アシュアランスレベルと法律との関わり-eKYCとIAL/AAL、電子署名法3条ほか

デジタル庁で、「トラストを確保したDX推進サブワーキンググループ」が開催されています

この議論の課題の資料(資料1令和３年11月18日 )は、こちらです。

この検討項目の中で、「ID及びトラストサービスに関するアシュアランスレベルの整理」が議題になっていて、個人的に興味深いので、すこし資料をみてまとめてみたいとおもいます。この議題の論点としては

国がアシュアランスレベル整理を提示し、国民がトラストサービスを選択する際に、取引の性質に応じたレベルに合うサービスを、リスクベースで選択できる助けとするとともに、諸外国との相互認証に向けての整理を行う

という方針だそうです。

1 アシュアランスレベルって何？

1.1 Identity proofingとAuthentication

まずは、そもそも、アシュアランスレベルって何？というところです。

この点で、参考になるのが、「サービスに応じたデジタル本人確認ガイドラインの検討」(2022年1月25日)資料です。

いろいろなオンライン活動においては、ユーザーが、(実在の)どこの誰か、というのが、問題となることがあるわけ(実在時のエンティティ-実体-との紐付け)で、そのユーザーの問題であることが語られています。

この部分を図示しているので参考になるのが、NISTのSP800の図だろうと思います。個人的には、これです。

 

このスライドについては、勝原 達也 「認証にまつわるセキュリティの新常識 rev.2」が分析しています。

第4回の事務局説明資料だと6頁。「海外におけるIdentificationアシュアランスレベルの状況」という用語が当然にでてきます。

私の講演の資料だと、こんな感じです。

この図は、下に時系列で登録のタイミングでのアイデンティティ証明(Identity proofing)と利用時の認証(Authentication)を別にしているところがポイントです。そうはいっても、利用時においては、上のデジタル的な認証のみでなくて、他の手段でも十分に紐付けはできるよね、というところがポイントなのかと思います。

棒人間は、一番左のは、申請者・真ん中は主張者・一番右は、エンティティとなります。ところで、本人確認といっている本人ってこの中の誰なんでしょうね。

特に、この問題は、民間と民間のところだといろいろなレベル感があるよね、特にeKYC の問題があるよねというところだと思います。インキュベーションラボ・プロジェクト「サービスに応じたデジタル本人確認ガイドラインの検討」(2022年1月25日)資料がその点にふれています。

参考になるものとしては、CIR (EU)2015/1502があるかと思います。これは、第4回資料の濱口総志「欧州eIDAS規則におけるアシュアランスレベル」に出てきます。私のブログだと「eIDAS規則における保証レベルやモバイルeIDプロセス－ENISA｢eIDAS compliant eID Solutions」を読む」です。

1.2 eIDAS規則におけるアシュアランスの定義

ここでeIDAS の定義を引きます。

eIDとは、

自然人、法人あるいは法人を代表する自然人を一意的に表す電子形式の個人識別データを利用するプロセスを意味する。

とされます。自然人ないし法人、あるいは法人を代表する自然人に対して、電子識別手段が発行されるeIDのシステムがeIDスキームと呼ばれています（eIDAS規則6条1項）。

これらが発行されるエンティティに対して、EUのある構成国で発行された電子識別手段が、一定の条件のもとで、他の構成国で承認されるものとしており、他の構成国は、eIDASにおけるアイデンティティの確認結果を受け入れるということになります。

ここで、一定の条件としているのは、欧州委員会で発表されたリストに含まれるeIDスキームのもとで発行されること、公的機関において十分（substantial）または、高度（high）の保証レベル（Assurance level）を利用する場合、そもそものeIDの保証レベルが十分（substantial）または、高位（high）であること、です。もっとも、低度（Low）の場合は、公的機関は、この結果を承認することができる（同条2項）とされています。

ここで、eIDスキームの保証レベル（level of assurance）というのは、

ある主体が、そのアイデンティティが与えられた者であると主張した場合に、その与えられた者であるという保証を提供することによって、主体のアイデンティティを確立する確からしさの程度

ということができます（eIDAS規則前文（16））。
この保証レベルは、低位、十分あるいは高位にわけられており、以下のように明確化されています（規則8条2項）。

  •  保証レベル「低位」は、eIDスキームの文脈において電子識別手段に言及し、それはある個人の、要求されるあるいは主張されるアイデンティティについて限定的な信頼を与え、技術的なコントロールを含めそれに関する技術仕様、標準、手続きにより特徴付けされ、その目的はアイデンティティの誤用あるいは改変のリスクを減殺することである。
  •  保証レベル「十分」は、eIDスキームの文脈において電子識別手段に言及し、それはある個人の要求されるあるいは主張されるアイデンティティについて中程度の信頼を与え、技術的コントロールを含めそれに関する技術仕様、標準、手続きにより特徴付けされ、その目的はアイデンティティの誤用あるいは改変のリスクを大きく減殺することである。
  •  保証レベル「高位」は、eIDスキームの文脈において電子識別手段に言及し、それはある個人の要求されるあるいは主張されるアイデンティティについて高い程度の信頼を与え、技術的コントロールを含めそれに関する技術仕様、標準、手続きにより特徴付けされ、その目的はアイデンティティの誤用あるいは改変のリスクを大きく減殺することである。

また、同条3項は、実施措置により、最小の技術仕様、標準、手続きを定めるとしています。

では、SP800-63は、どうなのでしょうか。SP800-63の翻訳はこちらです。一方

本ガイドライン群は, 実装固有の要件をもたらす単一の序数としての Level of Assurance (LOA) を構成するものではなく

とされています。なので、実際には、LOAが定義されているわけではないようです。

1.3 委員会実施規則CIR(EU)2015/1502の定め

eIDAS規則の枠組において、保証レベルの具体的な決定の手続が具体的に記載されているのは、CIR(EU)2015/1502になります。

同規則においては、保証レベルが、登録、電子識別手段管理、認証メカニズム、管理組織のステージごとに、種々のレベルから定義がなされています。そこで定められている要素は、以下のようになります。

段階 低位、十分(Substantial)、高位
登録 申請および登録
アイデンティティ証明および検証
電子識別手段管理 電子識別手段の特徴
発行、配送、アクティベート
停止・無効化・再アクティベート
更新および交替
認証メカニズム 個人識別データ、認証メカニズム
管理および組織 一般規定
通知の公表および利用者情報
情報セキュリティマネジメント
記録保管
設備とスタッフ
技術的コントロール
コンプライアンスと監査

アシュアランスレベルとの関係でいくと以下のようになります。

低度 十分 高度
登録 (申請および登録) (申請および登録) (申請および登録)
1. 申請者が電子的識別手段の使用に関連する条件を認識していることを確認する。 同 同
2申請者が、電子的識別手段に関する推奨されるセキュリティ上の注意事項を理解していることを確認する。 (アイデンティティ証明および検証) (アイデンティティ証明および検証)
3. 身元証明および検証のために必要な関連 ID データを収集する。 低に加えて以下のひとつ 「十分」に加えて、以下の1ないし2
(アイデンティティ証明および検証) 1 その人は、電子 ID 手段の申請が行われている加盟国が認めた、主張する ID を表す証拠 を所有していることが確認されており、 1  レベル相当に加えて、(a)～(c)に掲げる選択肢のいずれかを満たす必要がある。
1. その人は、電子 ID 手段の申請が行われている加盟国が認めた、主張された ID を表す証拠 を所持していると見なすことができる。 かつ、 (a) 電子 ID 手段の申請が行われている加盟国が認める写真またはバイオメトリクス ID 証拠を所持していることが確認され、その証拠が主張する ID を表している場合、その証拠が権威あるソースに従って有効であることを判断するために確認されている。
2. その証拠は真正であるか、権威ある情報源によれば存在すると想定でき、その証拠は 有効であると思われる。 その証拠が本物であることを決定するためにチェックされている。または、権威あるソースによれば、それは実在する人物に関連することが知られていること (b) 電子的 ID 手段の発行以外の目的で、同じ加盟国の公共または民間団体が以前に使用し た手順が、第 2 節に規定するものと同等の保証を提供する場合。
3. 権威ある情報源により、主張された ID が存在することが分かっており、その ID を主張する人物が同一人物であると仮定することができる場合。 かつ 1. ただし、規則(EC) No 765/2008の第2条(13)に言及する適合性評価機関又は同等の機関により、同等の保証が確認され、かつ、以前の手順の結果が引き続き有効であることを示すための措置が取られていることが条件である。
その人の ID が、たとえば紛失、盗難、停止、失効または期限切れ証拠のリスクを考慮し て、主張する ID でないリスクを最小限に抑える手段が講じられていること または
あるいは (c) 電子識別手段が、高い保証レベルを持つ有効な通知済み電子識別手段に基づいて発行され、 かつ人物識別データの変更のリスクを考慮する場合、身元証明および検証のプロセスを繰り返す 必要がない場合。根拠となる電子識別手段が未通知の場合、規則 (EC) No 765／2008 の第 2 条（13）に言及する適合性評価機関または同等の機関によって保証レベル高が確認されなければならず、通知された電子識別手段のこの以前の発行手順の結果が有効であることを示すために措置される。
2. ID 文書が発行された加盟国での登録プロセスで提示され、その文書が提示する人物に関 連しているように見え、かつその人物の ID が、たとえば紛失、盗難、一時停止、取り消し、 または期限切れの文書のリスクを考慮して、主張した ID でないリスクを最小限に抑えるための手 段が講じられている場合、 または
または 2．申請者が公認の写真または生体認証の証拠を提示しない場合、そのような公認の写真または生体認証の証拠を入手するために登録担当機関の加盟国の国内レベルで使用されるのと全く同じ手順が適用される。
3. 電子識別手段の発行以外の目的で、同じ加盟国の公共または民間団体が以前に使用した 手順が、十分的な保証レベルについて 2.1.2 項で規定したものと同等の保証を提供している場合、 登録に責任を負う団体は、かかる同等の保証が欧州議会および理事会の規則（EC）No 765／2008（1） 第 2 項（13）に言及する適合性評価団体または同等の団体により確認されていれば、以前の手順を 繰り返さなくてよい、
または
4. 電子識別手段が、保証レベルが相当または高い有効な通知済み電子識別手段に基づいて発行され、かつ、人物識別データの変更のリスクを考慮する場合、身元証明および検証プロセスを繰り返す必要はない。基盤となる電子識別手段が通知されていない場合、規則 (EC) No 765／2008 の第 2 条（13）に言及する適合性評価機関または同等の機関によ り、保証レベル相当または高を確認する必要があります。
電子 ID 手段管理 (eID手段の特徴とデザイン) (eID手段の特徴とデザイン) (eID手段の特徴とデザイン)
1. 電子的識別手段は、少なくとも1つの認証因子を利用すること。 1. 電子的識別手段は、異なるカテゴリーから少なくとも2つの認証要素を利用する。 レベル十分に加えて
2. 電子的識別手段は、それが属する人の管理下または所有下でのみ使用されることを確認するために、発行者が妥当な措置を講じるように設計されること。 2. 電子的識別手段は、それが属する人物の管理下または所持下にある場合にのみ使用されると想定できるように設計されている。 1.電子的な識別手段は、複製や改ざん、高い攻撃力を持つ攻撃者から保護されている
(発行、配送、アクティベート) (発行、配送、アクティベート) 2. 電子的識別手段は、その所有者が他者による使用から確実に保護できるように設計されている。
発行後、電子識別手段は、意図した人物にのみ届くと想定できる仕組みで配信される。 発行後、電子識別手段は、それを所有する者のみに引き渡されることが想定できる仕組みで引き渡されます。 (発行、配送、アクティベート)
(停止・無効化・再アクティベート) (停止・無効化・再アクティベート) アクティベーションプロセスは、電子識別手段が帰属すべき本人の手元にのみ届けられたことを検証する。
1. 電子的識別手段を適時かつ効果的に停止し、／又は取り消すことができること。 低に同じ (停止・無効化・再アクティベート)
2. 不正な停止、取り消し及び／又は再活性化を防止するために講じられた措置が存在すること。 (更新および交替) 低に同じ
3. 再活性化は、停止または失効前に確立されたものと同じ保証要件が引き続き満たされる場合にのみ行われるものとします。 低に同じ (更新および交替)
(更新および交替) レベル低に加えて：更新または交換が有効な電子的識別手段に基づいて行われる場合、識別データが権威ある情報源で検証される。
人物識別データの変更のリスクを考慮し、更新または交換は、最初の ID 証明および検証 と同じ保証要件を満たす必要があるか、同じ保証レベルまたはより高い保証レベルの有効な電子識別手段に基づいている必要がある。
認証メカニズム 1. 個人識別データの公開は、電子識別手段およびその有効性の確実な確認に先立ち行われる。 レベル低、プラス：1.個人識別データの公開は、動的認証による電子識別手段およびその有効性の確実な検証に先立ち行われる。 高レベル相当、プラス：認証メカニズムは、電子的な識別手段の検証のためのセキュリティ制御を実装しており、高い攻撃力を持つ攻撃者による推測、盗聴、リプレイ、通信操作などの活動が認証メカニズムを破壊する可能性が極めて低い。
2. 認証メカニズムの一部として個人識別データが保存される場合、その情報は、紛失および オフラインでの分析を含む侵害から保護するために安全が確保される。 2. 認証メカニズムは、電子的な識別手段の検証のためのセキュリティ制御を実装しており、中程度の攻撃力を持つ攻撃者による推測、盗聴、再生、通信操作などの活動が認証メカニズムを破壊する可能性が極めて低い。
3. 認証メカニズムは、電子的な識別手段の検証のためのセキュリティ制御を実装し、基本的な攻撃能力を強化した攻撃者による推測、盗聴、再生、通信操作などの活動が認証メカニズムを破壊する可能性が極めて低くなるようにする。
管理および組織  (一般規定) (一般規定から技術とスタッフまで) (一般規定から技術とスタッフまで)
1. 本規則の対象となる運用サービスを提供するプロバイダは、公的機関または加盟国の国内法によってそのように認められた法人であり、確立された組織を持ち、サービスの提供に関連するすべての部分において完全に運用可能なものです。 低に同じ 十分に同じ
2. 提供者は、求められる情報の種類、身元証明の方法、どのような情報をどの程度の期間保持するかなど、サービスの運営および提供に関連して課されるあらゆる法的要件を遵守する。 (技術的コントロール) (技術的コントロール)
3. 提供者は、損害賠償のリスクを負う能力、およびサービスの継続的な運営と提供のための十分な財源を有していることを証明できること。 レベル低と同じ、加えて：機密性の高い暗号物質で、電子的な識別手段や認証の発行に使用される場合は、改ざんから保護される。 十分に同じ
4.プロバイダは、他の事業者に委託した業務を遂行し、スキーム・ポリシーを遵守することについて、プロバイダ自身がその業務を遂行した場合と同様の責任を負うこと。 (コンプライアンスと監査)
5. 国内法によって構成されていない電子識別スキームは、効果的な終了計画を持たなければならない。この計画には、秩序あるサービスの停止または別のプロバイダによる継続、関係当局およびエンドユーザへの通知方法、ならびにスキームポリシーに従った記録の保護、保持および破棄方法に関する詳細が含まれていなければならない。 提供されるサービスの提供に関連するすべての部分を含む、定期的な独立した内部または外部監査が存在し、関連する方針への準拠を保証する。
(通知の公表および利用者情報)
1. 適用されるすべての条件および料金を含む、公表されたサービス定義が存在すること（使用上の制限を含む）。サービス定義には、プライバシーポリシーが含まれるものとします。
2. サービス定義、適用される条件、および特定サービスのプライバシーポリシーの変更について、サービスの利用者に適時かつ確実に通知するために、適切な方針と手順が導入されていること。
3. 情報提供の要請に対し、適切な方針と手順を定め、完全かつ正確に対応すること。
(情報セキュリティマネジメント)
情報セキュリティリスクを管理・制御するための効果的な情報セキュリティマネジメントシステムがある。
(記録保管)
1. データ保護とデータ保持に関して適用される法律と優れた実践を考慮し、効果的な記録管理システムを用いて関連情報を記録し、維持する。
2. 国内法またはその他の国の行政上の取り決めにより許可されている限り、監査およびセキュリティ違反の調査、保管の目的で必要な期間、記録を保持し保護し、その後記録は安全に破棄される。
(設備とスタッフ)
1. スタッフおよび協力会社が、果たすべき役割を遂行するために必要なスキルの十分な訓練、資格、経験を有していることを保証する手続きの存在。
2. サービスの方針と手順に従い、サービスを適切に運営し、リソースを提供するために十分なスタッフ及び下請け業者が存在すること。
3.サービスを提供するために使用する設備は、環境事象、不正アクセス及びサービスのセキュリティに影響を与える可能性のあるその他の要因による損害を継続的に監視し、防止していること。
4. サービス提供のための施設は、個人情報、暗号情報またはその他の機密情報を保有または処理する区域へのアクセスが、権限を与えられたスタッフまたは下請け業者に制限されていることを保証する。
(技術的コントロール)
1. サービスのセキュリティにもたらされるリスクを管理し、処理される情報の機密性、完全性、可用性を保護するための適切な技術的コントロールが存在すること。
2. 個人情報または機密情報の交換に使用される電子通信チャネルは、盗聴、操作、および再生から保護されていること。
3. 電子的な識別手段の発行や認証に使用される機密性の高い暗号資料へのアクセスは、アクセスを厳密に要求する役割とアプリケーションに制限されます。そのような材料は、決してプレーンテキストで永続的に保存されないことが保証されるものとする。
4. 長期にわたってセキュリティが維持され、リスクレベルの変化、インシデント、セキュリティ違反に対応する能力があることを保証するための手順が存在する。 (コンプライアンスと監査)
5. 個人情報、暗号情報、その他の機密情報を含むすべてのメディアは、安全かつ確実な方法で保管、輸送、廃棄される。 高 1.提供されるサービスの提供に関連するすべての部分を含む、定期的な独立した外部監査が存在し、関連する方針への準拠を保証していること。
(コンプライアンスと監査)
提供されるサービスの提供に関連するすべての部分を含むように範囲設定された定期的な内部監査が存在し、関連する方針の遵守を保証すること。 2.制度が政府機関により直接運営されている場合、国内法に従い監査が行われている。

となっています。

1.4 「ID及びトラストサービスに関するアシュアランスレベルの整理」

って、結局、政府サービスや民間の取引での登録、電子識別手段管理、認証メカニズム、管理組織のステージごとに、種々のレベルを整理しましょうということだろうと理解しました。

2 法との関わりの観点から「トラストを確保したDX推進サブワーキンググループ」スライドをみていく

「トラストを確保したDX推進サブワーキンググループ」での議論になりますが、法との関わりの観点などから興味深いスライドを見ていきたいと思います。

2.1 第1回 令和3年11月18日（木）12時から13時30分まで

になります。

資料1は、デジタル庁の事務局資料という感じです。4頁で、論点と方向性が、

論点として

  • 包括的なトラスト基盤の構築にあたって、より具体的な手続・取引の実態を把握すべきではないか。
  • データの真正性や完全性といったトラストを確保する枠組みはどうあるべきか。技術変化に柔軟に対応できることやトラストサービスの利用増につながることが必要ではないか。
  • トラストを確保する枠組みの詳細はどうあるべきか。その中で国が担うべき役割はどうあるべきか。

となっていること。そして方向性として

  • トラストのスコープの再整理、トラスト確保の実態調査を実施（例：行政ー法人、法人ー法人等での各種手続・取引におけるデ ジタル化の阻害要因の特定及び分析）
  • 各種手続・取引に応じて必要となるID・ト ラストサービスのアシュアランスレベルの整理
  • トラスト確保枠組みの基本的考え方の明確化（技術変化へ対応、トラストサービスの 利用促進等の要素含む）
  • 国及び民間との役割分担の在り方の明示
  • ユースケースの特定及びその有効性検証

があがっています。

資料3は「改正電子帳簿保存法による対応」についての整理です。インボイス制度における電子化までふれられています。

資料4は、銀行における電子化の現状、海外におけるe-シールの活用事例、普及に向けての課題、今直面する課題：具体的事例についてふれられています。法的なものとしては、6頁、日本EU間での契約締結の例があげられています。

個人的には、電子署名法が制定された当時は、商業登記法による電子証明書でもって、日本でも、eシールとしてつかえるのではないかという議論がありました。もっとも、そのあと、そのような議論は、消えたようです。商業登記法による電子証明書は、PKCS12 encryption storageになります。なので、それ自体では、電子署名には、使えないということだそうです。(Sign pdf with P12 certificate #8) PKCS7 (CMS) とx509 certificatesとで署名しなさいということだそうです。

どうも、このeシールの議論の不思議なところが、商業登記法による電子証明書(入札とかで愛用しています)の話を誰もしないことです。誰か詳しい人教えてください。この点は、将来、検討したいと思います。

資料5は、アプリケーションサービスとトラストサービスの関係、トラストの全体像、トラストの認定の枠組みの資料です。「トラスト」ってなんて定義するの？というのは、結局、博士論文のテーマになりうるということがわかったので、この資料は、そんなものでしょうね、という感じです。

2.2 第2回 令和3年12月13日

資料は、

こんな感じです

資料1-1は、事務局資料で、簡単な全体像と第1回のまとめになっています。

資料1-2は、トラストサービスに関するヒアリング・アンケート実態調査の状況報告で、ボストン・コンサルティング・グループの資料です。4頁と5頁が、

「行政」および民間の「金融・保険」「情報通信」「不動産」「医療・福祉」「運輸・郵便」や、業種共通の手続き等で幅広く、トラスト確保や、トラスト確保したDXのニーズが確認された

となっています。行政については、さておいて、

  • 「金融・保険」(eKYCあるしね)
  • 「情報通信」(携帯電話・スマホは、本人確認いるし)
  • 「不動産」(不動産売買や賃貸契約は、額の大きさや要式性)
  • 「医療・福祉」(本人でないと困りますし)
  • 「運輸・郵便」(通学定期の発行)

などが上がっています。

資料2は、高村さんの「eシール政策の検討状況と今後の課題・ニーズ」です。

 「eシールにかかる指針」が公表されていることがふれられています。そこでの定義は、

電子文書等の発行元の組織等を示す目的で行われる暗号化等の措置であり、当該措置が行われて以降当該文書等が改ざんされていないことを確認する仕組み

また、資料自体としては、「組織が発行するデータの信頼性を確保する制度に関する検討会取りまとめ」が引用されています。

資料3は、「三井住友銀行で展開中の融資電子契約サービスについて」です。そこでは、「電子署名法準拠の当事者署名型電子署名を活用し、融資の契約プロセスを電子化」とされています。ポイントは、「法人の融資契約権限者として電子契約を行う個人（電子契約者）を特定」ということになります。

資料4は、「電子印鑑の歴史と電子契約におけるその役割について」です。17頁には、「悪魔と契約する仮面ライダー」の文字もあります。アギレラ様は出てきませんが、

ハンコが「意志を決定するもの」であることが、広く視聴者に布教されている

そうです。ちなみに、19頁「裁判になったときの証拠能力は低い」とあります。何度いっても、証拠能力の無制限という言葉を覚えてくれないようです。低いのは、証明力ですが、それも前後の状況によるので、電子なので、どうのというのは、いえないことになります。

20頁では、公開鍵暗号方式だけによる電子契約では、

一般利用者による知識/ 理解は低い

と正面から、けんかを吹っ掛けてきたりします。そもそも、この資料だと「電子印鑑」の定義説明がないので、よく分かりません。印影の電子データはわかるのですが、それが印鑑の機能である識別性・改ざん検知機能をはたすような仕組みが使われているのでしょうか。ビジネスのプレゼンならば、いいのですが、政府の有識者の時間をいただくプレゼンですからね。有識者の疑問に堪えうるレベルの資料にしてね、というところです。でも、NFT電子印鑑はおもしろいです。これは、別途に検討しましょう。

資料5は、「電子契約の有効性について」ですが、電子契約だって有効なのは、あたりまえなので、特に問題はないかと思います。ただし、資料の用語法は、私は気になったりします。

  • 「本人性確認」って、この本人って誰、署名者、エンティティ？どっちでしょうか。
  • 5頁だと秘密鍵とかの表現を使っていて、デジタル署名が前提の説明だったりします。
  • リモート署名の用語法が？(19頁)

2.3 第3回 令和3年12月27日

資料1-1では、この日の議題が行政機関内の話、行政と法人との関係の話であることが示されています。

資料1-2 では、エストニアの電子処方箋サービスについてが紹介されています。

資料1-3は、トラストサービスへの課題意識、トラストサービスの普及に向けた方策への関心/– 民間分野のデジタル化の実態/– 印鑑・署名等に対する認識／使われ方 等 などのアンケートの結果です。

資料2は、「「デジタル原則」を⽀えるクラウド型電⼦署名サービス普及促進の必要性」です。クラウド型電⼦署名サービスというのは、立会人型とリモート適格署名をあわせていっているようですが、資料には定義がないです。でもって、資料として、参考になるのは、8頁のいろいろな類型がありますというところでしょうか。

それこそ、IAL(登録時アシュアランスレベル)はオレオレの電子メールによるもの、AAL(利用時のクレイマントの認証のアシュアランスレベル)は、二要素の場合もあるよ、ということなのかと思います。個人的には、ETSI TS119 432 v1.1.1の図１　署名生成におけるプロセスステップとデータ要素において、署名されるデータ（被署名データ）、デジタル署名値作成、作成装置に関するモデルがフローによって分析されているのですが、そのフローは、立会人型でもそれなりに参考になるので、それをもとに、立会人型で必要とされる事項は何かというのを分析しないと、「スタンダード」とすべきと力んで、

クラウド型電⼦署名サービスを、新トラスト法制において「スタンダード」と位置付けていただきたい

といってますが、どこが使えて、どこが使えないか、さえも分析できないよね、ということだろうと思います。

この点で興味深いのは、議事のなかで、

府の電子署名法第3条Q&Aの中で示されたプロセスの固有性について、クラウド型電子署名の内部プロセスの固有性について、クラウド型電子署名サービス協議会ではどのように考えられているのかご教示いただきたい。電子署名法の認定認証事業者には、かなり厳格な固有性の水準が示されているが、クラウド型電子署名では、それぞれでどういう水準の固有性を確保しようとしているのか。クラウド型電子署名は、いわゆるアシュアランスレベルで、今のところ、IAL1、AAL2ぐらいのレベルとなっているようだが、今後IAL、AALの水準を公表していくことは考えられているのか。

という質問がなされて

クラウド型電子署名サービス協議会において、電子署名法第3条のQ&Aの固有性レベルについて議論中。統一的な見解を今後話し合っていかなければいけないと認識しており、議論ができた段階で正式に回答させていただく。

と回答されています。

まさにIALとAALのレベルを意識して議論されなければならないと考えているところです。立会人型の場合に、なにをもって「署名作成データ」とするのか、という問題があるかと思います。リモートで管理されるのであれば、リモート適格署名レベルの技術基準とを比較しないといけないと思います。「署名作成データ」が固有であるということならば、立会人型の場合は、かなり厳しいだろうと思います。そもそも、固有性という言葉を使うと立会人業者は、自分の首を締めるだろうというのが私の意見です。

むしろ、3条の本人というのは、何で、その推定効って何をいうのか、というのをきちんとすることから、求められる要件をつめるべきというのが私の意見。(論文を書いている人でも)法律専門家でも、この議論は理解している人がほとんどいないので、署名者による署名対象データに対する真正性付与という事実を推定するというように推定効を限定(？素直な解釈だと思うんですけどね)して、IALやAALは、3条の範疇外(これは、誰もきちんと論じていないです)ということで、推定効があるよということも可能だと思います。オレオレ電子証明書を付けるけど、これは、名義人だと推定できるぜい(少数説ですが)と頑張るのであれば、リモート適格署名の技術基準を比較して、それとデジタル署名の仕組みを除いて、それと同等を確保するという技術レベルは何かということになるかと思います。

資料3は、SAPが認識するトラストサービスの現状と課題です。2頁の資料は、電子署名プラットフォーム/先進電子署名(プラットフォームのデジタル署名)、当事者型デジタル署名という用語の使い分けがなされているのは、個人的には、評価しています。それ以外は、EU の一般的状況の説明というところでしょうか。

2.4 第4回 令和4年1月25日

資料1は、事務局資料ですが、論点が、アシュアランスレベルの整理のところに移ってきています。ちょっと気になるのが、

トラストサービス事業者の運営条件としてトラストサービスの提供元が信頼できる機関であるかどうかを定めた要件を満たすかどうかによってレベル分けする

とされているところです。eIDASの枠組だと登録、電子識別手段管理、認証メカニズム、管理組織ごとに分析されているのは、上でみたとおりです。そうすると、電子識別手段管理の部分がどこで議論されるのかなと引っかかったりします。

資料2と資料3は、このエントリの1.1のところでみました。資料3については、特にコメントもないかと思います。

資料2については、特に、公的個人認証、犯収法が取り上げられています(9頁)。また、10頁では、オンラインサービスにおける本人確認が議論されています。これらについては、むしす、法的な関わりが強いので、別途、詳細に検討します。

また、資料では、ニュージーランドでの整理の状況が詳細に紹介されています。非常に参考になります。

2.5 第5回 令和4年2月8日

になります。

資料1の事務局資料は、検討の進め方などの資料になります。興味深いのが、参考資料「茨城県庁からのデジタル庁への要望書」になります。そこでは、

法令上、「職責による署名」が利用可能か不明確で、各省の省令の「電子証明書」の定義も統一されていない。

とか

茨城県では、農林水産省や環境省の省令であれば、国が解釈を明確化することにより、導入した「職責による電子署名」が直ぐに利用可能と解釈できるものと認識

という指摘がなされています。これについては、キンドル(「電子署名法の数奇な運命」)で分析しましたが、具体的なサービスごとに電子署名とともに電子証明書が求められており、そこで、デジタル署名を前提とした定義がなされているのが通常なので、電子署名の概念は意味がないのではないか、ということで議論しました。ただし、「地方自治体においては、地方自治体の長が定める電子証明書 」としてIALやAAL という概念についても整理していない電子証明書が地方自治体の長が定めることができるとなれば、さらに電子証明書のフラグメンテーションに拍車がかかるという感じですね。

結局、キンドルで分析したように、内部の記録なのか、一定の権利義務の発生・給付・登録にかかるのか、といったリスクに関する話なので、それと関連無しに議論されているところでしょうか。

茨城県庁からの要望について、個別の法令や条例で電子署名や電子証明書を規定すると、それぞれに対応しなければいけないので利用者に大きな負担が生じる。統一のレベル分けをデジタル庁あるいはその他政府機関などの規格を制定していくような機関で決め、各法令や条例で参照していく方法を取るべき。個別の法令で基準を決めていくと、その判断が明らかでないような場合に、グレーゾーン解消制度を使うようなことになりかねないのは、望ましい状況ではない。LGPKI、地方公共団体の職責証明書等がなかなか使えない理由は、AATLに載っていないからだが、LGPKIについても、ポリシーの公表や第三者監査などを実施する方向でパブリックの利用を広めていくべき。

という議論がなされているようで、まさに穏当な方向だろうと思います。

資料2については、一般的な説明がなされていますが、

トラストサービス事業者（IDプロバイダー、クラウド署名サービス、認証局、タイムスタンプ局等）の運営ポリシーをトラストサービスアシュアランスレベル（TAL：Trust service Assurance Level）として
整理すべきである。
• 組織要件（組織の責任）
• 設備要件（ファシリテイ要件）
• 技術要件（暗号技術等）
• 鍵管理要件（適格署名生成装置等）
• 運用要件（複数人による相互牽制）
• 監査要件（内部監査、外部監査、適合性監査、認定）
• その他

というのか興味深いところです。でもって、いわゆる立会人型が、このなかに位置づけられるのかと思いますが、その場合の技術要件（暗号技術等）/ 鍵管理要件（適格署名生成装置等）がどのように整理されるのかは、興味深いです。

資料3は、GlobalSignで発行している電子証明書の利用シーンについて、①卒業証明書への署名/②帳票関係への署名/③車両登録書類への署名/④PCR検査結果報告書への署名がなされているという紹介です。

資料4は、トラストサービスのユースケース、他の政策との関係上想定されるニーズ、 ユースケース実現に対する商慣習等の制約、課題、 ユースケース実現の制約となる法令・制度関係、 制度・手続改革のポイント：「原本性」「真正性」、「原本性」「真正性」の担保で電子化が促進されるエリア、 制度化による効果のまとめが論じられています。ここで、「原本性」というのは、役務取引許可申請（外為令別表）、輸出許可申請（輸出令別表第一）の

契約書等及びその写し 輸出者から最終需要者までの一連の契約書等及びその写しを提出すること。（注3）原本を提出する場合は当該原本の写しを併せて提出するものとし、原本を提出せずに写し を提出する場合は原本証明書（別記１（ナ））を併せて提出するものとする。なお、原本につ いては、内容確認の後、申請者に返却する。

というものです。

資料5は、「先ず、隗より始めよ」/行政手続き(Government Sector)におけるサービスで実際に試す/スモールスタート可能なユースケースを選ぶ(G2B or B2G)のはどうか/「トラストサービス」の定義を行う、という提案になります。

商習慣や契約等で実態としてカバーされているものは多い
• 日々の生活がかかっている以上、これは当然
• そこに大きなペインポイントがあるか？

という指摘は、本当にそう思います。トラストサービスの議論が、オンラインのみでの完結を前提にしている傾向があるなあと感じます。実際には、契約の締結までの交渉があり、リアルでのやりとりがあり、それと矛盾しないメールの束があったりします。そのなかで、行為者は誰かというのを確実にするコストパフォーマンスというのは、忘れてはならないだろと思います。その指摘が立会人型だろうと考えています。

2.6 第6回 令和4年2月25日

資料1では、ユースケースについて触れられているのが興味深いです。そこでは、

• マイナンバーカードの電子署名用電子証明書及び利用者証明用電子証明書の本人確認及は、世界的にも最高レベルであるため、様々なサービスの認証における信頼の起点として活用するべき
• 新型コロナワクチン接種証明書アプリは、マイナンバーカードを利用して簡単に登録できるという点で、ID Proofingのユーザビリティやコストが改善された
• 前橋市の「まえばしID」のように、マイナンバーカードでの電子署名を起点として作られた別のIDのユースケースも念頭に置くべき
• Identificationと行政データの連携が可能な仕組みの整備が必要。（マイナポータルの「自己情報取得API」において、マイナポータルアプリによる公的個人認証を用いたログインが必須となっている。）

とされています。(ちなみにこれってeID手段の意味で、Identifierが使われていないのか？という疑問があったりします。スライド21)

あと、TALの具体像が提案されているので興味深いです(24頁)。いま一つ、議論の方向性として

機動性の確保するための考え方
• 規格を技術進化、国際標準、社会環境に準じて柔軟にバージョンアップを行うべく、規格策定及び継続的に検討する専門的な組織の設置の検討が必要
• 各基準は法令から参照される独立した技術規格として策定されるべきであり、変化する技術進化や国際標準に対応したメンテナンス性が確保されることが必要

とされているのは、興味深いように思えます。

資料2は、イメージ図です。それぞれの用語があいまいなので、よくわかりません。正確性ってインテグリティなのだろうか？、正当性って何？

2.7 第7回 令和4年3月22日

事務局資料は、Identificationアシュアランスレベル検討のまとめと今後の進行、特にマルチステークホルダーモデルについての説明がなされています。

資料2は、eIDAS2.0まわりの説明です。 これは、わが社においても、令和3年度総務省の「eIDAS規則及び欧州のトラストサービスに関する調査研究の請負」の調査をしておりますので、機会があれば、簡単なご紹介をしたいと思います。

2.8 第8回 令和4年4月8日および第9回 令和4年4月25日

これについては、事務局資料のみなので、第9回の

をみます。

ただ、ひとつきがかりなのは、7頁

電子署名法において、電子文書が利用者の作成に係るものであることを示すための措置としての「十分な固有性」に必要な電子署名の技術基準は何か （電子署名法３条Q&Aの具体化）

です。今の日本の電子署名法の論者は、本人を文書の名義人として解釈しており、これは、立法時の認識と相違する可能性が強いので、諮問として、どうなのだろうと思います。立法者は、署名対象データ全体に対して真正性付与がなされるのを推定するとしかいっていてません。今の論者は、証明書の保有者の署名行為の推定を議論していように思えます。それを前提に、文書の名義人とアカウントの保有者(IALとAALのレベルを確保しうる)の推定をいっているような気がしています。

欧州だとバイオメトリックス署名(パッドでの筆跡署名)を議論しているのに、我が国では、その議論がまったくでてこないのも気味が悪いです。3 条Q&Aは、出来が悪いよねという認識なのですが、論者としてもはっきりいう人はいないですし、政府としてもそういうわけにはいかないので、困ったところなのだろうと思います。ただし、この3条の議論は、筋が悪いのですが、実益がないので、時間を割くまでもないだろうと自分としては考えています。

個人的には、「6. アシュアランスレベルの整理」が重要だとおもっているので、そこが、報告書に出てくるのは、興味深いところだろうと期待しています。

3 「ID及びトラストサービスに関するアシュアランスレベルの整理」と法律との関わり

3.1 我が国におけるeIDに関するスキーム

3.1.1 概要

eIDASの枠組だと自然人ないし法人、あるいは法人を代表する自然人に対して、電子識別手段が発行されるeIDのシステムをeIDスキームといって検討しているわけですが、我が国だとどういうことになるのだろうかとふと考えてみました。

考えられるのは、公的個人認証、電子署名法に基づく認定認証業者の電子証明書、商業登記法に基づく電子証明書の仕組み、かなと思います。(もっとも厳密には、eID手段が発行されない場合でも、eIDのプロセスを行うのであれば、同様に考えていいはずです。この三つは、利用者の真偽の確認を行い、それに基づいて電子的サービスを行うものとして整理できると思います)

3.1.2 公的個人認証

住民が、住所地市区町村に備えられている住民基本台帳に記録されている場合、その者は、申請により、利用者証明用電子証明書の発行を受け、その電子証明書を用いることで、国又は地方公共団体の機関等との間の申請・届出等手続の電子化並びに民間企業のサービスへ活用することが想定されているということになるので、この仕組みが、eIDスキームとして考えられるのは、間違いがないと思います。

公的個人認証については、「電子署名等に係る地方公共団体情報システム機構の認証業務に関する法律」が定められています。

そこで、コンピュータを利用しようとする者がその利用の際に行う措置で、当該措置を行った者が、機構が当該措置を行うことができるとした者と同一の者であることを証明することを「電子利用者証明」とし、利用者証明認証業務についての定めがなされています(22条以下)。そこでは、申請や発行の条件(22条)、利用者証明利用者符号の適切な管理(23条)、電子証明書の記録事項(26条)が定められています。また、第3章は、認証業務情報等の保護を定めています。

また、これらの法律の事項については、電子署名等に係る地方公共団体情報システム機構の認証業務に関する法律施行令（平成15年9月12日政令第408号）、電子署名等に係る地方公共団体情報システム機構の認証業務に関する法律施行規則（平成15年総務省令第120号）、認証業務及びこれに附帯する業務の実施に関する技術的基準（平成15年12月3日総務省告示第706号）が詳細を定めています。
これで、定められている項目を上でみたCIR2015/1502でみたeIDスキームの保証レベルの各項目と比較すると以下のようになります(以下、主なもの)。

段階 低位、十分、高位 電子署名等に係る地方公共団体情報システム機構の認証業務に関する法律施行規則（平成15年総務省令第120号）ほか
登録 申請および登録 重要事項についての説明(法律施行規則46条、技術基準9条)、利用申し込み者に対する説明事項(22条)
アイデンティティ証明および検証 いずれかの書類の提示又は提出を求めることにより行う(施行規則41条)
電子識別手段管理 電子識別手段の特徴 個人番号カード（利用者証明利用者符号および利用者証明利用者検証符号を記録する電磁的記録媒体）および署名利用者符号・署名利用者検証符号（施行規則43条）　技術基準6条
発行、配送、アクティベート 暗証番号の基準等(技術基準4条)、　鍵ペア生成装置の基準(同5条)、利用者証明用電子証明書の様式(技術基準11条)、
停止・無効化・再アクティベート 失効情報の提供の方法(同33条)　その他、失効に関する規定（施行規則52条）
更新および交替 　有効期間（施行規則49条）、
認証メカニズム 個人識別データ、認証メカニズム 　個人番号カードおよび署名利用者符号・署名利用者検証符号の要素の利用・単独の管理と認められること
管理および組織 一般規定 　特定認証業務の実施に関する規定（技術基準25条）
通知の公表および利用者情報 　特定認証業務の実施に関する規定（技術基準25条）
情報セキュリティマネジメント 入室を管理するために必要な措置(技術基準18条)、不正なアクセス等を防止するために必要な措置(同19条)、正当な権限を有しない者による認証業務用設備の作動を防止するための措置等(同20条)、発行者署名符号の漏えいを防止するために必要な措置（同27条）、運用規定（同46条）
記録保管 　運用規定（同46条）
設備とスタッフ 電子署名等確認設備室への入出場を管理するために必要な措置(同28条）、認証業務設備への入出場を管理するために必要な措置(同40条)
技術的コントロール 　発行者署名符号の漏洩を防止するために必要な措置（同27条）ほか
コンプライアンスと監査

3.1.3 電子署名法による認定に係る業務の用に供する電子証明書

電子署名法は、「電子署名に関し、電磁的記録の真正な成立の推定、特定認証業務に関する認定の制度その他必要な事項を定める」法律です。

総体としては、電子署名法、電子署名及び認証業務に関する法律に基づく指定調査機関等に関する省令、電子署名及び認証業務に関する法律施行令、電子署名及び認証業務に関する法律施行規則、電子署名及び認証業務に関する法律第十五条第三項に規定する書類の記載事項を定める省令（以下「電子署名法等」と総称します。）などからなっています。

電子署名法は、第1章（目的・定義）、第2章（電磁的記録の真正な成立の推定）、第3章（特定認証業務の認定等）、第4章（指定調査機関等）、第5章（雑則）、第6章（罰則）から成り立っています。

同法は、認証業務一般については、特段のさだめをおかずに、そのうちの電子署名のうち、その方式に応じて本人だけが行うことができるものとして主務省令で定める基準に適合するものについて行われる認証業務を特定認証業務として（｢特定認証業務｣-電子署名のうち、その方式に応じて本人だけが行うことができるものとして主務省令で定める基準に適合するものについて行われる認証業務をいう(2条3項)）、それについて、｢特定認証業務を行おうとする者は､主務大臣の認定を受けることができる｣(4条1項)として、主務大臣の認定を受けることができるとしています。

この主務大臣の認定を受けますと、認定に係る業務の用に供する電子証明書等に、主務省令で定めるところにより、当該業務が認定を受けている旨の表示を付することができるということになる（同法(13条)。

ここで、ポイントとなるので、電子証明書です。電子証明書は、法的には、一般に、「電子署名を行った者を確認するために用いられる事項が当該者に係るものであることを証明するために作成された電磁的記録」と定義することができます（たとえば、官民データ活用推進基本法　（平成28年法律第103号））。

そして、この業務を行うのが、認証業務ということになり（利用者その他の者の求めに応じ、当該利用者が電子署名を行ったものであることを確認するために用いられる事項が当該利用者に係るものであることを証明する業務、電子署名法2条2項）、この業務のうち、一定の技術的な特徴を有している電子署名(同3項)に関して行われる認証業務が、特定認証業務ということになります。こ

この認定に関しては、6条が、認定の基準を定めています。

認証業務用設備の技術基準、本人特定の基準、申請にかかる業務の基準適合性があり、それらについて実施の調査があります。電⼦署名及び認証業務に関する法律施⾏規則が、具体的なさだめを有しており、さらに、電子署名及び認証業務に関する法律に基づく特定認証業務の認定に係る指針（平成13年総務省・法務省・経済産業省告示2号）、電子署名及び認証業務に関する法律に基づく指定調査機関の調査に関する方針（平成13年4月2日総務省情報通信政策局・法務省民事局・経済産業省商務情報政策局通知）も、それぞれ認定の基準の細目をさだめています。

ここで、この電子証明書が発行される場合において、実在人の確認と利用者の同一性についての証明がなされるので、利用者の真偽の確認というeIDと同一の効果を果たすことができますま。なので、その仕組みを上のCIR2015/1502と比較してみることができると思います。

法的根拠 eIDAS規則によるアシュアランスレベル「十分」 電子署名法および認証業務に関する法律、同施行令、同法律施行規則、指定調査機関等に関する省令ほか
登録 申請および登録 1. 申請者が電子的識別手段の使用に関連する条件を認識していることを確認する。 三 　前号に掲げるもののほか、申請に係る業務が主務省令で定める基準に適合する方法により行われるものであること(法6条第1項第3号)
2申請者が、電子的識別手段に関する推奨されるセキュリティ上の注意事項を理解していることを確認する。 利用申込者に対し、書類の交付その他の適切な方法により、電子署名の実施の方法及び認証業務の利用に関する重要な事項について説明を行うこと(施行規則6条)。
3. 身元証明および検証のために必要な関連 ID データを収集する。 利用申込者の申込みに係る意思を確認するため、利用申込者に対し、その署名又は押印（押印した印鑑に係る印鑑登録証明書が添付されている場合に限る。）のある利用の申込書その他の書面の提出又は利用の申込みに係る情報（認定を受けた認証業務（以下「認定認証業務」という。）又はこれに準ずるものに係る電子証明書により確認される電子署名が行われたものに限る。）の送信を求めること(施行規則6条)。
アイデンティティ証明および検証 1. その人は、電子 ID 手段の申請が行われている加盟国が認めた、主張された ID を表す証拠 を所持していると見なすことができる。 本人特定の基準(利用者の真偽の確認の方法)二 　申請に係る業務における利用者の真偽の確認が主務省令で定める方法により行われるものであること。(法6条1項2号)
2. その証拠は真正であるか、権威ある情報源によれば存在すると想定でき、その証拠は 有効であると思われる。 一 認証業務の利用の申込みをする者（以下「利用申込者」という。）に対し、住民基本台帳法（昭和四十二年法律第八十一号）第十二条第一項に規定する住民票の写し若しくは住民票記載事項証明書、戸籍の謄本若しくは抄本（現住所の記載がある証明書の提示又は提出を求める場合に限る。）若しくは領事官（領事官の職務を行う大使館若しくは公使館の長又はその事務を代理する者を含む。）の在留証明又はこれらに準ずるものとして主務大臣が告示で定める書類の提出を求め、かつ、次に掲げる方法のうちいずれか一以上のものにより、当該利用申込者の真偽の確認を行う方法。    ただし、認証業務の利用の申込み又はハに規定する申込みの事実の有無を照会する文書の受取りを代理人が行うことを認めた認証業務を実施する場合においては、当該代理人に対し、その権限を証する利用申込者本人の署名及び押印（押印した印鑑に係る印鑑登録証明書が添付されている場合に限る。）がある委任状（利用申込者本人が国外に居住する場合においては、これに準ずるもの）の提出を求め、かつ、次に掲げる方法のうちいずれか一以上のものにより、当該代理人の真偽の確認を行うものとする。
3. 権威ある情報源により、主張された ID が存在することが分かっており、その ID を主張する人物が同一人物であると仮定することができる場合。 イ　出入国管理及び難民認定法（昭和二十六年政令第三百十九号）第二条第五号に規定する旅券、同法第十九条の三に規定する在留カード、日本国との平和条約に基づき日本の国籍を離脱した者等の出入国管理に関する特例法（平成三年法律第七十一号）第七条第一項に規定する特別永住者証明書、別表に掲げる官公庁が発行した免許証、許可証若しくは資格証明書等、行政手続における特定の個人を識別するための番号の利用等に関する法律（平成二十五年法律第二十七号）第二条第七項に規定する個人番号カード又は官公庁（独立行政法人（独立行政法人通則法（平成十一年法律第百三号）第二条第一項に規定する独立行政法人をいう。）、地方独立行政法人（地方独立行政法人法（平成十五年法律第百十八号）第二条第一項に規定する地方独立行政法人をいう。）及び特殊法人（法律により直接に設立された法人又は特別の法律により特別の設立行為をもって設立された法人であって、総務省設置法（平成十一年法律第九十一号）第四条第一項第九号の規定の適用を受けるものをいう。）を含む。）がその職員に対して発行した身分を証明するに足りる文書で当該職員の写真を貼り付けたもののうちいずれか一以上の提示を求める方法
上に加えて ロ　利用の申込書に押印した印鑑に係る印鑑登録証明書（利用申込者が国外に居住する場合においては、これに準ずるもの）の提出を求める方法
1 その人は、電子 ID 手段の申請が行われている加盟国が認めた、主張する ID を表す証拠 を所有していることが確認されており、 ハ　その取扱いにおいて名宛人本人若しくは差出人の指定した名宛人に代わって受け取ることができる者（以下「名宛人等」という。）に限り交付する郵便（次に掲げるいずれかの書類の提示を求める方法により名宛人等であることの確認を行うことにより交付するものに限る。）又はこれに準ずるものにより、申込みの事実の有無を照会する文書を送付し、これに対する返信を受領する方法
かつ、
その証拠が本物であることを決定するためにチェックされている。または、権威あるソースによれば、それは実在する人物に関連することが知られていること
かつ
その人の ID が、たとえば紛失、盗難、停止、失効または期限切れ証拠のリスクを考慮し て、主張する ID でないリスクを最小限に抑える手段が講じられていること ニ　イ、ロ又はハに掲げるものと同等なものとして主務大臣が認めるもの
あるいは 二 利用申込者が現に有している電子署名等に係る地方公共団体情報システム機構の認証業務に関する法律（平成十四年法律第百五十三号）第三条第一項に規定する署名用電子証明書に係る電子署名により当該利用申込者の真偽の確認を行う方法
2. ID 文書が発行された加盟国での登録プロセスで提示され、その文書が提示する人物に関 連しているように見え、かつその人物の ID が、たとえば紛失、盗難、一時停止、取り消し、 または期限切れの文書のリスクを考慮して、主張した ID でないリスクを最小限に抑えるための手 段が講じられている場合、 現に電子証明書を有している利用者が当該電子証明書の発行者に対して新たな電子証明書の利用の申込みをする場合において、当該申込みに係る電子証明書の有効期間が前項に規定する方法により当該利用者の真偽の確認を行って発行された電子証明書の発行日から起算して五年を超えない日までに満了するものであるときは、同項の規定にかかわらず、当該発行者は、当該利用者が現に有している電子証明書に係る電子署名により当該利用者の真偽を確認することができる。  (5条2項)  
または
3. 電子識別手段の発行以外の目的で、同じ加盟国の公共または民間団体が以前に使用した 手順が、十分的な保証レベルについて 2.1.2 項で規定したものと同等の保証を提供している場合、 登録に責任を負う団体は、かかる同等の保証が欧州議会および理事会の規則（EC）No 765／2008（1） 第 2 項（13）に言及する適合性評価団体または同等の団体により確認されていれば、以前の手順を 繰り返さなくてよい、
または
4. 電子識別手段が、保証レベルが相当または高い有効な通知済み電子識別手段に基づいて発行され、かつ、人物識別データの変更のリスクを考慮する場合、身元証明および検証プロセスを繰り返す必要はない。基盤となる電子識別手段が通知されていない場合、規則 (EC) No 765／2008 の第 2 条（13）に言及する適合性評価機関または同等の機関によ り、保証レベル相当または高を確認する必要があります。
電子識別手段管理 電子識別手段の特徴 1. 電子的識別手段は、異なるカテゴリーから少なくとも2つの認証要素を利用する。
2. 電子的識別手段は、それが属する人物の管理下または所持下にある場合にのみ使用されると想定できるように設計されている。
発行、配送、アクティベート 発行後、電子識別手段は、それを所有する者のみに引き渡されることが想定できる仕組みで引き渡されます。
停止・無効化・再アクティベート 1. 電子的識別手段を適時かつ効果的に停止し、／又は取り消すことができること。
2. 不正な停止、取り消し及び／又は再活性化を防止するために講じられた措置が存在すること。
3. 再活性化は、停止または失効前に確立されたものと同じ保証要件が引き続き満たされる場合にのみ行われるものとします。
更新および交替 人物識別データの変更のリスクを考慮し、更新または交換は、最初の ID 証明および検証 と同じ保証要件を満たす必要があるか、同じ保証レベルまたはより高い保証レベルの有効な電子識別手段に基づいている必要がある。
認証メカニズム 1. 個人識別データの公開は、電子識別手段およびその有効性の確実な確認に先立ち行われる。
2. 認証メカニズムの一部として個人識別データが保存される場合、その情報は、紛失および オフラインでの分析を含む侵害から保護するために安全が確保される。
3. 認証メカニズムは、電子的な識別手段の検証のためのセキュリティ制御を実装し、基本的な攻撃能力を強化した攻撃者による推測、盗聴、再生、通信操作などの活動が認証メカニズムを破壊する可能性が極めて低くなるようにする。
上プラス：1.個人識別データの公開は、動的認証による電子識別手段およびその有効性の確実な検証に先立ち行われる。
2. 認証メカニズムは、電子的な識別手段の検証のためのセキュリティ制御を実装しており、中程度の攻撃力を持つ攻撃者による推測、盗聴、再生、通信操作などの活動が認証メカニズムを破壊する可能性が極めて低い。
管理および組織 一般規定 1. 本規則の対象となる運用サービスを提供するプロバイダは、公的機関または加盟国の国内法によってそのように認められた法人であり、確立された組織を持ち、サービスの提供に関連するすべての部分において完全に運用可能なものです。 認証事業者の仕組み(電子署名法 第3章)
2. 提供者は、求められる情報の種類、身元証明の方法、どのような情報をどの程度の期間保持するかなど、サービスの運営および提供に関連して課されるあらゆる法的要件を遵守する。 次の事項を明確かつ適切に定め、かつ、当該事項に基づいて業務を適切に実施すること。(施行規則6条15号)
3. 提供者は、損害賠償のリスクを負う能力、およびサービスの継続的な運営と提供のための十分な財源を有していることを証明できること。 イ 業務の手順
4.プロバイダは、他の事業者に委託した業務を遂行し、スキーム・ポリシーを遵守することについて、プロバイダ自身がその業務を遂行した場合と同様の責任を負うこと。 ロ 業務に従事する者の責任及び権限並びに指揮命令系統
5. 国内法によって構成されていない電子識別スキームは、効果的な終了計画を持たなければならない。この計画には、秩序あるサービスの停止または別のプロバイダによる継続、関係当局およびエンドユーザへの通知方法、ならびにスキームポリシーに従った記録の保護、保持および破棄方法に関する詳細が含まれていなければならない。 ハ 業務の一部を他に委託する場合においては、委託を行う業務の範囲及び内容並びに受託者による当該業務の実施の状況を管理する方法その他の当該業務の適切な実施を確保するための方法
通知の公表および利用者情報 1. 適用されるすべての条件および料金を含む、公表されたサービス定義が存在すること（使用上の制限を含む）。サービス定義には、プライバシーポリシーが含まれるものとします。 ニ 業務の監査に関する事項
2. サービス定義、適用される条件、および特定サービスのプライバシーポリシーの変更について、サービスの利用者に適時かつ確実に通知するために、適切な方針と手順が導入されていること。 ホ 業務に係る技術に関し充分な知識及び経験を有する者の配置
3. 情報提供の要請に対し、適切な方針と手順を定め、完全かつ正確に対応すること。 ヘ 利用者の真偽の確認に際して知り得た情報の目的外使用の禁止及び第十二条第一項各号に掲げる帳簿書類の記載内容の漏えい、滅失又は毀損の防止のために必要な措置
情報セキュリティマネジメント 情報セキュリティリスクを管理・制御するための効果的な情報セキュリティマネジメントシステムがある。 ト 危機管理に関する事項
記録保管 1. データ保護とデータ保持に関して適用される法律と優れた実践を考慮し、効果的な記録管理システムを用いて関連情報を記録し、維持する。
2. 国内法またはその他の国の行政上の取り決めにより許可されている限り、監査およびセキュリティ違反の調査、保管の目的で必要な期間、記録を保持し保護し、その後記録は安全に破棄される。
設備とスタッフ 1. スタッフおよび協力会社が、果たすべき役割を遂行するために必要なスキルの十分な訓練、資格、経験を有していることを保証する手続きの存在。 認証業務用設備により行われる業務の重要度に応じて、当該認証業務用設備が設置された室への立入り及びその操作に関する許諾並びに当該許諾に係る識別符号の管理が適切に行われていること。(施行規則6条16号)
2. サービスの方針と手順に従い、サービスを適切に運営し、リソースを提供するために十分なスタッフ及び下請け業者が存在すること。
3.サービスを提供するために使用する設備は、環境事象、不正アクセス及びサービスのセキュリティに影響を与える可能性のあるその他の要因による損害を継続的に監視し、防止していること。
4. サービス提供のための施設は、個人情報、暗号情報またはその他の機密情報を保有または処理する区域へのアクセスが、権限を与えられたスタッフまたは下請け業者に制限されていることを保証する。
技術的コントロール 1. サービスのセキュリティにもたらされるリスクを管理し、処理される情報の機密性、完全性、可用性を保護するための適切な技術的コントロールが存在すること。 複数の者による発行者署名符号の作成及び管理その他当該発行者署名符号の漏えいを防止するために必要な措置が講じられていること。(施行規則6条17号)
2. 個人情報または機密情報の交換に使用される電子通信チャネルは、盗聴、操作、および再生から保護されていること。
3. 電子的な識別手段の発行や認証に使用される機密性の高い暗号資料へのアクセスは、アクセスを厳密に要求する役割とアプリケーションに制限されます。そのような材料は、決してプレーンテキストで永続的に保存されないことが保証されるものとする。
4. 長期にわたってセキュリティが維持され、リスクレベルの変化、インシデント、セキュリティ違反に対応する能力があることを保証するための手順が存在する。
5. 個人情報、暗号情報、その他の機密情報を含むすべてのメディアは、安全かつ確実な方法で保管、輸送、廃棄される。
レベル低と同じ、加えて：機密性の高い暗号物質で、電子的な識別手段や認証の発行に使用される場合は、改ざんから保護される。
コンプライアンスと監査 提供されるサービスの提供に関連するすべての部分を含むように範囲設定された定期的な内部監査が存在し、関連する方針の遵守を保証すること。 上記 監査に関する事項
提供されるサービスの提供に関連するすべての部分を含む、定期的な独立した内部または外部監査が存在し、関連する方針への準拠を保証する。

となるように思えます。

3.1.4 商業登記法に基づく電子認証制度

商業登記に基づく電子認証制度とは、登記所が、会社・法人の代表者等に関する電子証明書（商業登記電子証明書）を発行することによって、行政手続をオンライン申請で行うときなどに、申請人の本人確認等をオンラインで行うことができるようにするものをいいます。

商業登記法12条の2は、会社の印鑑を登記所に提出した者（登記の申請書に押印すべき者、同法20条）等は、電子証明書を請求することができると定めています。登記所が発行する電子証明書（以下、商業登記電子証明書という）は「法人」の代表者に対して発行しているものであり、会社・法人の代表者名義でオンライン申請等を行う場合に利用することができます。
商業登記電子証明書は、種々の国・地方公共団体等の手続に対して利用することができ、その手続としては、具体的に、登記・供託オンライン申請、 e-Tax（国税電子申告・納税システム）、eLTAX（地方税電子申告）、社会保険・労働保険関係手続　（e-Gov 電子申請システム )、特許のインターネット出願、自動車保有関係手続のワンストップサービス、総務省 電波利用 電子申請・届出システム、防衛装備庁 電子入札・開札システム、オンラインによる支払督促手続　（督促手続オンラインシステム）、政府電子調達システム（GEPS）、電子自治体における各種の申請・届出システムがあげられます。これらの手続において、申請がまさに法人の代表者の真正であることを確認した上で、具体的な行政サービスが提供されるということになっています。

法的な根拠としては、商業登記法（昭和３８年法律第１２５号）、商業登記規則（昭和３９年法務省令第２３号）、デジタル庁令(すみません。不明です)になります。
同法12条の2 1項は、

前条第一項各号に掲げる者（以下この条において「被証明者」という。）は、この条に規定するところにより次の事項（第二号の期間については、デジタル庁令・法務省令で定めるものに限る。）の証明を請求することができる。ただし、代表権の制限その他の事項でこの項の規定による証明に適しないものとしてデジタル庁令・法務省令で定めるものがあるときは、この限りでない。
一　電磁的記録に記録することができる情報が被証明者の作成に係るものであることを示すために講ずる措置であつて、当該情報が他の情報に改変されているかどうかを確認することができる等被証明者の作成に係るものであることを確実に示すことができるものとしてデジタル庁令・法務省令で定めるものについて、当該被証明者が当該措置を講じたものであることを確認するために必要な事項
二　この項及び第三項の規定により証明した事項について、第八項の規定による証明の請求をすることができる期間

となっています。商業登記規則では、電子署名法のような包括的な定めというのは、ないようです。具体的な定めとしては、

商業登記規則33条の6で

法第12条の2第1項及び第3項の規定による証明（以下「電子証明書による証明」という。）を請求するには、申請書及び電磁的記録（電子的方式、磁気的方式その他人の知覚によつては認識することができない方式で作られる記録であつて、電子計算機による情報処理の用に供されるものをいう。以下同じ。）を提出しなければならない。
２　前項の申請書には、次に掲げる事項を記載し、申請人又はその代理人が記名しなければならない。

一　被証明事項（商号使用者にあつては、商号、営業所、氏名、出生の年月日及び商号使用者である旨）
二　代理人によつて請求するときは、その氏名及び住所
三　法第12条の2第1項第2号の期間
四　手数料の額
五　年月日
六　登記所の表示

３　第一項の申請書又は委任による代理人の権限を証する書面には、申請人が登記所に提出している印鑑を押印しなければならない。
４　第一項の電磁的記録は、次の各号のいずれかに該当する構造の電磁的記録媒体（電磁的記録に係る記録媒体をいう。以下同じ。）に記録して提出しなければならない。

一　日本産業規格Ｘ0606又はＸ0610に適合する120ミリメートル光ディスク
二　法務大臣の指定する構造の不揮発性半導体記憶装置

５　第一項の電磁的記録には、法務大臣の指定する方式に従い、次に掲げる事項を記録しなければならない。

一　第二項第一号及び第三号に掲げる事項（出生の年月日を除く。）
二　第三十三条の四の附属書Ｄに定める公開かぎの値
三　第三十三条の四に定める措置を特定する符号として法務大臣の指定するもの
四　法務大臣の指定する方式に従つて申請人が定める識別符号（第三十三条の十三第一項の規定による届出をする者を他の者と区別して識別するためのもの）

６　第一項の電磁的記録には、法務大臣の指定する方式に従い、当該電磁的記録に記録する商号、その略称若しくは当該電磁的記録に記録する氏名の表音をローマ字その他の符号で表示したもの又は当該商号の訳語若しくはその略称をローマ字その他の符号で表示したものを記録することができる。
７　前項に規定する略称の表音又は訳語若しくはその略称をローマ字その他の符号で表示したものを記録する場合には、第一項の申請書に、定款その他の当該記録する事項を証する書面（法第十九条の二に規定する電磁的記録を含む。）を添付しなければならない。
８　第四項第二号、第五項及び第六項の指定は、告示してしなければならない。

とあるのがもっとも具体的な規定という感じです(それ以外だと、33条の13、34条)。では、如何にして、法人の真正な申請であることを確保しているのかというと、

３　第一項の申請書又は委任による代理人の権限を証する書面には、申請人が登記所に提出している印鑑を押印しなければならない。

ということで、法人の実印でもって確保しているというような気がします。これで考えると、会社の実印というのは、まさにeID手段に位置づけてもいいのではないか、という感じになります。登録のときに、実印の保有でもって、実在の法人代表者であることを確認しているといえそうです。

3.2 行政サービスにおける電子証明書の活用

でもって、上の三つのプロセスが、実際にどのように日本の行政サービスに活用されているのかをみます。これについては、具体的な事例ごとに見ていかないといけないと考えてたいます。実際に実体法をみていきましょう。

3.2.1 官公庁に対する届け出等の認証の手段
(1)登記関係

登記関係の場合をみます。これに関するのは、不動産登記規則になります。

不動産登記令12条は、電子情報処理組織を使用する方法により登記を申請するときは、申請情報に電子署名を行わなければならないと定めています。しかしながら、この電子署名自体については、不動産登記規則によって

42条 令第12条第1項及び第2項の電子署名は、電磁的記録に記録することができる情報に、産業標準化法（昭和24年法律第185号）に基づく 日本産業規格（以下「日本産業規格」という。）Ｘ5731一18の附属書Ｄに適合する方法であって同附属書に定めるｎの長さの値が2048ビットであるものを講ずる措置と する。

と具体的な措置の手法が定められています。

その上に不動産登記令14条においては、電子情報処理組織を使用する方法により登記を申請する場合において、電子署名が行われている情報を送信するときは、電子証明書であって法務省令で定めるものを併せて送信しなければならないと定められています。

この電子証明書については、不動産登記規則43条で、

  1. 地方公共団体情報システム機構の署名用電子証明書
  2. 商業登記法に規定する電子証明書
  3. 電子署名法の認定認証事業者が作成した電子証明書
  4. その他の電子証明書であって、氏名、住所、出生の年月日その他の事項により電子署名を行った者を確認することができるものとして法務大臣の定めるもの
  5. 官庁又は公署が作成した電子証明書であって、登記官が電子署名を行った者を確認することができるもの

と具体的に特定がなされています。1-3は、上でみました。4や5が具体的にどのように判断されるのかがわかりません。ここで、電子証明書を発行する場合において、そのプロセスについての保証レベルを考えることができれば、1-3と同等のレベルを考えるのが容易になるというのがわかると思います。

その意味で、1-3が、どのようなレベルであるのか、という位置づけも大切になると思います。そして、それと同等のレベルをもとめなければならないわけです。むしろ、この位置づけのレベルを産業標準的なものとして、不動産登記規則を、その産業標準の十分レベル以上のものというような定義の仕方も可能でしょう。

そのような作業の基準となるといういみで、この「ID及びトラストサービスに関するアシュアランスレベルの整理」という論点が重要であると考えています。

(2)　官公庁に対する申請

官公庁に対する申請に関する利用者の真偽の確認という観点を考えてみます。

その例として、中央官庁に対する申請の類型の代表として経済産業省の所管する法令に係る情報通信技術を活用した行政の推進等に関する法律施行規則を取り上げます。情報通信技術を活用した行政の推進等に関する法律6条1項は、主務省令で定めるところにより、電子情報処理組織を使用する方法により申請を行うとができることを定めています。 同規則は、行政機関等が定める技術的基準に適合する電子計算機から入力することによって申請等を行なうことができることと定めており、その際には、電子署名を行い、当該電子署名に係る電子証明書と併せてこれを送信する方法で行わなければならないとしています。

この電子証明書は、

  1. 地方公共団体情報システム機構の署名用電子証明書
  2. 商業登記法に規定する電子証明書
  3. 経済産業大臣が告示で定める電子証明書

とされています。するとこの「経済産業大臣が告示で定める電子証明書」が、どのような観点から指定されるの？ということになって、やはり、「ID及びトラストサービスに関するアシュアランスレベルの整理」というのが重要であるということになりそうです。

また、消費者の財産的被害の集団的な回復のための民事の裁判手続の特例に関する法律施行規則24条9項に定められている特定適格消費者団体の国民生活センター／地方公共団体情報への提供の申請について、電子署名および認定認証業者の作成する電子証明書が求められているというのも同様のものと理解することができます。

(3)地方公共団体の申請

次に地方公共団体の申請に利用される場合ですが、これにもいくつかの類型があります。

この代表例としては、「戸籍法施行規則」があります。同規則79条の2は、戸籍や除籍謄本についてオンラインで請求することも認めています。これについ て具体的な手法を定めているのが、同規則79条の3です。同条は、申請とともに、添付書面等に代わるべき情報（電子署名のなされたもの）を併せて送信し、電子 署名を行わなければならないとされています。しかも、その情報の送信については、

  1. 地方公共団体情報システム機構の署名用電子証明書
  2. 商業登記法に規定する電子証明書
  3. その他市町村長の使用に係る電子計算機から当該電子署名を行った者を確認することができるものであって、前二号に掲げるものに準ずるものとして 市町村長が定めるもの

とあわせて送信しなければならないとさだめています。戸籍や除籍謄本についてオンラインで請求するというのは、リスク評価としてどのようになるのか、そのリスクに応じて、実在人に対してなされるべき必要性はどのくらいかというのをもとにリスク評価を行って、そのリスク評価にたえうる保証レベルは何なのかという発想が必要になることがわかるでしょう。

(4)官公庁の処分通知等の通知

官公庁の処分通知等の通知について考えてみましょう。これの代表的な例は、「関係行政機関が所管する法令に係る情報通信技術を活用した行政の推進等に関する法律施行規則」9条です。同条においては、行政機関等は、処分通知等を電子情報処理組織を使用する方法により行うときは、書面等に必要事項を入力し、当該処分通知等の情報に電子署名を行い、当該電子署名に係る電子証明書を当該処分通知等と併せて行政機関等の使用に係る電子計算機に備えられたファイルに記録しなければならないとしています。ここでいう電子証明書についても定義があります。同規則の2条2項6号は、

  1. 商業登記法に定める電子証明書
  2. 認定認証業者の電子証明書
  3. 地方公共団体情報システム機構の署名用電子証明書
  4. その他行政機関等が定めるもの

とされています。

3.2.2 組織内部におけるドキュメント作成

いま一つの類型は、組織内部における作成ドキュメントについて電子署名が求められる場合であるということができます。　この代表例は、立会人型の利用者の措置が電子署名の概念に該当するかという議論ででてきた会社法施行規則225条です。また、このような類型に該当する用例としては、一般社団法人及び一般財団法人に関する法律施行規則90条があります。

この点は、議論がされつくしているので省略します。

3.3 民間における利用者の真偽確認の必要性

「ID及びトラストサービスに関するアシュアランスレベルの整理」において重要な点は、民間においても本人確認のサービスというのが、活用されうること、そして、そのための枠組が準備されなければならないことが意識されているということだと思われます。

詳細は、わたしも今後検討しますが、法的な関係では、犯罪による収益の移転防止に関する法律の規定などが参考になります。

3.3.1 犯罪による収益の移転防止に関する法律

犯罪収益移転防止法は、犯罪による収益が組織的な犯罪を助長するために使用されるとともに、これが移転して事業活動に用いられることにより健全な経済活動に重大な悪影響を与えるものであること、及び犯罪による収益の移転が没収、追徴その他の手続によりこれをはく奪し、又は犯罪による被害の回復に充てることを困難にするものであることから、犯罪による収益の移転を防止することが極めて重要であることに鑑み、特定事業者による顧客等の本人特定事項等の確認、取引記録等の保存、疑わしい取引の届出等の措置を講ずる旨を定めた法律です。

犯罪収益移転防止法上の特定事業者については、本人確認義務（犯罪収益移転防止法４条）、取引記録等の作成義務（同法６条）や疑わしい取引の届出義務（同法８条）等を負います。

特定事業者というのは、銀行、信用金庫などの金融機関など(弁護士もはいっています)が上がっています(同法2条2項)。でもって、取引時確認等については特定事業者は、顧客等との間で、「特定取引」という取引を行うに際しては、主務省令で定める方法により、当該顧客等について、次の各号（第二条第二項第四十六号から第四十九号までに掲げる特定事業者にあっては、第一号）に掲げる事項の確認を行わなければならないとされています。ここで確認を行うべき事項としては、

一　本人特定事項（自然人にあっては氏名、住居（本邦内に住居を有しない外国人で政令で定めるものにあっては、主務省令で定める事項）及び生年月日をいい、法人にあっては名称及び本店又は主たる事務所の所在地をいう。以下同じ。）
二　取引を行う目的
三　当該顧客等が自然人である場合にあっては職業、当該顧客等が法人である場合にあっては事業の内容
四　当該顧客等が法人である場合において、その事業経営を実質的に支配することが可能となる関係にあるものとして主務省令で定める者があるときにあっては、その者の本人特定事項

となっているので、ここで、本人特定事項の確認をしなければなりません。でもって、この顧客等の本人特定事項の確認方法は、犯罪による収益の移転防止に関する法律施行規則（平成二十年内閣府・総務省・法務省・財務省・厚生労働省・農林水産省・経済産業省・国土交通省令第一号)で定められています。その6条は、

自然人である顧客等と、外国人である顧客等、法人である顧客等にわけて論じられています。

(1)自然人の場合(6条1項1号)

自然人の場合については、

  • イ「写真付き本人確認書類」の提示を受ける方法
  • ロ　本人確認書類の提示を受けるとともに、預金通帳その他の取引関係文書を書留郵便等により、転送不要郵便物等として送付する方法、
  • ハ　本人確認書類のうちいずれか二の書類の提示を受ける方法又は補完書類の提示
  • ニ　本人確認書類のうち次条第一号ハに掲げるものの提示を受け、かつ、当該本人確認書類以外の本人確認書類若しくは当該顧客等の現在の住居の記載がある補完書類又はその写しの送付を受ける方法
  • チ　当該顧客等又はその代表者等から当該顧客等の本人確認書類の送付を受け、又は当該顧客等の本人確認書類に組み込まれたICチップに記録された当該情報若しくは本人確認用画像情報の送信を受けるとともに、当該本人確認書類に記載され、又は当該情報に記録されている当該顧客等の住居に宛てて、取引関係文書を書留郵便等により、転送不要郵便物等として送付する方法
  • リ　当該顧客等又はその代表者等から当該顧客等の現在の住居の記載がある本人確認書類のいずれか二の書類の写しの送付を受け、又は当該顧客等の本人確認書類の写し及び当該顧客等の現在の住居の記載がある補完書類（次項第三号に掲げる書類にあっては、当該顧客等と同居する者のものを含み、当該本人確認書類に当該顧客等の現在の住居の記載がないときは、当該補完書類及び他の補完書類（当該顧客等のものに限る。）とする。）若しくはその写しの送付を受けるとともに、当該本人確認書類の写し又は当該補完書類若しくはその写しに記載されている当該顧客等の住居（当該本人確認書類の写しに当該顧客等の現在の住居の記載がない場合にあっては、当該補完書類又はその写しに記載されている当該顧客等の住居）に宛てて、取引関係文書を書留郵便等により、転送不要郵便物等として送付する方法
  • ヌ　次の（１）若しくは（２）に掲げる取引又は当該顧客等との間で（２）に掲げる取引と同時に若しくは連続して行われる令第七条第一項第一号ム若しくはヰに掲げる取引を行う際に当該顧客等又はその代表者等から当該顧客等の本人確認書類の写しの送付を受けるとともに、当該本人確認書類の写しに記載されている当該顧客等の住居に宛てて、取引関係文書を書留郵便等により、転送不要郵便物等として送付する方法
    （１）　令第七条第一項第一号イに掲げる取引のうち、法人（特定事業者との間で行われた取引の態様その他の事情を勘案してその行う取引が犯罪による収益の移転の危険性の程度が低いと認められる法人に限る。）の被用者との間で行うもの（当該法人の本店等又は営業所に電話をかけることその他これに類する方法により給与その他の当該法人が当該被用者に支払う金銭の振込みを受ける預金又は貯金口座に係るものであることが確認できるものに限る。）
    （２）　令第七条第一項第一号リに掲げる取引（特定事業者が行政手続における特定の個人を識別するための番号の利用等に関する法律（平成二十五年法律第二十七号）第十四条第一項の規定により当該顧客等から同法第二条第五項に規定する個人番号の提供を受けている場合に限る。）
    ル　その取扱いにおいて名宛人本人若しくは差出人の指定した名宛人に代わって受け取ることができる者に限り交付する郵便又はこれに準ずるもの（特定事業者に代わって住居を確認し、写真付き本人確認書類の提示を受け、並びに第二十条第一項第一号、第三号（括弧書を除く。）及び第十七号に掲げる事項を当該特定事業者に伝達する措置がとられているものに限る。）により、当該顧客等に対して、取引関係文書を送付する方法

などの方法に加えて、電子的な方法で、本人特定事項の確認がなされます。これがeKYCといわれます。

ASPIC の「eKYCとは？オンライン本人確認の利用場面や仕組み、安全性を紹介」という記事があります。そこでも、特定されているようにソフトウエアの利用による本人確認用画像の利用/電子証明書の添付ありの電子署名によって、本人特定事項の確認がなされることが明らかにされています。

ホ　特定事業者が提供するソフトウェアを使用して、本人確認用画像情報の送信を受ける方法（本人確認用画像情報というのは、当該顧客等又はその代表者等に当該ソフトウェアを使用して撮影をさせた当該顧客等の容貌及び写真付き本人確認書類の画像情報であって、当該写真付き本人確認書類に係る画像情報が、当該写真付き本人確認書類に記載されている氏名、住居及び生年月日、当該写真付き本人確認書類に貼り付けられた写真並びに当該写真付き本人確認書類の厚みその他の特徴を確認することができるものをいいます。）

ヘ　当該顧客等又はその代表者等から、特定事業者が提供するソフトウェアを使用して、本人確認用画像情報の送信を受けるとともに、当該顧客等又はその代表者等から当該顧客等の写真付き本人確認書類に組み込まれたICチップに記録された当該情報の送信を受ける方法（このICチップは、氏名、住居、生年月日及び写真の情報が記録されているものをいいます）

ト　当該顧客等又はその代表者等から、特定事業者が提供するソフトウェアを使用して、本人確認用画像情報の送信を受け、又は当該顧客等若しくはその代表者等に当該ソフトウェアを使用して読み取りをさせた当該顧客等の本人確認書類に組み込まれたICチップに記録された当該情報の送信を受けるとともに、次に掲げる行為のいずれかを行う方法

（１）　他の特定事業者が令第7条第1項第1号イに掲げる取引又は同項第三号に定める取引を行う際に当該顧客等について氏名、住居及び生年月日の確認を行い、当該確認に係る確認記録を保存し、かつ、当該顧客等又はその代表者等から当該顧客等しか知り得ない事項その他の当該顧客等が当該確認記録に記録されている顧客等と同一であることを示す事項の申告を受けることにより当該顧客等が当該確認記録に記録されている顧客等と同一であることを確認していることを確認すること。

（２）　当該顧客等の預金又は貯金口座（当該預金又は貯金口座に係る令第7条第1項第1号イに掲げる取引を行う際に当該顧客等について氏名、住居及び生年月日の確認を行い、かつ、当該確認に係る確認記録を保存しているものに限る。）に金銭の振込みを行うとともに、当該顧客等又はその代表者等から当該振込みを特定するために必要な事項が記載された預貯金通帳の写し又はこれに準ずるものの送付を受けること。

ヲ　当該顧客等から、電子署名及び認証業務に関する法律（平成12年法律第102号。以下この項において「電子署名法」という。）第4条第1項に規定する認定を受けた者が発行し、かつ、その認定に係る業務の用に供する電子証明書（当該顧客等の氏名、住居及び生年月日の記録のあるものに限る。）及び当該電子証明書により確認される電子署名法第2条第1項に規定する電子署名が行われた特定取引等に関する情報の送信を受ける方法

ワ　当該顧客等から、電子署名等に係る地方公共団体情報システム機構の認証業務に関する法律（平成十四年法律第百五十三号。以下この号において「公的個人認証法」という。）第三条第六項の規定に基づき地方公共団体情報システム機構が発行した署名用電子証明書及び当該署名用電子証明書により確認される公的個人認証法第二条第一項に規定する電子署名が行われた特定取引等に関する情報の送信を受ける方法（特定事業者が公的個人認証法第十七条第四項に規定する署名検証者である場合に限る。）

カ　当該顧客等から、公的個人認証法第17条第1項第5号に掲げる内閣総理大臣及び総務大臣の認定を受けた者であって、同条第4項に規定する署名検証者である者が発行し、かつ、当該認定を受けた者が行う特定認証業務（電子署名法第2条第3項に規定する特定認証業務をいう。）の用に供する電子証明書（当該顧客等の氏名、住居及び生年月日の記録のあるものに限り、当該顧客等に係る利用者（電子署名法第2条第2項に規定する利用者をいう。）の真偽の確認が、電子署名及び認証業務に関する法律施行規則（平成13年総務省・法務省・経済産業省令第2号）第5条第1項各号に掲げる方法により行われて発行されるものに限る。）及び当該電子証明書により確認される電子署名法第2条第1項に規定する電子署名が行われた特定取引等に関する情報の送信を受ける方法

(2)法人の場合

これについては、従来の方法としては、

  • イ　当該法人の代表者等から本人確認書類のうち次条第二号又は第四号に定めるものの提示を受ける方法
  • ロ　当該法人の代表者等から当該顧客等の名称及び本店又は主たる事務所の所在地の申告を受け、かつ、電気通信回線による登記情報の提供に関する法律（平成十一年法律第二百二十六号）第三条第二項に規定する指定法人から登記情報（同法第二条第一項に規定する登記情報をいう。以下同じ。）の送信を受ける方法（当該法人の代表者等（当該顧客等を代表する権限を有する役員として登記されていない法人の代表者等に限る。）と対面しないで当該申告を受けるときは、当該方法に加え、当該顧客等の本店等に宛てて、取引関係文書を書留郵便等により、転送不要郵便物等として送付する方法）
  • ハ　当該法人の代表者等から当該顧客等の名称及び本店又は主たる事務所の所在地の申告を受けるとともに、行政手続における特定の個人を識別するための番号の利用等に関する法律第三十九条第四項の規定により公表されている当該顧客等の名称及び本店又は主たる事務所の所在地（以下「公表事項」という。）を確認する方法（当該法人の代表者等と対面しないで当該申告を受けるときは、当該方法に加え、当該顧客等の本店等に宛てて、取引関係文書を書留郵便等により、転送不要郵便物等として送付する方法）
  • ニ　当該法人の代表者等から本人確認書類のうち次条第二号若しくは第四号に定めるもの又はその写しの送付を受けるとともに、当該本人確認書類又はその写しに記載されている当該顧客等の本店等に宛てて、取引関係文書を書留郵便等により、転送不要郵便物等として送付する方法

となり、eKYCの手法としては、
ホ　当該法人の代表者等から、商業登記法（昭和38年法律第125号）第12条の2第1項及び第3項の規定に基づき登記官が作成した電子証明書並びに当該電子証明書により確認される電子署名法第2条第1項に規定する電子署名が行われた特定取引等に関する情報の送信を受ける方法

と、上記の商業登記法に基づく電子証明書や電子署名が手法として特定されています。

3.3.2 その他の法律

(1)古物営業法

古物営業法は、

盗品等の売買の防止、速やかな発見等を図るため、古物営業に係る業務について必要な規制等を行い、もつて窃盗その他の犯罪の防止を図り、及びその被害の迅速な回復に資することを目的

とする法律です。ここで古物営業は、古物(一度使用された物品（鑑賞的美術品及び商品券、乗車券、郵便切手その他政令で定めるこれらに類する証票その他の物を含み、大型機械類（船舶、航空機、工作機械その他これらに類する物をいう。）で政令で定めるものを除く。以下同じ。）若しくは使用されない物品で使用のために取引されたもの又はこれらの物品に幾分の手入れをしたもの)に関して

一 古物を売買し、若しくは交換し、又は委託を受けて売買し、若しくは交換する営業であつて、古物を売却すること又は自己が売却した物品を当該売却の相手方から買い受けることのみを行うもの以外のもの
二　古物市場（古物商間の古物の売買又は交換のための市場をいう。以下同じ。）を経営する営業
三　古物の売買をしようとする者のあつせんを競りの方法（政令で定める電子情報処理組織を使用する競りの方法その他の政令で定めるものに限る。）により行う営業（前号に掲げるものを除く。以下「古物競りあつせん業」という。）

をいいます。この15条は、「確認等及び申告」として

古物商は、古物を買い受け、若しくは交換し、又は売却若しくは交換の委託を受けようとするときは、相手方の真偽を確認するため、次の各号のいずれかに掲げる措置をとらなければならない。
一　相手方の住所、氏名、職業及び年齢を確認すること。
二　相手方からその住所、氏名、職業及び年齢が記載された文書（その者の署名のあるものに限る。）の交付を受けること。
三　相手方からその住所、氏名、職業及び年齢の電磁的方法（電子的方法、磁気的方法その他の人の知覚によつて認識することができない方法をいう。以下同じ。）による記録であつて、これらの情報についてその者による電子署名（電子署名及び認証業務に関する法律（平成12年法律第102号）第2条第1項に規定する電子署名をいい、当該電子署名について同法第4条第1項又は第15条第1項の認定を受けた者により同法第2条第2項に規定する証明がされるものに限る。）が行われているものの提供を受けること。
四　前三号に掲げるもののほか、これらに準ずる措置として国家公安委員会規則で定めるもの

となっています。特定認定認証業者の電子証明書による手法がはいっています。でもって、古物営業法施行規則(平成7年国家公安委員会規則第10号)をみていくと、その15条(確認の方法等)で

1 法第十五条第一項第一号の規定による確認は、身分証明書、運転免許証、国民健康保険被保険者証その他の相手方の住所、氏名及び年齢又は生年月日を証する資料（一を限り発行又は発給されたものに限る。以下「身分証明書等」という。）の提示を受け、又は相手方以外の者で相手方の身元を確かめるに足りるものに問い合わせることによりするものとする。

２　法第十五条第一項第二号に規定する署名は、当該古物商又はその代理人、使用人その他の従業者（次項第十号及び第四項において「代理人等」という。）の面前において万年筆、ボールペン等により明瞭に記載されたものでなければならない。この場合において、古物商は、当該署名がされた文書に記載された住所、氏名、職業又は年齢が真正なものでない疑いがあると認めるときは、前項に規定するところによりその住所、氏名、職業又は年齢を確認するようにしなければならない。

３　法第十五条第一項第四号の国家公安委員会規則で定める措置は、次のとおりとする。
一　相手方から、その住所、氏名、職業及び年齢の申出を受けるとともに、その印鑑登録証明書及び当該印鑑登録証明書に係る印鑑を押印した書面の送付を受けること。

二　相手方からその住所、氏名、職業及び年齢の申出を受け、並びにその者に対して、本人限定受取郵便物等（名あて人本人若しくは差出人の指定した名あて人に代わって受け取ることができる者に限り交付する取扱いをされる郵便物又は民間事業者による信書の送達に関する法律（平成十四年法律第九十九号）第二条第六項に規定する一般信書便事業者若しくは同条第九項に規定する特定信書便事業者が送達する同条第三項に規定する信書便物（以下「信書便物」という。）をいう。以下同じ。）を送付し、かつ、その到達を確かめること。

三　相手方からその住所、氏名、職業及び年齢の申出を受け、並びにその者に対して金品を内容とする本人限定受取郵便物等を送付する方法により当該古物の代金を支払うことを約すること。

四　相手方からその住所、氏名、職業及び年齢の申出を受けるとともにその住民票の写し、住民票の記載事項証明書、戸籍の謄本若しくは抄本（戸籍の附票の写しが添付されているものに限る。）又は印鑑登録証明書（以下「住民票の写し等」という。）の送付を受け、又は当該相手方の身分証明書等（住所、氏名及び年齢又は生年月日の情報が記録された半導体集積回路（半導体集積回路の回路配置に関する法律（昭和六十年法律第四十三号）第二条第一項に規定する半導体集積回路をいう。以下この号及び第九号において同じ。）が組み込まれたものに限る。）に組み込まれた当該半導体集積回路に記録された当該情報若しくは本人確認用画像情報（当該相手方に当該古物商が提供するソフトウェアを使用して撮影をさせた当該相手方の身分証明書等の画像情報であって、当該身分証明書等に記載された住所、氏名及び年齢又は生年月日並びに当該身分証明書等の厚みその他の特徴を確認することができるものをいう。）の送信（当該本人確認用画像情報にあっては、当該ソフトウェアを使用した送信に限る。）を受け、並びに当該住民票の写し等に記載され、又は当該情報に記録された当該相手方の住所に宛てて配達記録郵便物等（引受け及び配達の記録をする取扱いをされる郵便物若しくは信書便物又はこれと同様の取扱いをされる貨物（貨物自動車運送事業法（平成元年法律第八十三号）第三条の許可を受けた者その他の適法に貨物の運送の事業を行う者が運送するものに限る。）をいう。以下同じ。）で転送をしない取扱いをされるものを送付し、かつ、その到達を確かめること（当該本人確認用画像情報の送信を受ける場合にあっては、当該古物に係る法第十六条の帳簿等又は電磁的方法（電子的方法、磁気的方法その他の人の知覚によって認識することができない方法をいう。以下同じ。）による記録とともに当該本人確認用画像情報を保存する場合に限る。）。

五　相手方からその住所、氏名、職業及び年齢の申出を受けるとともにその身分証明書等若しくは住民票の写し等のいずれか二の書類の写し（明瞭に表示されたものに限る。）の送付を受け、又は当該相手方の身分証明書等若しくは住民票の写し等の写し（明瞭に表示されたものに限る。）及び当該相手方の住所が記載された次に掲げる書類のいずれか（身分証明書等又は住民票の写し等を除き、領収日付の押印又は発行年月日の記載があるもので、その日が当該古物商が送付を受ける日前六月以内のものに限る。以下この号において「補完書類」という。）若しくはその写し（明瞭に表示されたものに限る。）の送付を受け、並びに当該相手方の身分証明書等若しくは住民票の写し等の写し又は当該補完書類若しくはその写しに記載された当該相手方の住所に宛てて配達記録郵便物等で転送をしない取扱いをされるものを送付し、かつ、その到達を確かめること（当該古物に係る法第十六条の帳簿等又は電磁的方法による記録とともに当該身分証明書等若しくは住民票の写し等の写し又は当該補完書類若しくはその写しを保存する場合に限る。）。
イ　国税又は地方税の領収証書又は納税証明書
ロ　所得税法（昭和四十年法律第三十三号）第七十四条第二項に規定する社会保険料の領収証書
ハ　公共料金（日本国内において供給される電気、ガス及び水道水その他これらに準ずるものに係る料金をいう。）の領収証書（当該相手方と同居する者のものを含む。）
ニ　イからハに掲げるもののほか、官公庁から発行され、又は発給された書類その他これに類するもので、当該相手方の住所及び氏名の記載があるもの（国家公安委員会が指定するものを除く。）
ホ　日本国政府の承認した外国政府又は権限ある国際機関の発行した書類その他これに類するもので、当該相手方の身分証明書等又は住民票の写し等に準ずるもの（当該相手方の住所及び氏名の記載があるものに限る。）

六　相手方からその住所、氏名、職業及び年齢の申出を受けるとともにその住民票の写し等の送付を受け、並びに当該住民票の写し等に記載されたその者の氏名を名義人の氏名とする預貯金口座への振込み又は振替の方法により当該古物の代金を支払うことを約すること。

七　相手方からその住所、氏名、職業及び年齢の申出を受けるとともにその身分証明書等の写し（明瞭に表示されたものに限る。）の送付を受け、当該身分証明書等の写しに記載されたその者の住所に宛てて配達記録郵便物等で転送をしない取扱いをされるものを送付し、かつ、その到達を確かめ、並びに当該身分証明書等の写しに記載されたその者の氏名を名義人の氏名とする預貯金口座への振込み又は振替の方法により当該古物の代金を支払うことを約すること（当該古物に係る法第十六条の帳簿等又は電磁的方法による記録とともに当該身分証明書等の写しを保存する場合に限る。）。

八　相手方からその住所、氏名、職業及び年齢の申出を受けるとともに、当該古物商が提供するソフトウェアを使用して、本人確認用画像情報（当該相手方に当該ソフトウェアを使用して撮影をさせた当該相手方の容貌及び身分証明書等（当該相手方の写真が貼り付けられたものに限る。以下この号及び次号において「写真付き身分証明書等」という。）の画像情報であって、当該写真付き身分証明書等に係る画像情報が、当該写真付き身分証明書等に記載された住所、氏名及び年齢又は生年月日、当該写真付き身分証明書等に貼り付けられた写真並びに当該写真付き身分証明書等の厚みその他の特徴を確認することができるものをいう。）の送信を受けること（当該古物に係る法第十六条の帳簿等又は電磁的方法による記録とともに当該本人確認用画像情報（当該相手方の容貌の画像情報を除く。）を保存する場合に限る。）。

九　相手方からその住所、氏名、職業及び年齢の申出を受けるとともに、当該古物商が提供するソフトウェアを使用して、本人確認用画像情報（当該相手方に当該ソフトウェアを使用して撮影をさせた当該相手方の容貌の画像情報をいう。）の送信を受け、並びに当該相手方から当該相手方の写真付き身分証明書等（住所、氏名、年齢又は生年月日及び写真の情報が記録された半導体集積回路が組み込まれたものに限る。）に組み込まれた当該半導体集積回路に記録された当該情報の送信を受けること。

十　相手方からその住所、氏名、職業及び年齢の申出を受け、並びに当該相手方に、当該古物商又はその代理人等の面前において、器具を使用して当該相手方の氏名の筆記（当該氏名が電磁的方法により当該古物商の使用に係る電子計算機（入出力装置を含む。以下同じ。）の映像面に明瞭に表示されるようにして行うものに限る。）をさせること。この場合において、当該申出に係る住所、氏名、職業又は年齢が真正なものでない疑いがあると認めるときは、第一項に規定するところによりその住所、氏名、職業又は年齢を確認するようにしなければならない。

十一　相手方から、電子署名等に係る地方公共団体情報システム機構の認証業務に関する法律（平成14年法律第153号。以下この号及び次号において「公的個人認証法」という。）第3条第6項の規定に基づき地方公共団体情報システム機構が発行した署名用電子証明書並びに公的個人認証法第2条第1項に規定する電子署名が行われた当該相手方の住所、氏名、職業及び年齢の電磁的方法による記録の提供を受けること（当該古物商が公的個人認証法第17条第4項に規定する署名検証者である場合に限る。）。

十二　相手方から、公的個人認証法第17条第1項第5号に掲げる内閣総理大臣及び総務大臣の認定を受けた者であって、同条第4項に規定する署名検証者である者が発行し、かつ、当該認定を受けた者が行う特定認証業務（電子署名及び認証業務に関する法律（平成12年法律第102号。以下この号において「電子署名法」という。）第2条第3項に規定する特定認証業務をいう。）の用に供する電子証明書（当該相手方に係る利用者（電子署名法第2条第2項に規定する利用者をいう。）の真偽の確認が、電子署名及び認証業務に関する法律施行規則（平成13年総務省・法務省・経済産業省令第2号）第5条第1項各号に規定する方法により行われて発行されるものに限る。）並びに電子署名法第2条第1項に規定する電子署名が行われた当該相手方の住所、氏名、職業及び年齢の電磁的方法による記録の提供を受けること。

十三　法第15条第1項第1号から第3号まで又は前各号に掲げる措置をとった者に対し識別符号（不正アクセス行為の禁止等に関する法律（平成11年法律第128号）第2条第3項に規定する識別符号をいう。）を付し、その送信を受けることその他のこれらの規定に掲げる措置をとった者を識別でき、かつ、その者に第三者がなりすますことが困難な方法により、相手方についてこれらの規定に掲げる措置を既にとっていることを確かめること。

と定められています。

(2)携帯電話不正利用防止法

携帯音声通信事業者による契約者等の本人確認等及び携帯音声通信役務の不正な利用の防止に関する法律は、

携帯音声通信事業者による携帯音声通信役務の提供を内容とする契約の締結時等における本人確認に関する措置、通話可能端末設備等の譲渡等に関する措置等を定めることにより、携帯音声通信事業者による契約者の管理体制の整備の促進及び携帯音声通信役務の不正な利用の防止を図ることを目的とする

法律です。総務省のページはこちら。

この法律の3条は、(契約締結時の本人確認義務等）として

第3条　携帯音声通信事業者は、携帯音声通信役務の提供を受けようとする者との間で、役務提供契約を締結するに際しては、運転免許証の提示を受ける方法その他の総務省令で定める方法により、当該役務提供契約を締結しようとする相手方（以下この条及び第11条第1号において「相手方」という。）について、次の各号に掲げる相手方の区分に応じそれぞれ当該各号に定める事項（以下「本人特定事項」という。）の確認（以下「本人確認」という。）を行わなければならない。
一　自然人　氏名、住居及び生年月日
二　法人　名称及び本店又は主たる事務所の所在地
２　携帯音声通信事業者は、相手方の本人確認を行う場合において、会社の代表者が当該会社のために役務提供契約を締結するときその他の当該携帯音声通信事業者との間で現に役務提供契約の締結の任に当たっている自然人が当該相手方と異なるとき（次項に規定する場合を除く。）は、当該相手方の本人確認に加え、当該役務提供契約の締結の任に当たっている自然人（第4項及び第11条第1号において「代表者等」という。）についても、本人確認を行わなければならない。
３　相手方が国、地方公共団体、人格のない社団又は財団その他の総務省令で定めるものである場合には、当該国、地方公共団体、人格のない社団又は財団その他の総務省令で定めるもののために当該携帯音声通信事業者との間で現に役務提供契約の締結の任に当たっている自然人を相手方とみなして、第一項の規定を適用する。
４　相手方（前項の規定により相手方とみなされる自然人を含む。以下この項及び第11条第1号において同じ。）及び代表者等は、携帯音声通信事業者が本人確認を行う場合において、当該携帯音声通信事業者に対して、相手方又は代表者等の本人特定事項を偽ってはならない。

なお、関連する規定として8条(警察所長は、契約者について契約者確認をもとめうるとする)、9条(事業者が、契約者としての地位を有していることを確認しうる)があります。

携帯音声通信事業者による契約者等の本人確認等及び携帯音声通信役務の不正な利用の防止に関する法律施行規則(平成17年総務省令第167号)は、3条(本人確認の方法)で、自然人と法人にわけて論じられています。

 自然人の場合

  • イ　当該自然人又はその代表者等（法第三条第二項（法第五条第二項及び法第十条第二項において準用する場合を含む。）にいう代表者等をいう。第十三条、第十四条及び第十六条を除き、以下同じ。）から第五条第一項第一号（ニ及びヘを除く。）又は第三号に規定する書類の提示を受ける方法。ただし、当該代表者等からの同項第一号ホに掲げる書類の提示にあっては、当該書類は一を限り発行又は発給されたものに限る。
  • ロ　当該自然人若しくはその代表者等から第五条第一項第一号ニ若しくはヘに掲げる書類の提示又はその代表者等から同号ホに掲げるもの（一を限り発行又は発給されたものを除く。）の提示を受けるとともに、当該書類に記載されている相手方の住居にあてて、当該自然人との役務提供契約に係る携帯音声通信端末設備若しくは契約者特定記録媒体又は当該役務提供契約の締結に係る文書（以下「携帯音声通信端末設備等」という。）を書留郵便等により転送不要郵便物等として送付する方法
  • ハ　当該自然人又はその代表者等から、携帯音声通信事業者が提供するソフトウェアを使用して、特定本人確認用画像情報の送信を受ける方法
  • ニ　当該自然人又はその代表者等から、携帯音声通信事業者が提供するソフトウェアを使用して、本人確認用画像情報の送信を受けるとともに、当該自然人又はその代表者等の写真付き本人確認書類（氏名、住居、生年月日及び写真の情報が記録されている半導体集積回路（半導体集積回路の回路配置に関する法律（昭和六十年法律第四十三号）第二条第一項に規定する半導体集積回路をいう。）が組み込まれたものに限る。次条第一項第四号、第十一条第一項第一号ニ、第十九条第一項第一号ニ及び第三号ニ並びに第二十条第一項第四号において同じ。）に組み込まれた半導体集積回路に記録された当該情報の送信を受ける方法
  • ホ　当該自然人又はその代表者等から第五条第一項第一号ニ若しくはヘに掲げる書類又は同項第三号に規定するもの（一を限り発行又は発給されたものを除く。）の送付を受けるとともに、当該書類に記載されている相手方の住居にあてて、携帯音声通信端末設備等を書留郵便等により転送不要郵便物等として送付する方法
  • ヘ　当該自然人又はその代表者等から第五条第一項第一号又は第三号に規定する書類の写しの送付を受けるとともに、当該写しに記載されている相手方の住居にあてて、携帯音声通信端末設備等を書留郵便等により転送不要郵便物等として送付する方法
  • ト　特定事項伝達型本人限定受取郵便等により、当該自然人に対して、携帯音声通信端末設備等を送付する方法
  • チ　電子署名が行われた情報の送信を受けて役務提供契約を締結する場合は、当該電子署名に係る電子証明書を、当該自然人から受信する方法

法人の場合

  • イ　当該法人の代表者等から第五条第一項第二号又は第三号に規定する書類の提示を受ける方法
  • ロ　当該法人の代表者等から第五条第一項第二号又は第三号に規定する書類の送付を受けるとともに、当該書類に記載されている相手方の本店又は主たる事務所の所在地（当該書類に支店又は従たる事務所の所在地の記載があるときは、これらを含む。ハにおいて同じ。）にあてて、携帯音声通信端末設備等を書留郵便等により転送不要郵便物等として送付する方法
  • ハ　当該法人の代表者等から第五条第一項第二号又は第三号に規定する書類の写しの送付を受けるとともに、当該写しに記載されている相手方の本店又は主たる事務所の所在地にあてて、携帯音声通信端末設備等を書留郵便等により転送不要郵便物等として送付する方法
  • ニ　電子署名が行われた情報の送信を受けて役務提供契約を締結する場合は、当該電子署名に係る電子証明書を、当該法人の代表者等から受信する方法

ここで、本人確認書類については、同規則5条が定めています。具体的な内容は省略します。

(3)出会い系サイト規制法

「出会い系サイト規制法とは。マッチングアプリや婚活サイト事業者に必要な本人確認の要件を解説」という記事があります。

そこでもでていますが、正式名称は、「インターネット異性紹介事業を利用して児童を誘引する行為の規制等に関する法律(平成15年法律第83号)」ということになります。この法律は、

インターネット異性紹介事業を利用して児童を性交等の相手方となるように誘引する行為等を禁止するとともに、インターネット異性紹介事業について必要な規制を行うこと等により、インターネット異性紹介事業の利用に起因する児童買春その他の犯罪から児童を保護し、もって児童の健全な育成に資することを目的

とするものです。この11条は、(児童でないことの確認）として

第十一条　インターネット異性紹介事業者は、次に掲げる場合は、国家公安委員会規則で定めるところにより、あらかじめ、これらの異性交際希望者が児童でないことを確認しなければならない。ただし、第二号に掲げる場合にあっては、第一号に規定する異性交際希望者が当該インターネット異性紹介事業者の行う氏名、年齢その他の本人を特定する事項の確認（国家公安委員会規則で定める方法により行うものに限る。）を受けているときは、この限りでない。
一　異性交際希望者の求めに応じ、その異性交際に関する情報をインターネットを利用して公衆が閲覧することができる状態に置いて、これに伝達するとき。
二　他の異性交際希望者の求めに応じ、前号に規定する異性交際希望者からの異性交際に関する情報をインターネットを利用して公衆が閲覧することができる状態に置いて、当該他の異性交際希望者に伝達するとき。
三　前二号の規定によりその異性交際に関する情報の伝達を受けた他の異性交際希望者が、電子メールその他の電気通信を利用して、当該情報に係る第一号に規定する異性交際希望者と連絡することができるようにするとき。
四　第一号に規定する異性交際希望者が、電子メールその他の電気通信を利用して、第一号又は第二号の規定によりその異性交際に関する情報の伝達を受けた他の異性交際希望者と連絡することができるようにするとき。

でもって、施行規則についていえば、インターネット異性紹介事業を利用して児童を誘引する行為の規制等に関する法律施行規則(平成15年国家公安委員会規則第15号)では、法第11条の規定による異性交際希望者が児童でないことの確認の実施の方法は、規則5条において

一　異性交際希望者から、その運転免許証、国民健康保険被保険者証その他の当該異性交際希望者の年齢又は生年月日を証する書面の当該異性交際希望者の年齢又は生年月日、当該書面の名称及び当該書面を発行し又は発給した者の名称に係る部分の提示、当該部分の写しの送付又は当該部分に係る画像の電磁的方法による送信を受けること。
二　異性交際希望者から、クレジットカードを使用する方法その他の児童が通常利用できない方法により料金を支払う旨の同意を受けること。
三　あらかじめ、前二号に掲げるいずれかの方法により児童でないことを確認した異性交際希望者に識別符号（不正アクセス行為の禁止等に関する法律（平成十一年法律第百二十八号）第二条第三項に規定する識別符号をいう。以下同じ。）を付し、インターネットを利用してその送信を受けること。
四　インターネット異性紹介事業者が、第一号又は第二号に掲げるいずれかの方法により児童でないことを確認して識別符号を付する業務（以下「識別符号付与業務」という。）を他の者に委託している場合にあっては、異性交際希望者から送信を受けた識別符号について、当該委託を受けた者に照会すること等の方法により、その者が付したものであることを確認すること。

となっています。

3.3.3 eKYCのビジネス的側面

上のようなeKYCを技術で支援しようという動きがビジネスになるわけです。ここで参考になるのが、上でみたASPICの「eKYCサービスの比較9選！導入に適したタイプはどれか？」という記事です。

我が国の状況は、上の記事を読んでいただくことでいいとして、欧州におけるトラストサービスの動向としては、「eIDAS規則における保証レベルやモバイルeIDプロセス－ENISA｢eIDAS compliant eID Solutions」を読む」で触れておきました

ENISAの「eIDAS適合eIDソリューション」によると、ここでは、モバイルベースの仕組みが増加していること、バイオメトリクス認証は増加傾向にあること、特に、バイオメトリクスについては、単一のバイオメトリックモーダリティは、弱点があるために、マルチモーダル や行動認証が注目を集めていること、が分析されています。

ここで、単一のバイオメトリックモーダリティは、弱点があるというのは、写真とかで、なりすましてしまえるということになります。

マルチモーダルのバイオメトリックには複数のセンサー(1つのセンサーで複数のデータを取得するシステム )、複数のサンプル(1つの生体情報の特徴を複数のアルゴリズムで処理するシステム)、複数形質(同一身体形質の複数回発生を集約したシステム)、複数のインスタンス( 同じ生体認証方式のテンプレートを複数使用するシステム(1つのセンサーで取得した異なる指の複数の指紋を、1つのセンサーで取得するのが例))、複数表現(個人生体情報の特徴に関する情報を組み合わせたシステム)などがあります。

4 「ID及びトラストサービスに関するアシュアランスレベルの整理」の重要性

4.1 重要性

「ID及びトラストサービスに関するアシュアランスレベルの整理」という論点について、デジタル庁の会議の資料をみながら、いろいろと考察してきたのですが、とにかく現行法においては、電子取引における利用者が、実在人と同一であることを確かめるための収集する仕組み(本人確認)が前提となることが多いということがいえます。行政サービスについてもそうですし、民間における取引についてもそのとおりです。

それに関して、法的な枠組をみたところ、極めて多様な法的な定めの仕方がなされていて、それらの具体的な整理というのは、なされていないという状況にあるというのは、よくわかったところです。

これが、どの程度の事実を集めるか、ということについて、一定のレベルで統一がなされれば、非常に便利になります。特に、民間におけるeIDサービスの位置づけがはっきりすることによってその発展が望めるのではないか、ということになるかと思います。

4.2 DX推進サブワーキンググループのもつ意味

このような観点からこのWG のIALについての提案をみます。

ここで対面相当オンラインという記載があります。マルチモーダルのバイオメトリックが、このような枠組のなかで位置づけられることになれば、そのようなサービスが我が国においても発展するのではないか、と考えられます。

 

 

関連記事

  1. 脅威インテリジェンスサービスの利用とコンプライアンス（1）

  2. ワールド経済フォーラムの「サイバー犯罪防止-ISPの原則」（５）…

  3. スパイ気球撃墜と自衛隊法84条、そしてオフェンシブサイバーへの示…

  4. ドイツにおける端末監視ツール導入について

  5. Andrew Forrest氏のオンライン詐欺投資広告についての…

  6. 供述書分析-FBIは、コロニアル・パイプライン社が支払った暗号通…

  7. eIDAS規則における保証レベルやモバイルeIDプロセス－ENI…

  8. CyConX　travel report　Day One Boo…
PAGE TOP