シンポジウム「ＩＤとトラストの最前線－電子行政・ビジネスと標準・法」「IDとトラスト」（総論）--ボタンの掛け違いを防ぐための概念及び方向性の共有-2022年12月1日
セコム（株）IS研究所 松本© 2022 SECOM CO., LTD泰1

松本の自己紹介

セコム（株）IS研究所

主席研究員

サイバーセキュリティと1984年 UNIX上のビデオテックス・パソコン通信システムの開発に従事
1994年 各種インターネットサービスの設計、開発、運用に従事
情報プラットフォームを担当
1999年 サイバーセキュリティ事業の立ち上げに従事
2003年-2007年 工学院大学「セキュアシステム設計技術者の育成」プログラム客員教授
この時期に、公開鍵暗号に基づく2007年 経済産業省 商務情報政策局長表彰「情報セキュリティ促進部門」受賞
電子署名技術等について携る
2007年-2012年 IPA 情報処理推進機構 情報セキュリティ分析ラボラトリー
非常勤研究員
2011年-2012年– 社会保障・税に関わる番号制度 情報連携基盤技術ＷＧ 構成員
マイナンバー制度に– 社会保障・税に関わる番号制度 社会保障分野サブＷＧ 構成員
関する議論• 2013年-2014年– 内閣官房 パーソナルデータに関する検討委員会・技術検討WG 構成員• 2008年-2018年 JDCC 日本データセンター協会 セキュリティWGリーダ• 2022年12月現在– CRYPTREC 暗号技術検討会構成員、暗号技術評価委員会 委員、暗号技術活用委員会 委員– 日本ネットワークセキュリティ協会 PKI相互運用技術WGリーダ– 日本ネットワークセキュリティ協会 標準化部会 副部会長
2005年から、ほぼ毎年– JST/RISTEX 公私領域アドバイザー
PKI day を開催– QST SIP光・量子技術評価委員会委員
本日は、2010年頃のス– 津田塾大学総合政策学部非常勤講師（情報セキュリティ論）
••
•
•
•
•
•

ライドを引用© 2022 SECOM CO., LTD

22

第一東京弁護士会総合法律研究所ＩＴ法研究部会 共催シンポジウム「データ戦略の課題と未来」（2019年11月27日）

データ連携が大きなテーマ
出典
https://www.jlf.
or.jp/assets/wor
k/pdf/kenshu_1
90910_04.pdf© 2022 SECOM CO., LTD33

第一東京弁護士会総合法律研究所ＩＴ法研究部会共催シンポジウム「電子契約の過去・現在・未来－書面・押印・対面の見直しのための技術と法」（2020年12月18日）

本日の「 IDとトラスト」とも関連が深いテーマ
出典：
https://www.jlf.or.jp/
wpcontent/uploads/2021/01/itsympo2020siryo 4
u5.pdf© 2022 SECOM CO., LTD44

シンポジウム「ＩＤとトラストの最前線－電子行政・ビジネスと標準・法－

確認することとトラストの関係

Digital IDの意義• 電子行政、私人間の電子取引等を推進するには、その基盤となるIDとトラストが重要です。デジタルの世界では、相手が目の前にいません。
• そこで、ネットの向こう側にいる方が誰であるかを確定し（Identification）、その者の属性が申告通りの内容かを確認して(verification)、IDを付与し、各取引・アクセス毎に、そのIDを利用する者がなりすましでなく本当に本人であるかを認証する（authentication）等して、IDをうまく活用することが重要です。また、本人確認／ID認証等に際しては、信頼できる第三者を利用する等して、精度をあげることが重要です。
今回のシンポジウムでは、電子行政や、電子取引等の基礎として重要なIDとトラストをめぐる海外を含む法制度／標準等について取り上げると同時に、日本として目指すべき方向性、乗り越えるべき課題等について考えます。
保証レベル
identity proofingと一般的なトラストサービス(Assurance Level)
Authenticationの違いの理解の議論の議論© 2022 SECOM CO., LTD
55

「IDとトラスト」（総論）--ボタンの掛け違いを防ぐための概念及び方向性の共有--•(1). IDとトラスト•(2). IDとトラスト•(3). 「電子行政・ビジネスと標準・法」からみた
目指すべき方向性、乗り越えるべき課題© 2022 SECOM CO., LTD66

IDとトラスト• Identifier -> マイナンバーの重要性• Identity -> 属性連携、属性証明へ• Identity Document -> Digital IDへ© 2022 SECOM CO., LTD72011年1月28日発行「社会保障・税に関わる番号制度の基本方針」
当時とってもシンプルに思えた。

PKI Day 2011
<番号制度時代のPKI>
2011年9月26日
https://www.jnsa.org/seminar/pkiday/2011/data/06_matsumoto.pdf© 2022 SECOM CO., LTD88

３つの仕組みからIDの多義的な意味を理解する？
IDentifier
IDentity
Identity Document
本人確認
IDentity Proofing
IDentity Verification
出典：
https://www.iise.com/jp/symposium/sym_160322_data/sym_20160322_matsum
oto1.pdf© 2022 SECOM CO., LTD99

IDとトラスト• トラストの概念自体が変革している• トラストからデジタルトラストというパラダイムシフト• この変革におけるトラストサービスの重要性• 「法制度・標準（技術）」が作り出す新たなデジタル社会の形成© 2022 SECOM CO., LTD10出典：2022年9月 CRDS-FY2022-SP-03
デジタル社会における新たなトラスト形成
https://www.jst.go.jp/crds/report/CRDS-FY2022-SP-03.html

デジタル社会における「新たなトラストの形成」のためのIDとトラスト、デジタルトラスト、トラストサービスなど© 2022 SECOM CO., LTD1111

トラストに関する基本的な用語の理解
・Trusted Party（TP）

医療の信頼(Trust)と信頼性（trustworthiness） を支える制度等
社会的な複雑性の・医師資格という国家資格
・医師免許証という医師資格の証明 縮減メカニズムでもある
・医療機関の認可制度（開設許可）制度的フレームワーク
その他
・医療の公平性を支える国民皆保険制度

被信頼者
トラストされる対象者
・ Relying Party（RP）、「社会的な複雑性の縮減メカ信頼者 （検証者）
ニズム」がインプットされる
信頼性
・信頼(Trust)と信頼性→ 暗黙のトラスト(Implicit（trustworthiness）（trustworthiness）の用語
主観期待Trust)
能力の使い分け
ニクラスルーマン(*1)の意図・信頼性（trustworthiness）
言うところの「こういう信頼者（RP)が被信頼こと(社会生活)が可能でトラストあるのは、我々(Relying者（TP)に期待する他者やParty)が他者や社会（信頼したい）品質・
我々社会(Trusted Party)に対し性質・能力？？
Trusted Party(TP) Relying Party(RP) て一定の信頼をおいてい*1 参考 トラストについての補足るからにほかならない」
被信頼者
信頼者© 2022 SECOM CO., LTD1212

既存のトラスト研究とデジタルトラスト• 既存のトラスト研究（主に人文・社会学分野が多い）におけるトラスト– 心理学、行動経済学などにおける「能力と意図」
意図の認識に重きが置かれる– 人などのTrusted Party（TP）の能力や意図を、人前提のRelying Party（RP）の主観でどのように認知するのかといった研究が多い？
– 暗黙のトラスト（Implicit Trust）→ 認知バイアス？人間自体の研究（心理学、脳科学等）• デジタルトラスト??
-広義には、デジタル技術に依存する社会におけるトラスト– ゼロトラスト（Never trust, always verify）というパラダイムシフト• Never trust→ 暗黙のトラスト（Implicit Trust）はしない• always verify → リアルタイムに検証(verification) -> 明示的なトラスト（Explicit Trust）– デジタルトラストの方向性• 明示的なトラスト（Explicit Trust）→ 検証(verification) することにより得られるトラスト• 検証(verification) のコストを激減させるための法制度／標準等の整備• 検証の自動化によるシステムによる自動的な処理、自律的な処理へ• トラストサービス-- デジタルトラストのための基盤– 様々なセクターからDigital ID (Digital Identity credentials)を（自動的に）検証可能なプラットフォームへ -> Identification だけでなく、 trustworthiness の検証も© 2022 SECOM CO., LTD1313

「電子行政・ビジネスと標準・法」からみた目指すべき方向性、乗り越えるべき課題••「電子行政や、電子取引等の基礎として重要なIDとトラストをめぐる海外を含む法制度／標準等について取り上げる」→ デジタルトラストに関わる「法制度／標準等」の課題の理解が欠かせない© 2022 SECOM CO., LTD

14

目指すべき方向性？？？
３つの仕組みをレイヤー構造に直して見た。
下のレイヤーが上のレイヤーを支える構造。
IDとトラストは、デジタル社会における縁の下の力持
ち→ 普段意識することはない。なのでその意義も分かりにくい
PKI Day 2011
<番号制度時代のPKI>
2011年9月26日© 2022 SECOM CO., LTD

https://www.jnsa.org/seminar/pkiday/2011/data/06_matsumoto.pdf

1515

目指すべき方向性？？？
デジタル時代の（信頼のための）フレー
ムワーク-> これを如何に構築していくのかが、本シンポジウムの重要なテーマ？？

© 2022 SECOM CO., LTD

出典：PKI Day 2010
社会基盤としてのPKI/ PKIの10年
2010年6月29日
https://www.jnsa.org/seminar/pkiday/2010/data/5_a_matsumoto.pdff 1616目指すべき方向性？？？「IDとトラスト」をベースにした情報連携の事例→ シンポジウム「電子契約の過去・現在・未来－書面・押印・対面の見直しのための技術と法」（2020年12月18日） この時、提示したスライド

出典：電子署名法の課題と未来―Society5.0時
代を支えるトラスト技術と電子署名法-https://www.jlf.or.jp/wpcontent/uploads/2021/01/itsympo20
20siryou5.pdf© 2022 SECOM CO., LTD

1717

乗り越えるべき課題
全体最適のための法と技術の噛み合わせ
過去からの法制度のフラグメンテーションという難題
PKI Day 2009－様々な分野に展開されるPKIの最新動向「欧州の政府系PKIとID管理」 (松本）https://www.jnsa.org/seminar/2009/0624/data/06_matsumoto.pdf© 2022 SECOM CO., LTD

1818

乗り越えるべき課題
・噛み合わない会話
・共有されないビジョン
関係者のポジショントー
クだけでは解消しない
ここを乗り越える
本シンポジムに期待すること
出典：PKI Day 2010
社会基盤としてのPKI/ PKIの10年
2010年6月29日
https://www.jnsa.org/seminar/pkiday/2010/data/5_a_matsumoto.pdff© 2022 SECOM CO., LTD1919

今回のシンポジウムにおいて理解するべきキーワードをいくつか• 保証レベル(Assurance Level)– LoA(Level of Assurance)、LoA for authentication 、LoA for signature ??
– → 法制度のフラグメンテーションが全体最適を阻害している？？
• FATF（The Financial Action Task Force）勧告という（外圧？？）の重要性– Fintech の拡大と犯罪収益移転防止法の適用範囲の拡大– ->. 結果 最も標準化・相互運用性の確保が困難な高い LoA が国際的に可能になる方向へ• identity proofingと一般的なAuthenticationの違いの理解– eKYC → Identity proofing、identity proofing policy• Remote Identity proofing、Remote Identification and Verification• 法的な本人確認のコンプライアンスをクリア -> そのための法制度／標準等の噛み合わせ– eKYC に決定的な役割を果たす( Digital )Authoritative sources の在り方 → 政府への期待• マイナンバーカード・JPKI等を犯罪収益移転防止法に対応したKYC, eKYCの効果的な利用• 属性連携、属性証明も含めた( Digital ) Authoritative sourcesの在り方• 様々なセクターからの検証可能(Verifiable)となるDigital ID (Digital Identity credentials)• 「既存の社会におけるトラスト」から「デジタル社会のためのデジタルトラスト」へ– そのための「IDとトラスト」ではなく「 Digital IDとデジタルトラスト」の理解© 2022 SECOM CO., LTD

2020

参考

© 2022 SECOM CO., LTD21

トラストについての補足© 2022 SECOM CO., LTD22

トラストって何よー??
• トラストについて、––ドイツの理論社会学者であるニクラス
ルーマン1968年の著作「信頼―社会的な複雑性の縮減メカニズム」の中で、トラストは「社会生活の基本的な事実である。(中略)こういうこと(社会生活)が可能であるのは、我々が他者や社会に対して一定の信頼をおいているからにほかならない」
トラストのメカニズム → 「複雑性を縮減するメカニズム」

ニクラス
ルーマン
信頼―社会的な複雑性の縮減メカニズム」
出典： 俯瞰セミナー&ワークショップ報告書
トラスト研究の潮流 ~人文・社会科学から人工知能、医療まで~ 2021 年 7 月~ 10 月開催
https://www.jst.go.jp/crds/pdf/2021/WR/CRDS-FY2021-WR-05.pdf© 2022 SECOM CO., LTD

https://www.amazon.co.jp/
信頼―社会的な複雑性の縮減メカ
ニズム-ニクラス・ルーマン/dp/4326651202

23
23

Society 5.0実現のためのデジタルトラスト??
デジタル社会におけるセキュリティ・プライバシー・トラスト

トラスト
デジタルトラストセキュリティ

プライバシー

サイバーセキュリティ

データプライバシー• セキュリティ• フィジカルセキュリティと• サイバーセキュリティの違い• ＃守る対象などの違いからくる技術などの違い• プライバシー• 古典的なプライバシー権→「一人でほっておいてもらう権利」• データプライバシー• ビッグデータの活用、個人情報保護法• トラスト• 従来からのトラスト？
• デジタルトラスト© 2022 SECOM CO., LTD24
24

Security, Privacy & Trust
これらの関係
Trustee system
Trustor system

trustworthiness
Security

Privacytrust

firenessELSI, Etc..

safetyTrustorsystem

System Of Systems© 2022 SECOM CO., LTD

2525（乱立する？）デジタルトラストのキーワード??
Trustの対象(TP)が遠隔の何か？クラウド上の何か
複雑化、ブラックボックス化→ Trustworthinessの議論

Trustworthy

mechanism 書面や押印などからデジタルへ

TTP

Trustworthy mechanism の技術と法制度の変革→ トラストサービスの議論

trustworthy AI
zero trust architecture

Untrusted environment or
Zero trust environment
trustworthinessabilitytransparency

TP
Trustee

Untrusted network or

zero trust network
TRUST・
Verifiable, Always Verify

chain of trust
Trusted device
Root Of Trust

RP
TrustorVerifiable Credentials
remote attestation( token)
Entity Attestation Token (EAT)

accountability

変貌するトラストアーキテクチャ（コンピュータアーキテクチャ）

スマート化のためRPもシステム
ex.. Zero trust トラストエンジン

qualified electronic attestation of attributes
by eIDAS2.0

trustworthiness claim

Verifiable Claims

新しい概念の用語が乱立？
トラストアーキテ
クチャの議論デジタル社会全体 → トラスト・ガバナンス・フレームワークの議論？
© 2022 SECOM CO., LTD

2626

乗り越えるべき課題の補足

フラグメンテーションと相互運用性© 2022 SECOM CO., LTD

27

出典：
2019年 トラストサービ
スの調査ワークショップ
EUの技術標準（松本）https://itresearchart.sec
uresite.jp/19ws207/docs/s03.pdf© 2022 SECOM CO., LTD2828

フラグメンテーションの解消
個人情報保護法の場合
現状の「電子署名法等」の法制
度は、2017年の改正個人情報保護法以前（主務大臣制時代）の状態？？

出典: https://www.soumu.go.jp/main_content/000790352.pdf© 2022 SECOM CO., LTD2929

フラグメンテーション-- 電子署名法とJPKIの関係• 200１年
電子署名法
非常に似通った• 2002年
電子署名に係る地方公共団体の認証業務に関する法律
法制度• 2003年8月
住基カード発行開始（JPKI証明書発行開始）• 1024bit RSA with sha1 , 電子署名用証明書• 2013年5月
マイナンバー法成立• 2015年12月 電子署名等に係る地方公共団体情報システム機構の認証業務に関する法律• 2016年1月
マイナンバーカード発行開始（新しいJPKI証明書発行開始）• 2048bit RSA with sha2 , 電子署名用証明書、利用者証明用証明書• 2021年9月
デジタル庁• 2023年？？
– たぶん、JPKIの根拠となる法律は更に改正されていく• スマートフォン対応、• → 欧州の eIDAS2.0 に近づく？？
• → 電子署名法とは、乖離していく？？
© 2022SECOM
CO.,© 2022
SECOM
CO., LTD
LTD

3030

乗り越えるべき課題の補足

法と技術に噛み合わせ© 2022 SECOM CO., LTD31欧州のeIDAS規則
技術的相互運用性を後押しする
法的相互運用性出典：
2019年 トラスト
サービスの調査ワーク
ショップ
EUの技術標準（松本）https://itresearchart
32.securesite.jp/19ws
207/docs/s03.pdf© 2022 SECOM CO., LTD

32
32

出典:
https://www.nic.ad.
jp/ja/materials/iw/2009/proceedings/h9/iw2009-h9-03.pdf© 2022 SECOM CO., LTD

33
33

出典：
PKI Day 2010
社会基盤としてのPKI/ PKIの10年
2010年6月29日
https://www.jnsa.org/seminar/pkiday/2010/data/5_a_matsumoto.pdff© 2022 SECOM CO., LTD34
34

GIEシンポジウム「国民ID制度を考える」
2010年8月26日 開催

https://gie.sfc.keio.ac.jp/sympo100826/report.html

ワンスオンリー原則（Once only principle）© 2022 SECOM CO., LTD3535

申請主義の仕組み

ネットワークもコンピュータもなかった時代においては、「申請主義の仕組み」は、合理的な仕組みだった。
（マイナンバーのような個人を識別する仕組みも必要なかった）© 2022 SECOM CO., LTD

36
36

eKYCに関連した動向© 2022 SECOM CO., LTD

37

FATF Digital Identity Guidance March 2020
出典： http://www.fatf-gafi.org/media/fatf/documents/recommendations/Guidance-on-Digital-Identity.pdf
••
•
•
•

•

•

FATF

The Financial Action Task Force

official identity
公的アイデンティティ、公的身元
Proof of official identity
公的身元証明digital ID assurance frameworks
デジタルID保証フレームワーク
eIDAS Regulation
eIDAS規則52– Authoritative sources may be different in the various EU memberstates even in a similar context, but the eIDAS framework allows forharmonisation and cross-recognition.
69– In Europe, the eIDAS Regulation provides a framework for crossrecognition of digital ID systems.
74– In light of the evolving standards, this Guidance makes manyreferences to the NIST digital ID Guidelines and the eIDAS framework.
– AML/CFT authorities should work closely with counterparts in digital ID,
cyber-security and other relevant agencies to identify applicable digital
ID assurance frameworks and standards.

マネーロンダリング対策（anti-money laundering）として、各国が遵守すべき国際標準（FATF勧告）。そのFATFが発行するこのガイダンスは、非常に影響力がある。
© 2022 SECOM CO., LTD

38
38

ETSI TS 119 461 V1.1.1 (2021-07)

Policy and security requirements for trust service components providing identity proofing oftrust service subjects••

出典：https://www.etsi.org/deliver/etsi_ts/119400_119
499/119461/01.01.01_
60/ts_119461v010101
p.pdf

欧州において2014年に施行されたeIDAS規則のためのidentity proofing の基準で、eIDAS規則の• トラストサービスの• 「identity proofing サービスコンポーネント」• 「identity proofing 」という新しいトラストサービスの形態
identity proofing policy• 決められた保証レベル、管轄区域および適用される法律、使用目的、プロセスの説明、確認された属性、適格な証拠、記録保持期間

欧州において強制力のあるeIDAS規則のためのidentity proofingの技術標準。
→ eIDAS規則範囲外でも利用されていくと考えられる© 2022 SECOM CO., LTD3939

出典： Remote Identification and Verification Methods under eIDAS
https://www.enisa.europa.eu/events/tsforum-caday-2020/presentations/03-02-Lacroix© 2022 SECOM CO., LTD4040