トラストサービスの本質とは？（後編）

元旦に投稿したお題の完結編である。あくまで、個人的な思いによるものであって、私が所属する団体の公式見解ではない。

今まで、認証局など基本的なトラストサービスの役割は、以下の２つの機能に大別されるという個人的な考えを示してきた。
(1)人や組織等の実在性や属性を確認する機能
(2)人や組織等に電子証明書等を安全に発行するとともに、当該電子証明書等の有効性に関する検証の要求に応える機能

中編では、(1)について、いわゆる本人確認業務が、信頼できる（公的な）データベースに依拠していることと、政府が構築を進めているベース・レジストリの役割が大きいことを示した。
また、サプライチェーンの強靭化の観点で、法人や事業所に対して、ITU-T X.509の様式に準拠した電子証明書に加えて、World Wide Web Consortium (W3C)で標準化されてきたVerifiable Credentials（VCs）に対する期待が高まっていることを示した。

後編では、自然人に対して電子証明書等を発行するトラストサービスについて、マイナンバーカードとの関係を示すとともに、自然人の本人確認に関する技術文書の必要性、官民のトラストサービスの役割分担等について、書くこととする。

最初に、政府が進めているマイナンバー制度についておさらいをしたい。
マイナンバー制度は、住民票を持つ日本国内の全住民に付番される12桁の個人番号（愛称:マイナンバー）を基にして、デジタル社会の基盤として、国民の利便性向上と行政の効率化をあわせて進め、より公平・公正な社会を実現するためのインフラである。

他方、マイナンバーカードとは、12桁の個人番号（愛称:マイナンバー）を裏面に印刷したICカードであって、法律上は、「個人番号カード」と言うのが正しい。その主たる機能は、「公的個人認証サービス」において使われる鍵ペアと電子証明書の格納媒体である。
ICチップを用いる「公的個人認証サービス」に限って議論すれば、マイナンバーカードと12桁の個人番号（愛称:マイナンバー）はあまり関係はない。

以前の投稿「マイナンバーカードとトラストサービス」において、私は、「公的個人認証サービス」は、地方公共団体情報システム機構(J-LIS)が提供するトラストサービスと位置付けることができると書いた。
マイナンバーカードとトラストサービス｜yamauchi_toru

その考えは変わっていないが、日本政府が、公的個人認証サービス（JPKI）、政府認証基盤（GPKI）、地方公共団体組織認証基盤（LGPKI）、商業登記に基づく電子認証制度、保健医療福祉分野の公開鍵基盤（HPKI）等を、トラストサービスと呼ぶことはない。

しかし、公開鍵基盤（Public Key Infrastructure）という点で同様の仕組みであることは確かである。個人的には、それらの技術基準は、ある程度共通化した方がよいと思う。また、監査など適合性評価の仕組みについても、基本的なルールを決めた方がよいと思う。

特に、(2)人や組織等に電子証明書等を安全に発行するとともに、当該電子証明書等の有効性に関する検証の要求に応える機能については、ほぼ同等の要求事項を満たさなければならないことを、指摘しておきたい。
これらの機能を担うシステムは、立地場所が秘匿された堅牢な建屋の中に設置されており、電子証明書に認証局がそれを確かに発行したことを保証するための電子署名を行うための暗号装置等には、高度なセキュリティに係る仕様が施されなくてはならない。国が運営又は関与する認証局については、可能な限り(2)の機能に係るセキュリティのレベルを上げることは、安全保障の観点でも極めて重要である。

認証局の秘密鍵を格納する暗号装置は、暗号モジュール又はハードウェア・セキュリティ・モジュール（HSM）と呼ばれることがある。是非、以下の投稿を参照頂きたい。
情報セキュリティ及び暗号モジュールに係る適合性評価｜yamauchi_toru

そして、これらに関する技術基準について、国際標準や諸外国の基準との整合性に留意しつつ、作成し（国際的にも）わかりやすい形で公開すべきである。また、それへの適合性を評価する機関の力量についても、ある程度揃えることが望まれる。
それらを実現して初めて、トラストサービスの適合性評価制度に関する国際的な相互承認（Mutual Recognition）の議論ができるようになるのである。

なお、中編で示した、(1)人や組織等の実在性や属性を確認する機能については、その対象によってやり方が異なるので、その技術基準が一つに統一されることは、ないだろう。
ただ、自然人の本人確認(専門用語としては、Identity Proofing が該当)の手段については、米国の国立標準技術研究所（NIST）が発行する特別な文書（SP 800-63など）やEUの標準化機関の一つである欧州電気通信標準化機構（ETSI）が発行する技術仕様（ETSI TS 119 461など）を参考にして、公的な文書を作成・公開しておくべきであろう。

これらに関連して、筆者が仕事上関与している国際標準化活動の一つである、ISO/IEC JTC1 SC27 WG5 Identity management and privacy technologies は、主に自然人の本人確認に関する国際規格等を作成しており、その現況については、別途、仕事として広報していきたい。

そろそろ、まとめに入りたい。
国が行う又は関与するトラストサービスと民間事業者（トラストサービスプロバイダ）がビジネスとして行うトラストサービスについては、それらの役割分担を議論すべきである。
そして、国は、(1)人や組織等の実在性や属性を確認する機能において必要となるベース・レジストリの整備を急ぐべきである。民間主導で人や組織等のデータベースを作成することは禁止されるべきではないが、個人情報保護法との関係もあり、容易ではない。

私は、税・社会保障の一体改革のためのマイナンバー制度の一環として、普及が急速に進んだマイナンバーカードは、日本のデジタルインフラの一つになったと考えている。
すなわち、国民の80%程度が既に地方公共団体の窓口における本人確認（Identity Proofing）を経て、ICチップの中に2枚の電子証明書を入れている国（ある程度の大きさの人口を有する国）は、日本以外には見当たらない。

ただ、公的個人認証サービスの署名用電子証明書には、氏名以外に、住所、生年月日及び性別が記録されていることから、電子署名を行うと、それらの属性が知られてしまうという問題がある。
日常生活においては、年齢（酒類、タバコの購入等）、性別（銭湯、更衣室など）、住所（公演チケットの市民割引）等に関する情報が必要となるシーンが多々ある。
このため、必要なサービスに応じた利便性の高い電子証明書、自らの属性を選択的に示すことができるVerifiable Credentials（VCs）などのニーズが高まっていくだろう。
そして、電子署名、電子認証、属性情報の提示などを行うためのソリューションを個人のスマートフォンに実装する社会が形成されていくであろう。

EUにおいては、eIDAS規則の改正に伴い、「欧州デジタルIDウォレット（EUDIW）」の実装に関する検討が進んでいる。
日本でも、近々、「デジタルIDウォレット」の議論が始まるだろう。既にデジタル庁等で調査が行われているかもしれない。

私は、様々なソリューションの開発と個人向けサービスの提供は、日本の産業界主導で行ってほしいと思う。
日本型の「デジタルIDウォレット」をスマートフォンにインストールする際には、公的個人認証サービスの署名用電子証明書を用いた電子署名で申込みに行い、厳格な本人な確認がなされれば、安心・安全が担保できる。

日本人は、マイナンバーカードを健康保険証や運転免許証として用いるだけではなく、欧米よりも進んだデジタルライフを実現できるインフラを最大限活用すべきではないだろうか。民間の創意工夫にも期待したい。

このシリーズは一旦、完結するが、反響やご意見を踏まえて、また別の切り口で、トラストサービス等について投稿してきたい。