2023

29

５．具体的な社会課題と手段としてのトラストサービス© Japan Digital Trust Forum 2023

30

デジタルトラスト
DXの恩恵を享受する為、サイバーフィジカル空間のトラスト形成を迅速化・容易化
・対象真正性(注):本人・本物か、データの完全性、人、組織、モノの実在性を確認可能
・内容真実性(注):内容が事実、真実であるか確認可能
・リスク評価:信頼する側が、属性などににより、リスクやその対応性を評価可能(注)以下を参考に作成
デジタル社会における新たなトラスト形成 (https://www.jst.go.jp/crds/report/CRDS-FY2022-SP-03.html)

Traditional Trust(1)現場、現物、書面による確認→当事者の確認結果の書面確認含む(2)人手、時間、コストをかけて確認(3)取引先との間で個別に確認(4)時間がかかる、スケーラビリティ小(5)監査などの定点記録

Digital Trust(1)第三者による検証可能性(対象真正性、内容真正性、リスク)(2)リモートで迅速に容易に確認(3)バリューチェン全体で確認(4)高速処理、スケーラビリティ大(5)事後検証、検索可能→サイバーフィジカル空間におけるトラストのインターオペラビリティの確立により可能となる。
© Japan Digital Trust Forum 2023

31

１）サプライチェーンにおけるデジタルトラスト
サプライチェーンの信頼性、リスクを、サプライチェーン全体で評価、検証可能な仕組み

出典： https://www.plattform-i40.de/IP/Redaktion/EN/Downloads/Publikation/IIoT_Value_Chain_Security2.html(1) サプライチェーンで創出された価値(製品・サービスなど)が期待どおりであること(2) サプライチェーンにおける価値の創出過程が期待どおりであること(3) 価値がアフターサービスも含めて期待どおり提供され続けること© Japan Digital Trust Forum 2023

32

参考.

ESG投資における想定課題■EUは、サプライチェーン全体での環境・人権への取り組みを評価するためのルール・規制強化→Scope3も含めた排出量の正確な把握、第三者認証に基づく開示などを検討中■CO2排出量取引、M&AのDDなど、今後、排出量の担保だけでなく、説明責任が問われる可能性
ステークホルダ

想定課題

金融機関

・ESGに関するインパクト評価が求められるが、財務情報以外の知見に乏しい、収集が大変。
・開示情報の信憑性、不正リスク（グリーンウォッシュ）

機関投資家・投資による社会貢献効果が不明瞭
・開示情報の信憑性、不正リスク（グリーンウォッシュ）事業会社・脱炭素の投資目的に関する情報開示などの業務負担大。

監査法人

・非財務系監査におけるルール不足→非財務系は収集項目、ルール等のコンセンサスがない・レギュレーター、投資家、市場の要請への対応力。

課
題

DX、デジタル技術による効率化、対応力の強化
価値交換（CO2排出量取引など）におけるトラスト確保© Japan Digital Trust Forum 2023

33

実現イメージ
サプライチェーン全体での不正混入防止、製品・サービス要件への準拠/対応
サプライチェーンの信頼性を可視化し、組織、人、価値の繋がりの柔軟性、強靭性確保
生産活動、事業活動におけるエビデンス提示の要求、透明性確保、義務化への対応
法制度・規制・ガイドライン
組織１

組織2

計画 ・・・

WP29

GDPR

LCA

社会の期待・企業の責任

説明責任
組織3

調達

製造

組織4
検査

出荷

作業・プロセス

デジタルエビデンス

作業・保守・
メンテナンス情報・ログ

サプライチェーン全体での共有・検索

規程
照合

物流

柔軟性

強靭性

説明責任
ESG

説明責任
組織5
販売

SDGs

柔軟性
強靭性
信
頼性の可視
化
・
根拠

トラストストアTaaS© Japan Digital Trust Forum 202334

２）デジタルアイデンティティにおけるデジタルトラスト

W3CでのDIDs・VCsやEUでのDIWなど新たなIDの管理に対する取り組みが進んでいる
国内においても、新たなweb技術を使用したトラストの技術・アーキテクチャ・プロトコルなどの開発をユースケースの社会実装までを含めて、Trusted Webとして推進している。
一方、（わが国では）信頼あるデジタルID プロバイダーの在り方の議論がされていない。これら技術を活用していくうえで、認証局などのトラステッドサービスやベースレジストリとの連携など、実社会の商習慣や法制度との整合性を踏まえた実用化に向け、パブリックトラストの実現に向けた検討が必要。
EUDIW(EU Digital Identity Wallet)の技術調査

DIDs/VCsの技術調査参考）W3C

参考）ARF (v1.0.0) [2023/02]© Japan Digital Trust Forum 202335

アシュアランスレベルの基準(IAL,AALに加えTALの提案) これまで議論されてきたIAL,AAL等に加え、IDを提供するProviderにもトラストサービスとして運営する際のAssuranceLevel(TAL)の定義とレベル分けが必要
しかしながら、eID ProviderのTALにはIAL,AALを要件に含むと考えられる⇒組み合わせが限定される例）TAL＝3の必要要件として、IAL=3かつ､AAL ≧ 2かつ､BAL、InfoALが高い？ベースレジストリとの継続的な整合性を維持することが含まれる例）TAL＝2の必要要件として、IAL≧2かつ､AAL ≧ 2かつ､BAL、InfoALが高い？として機能することが含まれる
AAL: Authenticator Assurance Level
多要素認証（ソフトウェアトークン含む）

IAL:

Identity
Assurance
Level

認定主体による区分（法制度による裏付け）

IAL2
IAL1

IAL3
IAL1

TAL2
AAL1

IAL1

AAL2

AAL3

特定認証業務のCP（2）電子委任状法

特定認証業務のCP（2）+SSCD

特定認証業務のCP（2）電子委任状法AAL2

AAL3

特定認証業務のCP
(1)

IAL3
IAL2

認定認証業務のCP(3)+QSCD
公的個人認証、電子委任状

TAL3
AAL1

IAL2

認定主体による区分（民間の第三者機関）

商業登記認証局
認定認証業務のCP(3)電子委任状法

IAL3

耐タンパデバイス

TAL1
AAL1

TAL:
Trust service
Assurance
Level
耐タンパデバイス
QSCD:Qualified Signature Creation Device
国により認定された署名値生成装置
SSCD:Secure Signature Creation Device
国際規格により認定された安全な署名値生成装置
CP: Certificate Policy
証明書発行ポリシ認定認証業務のCP (3):国の認定制度に基づく特定認証業務のCP (2):信頼できる民間の監査制度に基づく特定認証業務のCP (1):上記以外の認証業務

特定認証業務のCP(1)
特定認証業務のCP
(1)

AAL2

AAL3

© Japan Digital Trust Forum 2023

36３）ビジネスプロセスにおけるデジタルトラスト
ビジネス領域で行われてきた書面・押印・対面により信頼を確保してきた業務プロセスは、DXによる利便性を享受するためには、従来とは異なる方法で流通する情報の信頼性を確保する必要がある。
→業務プロセスにおける、デジタル情報の流通において、利用者視点で、業務効率化を図りつつ信頼性を確保するための課題を抽出し、解決策としてのトラストサービス利用を検討。
法人本人確認検討WG
課題：金融取引時の法人本人確認業務における実印・印鑑証明書等の現物媒体の利用
Goal：法人本人確認のデジタル化実現による企業と金融機関双方の業務効率化

行政手続研究TF
課題：行政への各種申請手続きはオンライン化が進むものの、申請に対する処分通知（許可証等）はオンライン化が進んでいない。
そのため、受領側での人手作業負荷が高く、また、誤入力リスクの低減が困難。
Goal：「行政のデジタル完結」の方針のもと、処分通知等の受領側のプロセスを調査／分析し、あるべき姿を検討し行政への提言案を作る。

ｅシール利用者ガイドラインTF
課題：ｅシール用証明書の制度検討が進む中、ｅシールを利用する企業側において管理規程がない。
Goal：ｅシールを利用する企業側のガバナンス指針を具体的に示すガイドラインを策定・公開する。

© Japan Digital Trust Forum 2023

37

具体的な事例：法人本人確認
 「法人本人確認検討ＷＧ」での検討• 銀行業務（口座開設・融資申込）をモデルに、法人の本人特定事項をデジタル上で行なう仕組みについて検討
デジタル化を阻害する原因

解決方針①法人が本人確認用書類を取得するデジタル上の仕組みがない

解決方針①・実印+印鑑証明書等に代わる、法人の証明(電子証明書)をデジタル上で付与できる仕組みの構築
・登記情報の更新等をデジタル上で行う仕組みの構築②銀行へ提出された本人確認用書類を用いて、銀行がデジタル上で本人確認を行う仕組みがない

解決
方針
②

・電子証明書の真正性、法人情報*、委任情報等の照会を、デジタル上で行う仕組みの構築③代表者本人以外が申請を行う場合、銀行が申請者の法人の所属・権限有無がわかる仕組みがない

解決
方針
③

・個人が所属している法人情報をデジタル上で照会する仕組みの構築
・法人代表者から個人へ権限委任をデジタル上で登録・照会する仕組みの構築④各銀行単位で、全ての認証業務を行っており、業務の重複が発生（企業側もサービスごとに都度対応が必要）

解決
方針
④

・法人の証明書、法人情報、委任情報、個人の所属情報等を一元的に管理し、真正性を担保する基盤の構築*登記情報、定款、決算情報等© Japan Digital Trust Forum 2023

38４）DFFTを支える国際相互承認の必要性■国際社会での「信頼ある自由なデータ流通:Data Free Flow with Trust」の拡大
Society5.0の実現に向け、ヒト、モノ、システム間での高度な情報連携が進みAI含めデータの自動連携が社会システムの基盤となり、デジタル経済を支える信頼ある自由なデータ流通（DFFT）が国際社会の中で拡大することが予想されている。
「デジタル社会の実現に向けた重点計画」（R4年6月18日閣議決定）の「包括的データ戦略」では、「データ流通に関連する国際的なルール作りや討議等を通じて、 DFFT を推進し続ける必要がある。」と示されている。

■DFFTを支えるトラストサービスの国際相互承認の必要性「包括的データ戦略」では、データのトラストの3要素「意思表示の証明(電子署名等）」、「 発行元証明（eシール等）」、「存在証明(タイムスタンプ等）」の国際的な相互承認の必要性について、「国際的な相互承認を得るにあたっては、トラストアンカーの確認、トラストアンカー間の接続の仕組み、 及び 技術基準の整合性の確保のみならず、監督・適合性評価のレベルや関連の国内制度の整合性も確認する必要性 が想定される。このため、国内のトラストサービス認定のフレームワーク では、国際的な同等性等を配慮した国際相互承認を検討段階から 念頭に置くことが必要である。」と述べられている。

包括的データ戦略で示された、トラストを確保する枠組みの実現に向けた検討を加速する必要がある© Japan Digital Trust Forum 2023

39

■わが国のトラストサービスは国際的な通用性に課題あり
電子署名を例にとると、残念ながら、日本の電子署名法の認定基準を満たした電子証明書は、国際的な通用性は無く、例えばPDFに署名された文書を受け取りAdobe社の”READER“で開いても直ちには電子署名の有効性が確認できず、手動で当該認証局を信じるという操作を行うことを余儀なくされる。
これは欧州や北米の技術標準とのマッピングがされていないため、わが国の電子署名が国際的に認知されていないことを意味する。諸外国と電子署名データをやり取りする際はもちろんのこと、READERのようなグローバルなソフトウェアを日本で利用する際にも課題がある。国を超えた電子署名の通用性を確保する上でトラストービスの国際相互承認が不可欠となる。このことは、現在総務省で検討されている「eシール」についても同様である。

トラストサービスの国際相互承認に向け以下の①～⑥の論点に従ってトラストを確保する枠組みの整備の具体化に向けた検討を加速すべきトラストを確保したDX推進SWG（第１回資料５より）認定の確認
現在のみならず過去に遡って確認できる、基準の明瞭な機械可読のトラステッドリスト

ブリッジ
認証局

①認定スキームの創設②トラスト基盤の創設③認定の効果トラスト基盤認定の仕組み掲載

認定の基準

国家監督機関（又は、民間主導の認定機関）

指定
指定
(認定)

評価報告

適合性評価機関

策定・改版・保全要求

適合性評価
機関の認定
機関
認定

評価

⑤クオリファイドサービスをトラステッドリストとして公表⑥国際的な相互承認

指定（認定）
基準

トラストサービス(認証局、タイムスタンプ局等）© Japan Digital Trust Forum 2023

認定要件

共通要件

④認定基準

個別要件

40



トラストサービス全般に関わる包括的な基準：


法令等と技術標準との分離：

例えば欧州ではeIDASという包括的な上位の法の下、トラストサービスが定義され、下位の法制度や標準規格、認証基準等が構造的に整備されている。一方、我が国では包括的な体系がなく、トラストサービスの一部である電子署名とタイムスタンプに関わる法制度がそれぞれ独立して規定されており、互いに統一が取れているとはいいがたい状況にある。
欧米では法令等と技術標準とは、ドキュメントとしても作成に当たる体制としても分離され、両者を関連付ける規則を設けて統制をおこなっている。一方、我が国では、例えば電子署名やタイムスタンプ関連では、法令等に技術基準の要素が含まれており、ドキュメント体系、作成にあたる体制ともに混在している。そのため、更新や見直しのタイミングも、担当すべき専門家も本来異なるため、更新の遅れや規定の不備、作業効率やコストへの悪影響をはじめとする問題の誘引が予見される。

未整備のトラストサービスの技術基準等の調査：


我が国で制度化されている電子署名やタイムスタンプ以外に、欧州等ではTSP評価機関、認証局、タイムスタンプ局、リモート署名、署名検証、身元確認、⾧期保存、eデリバリー等の技術基準が策定されている。
© Japan Digital Trust Forum 2023

41

具体的な事例：AATL認証


EUではETSI基準を満たせばAdobeで信頼済みソースとして自動的に検証が可能

電子署名法を満たすとAdobe基準も同時に満たすような「電子署名法のモダナイゼーション」に向け準備を進めている。

「AATL対応電子証明書発行基準」
 真偽確認方法
 プロファイル
 設備基準:電子署名法援用
 技術基準:海外差分を適用
 運用基準:電子署名法援用＜共通要件:設備基準・運用基準＞
 電子署名法施行規則、同法指針、指定調査機関の調査表＜個別要件＞
 真偽確認方法
 電子証明書プロファイル

海外差分:AATL Technical Requirementsが示す監査要件の援用
電子署名法における基準
 同法施行規則
 同法指針 指定調査機関確認内容

監査要件（ETSI基準）
 ETSI EN 319 411-1 NCP ETSI EN 319 411-2 QCP-nまたはQCP-l

監査要件（Web Trust）
 WebTrust for CAv.2.0 以降
 同SSL Baseline with Network
Security Principle 4

マッピング・不足点の抽出・国際通用性を確保する電子署名法認定基準案検討© Japan Digital Trust Forum 2023

42具体的な事例


電子帳簿保存法対応：

知的財産保護：

データの真実性確保の要件の１つとしてタイムスタンプが挙げられているが、その利用意義や注意事項、運用上の疑問・不安点に対する正しい知識、タイムスタンプ以外で運用する場合の注意事項等について、市場の理解に齟齬が見られる。
特許庁による先使用権制度事例集において、タイムスタンプや電子署名について紹介されたものの、それらの具体的な利用方法や必要なツールの種類等に関する認知が広まっていない。

当協議会の活動・最新動向の広報：

デジタルトラスト自体の理解促進や、今後普及が予想されるeシールに関する動向等に関して、包括的に整理された情報が公開されていない。

© Japan Digital Trust Forum 2023

43

6．まとめ© Japan Digital Trust Forum 2023

44

まとめ
１．サイバー空間の経済活動を狙った脅威が増大し、会社存続を脅かすインシデントが多発
２．デジタル社会に向けた『説明責任』を課すルール形成が加速し、企業にとって新たな経営リスクが増大
３．DXの恩恵を十分に享受するため、サイバー・フィジカル空間におけるトラスト形成の迅速化・容易化を推進すべき
４．デジタルトラスト実現に向けて、国際通用性を踏まえた普及へのルール作りが重要→トラストを確保することは経営における説明責任を果たすためにも重要！
CIO/CISOの皆様にとって、安全を確保するセキュリティだけでなく、信頼を確保するトラストへの対応も必須！
→信頼性と自由なデータ流通の普及には産業界で協力することがとても大切！
→並行して、個社でデータ利活用に向けた整備を加速！

是非ともデジタルトラスト協議会にご参加いただきたい！
(https://jdtf.or.jp)© Japan Digital Trust Forum 2023

45

© Japan Digital Trust Forum 2023

46