シンポジウム「電⼦契約の過去・現在・未来－書⾯・押印・対⾯の⾒直しのための技術と法」

電⼦署名法の課題と未来―Society5.0時代を⽀えるトラスト技術と電⼦署名法-2020年12⽉18⽇
セコム（株）IS研究所 松本 泰

© 2020 SECOM CO., LTD松本の自己紹介

セコム（株）IS研究所

ディビジョンマネージャー

•
•
•
•
•
•
•

1984年 UNIX上のビデオテックス・パソコン通信システムの開発に従事
サイバーセキュリティと1994年 各種インターネットサービスの設計、開発、運用に従事
情報プラットフォームを担当
1999年 サイバーセキュリティ事業の立ち上げに従事
2003年-2007年 工学院大学「セキュアシステム設計技術者の育成」プログラム客員教授
2007年 経済産業省 商務情報政策局長表彰「情報セキュリティ促進部門」受賞
2007年-2012年 IPA 情報処理推進機構 情報セキュリティ分析ラボラトリー 非常勤研究員
この時期に、公開鍵暗号に基づく
2011年-2012年
電子署名技術等について携る– 社会保障・税に関わる番号制度 情報連携基盤技術ＷＧ 構成員– 社会保障・税に関わる番号制度 社会保障分野サブＷＧ 構成員• 2013年-2014年– 内閣官房 パーソナルデータに関する検討委員会・技術検討WG 構成員• 2008年-2018年 JDCC 日本データセンター協会 セキュリティWGリーダ• 2020年12月現在– CRYPTREC 暗号技術検討会構成員、暗号技術評価委員会 委員、暗号技術活用委員会 委員– 日本ネットワークセキュリティ協会 PKI相互運用技術WGリーダ 2001年からJNSA PKI相– 日本ネットワークセキュリティ協会 標準化部会 副部会長
互運用技術WGで活動– 日本トラストテクノロジー協議会（2017年11月設立）副代表
最近は、もっぱら主にIoTデ– JST/RISTEX 公私領域アドバイザー
バイス等で利用する公開鍵– QST SIP光・量子技術評価委員会委員
暗号技術などを中心に活動– 津田塾大学総合政策学部非常勤講師（情報セキュリティ論）© 2020 SECOM CO., LTD

2

電⼦署名法の課題と未来―Society5.0時代を⽀えるトラスト技術と電⼦署名法--•未来の電子署名など活用のイメージ•電子署名法の（歴史的）成り立ちと立て付け•プラットフォーム的視点からの電子署名法の課題
付録• 電子署名法の立て付けと課題•（松本が関与しきた）過去からの議論© 2020 SECOM CO., LTD3

未来の電子署名など活用のイメージ
Society5.0時代を⽀えるトラスト技術的視点© 2020 SECOM CO., LTD

410年後をイメージして喋った昨年の「データ戦略の課題と未来」シンポジウム「データ戦略のためのITシステム」
https://www.jlf.or.jp/assets/work/pdf/kenshu_190910_04.pdf© 2020 SECOM CO., LTD

5

10年後をイメージして喋った昨年の「データ戦略の課題と未来」シンポジウム「データ戦略のためのITシステム」
https://www.jlf.or.jp/assets/work/pdf/kenshu_190910_04.pdf

様々な主体（自然人、法人、サービス、IoTデバイス、AIエッジ）が、様々な証明などのために、様々なデータ・オブジェクト（書面、時刻、プログラムコード、 AI学習モデル）にデジタル署名を施し、リアルタイムに様々な連携のために、様々な場所からデジタル署名の検証を行いトラストな自動化・スマート化が行われると言った世界観© 2020 SECOM CO., LTD

6

様々な連携︖

Estonian e-File system(2008年から）

出典 https://ec.europa.eu/cefdigital/wiki/display/CEFDIGITAL/2019/07/29/Estonian+e-File+system

警察情報システム

刑事事件管理システム

裁判所情報システム

刑務所情報システム

e-Fileは、訴訟の当事者とその代理人が電子的に文書を裁判所に提出し、それらに関連する訴訟の進行状況を観察できるよ
うにするオンライン
情報システムです。
たとえば、ひとり親は、郡庁舎に行かな
くても扶養手当を申請できます。

たぶん、欧州のeIDASの⽬指す世界観に近い。機微な情報の共有のためには、⾼い保証レベルの識7
別・認証（Identiﬁcation＆authentication)と資格に応じたアクセス制御が必要。そして（機微な情報を扱うための）⾼い透明性であり、その⾼い透明性に必要なインテグリティと否認防⽌性© 2020 SECOM CO., LTD

7電子署名法の（歴史的）成り立ちと立て付け
2000年に成⽴した電⼦署名法
成⽴当時の状況と今⽇の状況© 2020 SECOM CO., LTD8

欧州と日本の電子署名法と個人情報保護法の動向
EUのデータ保護指令• 1995年
EUの電子署名指令• 1999年
電子署名法施行• 2001年– → 日本の電子署名法は、 EUの電子署名指令に大きな影響を受けた
個人情報保護法全面施行• 2005年
EU eIDAS規則施行• 2016年– 指令から規則へ。枠組み自体が大幅に変更された。
改正個人情報保護法施行• 2017年– 主務官庁制度から個人情報委員会へ、4年毎の見直し
EU一般データ保護規則施行（GDPR)• 2018年– 指令から規則へ。eIDAS規則と同じく、欧州の単一市場戦略の影響が大きい。 9
20年ぶりの電子署名法の議論？？
• 2020年
電子署名法の未来？？？？？
• 202x年© 2020 SECOM CO., LTD9出典：2019年 トラストサービ
スの調査ワークショップ
EUの技術標準（松本）https://itresearchart.sec
uresite.jp/19ws207/do
cs/s03.pdf

技術的観点、標準化、相互運用性の観点からは、「自然人による署名」が単独で存在しているわけではなく、他と深く連携している© 2020 SECOM CO., LTD

10

規制モデルの欧州と市場モデル米国の電子署名法
出典︓2010年 PKI Day 2010 <社会基盤としてのPKI/PKIの10年>
https://www.jnsa.org/seminar/pki-day/2010/data/5_a_matsumoto.pdf© 2020 SECOM CO., LTD

11

出典：
暗号技術によるトラストの確立に向けて2015 年 松本
http://c-faculty.chuou.ac.jp/~tsujii/pdf/160
606matsumoto.pdf© 2020 SECOM CO., LTD

12電子署名法の第一条→

目的が最も重要• 第⼀条– この法律は、電⼦署名に関し、電磁的記録の真正な成⽴の推定、特定認証業務に関する認定の制度その他
必要な事項を定めることにより、電⼦
署名の円滑な利⽤の確保による情報の電磁的⽅式による流通及び情報処理の促進を図り、もって国⺠⽣活の向上及び国⺠経済の健全な発展に寄与することを⽬的とする。

© 2020 SECOM CO., LTD「特定認証業務に関する認定の制度その他必要な事項を定めること」は、
本当に国民生活の向上及び国民経済の健全な発展に寄与したのか？？

13

電⼦署名の定義・特定認証業務・認定認証業務• 電子署名の定義
付録：電子署名法の立て付けと課題– ２条→ 割となんでも良い？
• 特定認証業務– 署名法２条 - ３ この法律において「特定認証業務」とは、電子署名のうち、その方式に応じて本人だけが行うことができるものとして主務省令で定める基準に適合するものについて行われる認証業務をいう。
– 主務省令で定める特定認証業務の基準• 「平成十三年総務省・法務省・経済産業省令第二号電子署名及び認証業務に関する法
律施行規則」 → ほとんど基準と言えるものは、何も書かれてない。記述されているのは「暗号アルゴリズムのみであり、認定認証業務で要求される、設備、運用、本
人確認などの記述は皆無。
ここに⼤きな課題ががある。
• 認定認証業務– 署名法４条から47条は、認定認証業務関連• 設備、運用、本人確認などに、厳しい基準を課している。
• 1999年のEU電子署名指令における「適格電子署名（Qualified Electronic
Signature）」の影響を強く受けている。
© 2020 SECOM CO., LTD
14

プラットフォーム的視点のからの電子署名法の課題••••

プラットフォーム的視点• マルチステークホルダー間の信頼（トラスト）関係も含めた連携の視点
電子署名(eSignature)と電子認証(eAuthentication)の関係
リスクに応じた電子署名と電子認証を実現するためのLoA
連携のための技術的相互運用性を確保するための法制度の考え方© 2020 SECOM CO., LTD欧州のeIDAS規則
出典：
2019年 トラスト
サービスの調査ワー
クショップ
EUの技術標準（松本）
https://itresearchart.securesite.jp/1
9ws207/docs/s0
3.pdf

16

© 2020 SECOM CO., LTD

16電子署名(eSignature)と電子認証(eAuthentication)の統合とLoA(Level Of Assurance)という考え方
出典：2006年 社会基盤としての電子認証と電子署名
https://www.jstage.jst.go.jp/article/nig/43/5/43_5_324/_pdf© 2020 SECOM CO., LTD17

2008年-2010年 電⼦政府ガイドライン作成検討会 セキュリティ分科会
オンライン⼿続における リスク評価及び電⼦署名・認証ガイドライン (2010年）

https://www.kantei.go.jp/jp/singi/it2/guide/security_guide_line/siryou2.pdf

電⼦政府ガイドライン作成検討会 セキュリティ分科会報告書(2010年）
https://www.kantei.go.jp/jp/singi/it2/guide/security_guide_line/siryou2.pdf

署名（signature）と認証（authentication)の統合とリスクに応じた署名と認証の実現を目指したガイドライン© 2020 SECOM CO., LTD

18

出典：
デジタル改革関連法案ワーキンググ
ループ作業部会 とりまとめ
令和2年11月20日 デジタル改革関連法案ワーキンググループ作業部会
https://www.kantei.go.jp/jp/singi/it2/dgov/houan_wg/dai4/siryou
2.pdf

・制度的なパズルのピース
は、それなりに揃っているよ
うに見えるかもしれない。
・しかし、技術の観点からは、技術としての整合性、相互運用性が決定的に欠ける。
・その原因は、ボトムアップに作られてきた制度にある。
・欧州においては、これらは19
eIDASに統合されている。
© 2020 SECOM CO., LTD

19

2012年PKI Day 2012我が国における信頼基盤の連携に向けて

https://www.jnsa.org/seminar/pki-day/2010/data/5_a_matsumoto.pdf

2012年頃における
個人情報保護法制のフラググメンテーション（細分化）問題という指摘
その後、改正個人情報保護法により、主務官庁制度は廃止
現在のフラググメンテーション（細分化）問題のひとつが「個人情報保護法制2000個問題」
電子署名法、及、関連する制度もも同様ではないかという疑問© 2020 SECOM CO., LTD

20

2000年頃との⼤きな違い --本⼈確認(Identity prooﬁng)への要求
様々な連携が要求される時代の本⼈確認

資⾦移動サービス事業者本⼈確認義務は︖︖︖
⾦融機関が⾏っている本⼈確認が、⾦融機関の本⼈確認を満⾜しており、その⼝座との紐付けにより本⼈確認を⾏ったと⾒做した︖︖（らしい）

引き落とし⼝座の紐付けを⾏なっているの
は⾦融機関

⾦融機関
⾦融機関
⾦融機関
⾦融機関
⾦融機関の
本⼈確認法
2007年施⾏引き落とし⼝座の紐付け

資⾦移動
サービス事業者

d⼝座

d回線ユーザキャリアフリー（＝d回線以外の⽅）

キャリアの
本⼈確認法

メールアカウント
取得

電⼦署名法の認定認証業務の本⼈確認は、⾦融機関の本⼈確認よりも厳しい基準を課している。
その⼀⽅、特定⼈業務では何の基準も⽰されていない。

メールサービス
事業者© 2020 SECOM CO., LTD・資⾦移動サービス事業者の⼝座を作成
・⾦融機関のWeb⼝座振替受付サービスを利⽤して、⼝座を紐付け

出し⼦のアルバイト︖?
⼝座情報購⼊︖︖︖
ダークウェブ21

論点︖︖対⽴軸︖︖• 技術的中立性 vs. 標準化＆相互運用性• 市場モデルの米国の電子署名法 vs. 規
制モデルの 欧州のeIDAS– GDPRに関する議論と類似– フラグメンテーション問題• 自己責任 vs. トラストサービス・トラ
ストフレームワーク• 利便性 vs. セキュリティ– リスクに応じた電子署名＆電子認証のLoA(Level of Assurance)と本人確認(Identity proofing)22

vs. と捉えるのはなく、バランスの良い社会実装への努力が重要© 2020 SECOM CO., LTD22

付録• 電子署名法の立て付けと課題• 過去からの議論© 2020 SECOM CO., LTD電子署名法の立て付けと課題© 2020 SECOM CO., LTD電子署名法の第一条→ 目的が最も重要• 第⼀条– この法律は、電⼦署名に関し、電磁的記録の真正な成⽴の推定、特定認証業務に関する認定の制度その他
必要な事項を定めることにより、電⼦
署名の円滑な利⽤の確保による情報の電磁的⽅式による流通及び情報処理の促進を図り、もって国⺠⽣活の向上及び国⺠経済の健全な発展に寄与することを⽬的とする。

© 2020 SECOM CO., LTD「特定認証業務に関する認定の制度その他必要な事項を定めること」は、
本当に国民生活の向上及び国民経済の健全な発展に寄与したのか？？

25

第二条
•

•

•

この法律において「電⼦署名」とは、電磁的記録（電⼦的⽅式、磁気的⽅式その他⼈の知覚によっては認識することができない⽅式で作られる記録であって、電⼦計算機による情報処理の⽤に供されるものをいう。
以下同じ。）に記録することができる情報について⾏われる措置であって、次の要件のいずれにも該当するものをいう。
– ⼀ 当該情報が当該措置を⾏った者の作成に係るものであることを⽰すためのものであること。
– ⼆ 当該情報について改変が⾏われていないかどうかを確認することができるものであること。
２ この法律において「認証業務」とは、⾃らが⾏う電⼦署名についてその業務を利⽤する者（以下「利⽤者」という。）その他の者の求めに応じ、当該利⽤者が電⼦署名を⾏ったものであることを確認するために⽤いられる事項が当該利⽤者に係るものであることを証明する業務をいう。
３ この法律において「特定認証業務」とは、電⼦署名のうち、その⽅式に応じて本⼈だけが⾏うことができるものとして主務省令で定める基準に適合するものについて⾏われる認証業務をいう。

「特定認証業務」の主務省令で定める基準
ー＞ これが、とっても重要なはずだけど。
© 2020 SECOM CO., LTD

26

第二章

電磁的記録の真正な成立の推定

第三条• 電磁的記録であって情報を表すために作成されたもの（公務員が職務上作成したものを除く。）は、当該電磁的記録に記録された情報について本人による電子署名（これを行うために必要な符号及び物件を適正に管理することにより、本人だけが行うことができることとなるものに限る。）が行われているときは、真正に成立したものと推定する。

© 2020 SECOM CO., LTD

27

第三章

特定認証業務の認定等• （認定の基準）• 第六条 主務大臣は、第四条第一項の認定の申請が次の各号のいずれにも適合していると認めるときでなければ、その認定をしてはならない。
– 一 申請に係る業務の用に供する設備が主務省令で定める基準に適合するものであること。
– 二 申請に係る業務における利用者の真偽の確認が主務省令で定める方法により行われるものであること。
– 三 前号に掲げるもののほか、申請に係る業務が主務省令で定める基準に適合する方法により行われるものであること。
• ２ 主務大臣は、第四条第一項の認定のための審査に当たっては、主務省令で定めるところにより、申請に係る業務の実施に係る体制について実地の調査を行うものとする。

「認定の基準」は、2000年当時、非常に労力をかけて作成されていた。
しかし、少なくも2000年当時は、非常に敷居が高い（高過ぎる）基準だった。
© 2020 SECOM CO., LTD

28

主務省令
平成十三年総務省・法務省・経済産業省令第二号
電子署名及び認証業務に関する法律施行規則• （特定認証業務）– 第二条 法第二条第三項の主務省令で定める基準は、電子署名の安全性が次のいずれかの有する困難性に基づくものであることとする。一 ほぼ同じ大きさの二つの素数の積である二千四十八ビット以上の整数の素因数分解– 二 大きさ二千四十八ビット以上の有限体の乗法群における離散対数の計算– 三 楕円曲線上の点がなす大きさ二百二十四ビット以上の群における離散対数の計算– 四 前三号に掲げるものに相当する困難性を有するものとして主務大臣が認めるもの• 「認定の基準」には、設備、本人確認方法、運用基準について、非常に厳しい基準が示されている。
• その一方、「特定認証業務」に関しては、暗号アルゴリズム以外の基準は、何も示されていない。ここに大きな課題がある。
• 暗号アルゴリズムということに関しては、 2003年2月20日に「電子政府」
における調達のための推奨すべき暗号のリスト(電子政府推奨暗号リスト)を公表したCRYPTRECの活動の影響を色こく受けている？？
© 2020 SECOM CO., LTD29

（松本が関与しきた）

過去からの議論© 2020 SECOM CO., LTD20年前（2020年12⽉7⽇）のセミナー -- 第2回 セキュリティ・フォーラム レポート
https://www.iajapan.org/bukai/isec/forum/2000/20001207report.html
•
•
•

•

•

⽇本インターネット協会(IAJ)セキュリティ部会主催の第2回セキュリティフォーラムが、 2000年12⽉7⽇午後1時30分よりIAJの会議室で開催されました。
（中略）
今回は「PKIの相互運⽤とOpen PKIの流れ」と題して、セコム株式会社の松本泰さんにお話いただきました。 PKIはeビジネスの広がりや電⼦政府への取り組みの中で、ネッワーク上での本⼈確認と、 取引や情報の真実性等の確認と保証のための基本的枠組みを提供するもので、様々なソリューションが提供されだしていると共に、 共通性・互換性を持った社会基盤としての有効性・利便性等の実現に向けて様々な試みや開発が進められている分野です。
松本さんのお話はまず「ボブはいかにしてアリスを信⽤するか」という設問の下に、 夫々の信頼ポイントである⾃⼰のCA(電⼦認証局)同⼠の間での相互認証の仕組みという基本構造の解説からスタートし、 X.509を中⼼とする技
術基準の動向と証明書のクラス(信頼性レベル)の問題、 信頼ドメインの概念とその相互認証・相互接続の仕組み
や例、証明書失効リストの関係へと進みました。 そして相互認証証明書と証明書パスの構築による信頼の連鎖の仕組みが解説され、さらに、 複数PKI間の相互接続・相互運⽤のモデルと様々な技術課題の紹介にまで展開されて終りました。
普段なにげなく考えている電⼦署名やCAの問題がいかに複雑で奥が深く、 世界規模でのシームレスな運⽤のためにはまだまだ解決すべき問題が、単に技術だけでなく経済主体や社会基盤、 法整備や国際間のルールの確⽴も含めて多くあることが理解できました。
© 2020 SECOM CO., LTD312003年 電子署名・認証利用パートナーシップ報告書2003 活動と提言
https://www.jipdec.or.jp/archives/publications/J0004195
3. 電子署名推進方法に対する提言
3.1 電子署名と実印/認印と対応付けて説明することの課題（中略）(1)
印鑑証明書と公開鍵証明書は同等な仕組みか(実印制度と PKI)?
(2)
実印と三文判(3)
三文判 PKI について
インターネットを飛び交う文書の真正性を確保するためには「改ざんの検出」と「本人性確認」 の仕組みを欠かすことができない。リアルの世界で三文判がいかに多く使われていても、サイバーの世界ではこれと同等なものとして改ざん検出、本人性確認ができない電子署名は大きなリス クを伴う。三文判 PKI というとき考えなければならないのは基本的な PKI の仕組みを維持しなが らリス
クや脅威に何処まで対応できるかのセキュリティ基準(ポリシー)を明確にすることであ る。
（中略）
三文判PKIというとき、このカナダ政府や米国政府が採用している初級または基本レベルのPKI を対応付けるべきと思われる。このレベルのポリシーでは認証局の厳格な運用は求めていなく、 鍵管理
も HSM(ハードウェアセキュリティモジュール)は必要としない。また本人確認も厳格な 審査をしなくてよい。問題が起こってもそのリスクはそれほど大きなものにならない用途を想定 している。
従って運用コストもかなり安いものとなる。
日本ではポリシーのレベル分けについてあまり議論されてこなかった。政府の GPKI でもポリシ ー
は 1 つで(米政府の中級に相当)下位のレベルや複数の証明書の使い分けについて検討されていない。三文判 PKI の提起を契機として PKI の証明書ポリシーの議論が深まることが期待される。
「3.1 電子署名と実印/認印と対応付けて説明することの課題」の執筆は、2005年7月に亡くなられた鈴木優一氏© 2020 SECOM CO., LTD32

2005年 電⼦署名⽅の在り⽅と電⼦⽂書⻑期保管に関する現状調査報告書••••
出典︓電⼦署名法の在り⽅と 電⼦⽂書
⻑期保管に関する現状調査報告書**この報告書は、以前、公開されていましたが2020年現在、公開されていません。

2.2. 特定認証業務の規定の明確化
2.2.1.特定認証業務の基準
現在、電⼦署名法による認証業務の認定を受けるには告⽰(指針)で規定された厳格な基 準を満たさなければならず、また指定調査機関の⽰す適合例の合致が求められ、これらをクリアするハードルはかなり⾼く、設備、本⼈確認⽅法、運⽤基準を満たすために多⼤なコス トがかかるようになっている。したがって、この認定認証業務で発⾏する証明書の価格が⾼ く利⽤普及の阻害にもなっていると⾔われる。多くの認証事業者は、義務として認定認証業 務の発⾏する証明書を使わなければならない政府への電⼦申請や電⼦⼊札のために認定を受 けているが、⺠間利⽤のために認定認証業務の証明書発⾏を⾏っているところは少なく、
む しろ認定を受けない「特定認証業務」として安価な証明書発⾏サービスを⾏っているところ が多い。ハイリスクなビジネスでは厳格な基準を満たした認定認証業
務の証明書を使うべき だが、それほどリスクの⾼くない分野での利⽤のために、安
価でより安全な証明書を望む声 は⼤きい。 (中略）ドイツの電⼦署名法では認定を受けない認証事業者についても認証業務の守るべき基準を⽰し、この基準に沿った認証事業を届出制で認知させている。さらにこれらの認証業務に⼀ 定の条件を加味することで任意の認定も受けられるとしている。

「2.2 特定認証業務の規定の明確化」の執筆は、2005年7月に亡くなられた鈴木優一氏© 2020 SECOM CO., LTD33

2006年 社会基盤としての電子認証と電子署名
https://www.jstage.jst.go.jp/article/nig/43/5/43_5_324/_pdf© 2020 SECOM CO., LTD34

2006年 社会基盤としての電子認証と電子署名
https://www.jstage.jst.go.jp/article/nig/43/5/43_5_324/_pdf
•
•

•

•

•
•
•

•

6.まとめ
ビジネスはネットワーク社会への移行という環境変化に より、今では顔を突き合せなくてもリアルタイムの取引ができるような状況になりつつある。これまで契約者同士の 取引の時間的地理的な距離のために紙ベースの処理(署名) が必要だった業務であっても、オンラインの電子認証によ りその大部分が解決される.またビジネススキームからして抜本的に変わってしまえば署名ではなく電子認証で済む 場合もある。のようなネットワーク社会では、サービス 自体が信頼のおけるものであれば、認証およびその後の手 続きのログなどを証跡とするといったことが一般的だと考 えられる。
2001 年施行の電子署名法をはじめとする現行 の IT 技術の関連した法制度は、こうした環境の変化に追随できていない側面がある。こうしたなか、認証における 基準等は未整備であり、たとえばこれらにも起因するインターネットバンキング等における犯罪は「サービス自体が 信頼のおけるもの」といったことに対して疑問を抱かせ、インターネット上のサービスに対する信頼を揺るがしている。
電子署名が役に立たないかというと、まったくそういっ たことはない。「認証とログ」は特定のシステムに依存す るため、長期間のセキュリティ(たとえば重要文書の長期 保存など)や、組織を超えた広域のセキュリティに対応す るといったことが難しい。また、コストがかかるといった 問題もある。
標準化されたデータフォーマットを使い電子 署名が施されたデータは、特定のシステムに依存しない独立したデータとしての普遍性を持つが、これは社会基盤として非常に重要な意味を持つ
IT 化、ネットワーク化は、利便性のみならず、新たな不正行為をも招いているが、電 子署名はこうしたことに対抗する技術である。しかし、電 子署名の普及には、競争原理だけではなく、適度な強制力 も必要ということが認識されるべきである。
電子署名と認証の違いを中心に説明してきたが、安心・ 安全なネットワーク社会を構築するためには、これらの技術を適切に使い分けるための技術・法制度・ビジネスの三 位一体となった検討がなされるべきである。電子署名の普及が思うように進まないのは、技術・法制度・ビジネスモ デルのバランスの悪さに起因しているように思われる。
今後、安心・安全なネットワーク社会を目指していく上では、電子署名・認証の更なる技術開発、法制度の整備、新たな ビジ
ネスモデル創造などの更なる努力が求められる。
© 2020 SECOM CO., LTD35

2008年-2010年 電⼦政府ガイドライン作成検討会 セキュリティ分科会
オンライン⼿続における リスク評価及び電⼦署名・認証ガイドライン (2010年）

https://www.kantei.go.jp/jp/singi/it2/guide/security_guide_line/siryou2.pdf

電⼦政府ガイドライン作成検討会 セキュリティ分科会報告書(2010年）
https://www.kantei.go.jp/jp/singi/it2/guide/security_guide_line/siryou2.pdf© 2020 SECOM CO., LTD36オンライン⼿続における リスク評価及び電⼦署名・認証ガイドライン（2010年）
https://www.kantei.go.jp/jp/singi/it2/guide/security_guide_line/siryou2.pdf© 2020 SECOM CO., LTD37

オンライン⼿続における リスク評価及び電⼦署名・認証ガイドライン（2010年）

https://www.kantei.go.jp/jp/singi/it2/guide/security_guide_line/siryou2.pdf
•
•
•
•

•

•
•

A.4. 署名等に係る対策基準
A.4.1. 署名等フレームワーク
A.2 章にて述べた通り、電子署名は、「改ざん」「事実否認」の脅威に対する有力な対策技 術である。
一方、A.3 章にて述べた認証は「なりすまし」に対する対策技術であると同時に、必要十 分な信頼性を備えた証跡管理技術を組み合わせることによって、改ざん、及び事実否認の 脅威に対しても一定の対策効果を得ることが可能である。例えば、電子政府のオンライン 手続において、申請者の認証を行なった上で、認証結果、及び当該申請者の申請内容と申 請事実を証跡として記録・保管することを考える。この証跡に対して、セキュリティ技術 (タイムスタンプ等)、あるいはセキュリティ基準に基づく厳格な運用によって、サービス 提供にあたり必要十分な信頼性を確保することを想定すれば、認証を用いる場合でも、申請内容の改ざん、申請事実の否認といった脅威を軽減することが可能となる。
なお、技術的視点から見れば、電子署名による「改ざん」「事実否認」の対策効果と、認証と証跡の組み合わせによる対策効
果は必ずしも等価ではない。したがって、これらの技 術をサービスに適用するにあたっては、当該サービスにおいて想定される各脅威の対処方 針(どの脅威に対処し、どの脅威は許容するか)を慎重に検討する必要がある。
以降、本ガイドラインでは、以上のような申請内容の完全性、及び申請事実の非否認性を確保するための措置を「署名等」と総称する。
表 A.4-1 に示すように、署名等フレームワークと表 A.3-1 に示した認証フレームワーク の差異となる要素は「署名等プロ
セス」であると捉えると分かりやすい。そこで、「登録」 「発行・管理」「トークン」の対策基準については、A.3 章の「認証」の対策基準に準ずる こととし、ここでは「署名等プロセス」の対策基準に関して述べる。
© 2020 SECOM CO., LTD38オンライン⼿続における リスク評価及び電⼦署名・認証ガイドライン（2010年）
https://www.kantei.go.jp/jp/singi/it2/guide/security_guide_line/siryou2.pdf
•
•

•

•

•

•
•

A.5.5. 証跡管理
証跡(ログ)管理は、本ガイドラインで定めた電子認証及び電子署名においてプロセス がどのように行われたかについての証拠を残すための手段として利用される。特に認証に おいては、署名以上に、証跡を電子文書として正しく取得管理することによって、完全性 及び非否認性を証明することにつながる。
このような電子文書の管理を行うための目安が、総務省行政管理局 共通課題研究会によ ってまとめられた「インターネット
による行政手続の実現のために 第5章 電子文書の原本性」(平成 12 年3月)において下記のように整理されている。(以下抜粋)
電子文書の保存・管理上の問題点をふまえ、電子文書の原本性を確保するために充足 すべき要件としては、次の3つに整理することができる。
ア 完全性の確保– 電子文書が作成された際、電子文書に対する改変履歴を記録すること等により、 電子文書の改ざん等を未然に防止し、かつ、改ざん等の一時角有無が検証できる ような形態で、保存・管理されること。
イ 機密性の確保– 電子文書へのアクセスを制限すること、アクセス履歴を記録すること等により、 アクセスを許されない者からの電子文
書へのアクセスを防止し、電子文書の盗難、 漏洩、盗み見等を未然に防止する形態で、保存・管理されること。
ウ 見読性の確保– 電子文書の内容が必要に応じ電子計算機その他の機器を用いて直ちに表示でき るよう措置されること。
また、この中では、要件担保のための措置の内容が示されており、アクセス管理のあり 方や保管場所の決定その他の電子文書の管理に関するルールを整備することが必要である と述べられている。一方、このような証跡や署名を施した文書は、長期間の利用/保存が 見込まれる場合がある。この場合、アルゴリズムの危殆化などの別の脅威が生じる可能性 を持つ。そこで、長期保存した文書の完全性及び非否認性を示すためには、タイムスタン プ署名を定期的に施すなどの処置をすべきである。
© 2020 SECOM CO., LTD39

電⼦政府ガイドライン作成検討会 セキュリティ分科会報告書(2010年）
https://www.kantei.go.jp/jp/singi/it2/guide/security_guide_line/siryou2.pdf••

6.2. 制度的な課題(1) 本⼈確認に関する横断的な制度設計–––

2003 年(平成 15 年)、CIO 連絡会議において決定された「電⼦政府構築計画」のなかで IT 化に対応した業務改⾰が提唱され、業務・システムの最適化への取組が始まったものの、 依然として我が国の制度は、情報通信技術の利活⽤を前提としたものとはなっておらず、本 格的な EA(Enterprise Architecture)は取り組
まれていないのが現状である。
このため、2009 年(平成 21 年)8 ⽉から IT 戦略本部の下に「デジタル利活⽤のための重 点点検専⾨調査会」が設置され、デジタル技術・情報の利活⽤を阻むような規制・制度・慣 ⾏、サービスの仕組みそのものの在り⽅や運⽤などを国⺠にとって利益となる形で抜本的に ⾒直すための点検が⾏われているところである。
本⼈確認については、今回、ガイドラインによりオンライン⼿続におけるリスク評価⼿法 及び対策基準を規定したところであるが、制度的には個別⼿続毎にそれぞれの機関がリスク と利便性を斟酌して判断している状況にあり、国⺠ ID や個⼈情報の取り扱いと合わせて、横 断的な制度設計に着⼿することが望まれる。(例えばエス
トニアにおいては、個⼈情報保護法 により、機密性に応じて個⼈情報を3段階に分類している。)
代理⼈の扱い紙申請の場合において、代理⼈が申請する場合の本⼈確認⼿法については、委任状により⾏っているが、オンライン⼿続における委任の確認⼿法について検討されることが必要であ る。家族による代理申請など、代理申請は頻繁に⾏われていることから、オンラインにおい ても紙と同等な簡便さで代理申請ができるよう、委任されたことの確認が可能となるような システム設計をするべきである。

•

(2)
–

•

(3)
–

認証の法的位置づけ
電⼦署名については、電⼦署名法によりその法的効⼒が規定されているものの、認証については、各主体のリスク判断により運⽤されているところである。今後、より信頼できるネ ットワーク社会の構築に向けた環境整備の⼀環として、「誰が」の保証について、どのような 制度的裏付けが適切であるのか、関係者間による検討が望まれ
る。

•

(4)
–

•

(5)

CC 認証の取得促進に向けた環境整備
IC カードのセキュリティ評価については、世界的に ISO/IEC15408(コモンクライテリア)に基づくセキュリティ評価・認証を取得することが、⼀般的である。このため、現在国内に IC カード等のシステム LSI のセキュリティ評価・認証体制の整備に向けた取組が⾏われているところである。今後、このような取組がより⼀層促進されることが
望まれる。
術語

–

我が国の既存法令等においては「認証」が Certiﬁcation(証明、検定)の意味で使われており、Authentication(認証)に充てる適切な術語がなく、認証⽅式に関する議論を難しくし ている。このため、さらなる制度検討にあたっては、認証に関する分かりやすい術語につい て、検討することが望まれる。

© 2020 SECOM CO., LTD40

2010年 PKI Day 2010 <社会基盤としてのPKI/PKIの10年>
https://www.jnsa.org/seminar/pki-day/2010/data/5_a_matsumoto.pdf© 2020 SECOM CO., LTD41

2010年 PKI Day 2010 <社会基盤としてのPKI/PKIの10年>
https://www.jnsa.org/seminar/pki-day/2010/data/5_a_matsumoto.pdf© 2020 SECOM CO., LTD42

2012年 PKI Day 2012我が国における信頼基盤の連携に向けて
https://www.jnsa.org/seminar/pki-day/2010/data/5_a_matsumoto.pdf© 2020 SECOM CO., LTD43

2012年PKI Day 2012我が国における信頼基盤の連携に向けて

https://www.jnsa.org/seminar/pki-day/2010/data/5_a_matsumoto.pdf

2012年頃における
個人情報保護法制のラググメンテーション（細分化）問題??
ラググメンテーション（細分化）問題のひとつが「個人情報保護法制2000個問題」
電子署名、及、関連する制度もも同様ではないかという疑問© 2020 SECOM CO., LTD44

2019年 トラストサービスの調査ワークショップ

https://itresearchart.securesite.jp/19ws207/docs/s03.pdf© 2020 SECOM CO., LTD45

2019年 トラストサービスの調査ワークショップ
https://itresearchart.securesite.jp/19ws207/docs/s03.pdf© 2020 SECOM CO., LTD46

2019年 トラストサービスの調査ワークショップ
https://itresearchart.securesite.jp/19ws207/docs/s03.pdf© 2020 SECOM CO., LTD

47

10年後をイメージして喋った昨年のシンポジウム
2019年 データ戦略の課題と未来

https://www.jlf.or.jp/assets/work/pdf/kenshu_190910_04.pdf© 2020 SECOM CO., LTD

48

10年後をイメージして喋った昨年の「データ戦略の課題と未来」シンポジウム「データ戦略のためのITシステム」
https://www.jlf.or.jp/assets/work/pdf/kenshu_190910_04.pdf

様々な主体（自然人、法人、サービス、IoTデバイス、AIエッジ）が、様々な証明などのために、様々なデータ・オブジェクト（書面、時刻、プログラムコード、 AI学習モデル）にデジタル署名を施し、リアルタイムに様々な連携のために、様々な場所からデジタル署名の検証を行いトラストな自動化・スマート化が行われると言った世界観© 2020 SECOM CO., LTD

49

参考資料
•
•
•
•
•
•
•
•
•

•

2000年 -- 第2回 セキュリティ・フォーラムレポート–
https://www.iajapan.org/bukai/isec/forum/2000/20001207report.html
2003年 電子署名・認証利用パートナーシップ報告書2003 活動と提言–
https://www.jipdec.or.jp/archives/publications/J0004195
2005年 電子署名方の在り方と電子文書長期保管に関する現状調査報告書–＃2020年現在 非公開
2006年 社会基盤としての電子認証と電子署名–
https://www.jstage.jst.go.jp/article/nig/43/5/43_5_324/_pdf
2010年 オンライン手続における リスク評価及び電子署名・認証ガイドライン–
https://www.kantei.go.jp/jp/singi/it2/guide/security_guide_line/siryou2.pdf
2010年 電子政府ガイドライン作成検討会 セキュリティ分科会報告書–
https://www.kantei.go.jp/jp/singi/it2/guide/security_guide_line/siryou2.pdf
2010年
PKI Day 2010 <社会基盤としてのPKI/PKIの10年>–
https://www.jnsa.org/seminar/pki-day/2010/data/5_a_matsumoto.pdf
2012年
PKI Day 2012我が国における信頼基盤の連携に向けて–
https://www.jnsa.org/seminar/pki-day/2010/data/5_a_matsumoto.pdf
2019年 トラストサービスの調査ワークショップ Uの技術標準-- デジタル単一市場戦略の中核となるトラスト -–https://itresearchart.securesite.jp/19ws207/docs/s03.pdf
2019年 データ戦略の課題と未–https://www.jlf.or.jp/assets/work/pdf/kenshu_190910_04.pdf© 2020 SECOM CO., LTD

50