デジタルアイデンティティの活用 -ビジネスにおける基礎-(Draft)

Transcript

1. デジタルアイデンティティの活用 - ビジネスにおける基礎 – （Draft） ⼀般社団法⼈OpenID ファウンデーション・ジャパン 人材育成ワーキンググループ ビジネスサブワーキンググループ
2. Copyright © OpenID Foundation Japan 2 はじめに • デジタルアイデンティティは、人、データ、デバイス等、あらゆる実体をデジタル世界で表現する、デジタルサービスの基礎となる コンポーネントです。 • 仮想世界と物理世界の境界線があいまいになり、デジタルとインターネット技術の急速な拡大とつながりが進んでいます。 開発者や消費者はこの変化するエコシステムについて、その利便性やサイバー脅威等のリスクを含めて理解することが不可 欠となっています。 このエコシステムとの関わり方は、デジタルアイデンティティを確立する個々の能力と意思によって決定されます。 • デジタルビジネスを推進するために、経営者はデジタルアイデンティティを重要な経営資源として取り扱う必要があるものと認 識し、開発者はそれを実現できるよう、デジタルアイデンティティを正しく理解し、システムを開発・運用する必要があります。 • デジタルアイデンティティに関する規程やガイドライン、仕様などは様々な機関やベンダーから公開されています。 • 一方で、世の中の情報は一部の概念や機能・技術仕様などに特化していたり、前提知識を必要とする情報も多く、デジタ ルアイデンティティに触れたことがない人にとっては、スタートラインに立つこと自体のハードルが高い状態であるといえます。 • 初めてデジタルアイデンティティに触れる人にとっては、一部の要素に関する詳細な情報よりも、デジタルアイデンティティの全体 像や、デジタルアイデンティティがなぜ重要か、といった情報が体系的に整理されていることが重要となります。 • そこで、OpenIDファウンデーション・ジャパンでは、人材育成ワーキンググループを立ち上げ、ビジネスにおいてデジタルアイデン ティティを扱ううえでまずはじめに理解しておくべき情報を整理しました。 • 本書を通じて、すでにデジタルアイデンティティに取り組んでいる人や、これからデジタルアイデンティティに関わっていく人々の共 通理解が促進され、デジタルアイデンティティ業界全体が成長していくことを期待します。 サブWG内で作成・レビュー・修正中
3. Copyright © OpenID Foundation Japan 3 本書の位置づけ • 本書は、デジタルアイデンティティに関わる可能性がある人全てを想定読者としています。本書では極力専門知識が必要な技 術仕様等の詳細には踏み込まず、一般的なITやデジタルの知識があれば読める内容を想定しています。 • 情報システム部門の方にとっては、デジタルアイデンティに関するシステムを実装するうえで、どういった概念で管理されるのか、ど ういったアイデンティティの管理形態があるのか、といった要件的な面で参照いただける情報を記載しています。 • デジタル戦略部門やコンプライアンス部門など、情報システムに直接関わりのない方々であっても、新規ビジネス立ち上げに伴う 顧客の情報の取り扱いや、組織内のセキュリティ対策・コンプライアンス対応など、デジタルアイデンティティを扱う必要がある場 面で最低限抑えておくべき知識を得るために本書を活用いただけます。 • 本書は、デジタルアイデンティティに関する知識を得るための第一歩として、以下の３つの要素について取りまとめています。 ①デジタルアイデンティティとは 現実空間とデジタル空間におけるアイデンティティの違いに触れ、デジタルアイデンティティの概要や、 ビジネスにおけるデジタルアイデンティティ管理の重要性について説明します。 ②デジタルアイデンティティの管理に必要な概念 認証や認可など、アイデンティティの管理において必要な概念を説明します。 それぞれどのように絡み合って管理されているかについて説明します。 ③デジタルアイデンティティ管理の類型 デジタルアイデンティティは取り扱う目的やおかれている環境によって様々な形態で管理されています。 自身のビジネスに適した管理方法を選択するため、どのような類型があるか説明します。 サブWG内で作成・レビュー・修正中
4. Copyright © OpenID Foundation Japan 目次 1. デジタルアイデンティティとは 1. デジタルアイデンティティとは何か 2. なぜデジタルアイデンティティが重要か 3. ビジネスにおけるデジタルアイデンティティの活用事例 4. デジタルアイデンティティをビジネスで扱う上で必要な観点 2. デジタルアイデンティティ管理に必要な概念 1. デジタルアイデンティティ管理の全体像 2. 身元確認 3. 当人認証・認可 4. フェデレーション 5. プライバシー対策 3. デジタルアイデンティティ管理の類型 1. デジタルアイデンティティ管理の分類パターン 2. デジタルアイデンティティの管理対象による分類 3. デジタルアイデンティティの管理主体による分類 4. Appendix 1. 主な用語の定義 4 サブWG内で作成・レビュー・修正中
5. 1. デジタルアイデンティティとは
6. Copyright © OpenID Foundation Japan 実体に紐づく属性の集合 ＝アイデンティティ 実体に紐づく属性の集合 ＝アイデンティティ 6 アイデンティティとは 世の中のあらゆる実体を識別するためには、その実体を表現するための様々な情報が必要とな ります。実体に紐づく属性情報の集合をアイデンティティといいます。 ？ 世の中のあらゆる実体 名前は︖ 生物？ 何をするもの？ 触れる？ 感触は？ ・・・ いつからある？ どこにある？ 色は︖形は︖ 大きさは︖ ・・・ サブWG内で作成・レビュー・修正中
7. Copyright © OpenID Foundation Japan 7 デジタルアイデンティティとは デジタルアイデンティティとは、エンティティ(実体)に紐づくアイデンティティをデジタル空間でも扱える ように、デジタル様式で表現したものを指します。 エンティティ（実体） 存在する人やモノなど、実体のすべてを指す。 人やモノなのかどうかも不明な状態 アイデンティティ エンティティ（実体）に対して様々な属性を定義し、それらの属性を認識すること で、初めてその背景にある実体を観測できる。 ︖ デジタルアイデンティティとは、アイデンティティの情報をデジタル様式で表現したものを指す 他者からの 観測 ア ナ ロ グ デ ジ タ ル エンティティ (実体) 実体に紐づく属性情報 （アイデンティティ） • 名前や生年月日、外見などの情報から、 本人の実体を観測する • 運転免許証等をもとに、実在する人物で あることを確認する • 入力された情報（名前やログインID、住 所、など）をもとに本人を観測する • マイナンバーカード等で登録された電子情 報をもとに、実在する人物であることを確 認する ？ 他者からの 観測 ア ナ ロ グ デ ジ タ ル エンティティ (実体) • 大きさや色、付属している設備などの情 報から、実体を観測する • 製造番号やシリアル等の情報から実在す る製品であることを確認する • MACアドレスやシリアルなど、付加された デジタル情報をもとに実体を観測する • 電子証明書等の技術を併用し、相手が 正しいデバイスであることを確認する 例）人の場合 例）デバイスの場合 実体に紐づく属性情報 （アイデンティティ） サブWG内で作成・レビュー・修正中
8. Copyright © OpenID Foundation Japan 8 デジタルアイデンティティがなぜ必要か アナログ空間では、外見や行動などによりお互いを観測することができます。デジタル空間では、 デジタル表記された情報によって現実空間と同様にアイデンティティを表現する必要があります。 デジタル空間 デジタル空間でも、様々なデジタルサービスを利用するうえで、個人を 識別し、自分の情報をアイデンティティとして表現する必要がある。 外見や行動といったアナログの情報はデジタル空間には記録されない ため、デジタル様式で表現された情報が必要となる。 アナログ空間 家族 友人 上司 アナログ空間では、他人との関係を形成するため、相手から見た自分 の存在をアイデンティティとして表現する必要がある。 外見や行動、会話などから情報を入手し、相手が誰か認識したうえ でコミュニケーションを行う。 名前、住所、趣味、 健康情報、・・・ 名前、趣味、共通 の知り合い、・・・ 名前、所属部署、 キャリア志向、・・・ 名前、住所、健康 情報、・・・ 名前、趣味、共通 の知り合い、・・・ 名前、社員ID、 所属部署、・・・ 健康管理 アプリ SNS 会社 システム 自分 自分 サブWG内で作成・レビュー・修正中
9. Copyright © OpenID Foundation Japan 他己像 他己像 他己像 他己像 9 デジタルアイデンティティがなぜ必要か｜コントロールの重要性 人は他者との関係性等をもとに自己像(どのように自分を見てほしいか)をコントロールしています。 デジタル空間でもアナログ空間と同様に、システムを通じて観測される自身のデジタルアイデンティ ティや自己像を適切にコントロールする必要があります。 ︖ アイデンティティ (自己像) 実体(エンティティ) アイデンティティ (自己像) デジタル空間 アナログ空間 名前 友人 誕生日 性別 名前 スキル 性別 家族 キャリア志向 相手との関係性や場面によって、「どのように自分を見てほしいか」という自己像を持ってお り、それが交わらないようにコントロールしている。 接点を通じて友人や上司からは直接観測される。 アナログ空間と同様に、相手や場面によって自己像をコントロールすることが重要である。 友人や上司からはデジタルサービス等を通じて自身が観測されるため、デジタルサービス上 で正確に自己表現を行うことはアナログ空間よりもさらに重要である。 観測 観測 アイデンティティ (自己像) アイデンティティ (自己像) 名前 趣味 性別 名前 所属 性別 家族 業務内容 上司 私生活における 自己像 仕事における 自己像 接点 (SNSなど) 私生活における 自己像 仕事における 自己像 自分でコントロールできる範囲 観測 観測 接点 (会社システムなど) 接点 (食事、旅行など) 接点 (仕事など) 友人 上司 デジタル化された情報が システムを通じて観測される 私 生 活 の 自 分 仕 事 の 自 分 識別 識別 サブWG内で作成・レビュー・修正中
10. Copyright © OpenID Foundation Japan ユーザー 事業者 10 ビジネスにおけるデジタルアイデンティティの活用｜活用によるメリット デジタルアイデンティティの活用によって、パーソナライズされたユーザ体験を提供できるとともに、セ キュリティの向上が可能といったメリットがあります。 デジタルアイデンティティの活用によるメリット ②セキュリティの向上 エンドユーザー自身がセキュリティの脅威にさらされる機会や企業によるインシ デントも増えており、デジタルサービスの成長を脅かしている。 デジタルアイデンティティを整備し、本人であることの確認や、リソースへのアク セス制御を適切に行うことにより、不正アクセスやデータ漏えいなどのセキュリ ティリスクを軽減することが可能となる。 ①ユーザ体験の改善 単に安全であるだけでなく、顧客の好みに合わせてパーソナライズされたユー ザー体験を提供することが、ロイヤルティと収益の成長を促進する鍵となる。 ビジネスを効果的に実現しながら、企業としてのビジョンや組織、プロセスにア イデンティティを取り込むことにより、ユーザーが簡単かつ迅速にサービスへアク セスできることが価値を生み出す。 ①ユーザー体験 パーソナライズされたユーザ体験を提供 ②セキュリティ 不正アクセスやデータ漏えいの防止 • 個人情報保護法 • 金融商品取引法 ・・・・・・ 攻撃者 【各種法や規制】 準拠 サブWG内で作成・レビュー・修正中
11. Copyright © OpenID Foundation Japan 共通PMSの 全面的な導入 11 ユーザ体験の改善｜成功事例 同業界、あるいは関連業界等においてシステムやユーザ基盤を統一することで、ユーザから得ら れる情報を相関的に分析し、ニーズに合わせたサービスを提供することが可能となります。 ①ユーザエクスペリエンスの改善 ②セキュリティの向上 ③コンプライアンスと規制遵守 観光DX基盤 ホテル情報サイト コミュニケーションツール 地図アプリケーション ユーザ PMS 例）観光業における取り組み PMS PMS エリアの統計的な データを把握・分析 ※PMS︓ホテル管理システム 宿泊者情報の連携 顧客セグメントごとのコンテンツやアプローチの選択 観光アプリ 宿泊 過去の宿泊者へ アプローチ 交通手段の サポート イベント情報提供 やSNS利用 ホテル近辺の 観光情報提供 ユーザが宿泊する際の情報を 共通基盤として集約 サブWG内で作成・レビュー・修正中
12. Copyright © OpenID Foundation Japan 12 ユーザ体験の改善｜アイデンティティの整備不足によるリスク アイデンティティ管理の整備不足により、個人に合わせたサービスの提供やスムーズな利用ができ ず、満足度が低下してしまうといったリスクが考えられます。 スムーズなサービス提供 ができない • 複数のチャネルにおいて異なるログインIDを登録・利用する必要があり、アプリごとに 複数のIDの使い分けが強制されることにより、利便性が低下する • ログイン情報を失念するケースが増え、パスワードリセットの頻度が高くなる • クレジットカードや住所など、個人に紐づく情報の入力を都度要求することにより、 ユーザへのストレスが発生する 分析機能との 連動ができない • ユーザが様々なサービスを利用する際の情報（アクセス履歴等）が分析できず、 ユーザの思考やニーズを把握し適切にアプローチすることができない ①ユーザエクスペリエンスの改善 ②セキュリティの向上 ③コンプライアンスと規制遵守 個人に合わせたサービス・ コンテンツが提供できない • 個人を特定しない形でのサービス提供は一般的な情報をもとに行わざるをえないた め、ユーザが望んでいるような質の高い情報を提供することができない サブWG内で作成・レビュー・修正中
13. Copyright © OpenID Foundation Japan 社内NW 自宅 テレワークの普及等により、セキュリティリスクは様々なデバイス、場所、データにシフトしています。 適切なアクセス管理を実現するため、アイデンティティ管理を基盤としたゼロトラストのセキュリティ モデルを採用し、アクセス制御を適切に行うことが求められます。 13 セキュリティの向上 近年のデジタル環境の傾向 従来のデジタル環境 インターネット インターネット 会社PC 社内NW クラウド 自社用システム SaaS システムの利用は社内NWまたはクラウドサービスとの専用線でプライベートなネットワークと して構成されることが多く、セキュリティ対策は社内NWとインターネットの境界に主軸を置 いて検討されることが多かった。 テレワークの普及等によって、セキュリティリスクは従業員のデバイスやデータへとシフトしてお り、ゼロトラストのセキュリティモデルが多くの会社で導入されている。 クラウドを含む堅牢なアイデンティティ・インフラストラクチャを構成し、誰が何にアクセスしてい るか、といったアクセス制御を適切に管理することが求められる。 ユーザー 自社用システム クラウド SaaS 専用線 アイデンティティ情報 アイデンティティ情報 ①ユーザエクスペリエンスの改善 ②セキュリティの向上 ③コンプライアンスと規制遵守 サブWG内で作成・レビュー・修正中
14. Copyright © OpenID Foundation Japan 14 （参考）ゼロトラスト成熟度モデル CISA(Cybersecurity & Infrastructure Security Agency)より発出されているゼロトラ スト成熟度モデルにおいても、アイデンティティは5つの柱のひとつとして扱われています。 ゼロトラスト成熟度モデルの全体像 ①ユーザエクスペリエンスの改善 ②セキュリティの向上 ③コンプライアンスと規制遵守 Identity Devices Networks Applications and Workloads Data • 継続的な検証およびリスク分析 • 全社的なアイデンティティの統合 • 必要最小限のアクセスを自動的に提供 • 自動化されたサプライチェーンリスクマネジメン トと統合された脅威防御を含む物理的・仮想 的な資産の継続分析 • リソースへのアクセスはデバイスリスクのリアルタ イムな分析により決定 • JITと必要最小限のアクセスによるレジリエンス を備えた分散型マイクロペリメーター • アプリケーションプロファイルに応じた最適なコン フィグの管理 • 暗号技術の実用性を高めるベストプラクティス を統合 • 公共NWで継続的に利用できるアプリ • すべてのワークロードで高度な攻撃を防御 • ライフサイクルに組み込まれたセキュリティテスト による普遍的なワークロード • データの継続的な棚卸 • データの分類とラベリングを全社的に自動化 • データの可用性を最適化 • DLPによる情報流出遮断 • ダイナミックなアクセス制御 • 使用中のデータを暗号化 • フィッシングに強いMFA • アイデンティティ・ストアのセキュアな統合と一元 管理 • アイデンティティのリスク評価の自動化 • 要求/セッションベースのアクセス • ほぼすべての物理的・仮想的な資産をトラッ キング • 統合された脅威防御とコンプライアンスの実施 • 初回のリソースアクセスをデバイス状態に応じ て決定 • 隔離とレジリエンスのメカニズムを拡充 • 自動化されたリスク対応アプリケーションプロ ファイル評価に基づいた柔軟性がある管理 • NWトラフィックを暗号化し、鍵の発行とロー テーションを管理 • ミッションクリティカルなアプリの大部分が許可さ れたユーザに対して公共NW上で利用可能 • すべてのアプリのワークフローで、コンテキスト ベースの保護を導入 • 開発、セキュリティ、運用の各チームをコーディ ネート • トラッキングによるデータインベントリの自動化 • 一貫性があり階層化された分類とラベリング • 冗長化された可用性の高いデータストア • 静的DLP • コンテキストベースの自動化されたアクセス • 保存状態のデータを暗号化 • パスワードによるMFA • 自己管理型・ホスト型のアイデンティティストア • によるアイデンティティのリスクアセスメント • 自動レビューでアクセス権が失効する • すべての物理的資産をトラッキング • 限られたデバイスベースのアクセスコントロール とコンプライアンス • 自動化によって提供されるいくつかの保護機 能 • クリティカルなワークロードの分離 • NWケイパビリティにより、アプリケーション増加 に対応した可用性を管理 • 一部のNWで動的なコンフィグの管理 • より多くのトラフィックを暗号化し、鍵管理ポリ シーを策定 • ミッションクリティカルなワークフローで、統合され たプロテクションを持ち、許可されたユーザが公 共NW上でアクセス可能 • CI/CDパイプラインによる定期的なコードデプ ロイ • デプロイ前の静的・動的セキュリティテスト • インベントリデータとアクセス制御のための限定 的な自動化 • データ分類のための戦略 • 一部に高可用性データストア • 通信中のデータ暗号化 • 初歩的な集中管理鍵管理ポリシー • パスワードまたはMFA • オンプレミス・アイデンティティ・ストア • 限られたアイデンティティのリスクアセスメント • 定期的な見直しを行う永続的なアクセス • デバイスのインベントリを手動トラッキング • 限定的なコンプライアンス可視化 • デバイスからリソースにアクセスするための基準 がない • 一部デバイスに脅威防御を手動で適用 • 大きなペリメータ・マイクロセグメンテーション • 限られたレジリエンスの中で、ルールセットとコン フィグを手動で管理 • アドホックな鍵管理による最低限のトラフィック 暗号化 • プライベートNW経由でアクセス可能なミッショ ンクリティカルなアプリ • ワークフローに最低限のプロテクション • アドホックな開発テストと本番環境 • データを手動で棚卸・分類 • オンプレミスのデータストア • 性的なアクセス制御 • アドホックな鍵管理による保存時及び通信時 の差異知恵減のデータ暗号化 最適 高度 初歩 従来 可視化と分析 自動化とオーケストレーション ガバナンス 可視化と分析 自動化とオーケストレーション ガバナンス 可視化と分析 自動化とオーケストレーション ガバナンス 出典 • Zero Trust Maturity Model サブWG内で作成・レビュー・修正中
15. Copyright © OpenID Foundation Japan 外部サービス（SaaS等） PFM(個人財務管理) 金融機関 関連サービス 15 バンキング アプリサーバ IdP PFMアプリケーションサービス 金融機関のオープンAPI プラットフォーム モバイル (バンキングアプリ) レコメンドサービス マイページサービス セキュリティの向上｜ゼロトラストにおけるサービスの堅牢化 アプリケーションの組み合わせによるサービス提供が増えています。各アプリケーションが外部へ公開される場合にはセ キュリティを確保し、アイデンティティに紐づけられた情報を内部で関連アプリケーションと連携しておくことにより、接続 元のアイデンティティ情報をもとに適切なアクセス制御によるセキュリティを実現することができます。 APIによるアクセス ブラウザによるアクセス ユーザ 金融系バンキングアプリの例 外部からの接続 を制御 バックグラウンドで のアイデンティティ 情報連携 ①ユーザエクスペリエンスの改善 ②セキュリティの向上 ③コンプライアンスと規制遵守 サブWG内で作成・レビュー・修正中
16. Copyright © OpenID Foundation Japan 16 セキュリティの向上｜利用者への被害が発生した事例 バーコード決済の利用時に、端末情報との紐づけや二要素認証等の検証が不十分だったこと により、利用者への被害が発生し、最終的にサービス廃止に至った例があります。 発生時期 2019年7月～2019年9月 影響 ユーザアカウントに不正アクセスされ、不正な決済が発生 被害者 バーコード決済サービス利用者 事案発生 の原因 1. システムの認証レベルが低かった - 個人のアカウントと端末の紐づけがなく、複数端末からのログインへの対策が十分でなかった ※コード決済を提供する際は、利用登録端末とコード決済アプリを紐づけることとしてガイドラインが策定されている(※1) - 二要素認証等の検証を事前に十分にできていなかった 2. システム開発に関係するグループ各社のシステム全体最適化の検証が十分でなかった - 金融情報を扱うバーコード決済とその他アプリケーションで求められるセキュリティレベルの差異があり、 それらを同じアカウントで連携してしまったことも脆弱性の発生原因として考察されている 3. システムリスク管理体制が十分でなかった - リスクを管理する組織を整備できておらず、相互検証・相互牽制の仕組みが十分に機能していなかったおそれがある 事象 何らかの方法で入手されたアカウント情報をもとにサービスへ不正アクセスされ、利用者のアカウントで不正な決済が発生した。 攻撃者がどこかで不正に入手した情報による「リスト型アカウントハッキング」の可能性が高い。 決済システム自体のセキュリティや脆弱性ではなく、開発体制やアプリケーションの設計に問題があったとされている。 事象発生から約3か月後、当該バーコード決済サービスの廃止が発表された。 ①ユーザエクスペリエンスの改善 ②セキュリティの向上 ③コンプライアンスと規制遵守 出典 • ※1 コード決済に関する統一技術仕様ガイドライン サブWG内で作成・レビュー・修正中
17. Copyright © OpenID Foundation Japan 17 デジタルアイデンティティがなぜ必要か｜活用範囲の拡大 デジタル化の推進によって、不特定多数のプラットフォームなど、デジタルアイデンティティの活用範 囲が広がっています。複雑なIT環境に合わせ、柔軟かつ適切な自己表現を行うことが重要と なっています。 年代 独立したプラットフォームでの利用 デジタルサービスを利用するために、個人を識別す る情報としてデジタルアイデンティティを利用する。 デジタルアイデンティティの情報をもとに、資源（リ ソース）に対するアクセス制御を行う。 限定的なプラットフォーム間の連携 複数のデジタルサービス間の連携やマルチクラウド 化など、アイデンティティを使い分ける機会が増え、 効率的な管理・活用が重要となる。 必要な属性情報はデジタルサービスごとに異なり、 過剰な情報連携はユーザーのプライバシーを侵害 する恐れがある。 複数のデジタルサービスで連携される情報は漏え いや悪用等のリスクが増大するため、適切なセキュ リティ対策が実施されている必要がある。 不特定多数のプラットフォームでの活用 デジタル化の推進によって、アナログだったものがデ ジタル化されるなど、デジタルサービスで扱われる情 報が複雑化し、プラットフォームが多様化している。 複雑なIT環境であっても、適切な自己表現を行う ことは重要であるが、アイデンティティを管理するうえ での絶対的な正解はない状態となっている。 デジタルサービスの内容に応じて、集約型や分散 型など、アイデンティティを活用するために適切な選 択を行うことが重要となる。 デ ジ タ ル ア イ デ ン テ ィ テ ィ の 活 用 範 囲 デジタル化の推進と自己表現の重要性の拡大イメージ 2000年頃 2000年～2020年頃 現在 サブWG内で作成・レビュー・修正中
18. Copyright © OpenID Foundation Japan 18 デジタルアイデンティティがなぜ必要か｜各業界のID活用動向・展望 デジタルアイデンティティは単一のサービスとして利用されるだけでなく、個人のデジタルアイデンティ ティをもとに様々なサービスを利用できる動きが各業界で進められています。 金融 （銀行、保険等） エネルギー （電力、ガス等） 製造 （自動車等） 物流・交通 情報通信 サービス 政府・行政 医療 小売 不動産・建築 スマートフォンのウォレットに保存したデジタルIDの電子証明書 で身分を証明し、スマートフォンのアプリから金融サービスだけで なく様々なサービスの利用が可能となっている 家庭で太陽光発電によって生産された電力が個人間で売買 し、電力市場の活性化を目指す取り組みが推進されている。 生産者と消費者をデジタルIDにより特定し、安全な取引を実 現する必要がある 消費者接点の増加に伴い、自社の製品を使用・継続してもら う工夫が必要となっている。広告等による認知、検討や購入、 アフターサービスなど、個人のアイデンティティに紐づく形でビジネ スが展開されている 通信販売の増加により取引量が増加しており、サプライチェー ン全体の効率化が必要となっている。荷物にデジタルIDを付 与することにより、供給元から配達先までのすべての段階で流 通や資産管理の最適化を目指す動きがある 様々なクラウドサービスの利用が増え、アカウントやパスワードの 管理が複雑化している。任意のサービスで認証された情報を 複製し、他のサービスでも利用するなど、デジタルサービスの利 用を促進するための デジタルサービス事業者のプラットフォームに登録されたID情報 を連携し、他のWebサービスの利用を促進させられるとともに、 パスワードの使いまわしを防ぐなどのセキュリティ面での効果も期 待される マイナンバーカードによる本人確認を実施したうえで、スマート フォン上にデジタルIDを実装し、先端的サービスとの連携により ニーズに合わせ最適化されたサービスを提供する動きがある カルテが電子化され、その情報が他の病院と連携される等、デ ジタル化が進んでいる。要配慮個人情報等も含まれるため、 連携されるべき情報・秘匿すべき情報を適切に管理する必要 がある キャッシュレス決済が普及し、様々な決済手段がユーザによっ て利用される。デジタルIDに基づき、支払いに関する情報や残 高情報などを適切に扱う必要がある 住所や土地に付与された記号情報が統一化されていないた め、不動産IDを設ける動きがある。その土地の管理者だけで なく、一意に識別するためのデジタル化された情報が重要と なっている サブWG内で作成・レビュー・修正中
19. Copyright © OpenID Foundation Japan 19 デジタルアイデンティティをビジネスとして扱う上で必要な観点 デジタルアイデンティティを活用してビジネスを実現するためには、技術だけでなく、法や規制を考 慮し、戦略から技術まで一貫して整備することが必要不可欠となります。 戦略 Strategy • デジタルアイデンティティのリスクは企業への潜在的な影響を超えて広がっており、企業のビジネス戦略に おいては、デジタルアイデンティティが経営資源であることを認識したうえで意思決定を行う必要がある • デジタルサービスを利用する際のユーザー体験を向上させるため、連携サービスの拡大および情報の管理 などに計画的に取り組むべきである 組織 Organization • 社内のアイデンティティに関しては人事部門、顧客のアイデンティティに関してはコンプライアンス部門など、 デジタルアイデンティティに関連するステークホルダを明確化し、体制やサービス内容に沿った組織を構成 する必要がある 指針・規程 Policy • デジタルアイデンティティに関するリスクを組織体系やサービス内容に沿って精査し、ガバナンスルールを整 備する • プライバシー保護や国ごとのデータ規制など、各種法規制への対応やコンプライアンスを実現するための ルールや規程の整備が必要となる プロセス Process • アイデンティティのライフサイクルに合わせ、作成や更新、削除など、適切な管理プロセスの整備が求めら れる • 本人確認や認証・認可など、アイデンティティを利用してアクセス制御を行うための概念を理解し、実現 するためのプロセス構築が必要となる 技術 Technology • 収集したデジタルアイデンティティ情報を様々なデジタルサービスに展開・連携し利便性を提供しつつ、個 人情報を保護するためのセキュリティを確保し両立させる必要がある • 様々な第三者サービスとの連携のため、標準仕様に則りデジタルアイデンティティを活用し、相互接続性 を確保することが求められる サブWG内で作成・レビュー・修正中
20. 2. アイデンティティ管理に必要な概念
21. Copyright © OpenID Foundation Japan 21 第2章 アイデンティティ管理に必要な概念 1. アイデンティティ管理の概要・全体像 2. 身元確認 3. 当人認証・認可 4. フェデレーション 5. プライバシー対策
22. Copyright © OpenID Foundation Japan 22 アイデンティティ管理の概要 アイデンティティ管理の概念について説明するにあたり、全体像について以下に図示しています。 パーソナルデータ IdP RP 身分 証明書 1 身元確認 2 当人認証 エンティティに対してのアクセ ス権限を付与 5 プライバシー対策 ユーザ管理 パーソナルデータ 5 プライバシー対策 外部 アプリ 3 認可 ユーザ管理 4 フェデレーション ID/ロール ID管理者 ID/ロール ID管理者 利用履歴 個人情報 利用履歴 個人情報 申請者当人が実在する特 定の存在であることを確認 身元確認済みの当人の確 からしさを確認 認証要求 認証結果 サブWG内で作成・レビュー・修正中
23. Copyright © OpenID Foundation Japan 23 アイデンティティ管理の登場人物 アイデンティティ管理をするための全体像 パーソナルデータ IdP RP 身分 証明書 1 身元確認 2 当人認証 5 プライバシー対策 ユーザ管理 パーソナルデータ 5 プライバシー対策 外部 アプリ 3 認可 ユーザ管理 4 フェデレーション ID/ロール ID管理者 ID/ロール ID管理者 利用履歴 個人情報 利用履歴 個人情報 RP︓Relying Party 当人認証は行わず、認証をIdPにゆだね、認証結果を受け入れる Subject 身元確認/当人認証を行う人 IdP：Identity Provider 当人認証を連携する場合、当人認証を担当する 外部アプリ 認可の結果に従い、処理する サブWG内で作成・レビュー・修正中
24. Copyright © OpenID Foundation Japan 24 アイデンティティ管理の要素︓身元確認 アイデンティティ管理をするための全体像 パーソナルデータ IdP RP 身分 証明書 1 身元確認 2 当人認証 5 プライバシー対策 ユーザ管理 パーソナルデータ 5 プライバシー対策 外部 アプリ 3 認可 ユーザ管理 4 フェデレーション ID/ロール ID管理者 ID/ロール ID管理者 利用履歴 個人情報 利用履歴 個人情報 1.身元確認 システムの利用を希望する申請者の確認を行う。 本人確認書類を確認することで実在性を確認する。 一般的にはユーザ登録が該当 出典︓民間事業者向けデジタル本人確認ガイドライン 第1.0版 https://www.openid.or.jp/news/kyc_guideline_v1.0.pdf サブWG内で作成・レビュー・修正中
25. Copyright © OpenID Foundation Japan 25 アイデンティティ管理の要素︓当人認証 アイデンティティ管理をするための全体像 パーソナルデータ IdP RP 身分 証明書 1 身元確認 2 当人認証 5 プライバシー対策 ユーザ管理 パーソナルデータ 5 プライバシー対策 外部 アプリ 3 認可 ユーザ管理 4 フェデレーション ID/ロール ID管理者 ID/ロール ID管理者 利用履歴 個人情報 利用履歴 個人情報 2.当人認証 身元確認で付与した識別子の正当な持ち主であることを確認するた めに、あらかじめ登録されているパスワード、生体情報等と手続きを行 う際のパスワード、生体情報等を照合し、当人性を確認 出典︓民間事業者向けデジタル本人確認ガイドライン 第1.0版 https://www.openid.or.jp/news/kyc_guideline_v1.0.pdf サブWG内で作成・レビュー・修正中
26. Copyright © OpenID Foundation Japan 26 アイデンティティ管理の要素︓認可 アイデンティティ管理をするための全体像 パーソナルデータ IdP RP 身分 証明書 1 身元確認 2 当人認証 5 プライバシー対策 ユーザ管理 パーソナルデータ 5 プライバシー対策 外部 アプリ 3 認可 ユーザ管理 4 フェデレーション ID/ロール ID管理者 ID/ロール ID管理者 利用履歴 個人情報 利用履歴 個人情報 ３．認可 当人にアクセス権限を付与（読む、編 集する、等）） サブWG内で作成・レビュー・修正中
27. Copyright © OpenID Foundation Japan 27 アイデンティティ管理の要素︓フェデレーション アイデンティティ管理をするための全体像 パーソナルデータ IdP RP 身分 証明書 1 身元確認 2 当人認証 ロール情報をもとに接続許可 5 プライバシー対策 ユーザ管理 パーソナルデータ 5 プライバシー対策 外部 アプリ 3 認可 ユーザ管理 4 フェデレーション ID/ロール ID管理者 ID/ロール ID管理者 利用履歴 個人情報 利用履歴 個人情報 4.フェデレーション システム間で当人の認証結果や属性情報を 伝達可能にするプロセス 出典︓NIST SP800-63C Digital Identity Guidelines(翻訳版） https://openid-foundation-japan.github.io/800-63-3-final/sp800-63c.ja.html サブWG内で作成・レビュー・修正中
28. Copyright © OpenID Foundation Japan 28 アイデンティティ管理の要素︓プライバシー対策 アイデンティティ管理をするための全体像 パーソナルデータ IdP RP 身分 証明書 1 身元確認 2 当人認証 ロール情報をもとに接続許可 5 プライバシー対策 ユーザ管理 パーソナルデータ 5 プライバシー対策 外部 アプリ 3 認可 ユーザ管理 4 フェデレーション ID/ロール ID管理者 ID/ロール ID管理者 利用履歴 個人情報 利用履歴 個人情報 5. プライバシー対策 個人・プライバシー情報を取り扱う際の対策。 個人・プライバシー情報を保護することで、個人の権利利益を保護す る。 サブWG内で作成・レビュー・修正中
29. Copyright © OpenID Foundation Japan 29 第2章 アイデンティティ管理に必要な概念 1. アイデンティティ管理の概要・全体像 2. 身元確認 3. 当人認証・認可 4. フェデレーション 5. プライバシー対策
30. Copyright © OpenID Foundation Japan 30 身元確認とは アイデンティティーにおける身元確認とは、主にシステムの利用を希望する申請者に識別子を付 与する際に、申請者当人が実在する特定の存在であることを確認することである。 サービスに応じて適切な身元確認を実施することで、なりすましや不正アクセスによる犯罪等を 防ぐことができる。 申請者の身元確認が必要な場合 申請者の身元確認が必要ない場合 例） メールの送達確認を行い、申請者個人は特定しない SNS、ソーシャルゲームの登録など 例） 申請者に本人確認書類を提示してもらい、書類の本人で あることを確認し、氏名、住所、生年月日等を特定する 銀行口座の開設、携帯電話の契約など サブWG内で作成・レビュー・修正中
31. Copyright © OpenID Foundation Japan 31 身元確認の手続きの流れ 身元確認は、➀証拠の収集、➁証拠の確認、➂証拠の検証の3ステップで行う ➀証拠の収集 ➁証拠の確認 ➂証拠の検証 出典 • Special Publication 800-63-3 Digital Identity Guidelines（NIST） • 民間事業者向けデジタル本人確認ガイドライン（OpenIDファウンデーション・ジャパン KYC-WG） 運転免許証の提示 申請情報と運転免許証の氏名、 住所、生年月日が一致している かの確認。運転免許証が偽造 ではないか確認。 運転免許証の写真と申請者本人 が同一か確認。 サブWG内で作成・レビュー・修正中
32. Copyright © OpenID Foundation Japan 32 身元確認の保証レベル 身元確認の手段によって強度は異なるため、どの手段をどう用いるべきかの基準として定義され ている場合がある。 NIST SP800-63A-3ではIAL(Identity Assurance Level)が定義されている。 国内では「行政手続きにおけるオンラインによる本人確認手法に関するガイドライン」において取 り上げられている。 出典 • Special Publication 800-63-3 Digital Identity Guidelines（NIST） • 行政手続きにおけるオンラインによる本人確認手法に関するガイドライン 身元確認保証レベル レベルの定義 手法 レベル1 (IAL1) 身元識別情報が確認される必要がなく、身元確認の信 用度がほとんどない。身元識別情報は、自己表明若しく は自己表明相当である。 身元確認のない自己表明 レベル2 (IAL2) 身元識別情報が遠隔または対面で確認され、身元確認 の信用度が相当程度である。 遠隔又はは対面での身元確認 レベル3 （IAL3） 身元識別情報が特定された担当者の対面で確認され、 身元確認の信用度が非常に高い 対面での身元確認
33. Copyright © OpenID Foundation Japan 33 身元確認の手法 主な身元確認手法については、OpenIDファウンデーション・ジャパンKYCワーキンググループ内 に設置された本人確認ガイドラインタスクフォースが作成した「民間事業者向けデジタル本人確 認ガイドライン」に詳しい記載がある。 出典 • 民間事業者向けデジタル本人確認ガイドライン（OpenIDファウンデーション・ジャパン KYC-WG） IAL 2 IAL 2 IAL 2 IAL 1 - IAL 3 本人確認書類の券面画像の アップロード ウェブサイト等での 身元確認等、法令等に定め の無い身元確認 顔写真付き本人確認書類の券 面(裏・表・厚みその他)と 容貌のリアルタイム撮影 顔写真付き本人確認書類の ICチップ読み取りによる 券面画像の取得と容貌の リアルタイム撮影 マイナンバーカードの 署名用電子証明書により 最新の氏名・住所等を取得(券 面画像の取得は不要) 銀行口座の開設、 携帯電話の登録等、法令に 定めのある身元確認 銀行口座の開設、 携帯電話の登録等、法令に 定めのある身元確認 行政文書等の電子申請や 電子申告等 本人確認書類に基づかない、自 己申告 ウェブサイトへの アカウント登録 アップロード 犯収法へ方式 自己申告 公的個人認証 （署名用電子証明書） 犯収法ホ方式 手法の 概要 手 法 の 特 徴 ユースケースの事 例 保 証 レ ベ ル ユーザーの 所要 時間(目安) 利用可能な 本人確認 書類 暗証番号 - 本人確認書類全般 (健康保険証や場合によっては 学生証等も含む) 顔写真付き本人確認書類 (運転免許証、マイナンバーカード、 パスポート、在留カード等が主流) 顔写真付き本人確認書類 (運転免許証、 在留カードが主流) - マイナンバーカード 不要 不要 必要 必要 約30秒 (本人確認書類画像を選択し、 アップロードする時間) 約60秒 (本人確認書類と容貌の 撮影時間) 約40秒 (暗証番号の入力・ICチップ 読み取りと容貌の撮影時間) 約20秒 (暗証番号の入力と ICチップ読み取り時間) 事業者の審 査時間 - 数時間〜数日 （目視確認を行う場合） 数時間～数日 （法令に基づいた目視確認を 行う場合） 即時 DADC IAL DADC IAL 1 DADC IAL 3 DADC IAL 3 DADC IAL 0 DADC IAL 4 IAL* 数時間～数日 （法令に基づいた目視確認を 行う場合）
34. Copyright © OpenID Foundation Japan 34 （参考）身元確認と当人認証 出典 • Special Publication 800-63-3 Digital Identity Guidelines（NIST） • 民間事業者向けデジタル本人確認ガイドライン（OpenIDファウンデーション・ジャパン KYC-WG） 本人確認は、「身元確認」と「当人認証」の2つの要素に分かれる。 「身元確認」は、本人確認書類を確認する等により、「実在性」を確認することであり、一般的 にはユーザー登録等が該当する。 「当人認証」は、あらかじめ登録されているパスワードや生体情報等と手続を行う際入力された パスワードや生体情報等を照合する等により、「当人性」を確認することであり、一般的にはログ インが該当する。
35. Copyright © OpenID Foundation Japan 35 （参考）身元確認に関する詳細情報参照先サマリ 項目 概要 参照先 身元確認のプロセス 身元確認は以下3つのプロセスで行われる。 ① ある集団・文脈の中で個人を一意に識別する。 ② 身元情報の真正性、有効性、正確性を判断し、実存する対象に 関連付ける。 ③ 主張された身元と、エビデンスを提示してきた実存する対象を関連 付ける。 ・NIST SP800-63A（p.5） ・⺠間事業者向けデジタル本⼈確 認ガイドライン（p.25） 身元確認の保証レベル（IAL） Identity Assurance Level（IAL）で⾝元確認プロセスの厳密さ、 強度を⽰す。厳密さ、強度に応じてIAL1、IAL2、IAL3の3段階に分か れる。 ・NIST SP800-63A ・⺠間事業者向けデジタル本⼈確 認ガイドライン（p.26～30） 身元確認の手法 身元確認の手法は、SMSやメールの到達確認、eKYCや公的個人認 証等様々ある。サービス・⼿続等が抱えるリスクを評価し、必要⼗分な 保証レベルの⼿法の中から、ユーザビリティやコストを踏まえて選択するこ とが重要である。 ・オンラインサービスにおける身元確 認手法の整理に関する検討報告 書（経産省）（p.10） ・民間事業者向けデジタル本人確 認ガイドライン（p.96～109） 身元確認と当人認証の関係性 ⾝元確認（Identity Proofing）に基づき「登録申請者」を「加⼊ 者」とし、「利⽤申請者」 が「加⼊者」かどうかを当⼈認証 （Authentication）で確認する。 ・NIST SP 800-63-3（p.10） ・⺠間事業者向けデジタル本⼈確 認ガイドライン（p.24）
36. Copyright © OpenID Foundation Japan 36 第2章 アイデンティティ管理に必要な概念 1. アイデンティティ管理の概要・全体像 2. 身元確認 3. 当人認証・認可 4. フェデレーション 5. プライバシー対策
37. Copyright © OpenID Foundation Japan 37 当人認証・認可 アイデンティティーにおける当人認証とは、認証のうち特定の個人を対象としたもので、対象の性質が想定されるも のとある程度の確からしさで合致することを指す。 一方で、認可とは、特定のリソースに関するアクセスを許可したり、特定の操作を実行したりする一連の行為を指す。 サービスを利用する際には、エンティティを特定（認証）し、エンティティに対する認可を元にアクセスコントロールを 実施する場合が多い。 例︓ビル（会社等）のゲート通過 社員証等をゲートに提示 →ICカードによる認証 権限あり →認可済のためゲートのロック解除 エンティティを特定 権限を確認 権限なし →認可されていない場合は通れない サブWG内で作成・レビュー・修正中
38. Copyright © OpenID Foundation Japan 38 当人認証 当人認証は、前述の通りエンティティのうち特定の個人を対象として、対象の性質の確からしさを確認する行為。 現実世界では、役所などで身分証の提示を求められることがある。これは身分証と顔がある程度一致していることを 確認する認証行為といえる。 デジタルにおける認証は、アイデンティティを主張するために利用いる一つ以上の認証器（下の例ではPWDを指 す）の妥当性を決定するプロセスである。 認証はデジタルサービスに対してアクセスしようとしているエンティティが認証するための技術を制御しているということを 確認する行為である。 現実世界の身分証提示 デジタルでのID/PWD入力 窓口 オンライン サービス ID/Password 本人しか知りえないパスワードで認証 身分証を所持していること＆顔写真の一致で認証 参考︓NIST Special Publication 800-63B Digital Identity Guidelines サブWG内で作成・レビュー・修正中
39. Copyright © OpenID Foundation Japan 39 認証の種類 認証の種類 説明 具体例 知識認証 当人しか知りえない情報で認証 パスワード・PIN 所持認証 当人が所持しているモノで認証 ICカード・（SMS・メール等の）ワンタイムパスワード 生体認証 当人の身体的特徴で認証 指紋・光彩・顔 認証するための要素を大別すると 3 つの要素があり、これらを認証の3要素としている。 それぞれ、「記憶」、「所持」、「生体情報」を指す。 これらの要素のうち、2つの要素で認証することを二要素認証、2つ以上の要素で認証することを多要素認証という。 知識認証 Something You Know 生体認証 Something You Are 所持認証 Something You have 参考︓IPA,情報セキュリティ 10 大脅威 2020 知っておきたい用語や仕組み サブWG内で作成・レビュー・修正中
40. Copyright © OpenID Foundation Japan 40 認証レベルについて 認証手段によって認証の強度は異なるため、どの手段をどう用いるべきかの基準を策定している団体もある。 • NIST SP800-63B-3ではAAL(Authenticator Assurance Level)が定義されている • 国内では「行政手続きにおけるオンラインによる本人確認手法に関するガイドライン」において取り上げられている 行政手続きにおけるオンラインによる本人確認手法に関するガイドラインより抜粋 当人認証保証レベル レベルの定義 AAL1 認証要求者が身元識別情報と紐付けられており、認証情報の3 要素のうち、単要素若しくは 複数要素を使うことにより、 当人認証の信用度がある程度ある。 AAL2 認証要求者が身元識別情報と紐付けられており、認証情報の3 要素のうち、複数要素を使う ことにより、当人認証の信用度が 相当程度ある。 AAL3 認証要求者が身元識別情報と紐付けられており、認証情報の3 要素のうち、耐タンパ性を有す るハードウェアを含む複数 要素を使うことにより、当人認証の信用度が非常に高い。 サブWG内で作成・レビュー・修正中
41. Copyright © OpenID Foundation Japan 41 認証手法 主だった認証手法については、民間事業者向けデジタル本人確認ガイドラインに詳しい 10.1. 主な当人認証手法とその特徴 AAL 2 AAL2 AAL1 手法の 概要 手 法 の 特 徴 ユースケースの事 例 保証 レベル*1 認証要素 留意事項 AAL 3 AAL 3 公的個人認証 (利用者用電子証明 書) セキュリティキー認証 (FIDO認証) パスワードレス 生体認証(FIDO認 証) パスワード+OTP パスワード パスワードの入力に加え、ワンタ イムパスワードの入力又はアプリ のプッシュ認証 スマートフォンアプリやブラウザを利 用した生体認証(FIDO認証) パスワードの入力 セキュリティキーに生体やパス ワードなどの第2要素を組み合 わせた認証 (FIDO認証) マイナンバーカードの読み取り及び 利用者用証明書暗証番号 (4 桁)の入力による認証 金融機関へのログイン等の2 要素認証 パスワードレス認証、 パスキー IDとパスワードを入力しての 認証 YubiKey 5 FIPSシリーズを 利用した認証 マイナポータルへのログイン、住 民票や印鑑証明書の写しのコ ンビニ交付等 記憶 + 所持 生体*2 + 所持 記憶 生体*2+ 所持 (耐タンパ端末) 記憶 + 所持 (耐タンパ端末) ユーザーの利 便性 OTPをフィッシングサイトに入 力してしまうリスクがある プロダクトにより、暗号鍵の管 理方法やアカウントリカバリ等 の利便性が変わる パスワードの桁数や内容に よって強度が変動 利用するセキュリティキー等が AAL3の要件を 満たしている必要がある 事前にマイナンバーカードを取 得し、利用者証明用電子証 明書を発行する必要がある 金融機関やSNSへのログイン 等で一定程度普及しており、 認知度が高い 生体認証を行うだけで、強度 の高い認証が可能 (ただし、事前にアプリやブラウザによる 登録が必要) 一般的なログイン手法であ り、なじみがある セキュリティキーと第2要素の 併用で最高レベルの強度の 認証が可能 マイナンバーカード1枚で強固 なログインが可能 (ただし、事前に会員登録を行ってい る必要がある) 脅 威 耐 性 ✕ ◯ ✕ ◯ ◯ フィッ シング リスト型攻 撃 ◯ ◯ ✕ ◯ ◯ 当人認証 注釈1︓保証レベルは「行政手続におけるオンラインによる本人確認の手法 に関するガイドライン」における保証レベル。 注釈2︓生体認証が成功しない場合、PIN等の記憶要素を用いた認証が行われる場合がある。
42. Copyright © OpenID Foundation Japan 42 パスキー認証 パスキー認証は近年普及しているパスワードの代替手段としての認証方式。FIDO認証とも。 パスキーは公開鍵暗号方式で認証を行うための秘密鍵とメタデータの組み合わせのことを指す。 パスキー認証では、ユーザの端末に保持しているパスキーでチャレンジと呼ばれるデータに対して署名を行い、認証 サーバ側で署名の検証を行うことで認証を行う。 また、パスキーを利用するためにデバイス側でローカル認証を行う必要があるため、ローカル認証＋公開鍵暗号によ る認証の2段階認証となる。ローカル認証の手段（生体・PIN等）は規定されていない。 パスキーは、ウェブサイトのURLのドメインごとに生成される。そのため、ドメインが異なるフィッシングサイトでは利用で きず、パスキー自体もウェブサイトに送られることはないため、フィッシング攻撃等の脅威に対して有効であり、パスワー ドの代替手段として普及してきている。 公開鍵暗号方式による認証 ローカル認証 生体認証の場合が多いがPIN やセキュリティキーなどもある 秘密鍵 公開鍵 認証サーバ（RP） デバイス AppleのiCloudやGoogleのGoogle パスワード マネージャーなどにパスキー を同期し、同一アカウントの複数デバ イスで共有できる 署名されたチャレンジ 参考︓https://fidoalliance.org/passkeys/?lang=ja メタデータ 「同期パスキー」と「デバイス固定パスキー」 同期パスキー︓ クラウドサービスを介してユーザのデバイス間で同期されるパスキー 非同期パスキー︓ 1つのデバイスから外に出ることのないパスキー パスキー サブWG内で作成・レビュー・修正中
43. Copyright © OpenID Foundation Japan 43 認可 認可とは、エンティティに対して特定のリソースにアクセスしたり、特定の操作を実行したりする権 限を与えることを指す。 改札 現実世界では… 電車に乗る場合の例 デジタルでは… 共有リンクの例 窓口 お金を払って切符を購入 ＝電車に乗る権限（切符）を提供 切符を使って改札を通過 ＝権限の行使 窓口で切符を入手 →金額内の電車に乗る権利を得る 切符を提示し、改札を通過 →電車に乗る権利を有することの確認 URLを知っている人に対してファイルの取得許可 ファイル 共有サイト 特定のリソースにアクセスできるURLの発行・ URL URL 共有リンクの入手 →リンクを知っている人に対する権限付与 サブWG内で作成・レビュー・修正中
44. Copyright © OpenID Foundation Japan 44 API認可 デジタルの世界では、APIを使ってリソースへアクセス・操作するために認可が利用される。 特に異なるサービス間で同じエンティティ（ユーザ）を示すアカウントであった場合、一方のサービスAからもう一方の サービスBのリソースに対して、API経由でアクセスすることがある。 この時、サービスAに対してサービスBへのAPIアクセス・リソースへの権限を与える(※1)のはサービスBのアカウントを所 持するエンティティとなる。 SNSサービス （サービスB） SNS投稿アプリ （サービスA） ②SNSへの投稿権限を要求 ①アプリへログイン。投稿の設定等へ ③SNSサービスへのログイン・SNS投稿アプ リへの認可要求 ④SNSサービスへの投稿許可 SNSサイト（サービスB）に対する投稿権限をSNS投稿アプリ（サービスA）へ付与する例 ※1) 必要以上の権限を要求・提供することでアカウントに対する脅威が増加するため、 サービスAに与える権限はエンティティがサービスを受けるにあたっての必要最低限の権限を提供することが望ましい。 ＝最小権限の原則 サブWG内で作成・レビュー・修正中
45. Copyright © OpenID Foundation Japan 45 認証と認可の違い 認証と認可は異なる概念であるが、混同して扱われる場合がある。 認証によってエンティティを特定した上で認可する場合が多いため混乱しやすい。 認可のみ/認証＋認可の例を以下に記載する 例︓ビル（会社等）のゲート 社員証等をゲートに提示 →ICカードによる認証 ゲートのロック解除権限の確認・許可 →認可済のためゲートのロック解除 エンティティを特定 権限を確認 例︓映画館 チケットを確認 →映画を見る権利を持つ 認可済であること 権限を確認 チケットの所持していればよい ＝所持者は特定しない 認可のみ チケットを所持していればOK 通過したのが誰かは分からない 認証＋認可 ICカードでエンティティを特定 社員Aさんがドアを通過したと分かる お金を払って チケットを購入 （身元確認済の） 社員に対して発行 サブWG内で作成・レビュー・修正中
46. Copyright © OpenID Foundation Japan 46 第2章 アイデンティティ管理に必要な概念 1. アイデンティティ管理の概要・全体像 2. 身元確認 3. 当人認証・認可 4. フェデレーション 5. プライバシー対策
47. Copyright © OpenID Foundation Japan 47 フェデレーションとは  フェデレーションとは、他のサービスでの当人認証結果やユーザの属性情報を別のサービス に提供すること。フェデレーション先のサービスは、受け取った情報をもとにアクセス許可の判定 をする  フェデレーションが可能になると、 • 認証回数が減るので、ユーザの利便性向上、ユーザ体験の改善が期待できる • サービスごとの認証情報管理が不要になるので、 セキュリティ面でのリスク低減、サービス運営時の運用負担が軽減する など、デジタルアイデンティティ活用によるメリットを享受できるようになるだけでなく、 • サービスを追加する際に、既存の認証基盤の認証情報を流用できるので、 コストを抑えられる、サービス登録時の利便性が高まる などのメリットもある 一方で、 • 連携された認証情報の追跡しづらいため、プロトコルの標準化と、中身を理解した上での 実装が必要 である サブWG内で作成・レビュー・修正中
48. Copyright © OpenID Foundation Japan 48 フェデレーションによるメリット  利用者からすると、サービスAとサービスBでフェデレーションが可能であれば、 サービスAでID/PWを入力するなどして当人認証が完了すると、再度ID/PW等の入力を しなくてもサービスBにログイン可能となるシングルサインオン（SSO︓Single Sign-On） の仕組みを利用できるようになる サービスA サービスB サービスZ ・・・ サービスA サービスB サービスZ ・・・ 認証基盤 aaaa1 pass4a bbbb1 pass4b zzzz1 pass4z userid passw0rd ◀フェデレーションされていない状態 フェデレーションされている状態▶ サブWG内で作成・レビュー・修正中
49. Copyright © OpenID Foundation Japan 49 フェデレーションの登場人物 フェデレーションは主に、 ユーザ・認証を行うサーバ・ユーザにサービス提供を行うサーバの３者で構成される 認証を行うサーバ （認証基盤） サービス提供を行うサーバ （認証基盤に認証を委託する側） ユーザ （サービスを使う主体） Identity Provider（IdP） と呼ばれる 当人認証の結果や ユーザの属性情報などを、 各サービスサーバが検証できるように 署名して渡す Relying Party（RP） と呼ばれる 当人認証の結果や ユーザの属性情報を受け取って、 アクセスしてきたユーザを認可する Webブラウザやスマホアプリなど 認証情報のやり取りをする主体は クライアントと呼ばれる 当人認証に必要な情報を 認証基盤に渡す アイデンティティ管理とその動向 - Yahoo! JAPAN Tech Blog サブWG内で作成・レビュー・修正中
50. Copyright © OpenID Foundation Japan 50 フェデレーションの保証レベル フェデレーションの際に連携される情報の保護レベルによって、フェデレーションの強度が異なる NIST SP800-63A-3ではFAL(Federation Assurance Level)が定義されている 具体的には、IdP→クライアント→RPに渡す、認証結果の検証に必要な情報（アサーション）の保護レベルが定 義されている 認証連携保証レベル レベルの定義 目的 レベル1 (FAL1) 持っていれば使用できるアサーションであること、 または、アサーションがIdPで署名されていること アサーションの改ざん対策をするこ と レベル2 (FAL2) FAL1に加えて、対象のRPのみが復号可能なように IdPでアサーションが暗号化されていること アサーションの漏洩・盗聴対策を すること レベル3 （FAL3） FAL2に加えて、HoK*アサーションを使用すること *HoK(Holder of Key)：鍵を使って持ち主と紐づけて、 第三者による使用を検知する方法 アサーションの不正使用対策をす ること サブWG内で作成・レビュー・修正中
51. Copyright © OpenID Foundation Japan 51 第2章 アイデンティティ管理に必要な概念 1. アイデンティティ管理の概要・全体像 2. 身元確認 3. 当人認証・認可 4. フェデレーション 5. プライバシー対策
52. Copyright © OpenID Foundation Japan 52 アイデンティティ管理とプライバシー アイデンティティとは、個人を識別し、かつプライバシー性の高い情報の集合体である。 デジタル化に伴い、企業は、このプライバシー性の高い情報の活用を推進すると同時に、個人の プライバシーに対する配慮を欠かしてはならない。 アイデンティティ︓個人を識別する情報の集合体 アイデンティティに含まれる例： 名前、住所、電話番号などの基本情報や、顔、身長、指紋などの身体的特徴、さらに購入履歴や 閲覧履歴、そこから推知される趣味嗜好などのオンライン上での行動/思考パターンなど デジタル化によりプライバシー性が高まっている デジタルアイデンティティの活用とプライバシー保護の両立を目指す必要がある サブWG内で作成・レビュー・修正中
53. Copyright © OpenID Foundation Japan 53 個人情報とプライバシー 個人情報とは、「私は誰なのか」を識別するもの、プライバシーとは、「私はどのような人物なのか」 をあらわす概念である。 プライバシーの保護は、個人情報保護法を遵守するだけでは達成が難しい領域である。 プライバシー 個人情報 特定の個人の識別が 可能な情報 (例︓氏名、生年月日、住所、 メールアドレス) プライバシー 個人や家庭内の私事、私生活、 個人の秘密。また、それが他人から 干渉・侵害を受けない権利 （例︓行動履歴、会話の内容） 法令遵守の範囲 消費者・利用者が期待する対応範囲 １ 2 法令のように白黒つけられず、 対応範囲は不明瞭 拡大中 このアプリには 何が記録されて いるのだろう︖ 会員登録をしたら第三者 からのダイレクトメールが届く ようになったぞ︖ プライバシーに対する漠然とした不安が 増えており、法令で規定されている領域 以外についても考慮が必要 1. 個人の自律の保護 2. 私的な領域の保護 3. 個人情報の保護 サブWG内で作成・レビュー・修正中
54. Copyright © OpenID Foundation Japan 54 プライバシー対策の重要性 プライバシー対策が不十分である場合、法令違反による巨額の制裁金が科される。 また法令違反でない場合も社会的な炎上等により企業の信頼失墜が起こる可能性がある。 ある企業のサービスでは、利用目的を説明したページが分散して おり、ユーザーにとって探しづらく分かりにくいことから個人情報の利 用目的をユーザーに明確に説明しなかったと指摘された。 また、ターゲティング広告の仕組みの説明が不十分とされた。 さらに、その企業はユーザーがアカウントを作成する際、一括して 利用規約への同意を取っていたものの、本対応は目的別に明確 に同意を取得しておらず不適切だと判断された。 ターゲティング広告の配信についても、機能をオフにするためには 煩雑な作業が必要で、同意の取り方についても違法とされた。 法令（GDPR）違反による巨額の罰金支払い事例 同意のない個人情報利用 ある企業ではID(ポイントカード等から取得)に紐づく購買履歴等 からユーザの妊娠を予測し、妊娠が予想されるユーザにマタニティ グッズのクーポンを送付していた。(ターゲティング隠蔽のため複数 のクーポンを混ぜて送付) 本クーポンがある女性に郵送され、父親がクレームを申し入れた。 父親が実際に娘確認したところ妊娠が発覚し、父親は謝罪し た。 本事案は、ある国の大手新聞社によって報道され、センシティブ な情報を企業が予測しマーケティング活用しているとして炎上し た。 炎上後もその企業からの説明・リリースはなかった。 タイトル 概要* 妊娠予想スコアによるターゲティング インシデント による影響 センシティブな情報を勝手に予測し、それを間接的に第三者に知 られてしまう可能性がある形でクーポンを送付したことによる炎上 問題発生後、取材に対する回答や世間に対する説明がほとんど なかったことによる企業イメージの悪化 ある国のデータ保護機関により、その企業がGDPRに違反したとし て、5,000万ユーロ（約65億円）の支払いが求められた タイトル 概要* インシデント による影響 消費者からの炎上による企業の信頼失墜事例 サブWG内で作成・レビュー・修正中
55. Copyright © OpenID Foundation Japan 目的明確化の原則 55 プライバシー対策の原則 プライバシー対策の原則として、OECD(経済協力開発機構)では8原則を定めている。 収集目的を明確にし、データ利用は収集目的に合致するべき 1 本 人 消去 提供 保管 利用 取得 第 三 者 取 扱 事 業 者 利用 保管 提供 消去 1 2 4 5 公開・通知 6 8 請求 7 取得 3 2 5 利用制限の原則 データ主体の同意がある場合、法律の規定による場合以外は、目的以外に利 用使用してはならない 2 収集制限の原則 適法・公正な手段により、かつ、情報主体に通知又は同意を得て収集される べき 3 データ内容の原則 利用目的に沿ったもので、かつ、正確、完全、最新であるべき 4 安全保護の原則 合理的安全保護措置により、紛失・破壊・使用・修正・開示等から保護する べき 5 公開の原則 データ収集の実施方針等を公開し、データの存在、利用目的、管理者等を明 示するべき 6 個人参加の原則 自己に関するデータの所在及び内容を確認させ、又は異議申立てを保障する べき 7 責任の原則 管理者は諸原則実施の責任を有する 8 ◆OECD8原則 ◆個人情報のライフサイクル サブWG内で作成・レビュー・修正中
56. Copyright © OpenID Foundation Japan 56 プライバシー対策の実務 ～プライバシーガバナンス～ プライバシーガバナンスを機能させ、信頼を得るためには、体制の構築や、ルールの策定・教育、 各ステークホルダーとのコミュニケーションなどを実施することが重要。 出典 ︓「DX時代における企業のプライバシーガバナンスガイドブック ver1.3」（総務省・経産省） 体制の構築 • プライバシー保護責任者/保護組織の設置と役割定義 • その他の関係者（事業部門、内部監査部門など）の体制構築 運用ルールの策定と周知 • プライバシー保護対策やプライバシーリスク評価（PIA）などの運用が徹底され るためのルールの策定と周知 企業内のプライバシーに係る 文化の醸成 • 啓発活動や定期的な研修・教育など、 プライバシーリスクに適切に対応できる企業文化を醸成する取り組みの実施 消費者とのコミュニケーション • 消費者に対する企業のプライバシー保護に対する取り組みの説明 • 消費者の意識調査など個人の意識の変化を把握することを目的とした 取り組みの実施 その他ステークホルダーとの コミュニケーション • 有識者会議の実施・結果の公表 • 取引先・業務委託先・グループ企業・投資家・株主・行政機関・業界団体との コミュニケーション プ ラ イ バ シ ー ガ バ ナ ン ス の 重 要 項 目 サブWG内で作成・レビュー・修正中
57. Copyright © OpenID Foundation Japan 57 プライバシー対策の実務（1/5） ～体制の構築～ 事業目的の実現とプライバシーリスクマネジメントを両立させる対応策を検討するために、プライ バシー保護責任者を中心とした組織の設置が求められる。 実施事項 他社事例 プライバシー保護体制 • プライバシー保護責任者としてCPOを指名、CPO議長の下 でアドバイザリーボードを含む会議体を設置 • プライバシー保護組織として、プライバシーガバナンス推進 部署を設置 • 業務分野毎に保護対応責任者を指名 A.プライバシー保護責任者の設置 • プライバシー保護実践のための方針の確立 • リスクを把握、評価し、対応策を検討できる体制の構築 • 経営者へ対応及び方針の報告 等 B.プライバシー保護組織の設置 • 企業内の各部門からの情報の集約及び プライバシー問題及びリスクの発見 • 発見されたリスクに対するマネジメント及び対策実施 等 出典 ︓「DX時代における企業のプライバシーガバナンスガイドブック ver1.3」（総務省・経産省） サブWG内で作成・レビュー・修正中 取締役会 プライバシーガバナンス推進会議(議長 CPO) •重要事項、方針の決定 •取り組み、課題報告 •具体的施策の決定 アドバイザリーボード •研究者 •弁護士 •消費者団体代表者 等で組織 •各種取り組みへの助言 経営層 プライバシーガバナンス推進部署 主要分野(プライバシーリスクに応じて設定) Chief Privacy Officer（CPO） •法的検討 •ルール策定 •社内教育・文 化醸成 •ガバナンス実装 •主要分野支援 品質保証 販売店 金融 開発 人事 ｼｽﾃﾑ セキュリティ •分野内のプライバシー保護対応 社内各部 国内・海外子会社 親会社 ・・・
58. Copyright © OpenID Foundation Japan 58 プライバシー対策の実務（2/5） ～運用ルールの策定と周知～ プライバシー・バイ・デザイン（PbD）やプライバシーリスク評価（PIA）により、 プライバシーリスクを可視化し管理する運用ルールの策定と周知徹底が必要。 実施事項 他社事例 プライバシーリスクの類型化の事例 A.プライバシー・バイ・デザインの導入 • サービスや業務プロセスの設計段階から プライバシー保護を考慮した施策を検討・導入 • 取り扱う個人情報の種別や私生活への影響の度合いを 消費者本人がコントロール仕組みづくりが必要 B. プライバシーリスク評価の導入 • サービスや業務プロセスのプライバシーリスクを評価 • コンプライアンスリスク（個人情報保護法違反）に加え、 私生活への侵入や人格/自律権の侵害の度合いを プライバシー問題の類型から評価し、対策を検討する。 社内 マーケティング 各事業部 セールス サポート パーソナルデータの取扱類型 顧客／ 見込み客 データ取得 サービス提供 データの処理 データの処理 パーソナルデータ 第３者 データ取得 データの拡散 • 継続的なモニタリングにより、 不安や居心地の悪さを与え る • 個人にとって害のある情報も 結び付けられてしまう • 私的情報の他者への暴露に より、名誉や信頼を損ね恥 辱を感じさせてしまう。 • 顧客の不利益を招くデータ 利用方法を行ってしまう • 同意が取れていないデータを 第三者へ提供または公開し てしまう • 「なぜそんな情報を知ってい るのか︖」と顧客に不安感を 抱かせてしまう データの拡散 サービス提供 類型毎の代表的なリスク 社外 データの処理 データの処理 サブWG内で作成・レビュー・修正中
59. Copyright © OpenID Foundation Japan 59 プライバシー対策の実務（3/5） ～企業文化の醸成～ プライバシーリスクに対し、適切に対応できるような企業文化を組織全体で醸成していく活動が 必要。 実施事項 他社事例 社内啓発活動の事例 各種社内啓発活動の実践 従業員がプライバシーリスクコントロールを実践するため、 以下のような取り組みを通じて社内啓発を行う。 – プライバシー保護責任者からのメッセージ配信 – ハンドブックの作成、配布 – e-Learning等の社内研修 – ジョブローテーションによる担当者育成 等 定期的なe-learning や研修教育 社内向けのプライバシー保護責任者の活動を社内広報する等の啓発活動 対象 必須 任意 定期（年次など） 都度 階層別 全階層 経営層 プライバシー研修 (経営層向け) 経営へのインパクトなど プライバシー研修 (基本編) 個人情報の取扱 いに関する研修 （個人情報を取 り扱う部署・担当 者向け） 法改正に伴う社 内のポリシー、 ルールの改訂に 関する研修 自主的な勉強会 個人情報保護責任者 やプライバシー保護組織 による動画配信、各部 署における勉強会など 外部セミナー受 講 管理職 プライバシー研修 (管理職向け) 管理職の責任等など その他 従業員 -  メールマガジン 社内の取り組み状況の報告、法律の改 訂、事件の発生等に関して個人情報取扱 従事者や全従業員に向けて発信  プライバシーに関する社内のホームページ ニュース、規程類、マニュアル類、教育コン テンツ、Q&A、問い合わせ先などのコンテン ツを掲載 サブWG内で作成・レビュー・修正中
60. Copyright © OpenID Foundation Japan パーソナルデータダッシュボード 60 プライバシー対策の実務（4/5） ～消費者とのコミュニケーション～ 企業がイノベーション創出やプライバシーリスクマネジメントに対し、いかに能動的に取り組んでい るのかについて積極的に発信していくことが必要。 実施事項 他社事例 消費者とのコミュニケーション基盤の例 A.組織の取組み公表（透明性レポートの作成） • プライバシーリスクをどのように把握・評価し、 コントロールしているかを取りまとめ、 透明性レポート等の形で消費者に公表する。 B.消費者との継続的なコミュニケーション • 機能追加や規約等の改訂のタイミング等では、 どのようにサービスやプライバシーリスク対応が 変更されたのか、迅速に、公表する。 • 顧客から受領した個人データや提供先、同意内容等を 一覧管理し、問い合わせや請求に迅速に対応する 窓口やITサービス・基盤の整備を行う。 サブWG内で作成・レビュー・修正中 ご自身のデータの取り扱いに関 する同意事項の確認はこちら お知らせ、メルマガの受信設定 はこちら ご自身のデータの提供先と種 類の確認・変更はこちら アカウント連携サービスの変更 はこちら ①同意事項一覧 ②お知らせ配信 の設定 ③第三者提供 の管理 ④連携サービス 一覧
61. Copyright © OpenID Foundation Japan 61 プライバシー対策の実務（5/5） ～その他コミュニケーション～ 社内での取組等の内容を、株主や取引先等、消費者以外のステークホルダーに対しても 積極的に説明していくことが必要。 アドバイザリーボードの事例 ＜委員＞ 情報セキュリティ専門会社 法学部・法学政治学・社会学部・現代社会文化研究科 教授 消費者保護に関するNPO法人 代表者 弁護士 ＜これまでの議題＞ ・スコアリングシステムの今後の対応について ・パーソナライズに関する実証実験について ・プライバシーポリシー改定の反響およびグループ企業追加時の対応について ・新型コロナウイルス感染症の感染拡大防止に関するデータ活用について ・経営統合に関わるデータの取り扱い等のあり方について A.有識者会議の実施・結果の公表 社内だけではなく、外部の目線でプライバシーリスクを コントロールするために、有識者を招集し、検討結果を 公表・施策として実行していく。 B.個々のステークホルダーへの対応 委託先やグループ企業、投資家・株主、行政機関、 業界団体などとプライバシーリスクコントールの実施 方針や具体的内容についてコミュニケーションする。 実施事項 他社事例 サブWG内で作成・レビュー・修正中
62. Copyright © OpenID Foundation Japan 62 プライバシー対策のためのテクノロジー ～プライバシーテック～ 近年、同意管理やデータマッピング、匿名化/仮名化などをシステム・ツール導入で対応する 企業も増えている。 Privacy Program Management Enterprise Privacy Management PIAの運用、リスク・ギャップの特定、コンプライアンスの実証、レポート作成など、プライバシー観点の評価を自動で行うツール ② 同意管理 ③ データマッピング ユーザの同意を収集し、追跡し、実証し、管理するツール どこにどんなデータがあり、どのように使われているか、企業全体のデータフローを可視化し、管理するツール ① アセスメント管理 データ主体からのアクセス権や訂正権、データポータビリティ権、消去権などの権利行使に円滑に対応するためのツール 企業がデータ漏洩インシデントに対応する際に、何が漏洩したのか、どのような通知義務を果たさなければならないのかについて、関連する利 害関係者に情報を提供するツール 世界中の最新のプライバシー法に関する情報を提供するツール 企業のウェブサイトをチェックし、どのようなクッキー、ビーコン、その他のトラッカーが埋め込まれているかを判断し、様々なクッキー法やその他の 規制への準拠を支援するツール ⑤ インシデント対応 ⑥ プライバシー情報管理 ④データ主体からの請求対応 ⑦ ウェブサイトのスキャンニング 誰がいつ個人データにアクセスしているかを監視し、アクティビティを管理するツール 個人データの種類を分類し、探索しやすくするツール 利害関係者が、データ主体のプライバシーを損なうことなく、データセットの情報を活用できるよう、個人データの匿名化・仮名化を行うツール 個人データ漏洩や不正な取扱い防止に向けて、企業が適切な社内コミュニケーションを実施することを支援するツール ⑧ アクティビティモニタリング ⑨ データ探索 ⑩ 匿名化/仮名化 ⑪ 社内コミュニケーション 機能概要 プライバシーテックの機能 サブWG内で作成・レビュー・修正中
63. Copyright © OpenID Foundation Japan 63 プライバシー対策のためのテクノロジー ～同意管理～ これまでユーザーは、複数のサービスやアプリの利用に際し、個別に同意してきた。 ID統合に伴い、ユーザの同意状態も統一的に管理する必要が生じる。 同意のうえ以下の「ログイン」 を押してください。 プライバシーポリシー・規約一覧 ・プライバシーポリシー ・•••ID規約 ・▲▲▲会員規約 ・×××利用規約 同意記録 規約セットA ログイン 氏名 URL 〇△社への個人 データ提供 統計加工したう えでの第三者提 供 XXX XXX 同意 同意未済 XXX XXX 同意 同意未済 XXX XXX 同意 同意未済 サービスA 同意のうえ以下の「ログイン」 を押してください。 プライバシーポリシー・規約一覧 ・プライバシーポリシー ・•••ID規約 ・▲▲▲会員規約 ・×××利用規約 同意記録 規約セットB ログイン サービスB 統一フォーマット ユーザー ユーザー 【結果・効果】 ユーザーがいつ・どの画面で・どのプライバシーポリシー（規約）に同意したのかを正確に記録することで、有事の際に素早く、確実に同意状 況を確認できる状態を実現 導入後 導入前 同意のうえ以下の「ログイン」 を押してください。 プライバシーポリシー・規約一覧 ・プライバシーポリシー ・•••ID規約 ・▲▲▲会員規約 ・×××利用規約 ログイン ユーザー サービスA画（例） 同意のうえ以下の「ログイン」 を押してください。 プライバシーポリシー・規約一覧 ・プライバシーポリシー ・•••ID規約 ・▲▲▲会員規約 ・×××利用規約 ユーザー サービスB画（例） ログイン 同意データ 同意データ 同意データの内容は 各サービスによって異なる • 〇△社への第三者提供に同意 • マーケティング利用に同意 • ××サービスへの利用に同意 • 統計加工したうえでの第三者提 供に同意 氏名 URL 〇△社への個人 データ提供 統計加工したう えでの第三者提 供 XXX XXX 同意未済 同意 XXX XXX 同意未済 同意 XXX XXX 同意未済 同意 ◆同意管理システム導入事例 サブWG内で作成・レビュー・修正中
64. Copyright © OpenID Foundation Japan 64 (Column) プライバシーに関連する法律例 電気通信事業法 • 電気通信事業法4条では、電気通 信事業者に対し、通信の秘密（通 信内容に加え、通信当事者の住 所・氏名・発信場所・通信年月日等 の通信構成要素、通信回数等の通 信の存在の事実の有無を含む）を 守るよう厳命している。 • この規定を受け総務省が定める「電 気通信事業における個人情報保護 に関するガイドライン」により、電気通 信事業者が通信の秘密に係る個人 情報を利用するにあたっては同意が 必要とされている。 サブWG内で作成・レビュー・修正中 出典 ︓電気通信事業参入マニュアル（追補版）ガイドブック（総務省）
65. Copyright © OpenID Foundation Japan 65 (Column) プライバシーに関連する法律例 電気通信事業法 • 2022年6月13日付でこの電気通信事業法を改正する法律が成立したことにより、これま で登録・届出を要しなかった「他人の通信を媒介せずかつ回線設備を設置しない」以下の ようなインターネットサービスが「第3号事業」とされ、上述した通信の秘密保護義務や、後 述する外部送信に関する規制の対象となった。 ＞検索サービス ＞SNS ＞各種情報のオンライン提供 等 • なお、「第3号事業を営む者のうち、内容、利用者の範囲及び利用状況を勘案して利用 者の利益に及ぼす影響が少なくないものとして総務省令で定める電気通信役務を提供す る者」を総務省令によって指定する（改正事業法27条の12柱書）。 • 総務省令では以下のサービスが指定され、これらのサービスを運営する第3号事業者は、 電気通信事業法の規律全般の適用対象となる予定。 ＞月間アクティブ（稼働）利用者ユーザー数500万人以上の有料サービス ＞月間アクティブ（稼働）利用者1000万人以上の検索サービス・SNS サブWG内で作成・レビュー・修正中 出典 ︓電気通信事業参入マニュアル（追補版）ガイドブック（総務省）
66. Copyright © OpenID Foundation Japan 66 (Column) プライバシーに関連する法律例 • ①労働者の障害に関する情報は、個人情 報のなかでも特に取扱いに注意が必要であ ることから、情報の適切な取扱いが期待され ていること、また、②障害者の立場からは、ど の事業主が法令上の義務を負う個人情報 取扱事業者に該当するかがわかりにくいこと 等から、その規模にかかわらず、つまり、利用 する個人情報が５千件以下の事業主で あっても、障害者雇用状況の報告、障害者 雇用納付金の申告、障害者雇用調整金 又は報奨金の申請を行うすべての事業主に 対して個人情報保護法の要請があてはまる ものとしてこのガイドラインを策定しています。 なお、雇用管理指針及び健康情報留意事 項についても同様です。 障害者差別禁止法プライバシーに配慮した障害者の把握・確認ガイドライン サブWG内で作成・レビュー・修正中 出典 ︓プライバシーに配慮した障害者の把握・確認ガイドライン概要 プライバシーに配慮した障害者の把握・確認ガイドライン
67. Copyright © OpenID Foundation Japan 67 (Column) プライバシーに関連する法律例 プロバイダ責任制限法 • 損害賠償責任の制限 (第三条) ウェブページや電子掲示板などでの情報の 流通によって権利侵害が発生した場合に、そ れによって生じた損害やその防止措置によって 生じた損害について、一定の条件のもとプロバ イダ等は賠償の責任を負う。 • 発信者情報の開示請求 (第四条) ウェブページや電子掲示板などでの情報の 流通によって権利侵害を受けた者は、その権 利侵害を行った発信者の情報の開示を一定 の条件のもとプロバイダ等に請求することができ る。 • 一定の要件のもとプロバイダが情報流通の 防止措置を講じたり、発信者情報の開示 請求に応ずることが可能になる。 サブWG内で作成・レビュー・修正中 出典 ︓インターネット上の違法・有害情報に対する対応（プロバイダ責任制限法）
68. 3. アイデンティティ管理の類型
69. Copyright © OpenID Foundation Japan アイデンティティ管理の分類パターン アイデンティティ管理は、管理主体や管理対象などの違いによって分類することができる。管理対象とは、属性によって形づくられる個人などの実体を 指す。実体としての個人は自身の属性を使い分けることで複数の人格（アイデンティティ）を主張することができる。一方、管理主体とは、アイデン ティティを管理する主体であり、管理対象の属性を保管/保護する認証サーバなどを指す。管理主体は管理対象の認証とともに認証済アイデン ティティをサービスに連携することで、管理対象によるサービスアクセスを許可する。 Aさん(実体) 管理対象 管理主体 利用サービス 氏名 社員番号 所属部署 役職 ECサービス上における Aさんのアイデンティティ 社内サービス上における Aさんのアイデンティティ 認証: メールアドレス、パスワード 認証: 社員番号、パスワード 氏名 住所 電話番号 メールアドレス アイデンティティ連携 ECサービス 社内サービス サービスアクセス 氏名 住所 電話番号 メールアドレス ECサービス 認証サーバ サービスアクセス 社内サービス 認証サーバ アイデンティティ連携 氏名 社員番号 所属部署 役職 消費者としての Aさん 会社員としての Aさん 例︓管理対象の実体であるAさんが消費者と会社員で異なるアイデンティティを持つ場合、各々のアイデンティティを管理する主体は”ECサービス認証サーバ”や “社内サービス認証サーバ”というように利用するサービスによって異なる。このように、管理対象や利用サービスの種類によって管理主体も分類される。 認証済アイデンティティ 認証済アイデンティティ 本章の説明範囲 サブWG内で作成・レビュー・修正中
70. Copyright © OpenID Foundation Japan 70 アイデンティティの管理対象による分類 管理対象のAさんの立場によって、管理主体が異なります。Aさんの立場を消費者・会社員とし た場合、一般的にCIAM・EIAMに分類されます。 Aさん(実体) 管理対象 管理主体 利用サービス 氏名 社員番号 所属部署 役職 ECサービス上における Aさんのアイデンティティ 社内サービス上における Aさんのアイデンティティ 認証: メールアドレス、パスワード 認証: 社員番号、パスワード 氏名 住所 電話番号 メールアドレス アイデンティティ連携 ECサービス 社内サービス サービスアクセス 氏名 住所 電話番号 メールアドレス ECサービス 認証サーバ サービスアクセス 社内サービス 認証サーバ アイデンティティ連携 氏名 社員番号 所属部署 役職 消費者としての Aさん 認証済アイデンティティ 認証済アイデンティティ IdM(Identity Management) AM(Access Management) CIAM(Customer IAM/Consumer IAM) IdM(Identity Management) AM(Access Management) EIAM(Enterprise IAM / Workforce IAM) 会社員としての Aさん サブWG内で作成・レビュー・修正中
71. Copyright © OpenID Foundation Japan 71 アイデンティティの管理対象による分類*1 管理対象が従業員か顧客かによって一般的にEIAM/CIAMに分類されます。また、顧客向け (Customer/Consumer)では、サービスの性質によって分類でき、特徴が異なります。 CIAM (Customer IAM /Consumer IAM) BtoB Business to Business BtoC Business to Customer/Consumer GtoC Government to Citizen*2 EIAM (Enterprise IAM/ Workforce IAM) *1︓いずれも集中管理型の場合を想定 *2︓Customer/Consumerと解釈されることもある 概要 卸し先企業の 従業員等 消費者 市民 企業 行政機関 企業 管理者と同じ組織の 従業員/協力社員等 企業 /学術機関等 イメージ 社内の従業員や学術機関の生徒・職員、社外 の協力社員などの内部ユーザを対象に、企業や 学術機関等が提供するアイデンティティとアクセス 管理 サプライチェーンに含まれる取引先 企業や代理店のユーザを対象に、 企業が提供するアイデンティティと アクセス管理 銀行や通信事業者等の企業が 提供する消費者向けサービスの一 般ユーザを対象に、企業が提供す るアイデンティティとアクセス管理 行政機関が一般市民向けに提 供するアイデンティティとアクセス管 理 特徴 • 一般的に、HRの人事DBや契約情報管理 DB等をIDの源泉とし、社内のワークフローを 通じて管理される • 従業員の入退に応じたライフサイクル管理や 特権管理等が必要となる • 一般的に、ユーザが属する企 業のメールアドレスの送達確認 等により、法人顧客管理者の 承認を経て登録、管理される • 顧客であるため同意管理が必 要となる • サービスによって集める属性情 報やその管理方法は様々 • 同意管理だけでなく、データ主 体が求める利用停止や消去 等の要求への迅速な対応が必 要となる • サービスによって集める属性情 報やその管理方法は様々 • 普及に際し、国民監視を強め ることへの懸念や、配布漏れに よる権利の侵害、唯一性の担 保など課題が多い CIAM/EIAM サブWG内で作成・レビュー・修正中
72. Copyright © OpenID Foundation Japan 集中管理（サイロ）型 フェデレーション型 分散型 構成 使用技術 • ID/Password • OAuth • SAML • OIDC • デジタルIDウォレット • VC • DID 説明 サービス提供者が利用者のアイデンティティ 情報を管理している形。 プラットフォーマーがアイデンティティ情報を集 中的に管理し、その情報を連携している サービス提供者に提供する形。 発行者に自分の資格情報の発行を依頼 し、その情報を自身の元で管理する形。 利用者の判断で必要な情報をサービス提 供者に提示する。 72 アイデンティティの管理主体による分類 アイデンティティー管理を単一のプロバイダが行うか、分散して管理するかなど、管理主体による 違いでアイデンティティー管理の分類ができる。当初は集中管理型で管理されていたが、フェデ レーション型や分散型といった管理形態も登場している。 アイデンティティ情報の保持者 サービス提供者 IdM(Identity Management) サブWG内で作成・レビュー・修正中
73. Copyright © OpenID Foundation Japan 73 管理主体による分類① -集中管理（サイロ）型- 集中管理（サイロ）型では各々のサービス提供者が各々の利用者のアイデンティティ情報を管 理する。インターネット黎明期からあり、また現在でも一般的な管理パターンでもある。 イメージ図 新規会員登録 ログイン 開始 ID PW ログイン 特徴 ・企業自身がユーザー情報を保持することができる ・ユーザーは利用システムごとにID・パスワードを覚える必要がある ・大企業はユーザーのデータを集中的に保持することになる ・企業は独自のセキュリティ要件を設定することができる ログイン後 画面 ▪フロー例 サービスの画面 IdM(Identity Management) サブWG内で作成・レビュー・修正中
74. Copyright © OpenID Foundation Japan 管理主体による分類② -フェデレーション型- フェデレーション型では認証サーバーが一元的にユーザーのアイデンティティ情報を管理する。その 認証サーバーが認証を行い、各サービスにはその認証結果を送り返す。集中管理型が抱えてい た様々な問題を解決したが、アイデンティティ情報が一部の企業に集中するようになった。 イメージ図 新規会員登録 ログイン 開始 特徴 ・ユーザーは自身のアカウント管理が楽になる ・各サービスは独自にID管理基盤を構築する必要がない ・巨大プラットフォーマーがアイデンティティ情報を独占することになる ・アイデンティティ情報流出のリスクが集中する ・サービス独自のセキュリティ要件を設定することができない ID PW ログイン SNSでログイン ID PW ログイン ログイン後 画面 ▪フロー例 サービスの画面 フェデレーション元画面 IdM(Identity Management) サブWG内で作成・レビュー・修正中
75. Copyright © OpenID Foundation Japan 管理主体による分類③ -分散型- 分散型では各ユーザーが自身のアイデンティティ情報を自身で管理する。ユーザーは自身の資 格情報を事前に発行者に発行してもらい、モバイル端末内などにあるIDウォレットに保存。それ を検証者に適宜提示して自身の証明を行う。 イメージ図 発行要求 発行開始 特徴 ・ユーザーは自身のデータを自身で管理することができる ・ユーザーはサービス跨ぎで共通のアイデンティティ情報を使用できる ・サイバー攻撃が起こっても情報流出に限度がある 資格情報 取得完了 ID PW ログイン 提示要求 提示開始 資格情報 提示完了 提示QRコード 発行QRコード PIN: 1234 YES NO 提示しますか︖ 提示する情報 ・名前・年齢・・・ PIN入力 発行者 ユーザー 検証者 資格情報発行 資格情報提示 分散型アイデンティティ管理の3者モデル ▪フロー例 Verifiable Credentials Data Model v2.0 (w3.org) 発行者画面 検証者画面 IDウォレット画面 ※電子的に保管されたアイデンティティ情報を持ち 歩き、必要な際にそれを証明するためのデジタル ツール IdM(Identity Management) サブWG内で作成・レビュー・修正中
76. Copyright © OpenID Foundation Japan 76 アイデンティティの管理対象による分類 参考:Access Managementの機能のうち、アクセス制御に着目すると8種類の制御方式が 確認できる。これらはベンダによる独自の呼称などは存在するものの、内容に関してはおおむね 共通したものを表している。 What is Access Control? (techtarget.com)：アクセス制御とは、重要性、各アクセス制御の概要 Types of Access Control Systems - Article | SailPoint：各アクセス制御の概要 What Are the Different Types of Access Control? – JumpCloud：各アクセス制御の概要・メリットデメリット 任意 アクセス制御 強制 アクセス制御 ロールベース アクセス制御 ルールベース アクセス制御 属性ベース アクセス制御 IDベース アクセス制御 履歴ベース アクセス制御 IDドリブン アクセス制御 制御の基準 ユーザー自身に よって決定可能 一律で定められ た、ユーザーや データに対するポ リシーを元に判断 ユーザーに割り当 てられたロールの 情報を元に判断 ユーザーやデータ に対するポリシー、 ルールを元に判 断 ユーザーやデータ が持つ複数の属 性を元に判断 IDに紐づいたポリ シー等を元に判 断 使用履歴や属 性情報、アクセス 先の機密性等を 元に判断 AIが利用可能な 情報を元に判断 想定される ユースケース 個人利用のPC やクラウドサービス 細かいアクセス制 御を必要としない 企業 職位等によるアク セス制限が存在 する企業 特定の条件に 従ったアクセス制 御が要求される 企業 複数の属性情報 によるアクセス権 の判断が要求さ れる企業 個人(ID)単位 での細かいアクセ ス制御が要求さ れる企業 属性情報だけで なく、使用履歴 等のデータによる リスク判断が必 要な企業 高度なアクセス 制御だけでなく、 管理負荷の低減 を目指す企業 AM(Access Management) サブWG内で作成・レビュー・修正中
77. Appendix. 主な用語の定義
78. Copyright © OpenID Foundation Japan 78 主な用語の定義(1/) # 用語 定義 参照先 1 IdP Identity Provider の略。ID 情報を作成、維持、管理するシステム。 IdP は、プリンシパル (ユーザー、サービス、またはシステム) の ID 情報を作成、維持、 管理し、フェデレーションまたは分散ネットワーク内の他のサービス プロバイダー (アプリケー ション) にプリンシパルの認証を提供するシステムです。 https://kb.mit.edu/confluence/ display/glossary/IdP+(Identity +Provider) 2 RP Relying Party の略。 IdP に エンドユーザの認証 と クレーム を要求する OAuth 2.0 Client. 3 OP OpenID Provider の略。 OpenIDによる認証の際に、ユーザIDやパスワード等の認証情報が格納される専用の サーバのこと。 4 DADC デジタルアーキテクチャ・デザインセンターの略。 サイバーとフィジカルを高度に融合させることで、社会課題の解決と経済成長の両立を目 指すSociety 5.0を実現実現するために、IPA(情報処理推進機構)に設置された組 織。 https://www.meti.go.jp/policy /mono_info_service/digital_arc hitecture/index.html 5 DADC IAL IALはNISTにて策定されているが、多くの身元確認手法がIAL2に位置付けらてしまう ため、各種法の強度を細分化して表現することを目的にDADCが作成した基準。 6 KYC Know Your Customer の略。直訳すると「顧客を知る」。 サービス提供にあたってサービス事業者が顧客の本人確認を行うなど、 “本人確認手続 き”の総称。 サブWG内で作成・レビュー・修正中
79. Copyright © OpenID Foundation Japan 79 主な用語の定義(2/) # 用語 定義 参照先 7 シングルサインオン (SSO) 1つのIDで認証し、複数のシステムに対する認可を行う（都度認証を行う必要がな い）ことで利便性を向上させる技術。 8 FAPI Financial-grade API の略。 OAuth2.0やOpenID Connect等のフレームワークの普及に合わせて、記入業界等 のより高いAPIセキュリティレベルが要求されるシステムへのガイドラインとして、OpenID Foundation のFAPIワーキンググループが策定した技術仕様のこと。 9 PFM Personal Financial Management の略。 複数の銀行や証券会社、クレジットカード会社など金融機関が持つ取引明細データを 集約し、個人がスマートフォンなどで資産の一括管理を行うサービスのこと。 サブWG内で作成・レビュー・修正中
80. Thank You