資料 1 平成 27 年度電子経済産業省構築事業 (ID 連携トラストフレームワークを活用した官民連携の在り方に関する調査研究 ) 第 2 回検討委員会資料デジタル watashi アプリのコンセプト (ID 連携トラストフレームワークの応用 ) 平成 28 年 1 月 21 日 JIPDEC(

Size: px

Start display at page:

Download "資料 1 平成 27 年度電子経済産業省構築事業 (ID 連携トラストフレームワークを活用した官民連携の在り方に関する調査研究 ) 第 2 回検討委員会資料デジタル watashi アプリのコンセプト (ID 連携トラストフレームワークの応用 ) 平成 28 年 1 月 21 日 JIPDEC("

ゆりなあざみ
7 years ago
Views:

1 第二回 ID 連携トラストフレームワーク検討委員会議事次第一般財団法人日本情報経済社会推進協会電子情報利活用研究部 Ⅰ. 開催日時 : 平成 28 年 1 月 21 日 ( 木 ) 13 時 00 分 ~15 時 00 分 Ⅱ. 開催場所 : 機械振興会館 6 階 6D-1 ( 東京都港区芝公園 3-5-8) Ⅲ. 議事次第 : 1. 開会資料確認 ( 事務局 ) 2. 議題 (1) デジタル watashi アプリのコンセプト ( 資料 1) (2) ユースケースのプロトタイピングのデモ ( 資料 2) (3) デジタル watashi アプリを構成するコンポーネントについて ( 資料 3) (4) マイナンバー制度の利活用および官民の ID 連携に関するヒアリングについて ( 資料 4) 3. 座長総括 4. 事務局連絡 5. 閉会 ( 配布資料案 ) 資料 1 : デジタル watashi アプリのコンセプト資料 2 : ユースケースのプロトタイピングのデモ資料 3 : デジタル watashi アプリを構成するコンポーネントについて資料 4 : マイナンバー制度の利活用および官民の ID 連携に関するヒアリングについて別紙 : 委員名簿座席表以上

2 資料 1 平成 27 年度電子経済産業省構築事業 (ID 連携トラストフレームワークを活用した官民連携の在り方に関する調査研究 ) 第 2 回検討委員会資料デジタル watashi アプリのコンセプト (ID 連携トラストフレームワークの応用 ) 平成 28 年 1 月 21 日 JIPDEC( 一般財団法人日本情報経済社会推進協会 ) 電子情報利活用研究部

3 デジタル watashi アプリの取り組みの観点 ID 連携に基づくデータ活用官民連携を想定し行政機関が保有するデータと民間が推進するサービスの連携を個人の管理の下で実施できる仕組みを検討する必要があるのではないかオンライン完結社会の実現対面書類の撤廃等オンラインで完結した社会を目指すにはデジタルであることを前提にする ( デジタルデフォルト ) ことに配慮する必要があるのではないかマイナンバー制度の活用マイナンバー制度 ( 券面表示マイナポータル個人番号カード内に格納された公的個人認証を含む ) を民間サービスで利用する場合には利用者が受けたいサービスにおいてペルソナを使い分けること ( 自己情報のコントロール ) が可能な環境が必要ではないか普及促進例 : 基本 4 情報 ( 氏名住所生年月日性別 ) を提供事業者に一律に渡すのではなくサービスによって渡す情報を調整できる等全ての関係者に ID 連携を分かり易く理解できるルール仕組みの整備として ID 連携トラストフレームワークとして ID 連携の見せ方をルール化しトラストフレームワーク内で共通化を図っていくべきではないか全ての関係者に ID 連携によるメリットを理解できる事例を検討すべきではないか 1

4 人の写像 ( ペルソナ ) 場面に応じて自然に使い分けているこの複数の写像を名寄せすると真の人物像が構築できるビジネス上の私行政における個人真の人物像本人確認なしではなりすましの危険性を高くするマイナンバー法の正式名称 : 行政手続における特定の個人を識別するための番号の利用等に関する法律プライベートな私 2

5 ペルソナによるシーンや個人の属性情報の違いペルソナシーン主な個人の属性情報行政における個人市役所区役所等で行政手続きを行う納税者として納税をする社会保障の保険料等を支払う行政機関の長や議員等の投票をする社会保障の手当等を受け取るマイナンバー使い分け氏名住民票上の住所生年月日性別納税情報保険料の支払い情報ビジネス上の私会社の社内で仕事をする会社名部署名他社の社員と打ち合わせをす勤務先住所る肩書きビジネスについて講演を行う業務上の資格会社の備品を購入する氏名ニックネーム ( 旧姓ペンネーム ) プライベートな私週末の買い物をする夜中にネットショッピングする治療のため病院に行く趣味のイベントに参加する氏名ニックネーム ( ハンドルネーム ) 居住地住所物の送付先住所金銭の支払能力ファンクラブ会員番号 3

6 デジタル watashi アプリのイメージ行政における個人本人確認しデジタル watashi アプリをつくるカードとアプリを場面によって使い分けるビジネス上の私プライベートな私シーンによって使い分ける真の人物像 4

7 ( 再掲 ) デジタル watashi アプリのコンセプト ( 第 1 回検討委員会資料 ) コンセプト : デジタル化した様々なわたしの情報が入っているアプリ個人番号カードで本人確認をしたインターネット上の個人の身分証明書やオンライン認証手段を提供するアプリ本アプリではマイナンバーそのものは取り扱わない各言葉の説明デジタル化した ( デジタルデフォルト ) 物理的に見せる証明書であっても内容等は必ずデジタル化されている様々な ( 属性情報の拡充 ) 個人番号カードで確認できる情報に加えてニックネーム所属会社名資格等の情報を持っているわたしの情報 ( 本人確認 ) 個人番号カードで本人確認をして利用者が実在するわたしであることが確認されているアプリ ( クレデンシャル機能 ) 利用者の所有している特定のスマホだけにアプリが入っていることや利用者が特定の回線を利用していること等を用いて認証強度を強化する ( 自己情報コントロール ) 利用者が希望すれば利便性が低下する可能性があるが複数のアプリを使い分けたり一度作成したアプリを破棄し新しいアプリを作成することが可能である 5

8 ( 再掲 ) デジタル watashi アプリの活用 ( 第 1 回検討委員会資料 ) 2. 個人番号カードに紐づけたスマホ等を活用したビジネスの創出電子証明書の有効性確認地方公共団体情報システム機構 (J-LIS) 電子証明書サーバ初回 : 公的個人認証氏名 ( カードリーダとカードで認証 ) 住所生年月日二回目以降 :ID パスワード認性別証顔画像情報スマホ等に紐づける事業者紐づけの依頼 (IC カード認証が必要 ) 個人番号カードとスマホなどの紐づけ利用者 ID パスワードの発行スマホなど所属会社等のデータ情報やアプリの追加電子身分証電子ポイントカード電子興行チケット電子診察券新ビジネス創出氏名 ( 旧姓ペンネーム ) 所属会社ニックネーム生年月日ニックネーム生年月日ファンクラブ会員情報氏名生年月日性別民間事業者民間企業読み取り用スマホポイント会社イベント会社医療機関これまでの施策企業が個人データを利用する際にデータを共有する企業間で遵守するルールのひな形等を作成 (ID 連携トラストフレームワーク ) データの情報交換に関する実証事業 ( 訪日外国人向けおもてなしサービス ) 今後の施策民間企業の参入を促進させるために民間企業とともに民間サイトが J-LIS に認証してもらう上での課題を抽出する民間サイトが J-LIS に認証してもらうことに関連して実証事業を行う 6

9 ( 参考 ) 公的個人認証サービスのプラットフォーム事業者の活用総務省資料 ID 連携トラストフレームワークの適用 7

10 デジタル watashi アプリの構成デジタル watashi アプリは二つのアプリから構成されるデジタル watashi アプリデジタル watashi 認証アプリ主に対面利用を想定した基本情報や属性情報等を表示するアプリ主にネットサービスの認証時にスマホを認証装置として利用する際に利用するアプリ 8

11 デジタル watashi アプリの全体像登録登録 + 身元確認 ( 公的個人認証 ) 本人確認プラットフォーム有効性確認地方公共団体情報システム機構 (J-LIS) アプリのダウンロードデジタル watashi アプリ属性情報の表示認証提示 ID 連携 ID 連携サービス提供 ( 対面 ) サービス A 利用サービス提供 ( オンライン ) サービス B 9

12 デジタル watashi アプリの対面利用イメージ基本情報メニューサブメニュー情報送信属性情報表示チケット等情報表示 10

13 ( 再掲 ) デジタル watashi アプリに格納される属性情報身分を証明するために用いられる属性情報原則として保証レベル2 以上を対象とするソース ( 情報 ) 属性情報保証レベル個人番号カード氏名住所性別生年月日顔写真有効期限 3 ソース ( 情報 ) 属性情報 ( 例 ) 保証レベル卒業証明書学籍番号氏名生年月日学部学科卒業年月日学士発行日等 2 名刺氏名所属役職メールアドレス事業所情報 2 資格証明書氏名生年月日資格登録番号有効期限カード番号発行日等 2 社員証社員番号氏名生年月日事業所情報発行日写真等 2 学生証学籍番号氏名生年月日学部学科発行日有効期限写真等 2 健康保険証サービスを利用する権限があることを示す属性情報被保険者番号氏名生年月日性別資格取得日交付日事業所保険者情報有効期限等身体障害者手帳手帳番号氏名生年月日交付日障害情報写真等 3 ソース ( 情報 ) 属性情報 ( 例 ) 保証レベルコンサートチケット公演名公演日時座席等 2 航空券氏名搭乗日区間座席等 2 ポイントカードカード番号署名等 2 保証書氏名住所電話番号保証者情報製品情報等 2 診察券診察券番号氏名初診日等 2 会員証会員番号氏名有効期限写真等 2 クレジットカードクレジットカード番号氏名有効期限署名等 2 キャッシュカード店番号口座番号氏名等 2 行政手続きの委任状氏名住所電話番号生年月日代理人情報印鑑等

( 参考 ) 保証レベルと信頼レベル日本版の基準案ではサービスの種類によって身元確認と当人確認のレベルを分けているサービスが存在するため保証レベル ( アイデンティティに関する信用の程度 ) を身元確認保証レベルと当人確認保証レベルを分けて規定 ( 米国 ICAM 基準では全体を通した保証レベルしか規定していない ) また民間事業者同士の連携が想定されることから

14 ( 参考 ) 保証レベルと信頼レベル日本版の基準案ではサービスの種類によって身元確認と当人確認のレベルを分けているサービスが存在するため保証レベル ( アイデンティティに関する信用の程度 ) を身元確認保証レベルと当人確認保証レベルを分けて規定 ( 米国 ICAM 基準では全体を通した保証レベルしか規定していない ) また民間事業者同士の連携が想定されることからプライバシー及び個人情報保護信頼レベル ( プライバシー及び個人情報保護の信用の程度 ) を規定区分身元確認保証レベル ( 登録時のレベルを規定 ) 評価軸登録トークンレベル 1 ( 低 ) レベル 2 ( 中 ) レベル 3 ( 高 ) レベル 4 ( 特高 ) ( 対面 / 非対面 ) 自己申告 / 身元確認は不要レベル 1+ ( 対面 / 非対面 ) 身分証明書の提示 ( 対面 ) 写真付き公的身分証明書の提示 ( 非対面 ) 公的身分証及び金融 / 携帯電話の個別番号を提示申請情報を記録と照合 ( 対面 )LV2 に加え申請情報を記録と照合録音等による否認防止 ( 非対面 )LV2 に加え申請情報を公的機関および金融 / 携帯事業者の記録と照合録音等による否認防止 ( 対面のみ ) 写真付き公的身分証明書 2 種又は公的身分証及び金融 / 携帯電話の個別番号を提示全ての申請情報を記録と照合生体情報の記録保証レベル当人確認保証レベル ( トークン, トークン及びクレデンシャル管理, 認証プロセス, アサーション等のレベルを規定 ) 全体保証レベル ( 米 ICAM で規定されているもの ) 単要素認証 ( 例 ) パスワード (6 桁以上 ) 秘密の質問 ( 最低 5 問から選択 ) 等単要素認証 ( 例 ) パスワード (8 桁以上 ) 秘密の質問 ( 最低 7 問から選択 ) 数値のマトリックスが記載されたカード SMS で送られるワンタイムパスワードワンタイムパスワード機器 IC カード等多要素認証 ( 例 ) 認証時にパスワード入力を求める SSL クライアント認証 IC カード + パスワード等多要素認証トークン機器 ( 例 ) 暗証番号認証付きワンタイムパスワード機器指紋認証付き IC カード等トークン及びクレデンシャル管理ルール等の基準イデンティティ失効等の運用トークンの発行保管方法ア認証プロセスる認脅証威プにロ対セすスる実基行アサーションる脅威に対するアサーション利信頼レベルプライバシー及び個人情報保護信頼レベルプライバシー及び個人情報保護ビジネス上の私プライベートな私状況証明の程度プライバシー及基用のび行政機関における個人準時準時基個にに準人想想情定定報ささ保れれ護 12

15 資料 2 平成 27 年度電子経済産業省構築事業 (ID 連携トラストフレームワークを活用した官民連携の在り方に関する調査研究 ) 第 2 回検討委員会資料ユースケースのプロトタイピングのデモ平成 28 年 1 月 21 日 JIPDEC( 一般財団法人日本情報経済社会推進協会 ) 電子情報利活用研究部

16 デモシナリオ登場人物 ID トラストフレームワークカード ( デモンストレーション用 ) 氏名経産花子住所東京都千代田区霞が関生年月日平成 5 年 1 月 1 日性別女けいさんはなこさん (23 歳 ) 職業 : 会社員勤務先 : 霞が関エナジー株式会社近況 : 少し体が弱く通院が多いため家計簿をこまめにつけている最近医療費控除を知りマイナンバー制度を活用して申告予定先日家電を買い替えた際に保証書サービスを見つけユーザー登録済みだが製品情報などは登録していない 1

17 デモシナリオデジタルwatashiアプリのインストールデジタルwatashiアプリの利用ー受診と家計簿のデータ連携ークーポンと属性情報の一括送信家計簿から確定申告所有している製品の登録およびリコール情報を捕捉 2

デジタル watashi アプリのインストール本人確認プラットフォーム事業者は個人番号カード等を想定した IC カード内の情報を活用した身元確認を行いアカウントの生成を行う仮登録時に設定したメールアドレスへデジタル watashi アプリ発行 URL を送付し帯域外認証にて認証を実施の上デジタル watashi アプリをスマートフォンにインストールするデジタル watashi

18 デジタル watashi アプリのインストール本人確認プラットフォーム事業者は個人番号カード等を想定した IC カード内の情報を活用した身元確認を行いアカウントの生成を行う仮登録時に設定したメールアドレスへデジタル watashi アプリ発行 URL を送付し帯域外認証にて認証を実施の上デジタル watashi アプリをスマートフォンにインストールするデジタル watashi 認証およびデジデジタル watashi 仮登録身元確認アプリタル watashi アプアプリへの情報発行開始リ発行登録利用者が本人確認プラットフォームにアクセス仮登録を開始登録したメールアドレスに対して本登録用キー通知メール送信本人確認プラットフォームへアクセスアカウント仮登録個人番号カード内の公的個人認証にて身元確認を実施すると共に本登録用キー入力アカウント登録及び帯域外認証に必要な情報を入力アカウント登録に必要な情報を入力デジタル watashi 認証アプリ等の認証要素設定本人確認プラットフォームにてデジタル watash アプリの発行を開始 ( スマートフォンにメール送信 ) デジタル watashi アプリ発行依頼を実施デジタル watashi アプリ登録メール送信受信したメールのリンクをクリック本人認証 ( パスワード帯域外認証等 ) を実施しデジタル watashi アプリを発行本人認証 ( ハスワート帯域外認証 ) デジタル watashi アプリ発行各組織によって保証された情報のダウンロードが可能な資格確認サイトに遷移しログイン (SSO) 資格確認サイトで保証された情報 ( 社員証等 ) をデジタル watashi アプリへダウンロードして設定また利用者が診察券等を読取りデジタル watashi アプリに情報を設定本登録用キー通知メール送信基本情報氏名太郎住所市 3

19 デジタル watashi アプリの利用デジタル watashi アプリが保有する各情報を利用してサービスを受け本人確認プラットフォームと連携しているオンライン家計簿サービスに支払情報を送信して管理するまたデジタル watashi アプリの基本情報から成人であることを証明する病院の予約受診薬局での薬処方医療費の精算酒たばこの購入ポイントの加算デジタル watash アプリに登録した病院の診察券を表示し診療を予約し受診初めて利用する薬局にてデジタル watashi アプリから病歴等の情報を提示し受付受診が終了し精算を行うと伴に病院の受付から医療費情報をオンライン家計簿へ送信デジタル watashi アプリの基本情報に登録された年齢情報から成人であることを提示し購入デジタル watashi アプリに登録されたポイントカード情報を表示しポイントを加算 / 使用 1. 診察券リスト画面から該当の病院を選択して予約をとる診察券リスト 2. 診察券画面の QRコードを端末に読ませて受付診察券予約手続 1. 氏名住所情報の他に既往歴やアレルギーの情報を端末に読ませて受付病歴 / お薬手帳 1. 取得したクーポンと成人であることを一括で送信クーポン成人 1. 該当するポイントカードをポイントカードリストから選択しバーコード画面を表示 2. バーコード画面を店員に見せバーコードリーダにて読取りポイントを加算ポイントカードリストポイントカード 4

家計簿から確定申告本人確認プラットフォームと連携しているオンライン家計簿サービスにおいてスマートフォンから読み込んだ領収書情報を蓄積するオンライン家計簿サービスに蓄積された領収書情報の中から医療費控除の対象となる情報を集計する官側ポータル ( 仮想 ) から確定申告サイト ( 仮想 ) にシングルサインオン ( 個人番号カード等で認証 ) を行いオンライン家計簿

20 家計簿から確定申告本人確認プラットフォームと連携しているオンライン家計簿サービスにおいてスマートフォンから読み込んだ領収書情報を蓄積するオンライン家計簿サービスに蓄積された領収書情報の中から医療費控除の対象となる情報を集計する官側ポータル ( 仮想 ) から確定申告サイト ( 仮想 ) にシングルサインオン ( 個人番号カード等で認証 ) を行いオンライン家計簿から確定申告の金額情報を取得し確定申告を行う家計簿サービスへログイン家計簿サービスで情報確認確定申告サイトへログイン医療費控除の申告本人認証 ( パスワード帯域外認証等 ) を実施し家計簿サービスへシングルサインオン家計簿サービスにログイン家計簿サービスにアップされている領収書情報を確認医療費控除金額を計算本人確認プラットフォームにて本人確認を行い官側ポータルを経て確定申告サイトへシングルサインオン確定申告サイトにログイン確定申告画面で家計簿サービスからの控除額を取得し医療費控除の申告を実施本人確認プラットフォームで身元確認領収書情報を確認官側ポータルで身元確認を実施家計簿サービスからの医療費控除額を取得家計簿サービスにシングルサインオン医療費控除金額を計算確定申告サイトへシングルサインオン医療費控除の申告を実施 5

21 所有している製品の登録およびリコール情報を捕捉本人確認プラットフォームと連携している保証書管理サービスにおいてスマートフォンからのバーコード読み取りおよび販売店から取得した保証書情報を蓄積するまた保証書管理サービスはメーカや省庁などからリコール情報を取得し対象製品を保有している利用者に対して通知を行う保証書管理サービスへログイン保証書の管理リコール通知製品の保証を行う本人認証 ( パスワード ) を実施し保証書管理サービスへシングルサインオン保証書管理サービスにログイン購入した製品の保証書をバーコードからの読み取りおよび販売店等から取得して管理保証書管理サービスから所有している製品のリコール情報の通知を受ける本人確認プラットフォームから取得している個人情報を利用してメーカに保証手続きを依頼する本人確認プラットフォームで本人認証リコール情報の通知製品の保証手続き保証書管理サービスにシングルサインオン 6

22 資料 3 平成 27 年度電子経済産業省構築事業 (ID 連携トラストフレームワークを活用した官民連携の在り方に関する調査研究 ) 第 2 回検討委員会資料デジタル watashi アプリを構成するコンポーネントについて平成 28 年 1 月 21 日 JIPDEC( 一般財団法人日本情報経済社会推進協会 ) 電子情報利活用研究部

デジタル watashi アプリの概観 ( 全体構成 ) 初回のみの操作 ( スライド 5 参照 ) マルチ端末デジタル watashi 登録システム本人確認プラットフォーム公的個人認証電子署名検証サービス地方公共団体情報システム機構 (J- LIS) 電子証明書失効情報電子証明書有効性確認 2 回目以降の操作利用者のスマートフォンデジタル watashi 認証アプリ ( スライド

23 デジタル watashi アプリの概観 ( 全体構成 ) 初回のみの操作 ( スライド 5 参照 ) マルチ端末デジタル watashi 登録システム本人確認プラットフォーム公的個人認証電子署名検証サービス地方公共団体情報システム機構 (J- LIS) 電子証明書失効情報電子証明書有効性確認 2 回目以降の操作利用者のスマートフォンデジタル watashi 認証アプリ ( スライド 6 参照 ) デジタル watashi アプリ ( スライド 7 参照 ) Web アプリケーション ID 連携サービスアプリ間認証サービス社会的に共有すべきところ (ID 連携トラストフレームワーク ) 利用者サービスに応じて生体認証 PIN 等が利用可能利用者の PC Web ブラウザクライアントソフトオンラインサービスA リライングパーティオンラインサービス B リライングパーティ対面サービスリライングパーティ対面利用時の属性情報提示 FIDO UAF や類似プロトコルに準拠 ( 認証プラットフォーム事業者内のシステム ) 電子署名の検証プロトコルに準拠 ( 認証プラットフォーム事業者内のシステム ) ID 連携プロトコル (OAuth 対応 ) に準拠 ( 認証プラットフォーム事業者サービス A 事業者サービス B 事業者で共有するシステム ) 1

24 デジタル watashi アプリの機能本人確認プラットフォーム公的個人認証署名検証サービス公的個人認証サービスを利用して利用者の個人番号カードの署名検証 ( 有効性確認 ) を行う ID 連携サービスアイデンティティプロバイダの機能 ( 認証連携属性情報連携 ) を提供するアプリ間認証サービスサービスからの認証要求に対しデジタル watashi アプリを用いた帯域外認証を提供するデジタル watashi アプリデジタル watashi 認証アプリ ( 帯域外認証 ) 主に対面利用を想定した基本情報や属性情報等を表示するデジタル watashi アプリ ( 属性情報表示 ) 主にネットサービスの認証時にスマホを認証装置として利用する際に利用するアプリ 2

25 デジタル watashi アプリのトラストフレームワークについてポリシー : 公的個人認証法ポリシー :ID 連携トラストフレームワーク基準 TFP: 総務大臣 (J-LIS) 地方公共団体情報システム機構 (J-LIS) TFP: 信頼できる第三者機関等認定失効情報総務大臣認定の評価範囲マルチ端末本人確認プラットフォームデジタル watashi 登録システム Web アプリケーション ( 身元確認 ) 公的個人認証電子署名検証サービス評価評価失効情報証跡 DB 申請情報申請情報申請情報申請情報電子署名電子署名電子署名電子署名電子証明書電子証明書電子証明書電子証明書認証アクセス制御利用者のスマートフォンアカウント ID 端末識別子デジタル watashi アプリ属性情報 Web アプリケーション ( 登録認証認証連携属性連携 ) ID 連携サービス (IdP の機能 ) アカウント DB アカウント ID 氏名住所等属性情報アプリ間認証サービス ( 帯域外認証 ) ID 連携 ID 連携トラストフレームワークにおけるアイデンティティプロバイダの評価範囲オンラインサービスデジタル watashi 認証アプリ認証情報認証用 DB 認証情報 3

26 御意見を頂きたい点デジタル watashi アプリを構成するコンポーネントについて不足点はないか? デジタル watashi アプリの信頼性を担保するためにはどのような方法でアプリを配布すべきか? 案 1: 信頼できる第三者 (TFP 等 ) がアプリを配布する案 2: 信頼できる第三者 (TFP 等 ) が正規の配布ポイントを Web 等で公開する案 3: 本人確認プラットフォームが正規アプリの配布ポイントを Web 等で公開する 4

27 参考利用登録の流れ ( 案 ) 本人確認プラットフォーム個人スマホ watashi アプリ ID 連携サービスアプリ間認証サービスアプリストア ID PW メールアドレス or 携帯電話番号の登録アプリインストールアプリ起動 [ アプリダウンロード確認キーと共に端末を特定する情報を送信アカウント登録メール SMS で確認キーを送信確認キーの入力確認キーを送信マルチ端末アカウント登録完了ユーザアカウントと端末の紐付けを登録利用者 PC のマルウェア感染が増加傾向にあることなど踏まえ登録時は耐タンパー性の高いマルチ端末などを利用するカード挿入アカウント ID の入力認証要求公的個人認証署名検証サービス watashiアプリ認証署名用証明証用キー入力券面情報用キー入力カード返却署名用証明証券面画像検証有効性確認 4 情報登録顔写真登録データ登録認証処理個人番号カードの券面情報 AP を利用することにより利用者の顔写真情報を取得する ( 案 ) 派生証明書の生成派生証明書の発行完了通知 5

の要求利用者デジタル watashi 認証アプリの設定されたスマートフォン設定済みのスマートフォンに認証要求が通知されアプリで何らかの認証 (PIN や生体など ) を行う 3

28 参考認証機能 ( デジタル watashi 認証アプリ ) の概要 PC やタブレット等でオンラインサービスを利用する場合 1 サービス利用の要求サービス事業者 (RP) PC/ タブレットサービスログインしてください UserID Password Google Twitter Facebook サブトークン 2 利用者認証 (Authentication) の要求利用者デジタル watashi 認証アプリの設定されたスマートフォン設定済みのスマートフォンに認証要求が通知されアプリで何らかの認証 (PIN や生体など ) を行う 3 利用者認証 On-Line サブトークンサービスから認証要求がきています許可拒否サブトークン発行事業者 (IdP) 認証要求に対し手動もしくは自動でサブトークンの設定されたスマートフォンを選択 6

参考身元証明機能 ( デジタル watashi アプリ ) の概要個人番号カード ( 公的個人認証を含む ) をアンカーにサブトークンに格納される属性情報氏名住所生年月日性別顔写真個人番号カードに基づく Identity ベースとなる Identity に紐づけて管理利用者の実在性を保証公的に認められた属性情報を証明可能診察券社員証 / 学生証会員証ポイントカード

29 参考身元証明機能 ( デジタル watashi アプリ ) の概要個人番号カード ( 公的個人認証を含む ) をアンカーにサブトークンに格納される属性情報氏名住所生年月日性別顔写真個人番号カードに基づく Identity ベースとなる Identity に紐づけて管理利用者の実在性を保証公的に認められた属性情報を証明可能診察券社員証 / 学生証会員証ポイントカードチケット診察券をアンカーにサブトークに格納される属性情報氏名生年月日性別社員証 / 学生証をアンカーにサブトークンに格納される属性情報氏名 ( 旧姓ニックネーム ) 所属会員証をアンカーにサブトークンに格納される属性情報ニックネーム会員番号ポイントカードをアンカーにサブトークンに格納される属性情報ニックネームポイント番号チケットをアンカーにサブトークンに格納される属性情報ニックネーム指定座席日時サービスに応じたクレデンシャルの提示 ( 使い分けによる自己情報のコントロール ) 個人番号カードとの紐づけにより実在性を保証利用者アイデンティティ ( 基本情報や属性情報 ) サービス事業者 (RP) 7

30 参考 : デジタル watashi アプリの要件案 8

31 機能要件 1 本人確認プラットフォーム本人確認プラットフォームに対する要件アプリ配布本人確認プラットフォームがデジタル watashi アプリを提供すること登録身元確認セキュリティ対策の講じられた設備を用いて公的個人認証サービスによる本人確認を実施すること ( コンビニのマルチ端末等の管理された設備を用いマルウェアの感染による中間者攻撃等の対策が取られていること ) サービス要求に応じて定期的に本人確認を実施することアカウント発行本人確認済みの利用者に対しアカウントを発行すること利用者のスマートフォンとアイデンティティの関連づけをおこなうこと ID 連携サービス事業者ごとに異なる ID(PPID) を用いること認証所有物生体認証を活用しパスワードによる認証を無くすことサービス利用のセッションとは別の帯域を用いてユーザ認証を行うことアサーションサービスとの連携は既存の ID 連携技術 (OpenID SAML Oauth 等 ) をセキュアに用いること 9

32 機能要件 2 デジタル watashi アプリデジタル watashi アプリの機能要件デジタル watashi アプリ ( 属性情報表示 ) 利用者の属性情報を視覚的な表示に加え機械可読な方法を提供することデジタル watashi アプリ自体に本人確認プラットフォームによる確認済みの属性情報を格納することにより本人確認プラットフォームを介さずにサービスと連携することも可能であるデジタル watashi アプリは利用者の要求に応じて表示するプロファイルを切り替え可能とすることデジタル watashi アプリで表示 ( 提供 ) する属性情報はサービスや利用場面に応じて抽象化できることデジタル watashi アプリは上記以外の機能を搭載しても良いデジタル watashi 認証アプリ ( 帯域外認証 ) サービス利用者の要求に応じて認証に用いる要素 ( 組み合わせを含む ) を選択できることデジタル watashi アプリでは以下の組み合わせがある LoA1: 所有物 ( スマートフォン ) LoA2: 所有物 + 生体 LoA2: 所有物 + 記憶 (PIN) 10

33 属性を抽象化して表示する機能の実現方法基本的な考え方対面で属性情報を見せる場面であっても開示する属性情報は最低限に抑える抽象化表示の対象属性個人番号カードから取得した基本 4 情報 + 顔写真が対象表示する属性情報と粒度の組み合わせ組み合わせの数は非常に多くなるユーザによる表示方法の細かな設定は操作の複雑性が増すため現実的ではないデモとしては以下の組み合わせの実装を想定住所 + 顔写真地方レベル表示生年月日 + 顔写真区分表示 ( 未成年 18 歳以上 20 歳以上高齢者幼児 ) 都道府県レベル表示年代表示 ( 年代表示 (10 歳刻み )) 市区町村レベル表示年齢表示 (1 歳刻み ) 月表示 ( 星座表示など ) 市民限定イベントの参加者確認など年齢による割引適用など 11

34 非機能要件 ( 本人確認プラットフォームに対する要件 ) 既存または検討中の枠組みによる要求事項公的個人認証署名検証サービス公的個人認証サービスにおける総務大臣認定が必要電子署名等に係る地方公共団体情報システム機構の認証業務に関する法律施行令第 9 条に規定する基準に適合していること ( 参考資料 : 調査票 ) ID 連携サービス ID 連携トラストフレームワークのアイデンティティプロバイダ評価基準への適合 H27 年度までに策定した ID 連携トラストフレームワークの IdP サービス評価基準へ適合していること ID 連携プロトコル及びプロファイル既存の ID 連携プロトコル (OpenID SAML Oauth 等 ) に準拠した実装となっており ID 連携トラストフレームワークにより規定されるプロファイルに基づくことアプリ間認証サービス生体認証を用いる場合は FIDO UAF 等のプロトコル仕様に準拠することデジタル watashi アプリに対する要求事項定期的な身元確認の実施本人確認プラットフォームは定期的に利用者の身元確認を実施することどの位の頻度で本人確認を実施すべきか? デジタル watashi アプリの有効期限デジタル watashi アプリの自体に有効期限を設けることその他の要求事項 12

35 資料 4 平成 27 年度電子経済産業省構築事業 (ID 連携トラストフレームワークを活用した官民連携の在り方に関する調査研究 ) 第 2 回検討委員会資料マイナンバー制度の利活用および官民の ID 連携に関するヒアリングについて平成 28 年 1 月 21 日 JIPDEC( 一般財団法人日本情報経済社会推進協会 ) 電子情報利活用研究部

36 本資料の要点本事業におけるヒアリング事項についてご確認いただきご助言をいただけますようお願い致します 1

37 ヒアリングの視点 1. 事業者ヒアリング公的個人認証の民間開放による官民 ID 連携の利活用のニーズについて現状の身元確認方法と公的個人認証およびデジタルwatashiアプリを利用した場合に経済性利便性の観点からヒアリングを行うユースケース( 家計管理製品安全 ) を事業者の立場から見てもらいマイナンバー制度による経済性利便性についてヒアリングを行うさらに事業者で行われている身元確認方法のレベルを上げることで新規事業の可能性が出ないか? また本人確認を実施したいが出来ていない理由など公的個人認証が事業者に与える好影響がないかを深堀りする 2. 利用者ヒアリング本人確認を伴う手続きにおいてマイナンバー制度( 公的個人認証 ) を利用することによる経済性利便性についてヒアリングを行うユースケース( 家計管理製品安全 ) を見て利用者の立場からマイナンバー制度による経済性利便性についてヒアリングを行う 2

38 1. 事業者ヒアリング ( 公的個人認証利用について ) 現状のサービスにおける身元確認や当人確認の状況をお聞きした上で公的個人認証による官民 ID 連携の利活用やニーズについてヒアリングを行うヒアリング案現状のサービスについてサービスで行っている身元確認当人確認登録時にどのような情報を取得しているか情報の取得の目的 / 理由情報の取得方法登録情報がユーザ本人の情報であるか確認しているか確認する方法頻度確認する目的 / 理由利用時にどのような認証をおこなっているかユーザへサービスを提供するまでにどのようなコスト ( 時間人員費用等 ) がかかるかサービス提供において課題や改善したい点はあるか ID 連携の利用状況 ID 連携 (SNS 等の認証連携を含む ) を行っているか公的個人認証による官民 ID 連携を利用する場合公的個人認証サービスを利用する場合ユーザへサービスを提供するまでの時間や処理にかかるコストは下がるか利用に向けて障壁となることはあるかユーザが確かに存在している本人であることが確認できる場合どのような事 ( プレミアムなサービス等のサービス拡大や新規サービス ) が可能になるかデジタル watashi アプリを利用する場合ユーザの利便性は向上するか利用に向けて何が必要か懸念はあるかデジタル watashi アプリが利用できる場合どのような事 ( 新規サービスの創出等 ) が可能になるか ID 連携を利用する場合利用に向けて何が必要か何が懸念されるか官民連携 / 民民連携ができる場合どのような事 ( プレミアムなサービス等のサービス拡大や新規サービス ) が可能になるか 3

39 1. 事業者ヒアリング ( 公的個人認証利用の候補先 ) サービス登録又は利用時に当人確認を要するサービスを提供している事業者や既に事業者間で ID 連携を行っている民間企業を中心にヒアリング候補先を抽出する (5~10 社程度を想定 ) # ヒアリング候補サービス分類身元確認当人確認 1 宅配サービスオンライン (Web) 自己申告 ID パスワード 2 チケット発券代行サービスオンライン (web アプリ ) 自己申告 ID パスワード 3 スマートフォン診察券サービスオフライン ( アプリ ) 本人確認書類 ( 保険証 ) 4 お薬手帳サービスオンライン ( アプリ ) 本人確認書類 ( 保険証 ) アプリ内に保存された認証情報アプリ内に保存された認証情報 5 名刺管理サービスオンライン ( アプリ ) 自己申告 ( 名刺 ) ID パスワード 6 学生証社員証発行代行サービス 7 インターネットサービスプロバイダオフライン (IC カード ) オンライン (Web) 本人確認書類 ( 卒業証明書等 ) 本人確認書類 ( 免許証等 ) 8 CD/DVD 等レンタルサービスオフライン ( 磁気カード ) 本人確認書類 ( 免許証等 ) 9 ネットオークションオンライン (Web) 本人確認書類 ( 免許証等 ) IC カード ID パスワード磁気カード ID パスワード 4

40 1. 事業者ヒアリング ( ユースケース ) ユースケース ( 家計管理製品安全 ) における官民の ID 連携について事業者の視点から経済性利便性についてヒアリングを行うヒアリング案役割観点ヒアリング項目案 IdP 有効性利用者 (RP/ 利用者 ) の満足度が向上するか利用者 (RP/ 利用者 ) が拡大するかサービスの効率化が図れるか新しいサービス創出の可能性があるか実用性 ID 連携トラストフレームワークの要件に対する負荷は許容範囲か官民の ID 連携を行う際に想定される改修費用はどの程度か RP 有効性利用者の満足度が向上するか利用者が拡大するかサービスの効率化が図れるか新しいサービス創出の可能性があるか ID 連携トラストフレームワークにより官民のID 連携への参入障壁は軽減されるか実用性官民 ID 連携トラストフレームワークの要件に対する負荷は許容範囲か官民 ID 連携を行う際に想定される改修費用はどの程度か事業者間で属性連携する際の語彙等の具体的制度整備は妥当か 5

41 1. 事業者ヒアリング ( ユースケース候補先 ) ユースケース ( 家計管理 / 製品安全 ) に関わる民間企業 (IdP RP) を中心にヒアリング候補先を抽出する # ユースケース役割ヒアリング候補サービス分類 1 共通 IdP インターネットサービスプロバイダオンライン (Web) 2 家計管理 RP 家計簿管理サービスオンライン (Web) 3 電子決済サービスオフライン ( 電子マネー ) 4 お薬手帳サービスオンライン ( アプリ ) 6 製品安全 RP 保証書管理サービスオンライン (Web) 7 家電製品メーカー ( 顧客登録 ) オンライン (Web) なお第 2 回勉強会 (3 月予定 ) を開催し参加者に対して官民 ID 連携の経済性や利便性についてアンケートを行い広く意見を取得する 6

42 ( 参考 ) 事業者ヒアリング ( 新規事業の可能性について ) ヒアリングで確認したい回答イメージ ( 青字 ) 代表的なサービス確認の理由本人確認方法真正性まで目視確認していないネットオークションレンタル会員名刺 / 診察券リスクヘッジコンプライアンスリスクヘッジ不要 ( リスク許容 ) コスト等の理由で本人確認を断念している等費用対効果 ( 対面確認 ) 費用対効果保険証 : 事務処理負荷本人確認レベルを上げることで期待されること実印を伴う取引 ( 車土地 ) の購入レンタル商品の回収率向上名刺 : 電子契約や訪問先での身分提示診察券 : 保険料徴収 7

43 2. 利用者ヒアリング ( 公的個人認証利用について ) 現状のサービスにおける身元確認や当人確認の状況を説明した上で公的個人認証を利用した民間サービスの申し込みや利用についてヒアリングを行うヒアリング案現状のサービス申し込みについてサービスで行っている身元確認当人確認登録時にどのような情報を取得しているか情報の取得方法申込み時利用時にどのような本人確認書類を提示 ( 提出 ) しているか確認する方法確認する書類サービスを受けるまでにどれ位のコスト ( 費用や時間等 ) がかかっているかマイナンバー制度を利用した身元確認について公的個人認証サービスを利用する場合申込みやサービスを利用するまでの時間やかかる費用は下がるかデジタル watashi アプリを利用する場合身元確認がオンラインで可能になることの経済性利便性についてデジタル watashi アプリによって会員証や診察券をスマートフォンに格納できることについてマルチコピー機に設置されているカードリーダーが利用出来ればマイナンバー制度を使ってみたいか 8

44 2. 利用者ヒアリング ( ユースケース ) 項目ヒアリング項目案 1 マイナンバー制度の関心理解 2 マイナンバー制度の利用メリット 3 マイナンバー制度の活用拡大アイディアマイナンバーについてどのように感じているか認知理解度どのような印象イメージをもっているか利用について想定できるか情報態度関心レベル積極的に情報収集をしているか活用している情報および情報源はなにかユースケースについてどのように感じているか現行サービスとの違いが理解できるか利便性を感じるかコスト ( 金銭的時間的など ) メリットを感じるか利用に関して不安に感じることがあるかこんな利用ができると良いなどのアイディア改善点はあるかマイナンバー制度が活用できるとよいと思う場面状況はあるか利便性が高まる場面状況 9

45 ( 参考 ) 利用者ヒアリング ( ユースケースのヒアリング方法 ) 実施方法 : モニターを募集しマイナンバー制度の利活用について説明した上でユースケースのプロトタイピングを用いて利用者の利便性等についてヒアリング ( グループインタビュー ) を行う対象者は成人の男女 IT リテラシーの高い方 ( 普段 PC やスマホを利用されている方 ) マイナンバーについてある程度理解している方を優先とするなお年代ごとで意見が変わることが想定されるため年代別にグループを分けて実施する (20-30 代 :6 名 /40-50 代 :6 名 ) 10

46 御意見頂きたい点等ヒアリング項目について追加した方や良い項目不要な項目があるかヒアリング対象者についてどのような事業者利用者に対してヒアリングを行うと良いかその他お気づきの点委員の皆様には個別のヒアリングについても是非御協力を御願いします 11

47 参考 12

48 ( 参考 ) チケット発券代行サービス事業者の事業概要 : イベント主催から委託を受けチケットの予約発券業務を行っているチケットは紙のみ現状ユーザ登録についてユーザ情報 ( 氏名住所等 ) は自己申告である顕在している課題転売目的のチケット買い占めマイナンバー制度の利活用についてニーズ本人確認ができればダフ屋行為の抑止にはなる課題電子チケットは会場側にリーダーが必要であるが会場側に設備が整っていない主催者側が用意することは難しい電子チケットを導入したこともあったが読み取りのヘルプが必要であり人件費は削減できなかったダフ屋行為は問題だがイベント主催者側としては席が空いてしまう方が問題である紙のチケットは記念として手元に残るため需要があるいかにビジネスにつなげるかチケットだけでなく +α が必要 13

49 ( 参考 ) スマートフォン診察券サービス事業者の事業概要 : 患者に診察券を利用できるアプリを提供 ( スマートフォンに診察券を表示 ) 患者情報は各医療機関が取得利用している現状患者登録等について患者情報 ( 氏名住所等 ) は自己申告である患者情報は問診票や健康保険証から患者管理システム等に入力している健康保険証の有効性確認のため月に 1 回提示を求めている顕在している課題健康保険証からは本人確認ができずなりすましの危険性がある患者の健康保険資格がなくなっており医療費の未回収がある ( 後日連絡しても連絡先が変更となっている場合がある ) 患者は自己負担金の支払いで完結しており健康保険証の提示を重要視していないマイナンバー制度の利活用についてニーズ健康保険証の有効性確認がリアルタイムにできると未回収問題が解決できる本人確認ができればなりすまし防止できる課題システム導入は難しい ( 本人確認にコストはかけられない ) 医療機関の事務手続きを変更することが難しい本人確認をすることによる患者側のメリットが難しいマイナンバー制度と医療情報の利用がどうなっていくのかまだ見えない部分が多い 14

ID連携トラストフレームワーク勉強会第２回

ID連携トラストフレームワーク勉強会第２回 ID 連携トラストフレームワーク勉強会官民 ID 連携とマイナンバー制度の利活用 ~ デジタル watashi アプリ公的個人認証等の利活用について ~ デジタル watashi アプリを利用したユースケースの御紹介平成 2 8 年 3 月 1 7 日 JIPDEC( 一般財団法人日本情報経済社会推進協会 ) 電子情報利活用研究部 dupc-identity@tower.jipdec.or.jp