第 5 回社会情報流通基盤研究センター シンポジウム 金融 決済分野における公的個人認証サービスの活用に関する考察 平成 27 年 4 月 14 日東京工業大学ソリューション研究機構社会情報流通基盤研究センター藤田和重
( 研究の背景 ) 本日の報告の概要 マイナンバー制度 ( 平成 28 年 1 月より開始予定 ) の導入に伴い e-tax 等の電子申請に利用されてきた 公的個人認証サービス に 電子証明 ( 電子認証 ) の機能が追加されるとともに 民間での活用が可能となる ( 関連法令改正済 ) ( 前回の報告内容 ) 公的個人認証サービス の民間活用に関して 基本的な仕組みや想定される活用事例を 具体的な業務フローを交えて紹介 ( 今回の報告内容 ) これらの検討をさらに進め 特に金融 決済分野において 電子証明 の機能を活用するための具体的なシステム構成や 関連する技術面 制度面での課題等について考察 1
目次 1. はじめに ( 研究の背景等 ) 2. 金融 決済分野における公的個人認証サービスの活用 3. 署名検証者及び証明検証者の制度的位置付け 4. 今後の検討課題 5. おわりに ( まとめ ) 2
1. はじめに ~ 研究の背景 ~ 社会保障 税番号 ( マイナンバー ) 制度 の導入に伴い 公的個人認証サービス に従来の 電子署名 の機能に加えて 電子証明 の機能が追加 ( マイ ポータル への安全なログイン手段 ) また 従来は 電子署名 の検証は行政機関等に限定されていたが 今後は 電子署名 及び 電子証明 の検証は 総務大臣が認める民間事業者も可能 以上を踏まえ ID パスワード方式よりも高いセキュリティレベルが要求されると考えられる金融 決済分野を取り上げ 公的個人認証サービス の具体的な利用可能性について考察 3
1. はじめに ~ 現在の公的個人認証サービスの概要 ~ インターネットを通じて安全 確実な行政手続き等を行うために 他人によるなりすまし申請や電子データが通信途中で改ざんされていないことを確認するための機能を提供 ( 平成 16 年 1 月よりサービス開始 ) 都道府県知事が 電子署名 のための 電子証明書 を発行 ( 住基カードに記録 ) 署名用証明書署名用シリアル番号署名用公開鍵基本 4 情報 申請書 住基カード 行政機関等 インターネット オンライン申請 (e-tax 等 ) ネット上の なりすまし や データ改ざん を防止 電子署名を付与 署名用秘密鍵 4
1. はじめに ~ 公的個人認証法の改正 ~ 現状 今後 根拠法令 電子署名に係る地方公共団体の認証業務に関する法律 電子署名等に係る地方公共団体情報システム機構の認証業務に関する法律 サービス提供主体都道府県地方公共団体情報システム機構 媒体住民基本台帳カード個人番号カード ( 標準搭載 ) 機能 電子署名 電子署名 電子証明 ( 電子認証機能 ) 検証者 行政機関等 行政機関等 総務大臣が認める民間事業者 ( 注 ) 電子署名と電子証明とでは別の鍵ペアを使用 ( 参考 : 個人番号カードの主な機能 ) 個人番号の確認 公的個人認証 身分証明書 自治体の独自サービス 5
< マイ ポータルでの利用 > マイ ポータル 入力画面 1. はじめに ~ 電子証明の利用イメージ ~ 1IC カードセット (PIN 入力 ) < 民間サービスでの利用 > サービス提供者 ( 金融 医療等 ) 入力画面 1IC カードセット (PIN 入力 ) 5 証明用シリアル番号からフォルダを呼び出し 2 電子証明書の送信 5 証明用シリアル番号から顧客情報を呼び出し 2 電子証明書の送信 証明用証明書 証明用証明書 証明用公開鍵 4 電子証明の検証 証明用公開鍵 4 電子証明の検証 紐付 証明用シリアル番号 紐付 証明用シリアル番号 6 マイナンバーに関係する個人情報のやりとりの記録を確認 公的個人認証 3 電子証明書の有効性確認 6 各種サービスへアクセス 公的個人認証 3 電子証明書の有効性確認 電子証明書失効情報 民間サービスでも同様の仕組みの活用が可能 電子証明書失効情報 6
2. 金融 決済分野における公的個人認証サービスの活用 ~ 公的個人認証サービスの活用における基本システム構成 ~ サービス提供者 情報管理機能 情報 ID (5) 情報の確認及びサービス提供 個社で整備? or 共通的 PF を構築? ID シリアル番号 3JPKI インタフェース機能 (4) 電子署名 / 電子証明の検証 2 紐付管理機能 紐付 電子証明書有効性確認 署名 / 証明検証 (3) 電子証明書の有効性確認 公的個人認証サービス ( 地方公共団体情報システム機構 ) 1JPKI 情報読取機能 カードリーダ (2) 電子証明書の送信署名用証明書署名用シリアル番号署名用公開鍵基本 4 情報 証明用証明書 証明用シリアル番号 証明用公開鍵 (1) IC カードセット (PIN 入力 ) PIN 入力を行わないケースも想定 新たに必要となる機能 電子証明書失効情報 シリアル番号紐付情報 7
2. 金融 決済分野における公的個人認証サービスの活用 ~ 金融 決済サービスにおけるネットワーク構成 ~ < クレジットカード / デビットカード > < キャッシュカード (ATM)> NTT データホームページより http://www.nttdata.com/jp/ja/lineup/cafis/ NTT データホームページより http://www.nttdata.com/jp/ja/lineup/integration_atm_ switching/index.html 8
2. 金融 決済分野における公的個人認証サービスの活用 ~ クレジットカード機能の実現可能性 ~ ( 店舗窓口 ) JPKI( 電子証明 ) のPIN を入力する店舗窓口で個人番号カードを提示 1JPKI 情報読取機能 電子証明を送信する 証明用証明書 ( 証明用シリアル番号 証明用公開鍵 ) 電子証明 現状ではここから開始 ( クレジットカードの提示 ) ( クレジットカードの暗証番号を入力し ) 決済要求を行う 利用条件により暗証番号の入力不要の場合あり クレジットカード番号 ( 暗証番号 ) 決済金額 決済を実行する ( またはエラー処理を確認する ) 決済情報を通知する 中継サービス ( 共通的 PF) 証明用シリアル番号から該当するの存在を確認する紐付 2 紐付管理機能 OK NG 証明用証明書の有効性確認及び電子証明の検証を行う 3JPKI-I/F 機能 ( クレジットカードの暗証番号及び ) 決済金額を要求する エラー処理を返す 該当するクレジットカード会社へ転送する クレジットカード番号 ( 暗証番号 ) 決済金額 クレジットカード会社からの確認結果を返す クレジットカード会社へ転送する 公的個人認証サービス 証明用証明書の有効性確認を行う JPKI 利用の場合に新たに必要となる業務 証明用証明書の失効リスト クレジットカード会社 X JPKI を利用しない現状の業務フローと異なる情報の流れを見え消しで表記 暗証番号を確認する OK NG 暗証番号が入力された場合のみ 顧客情報の有効性を確認する OK NG 決済を許可する エラー処理を返す 決済代金を回収する 9
2. 金融 決済分野における公的個人認証サービスの活用 ~ デビットカード機能の実現可能性 ~ ( 店舗窓口 ) JPKI( 電子証明 ) のPIN を入力する店舗窓口で個人番号カードを提示 1JPKI 情報読取機能 電子証明を送信する 証明用証明書 ( 証明用シリアル番号 証明用公開鍵 ) 電子証明 現状ではここから開始 ( デビットカードの提示 ) デビットカードの暗証番号を入力し 決済要求を行う 口座番号 暗証番号 決済金額 決済を実行する ( またはエラー処理を確認する ) 中継サービス ( 共通的 PF) 証明用シリアル番号から該当するの存在を確認する紐付 2 紐付管理機能 OK NG 証明用証明書の有効性確認及び電子証明の検証を行う 3JPKI-I/F 機能 デビットカードの暗証番号及び決済金額を要求する エラー処理を返す 該当する金融機関へ転送する 口座番号 暗証番号 決済金額 金融機関からの確認結果を返す 公的個人認証サービス 証明用証明書の有効性確認を行う JPKI 利用の場合に新たに必要となる業務 証明用証明書の失効リスト 金融機関 X JPKI を利用しない現状の業務フローと異なる情報の流れを見え消しで表記 暗証番号を確認する OK NG 口座残高を確認する OK NG 決済を許可する エラー処理を返す 10
2. 金融 決済分野における公的個人認証サービスの活用 ( 金融機関 ATM) ATM に個人番号カードを挿入 JPKI( 電子証明 ) の PIN を入力する 1JPKI 情報読取機能 ~ キャッシュカード機能の実現可能性 ~ 電子証明を送信する 証明用証明書 ( 証明用シリアル番号 証明用公開鍵 ) 電子証明 現状ではここから開始 ( キャッシュカードの挿入 ) キャッシュカードの暗証番号及び引き出し金額を入力する 口座番号 暗証番号 引き出し金額 引き出し金額を受け取る ( またはエラー処理を確認する ) 金融機関 Y 金融機関 X 中継サービス ( 共通的 PF) 公的個人認証サービス 証明用シリアル番号から金融機関 Xのかどうか NG 確認する紐付 2 紐付管理機能 OK 証明用証明書の有効性確認及び電子証明の検証を行う 3JPKI-I/F 機能 証明用証明書の失効リスト JPKI 利用の場合に新たに必要となる業務 口座番号 証明用シリアル番号 暗証番号 引き出し金額 金融機関 X の場合証明用証明書の有効性確認を行う 3JPKI-I/F 機能証明用証明書の有効性確認及び電子証明の検証を行う 金融機関 Y の場合 キャッシュカードの暗証番号及び引き出し金額を要求する 紐付 2 紐付管理機能 中継サービスへ転送する 証明用シリアル番号を確認し 該当する金融機関へ転送する 口座番号 証明用シリアル番号 暗証番号 引き出し金額証明用シリアル番号等を確認し 引き出しの可否を返す紐付 2 紐付管理機能 自行 他行 暗証番号を確認する OK NG OK NG 金融機関 X における確認作業と同様 口座残高を確認する NG OK 希望金額の引き出しを許可する エラー処理を返す JPKI を利用しない現状の業務フローと異なる情報の流れを見え消しで表記 11
2. 金融 決済分野における公的個人認証サービスの活用 ~ 留意事項 ~ 紐付管理機能 において管理する 顧客情報 の範囲 共通的 PF( 中継サービス ) において クレジットカード番号や口座番号そのものをデータベース化して管理することに関し サービス提供者の顧客情報管理ポリシー等の観点での検討が必要 紐付管理機能 において管理する 顧客情報 の数 1つの証明用シリアル番号に複数のカードの情報が紐付けられる場合は がどのカードの利用を希望しているのか 選択させるための機能の提供が必要 暗証番号等の入力の考え方 JPKIのPIN あるいはクレジットカードの暗証番号を省略することの是非についてさらなる検討が必要 12
3. 署名検証者及び証明検証者の制度的位置付け ~ 検証者に関する制度の概要 ~ 新しい JPKI においては 政令で定める基準に基づいて総務大臣が認定する民間事業者が署名検証者及び証明検証者となることができる ( 改正 JPKI 法第 17 条及び第 36 条 ) これら検証者は 他に提供されることを予定して署名用シリアル番号や証明用シリアル番号が記録されたデータベースを構成することが許される ( 改正 JPKI 法第 63 条 ) 検証者には 以下の義務等が課せられる 上述の総務大臣による認定基準への適合 電子証明書の失効情報の目的外利用等の禁止 電子証明書の失効情報の利用の対価負担等 13
3. 署名検証者及び証明検証者の制度的位置付け どちらが 検証者 なのか? サービス提供者 (4) 電子署名 / 電子証明の検証 共通的 PF ( クレジットカード会社 ) ( 中継サービス ) 情報管理機能 情報 ID ( カード番号等 ) (5) 情報の確認及びサービス提供 2 紐付管理機能 紐付 ID シリアル番号 ( カード番号等 ) 3JPKI インタフェース機能 電子証明書有効性確認 署名 / 証明検証 (3) 電子証明書の有効性確認 公的個人認証サービス ( 地方公共団体情報システム機構 ) 電子証明書失効情報 シリアル番号紐付情報 1JPKI 情報読取機能 カードリーダ (2) 電子証明書の送信 証明用証明書 電子証明 < 着目すべき点 > (1) IC カードセット (PIN 入力 ) 各の証明用シリアル番号とカード番号とを確実に紐付けする責任を最終的に負うのは誰なのか 証明用証明書の有効性確認及び電子証明の検証の結果を最終的に利用するのは誰なのか 14
3. 署名検証者及び証明検証者の制度的位置付け こちらが 検証者 ( サービス提供者の場合 ) サービス提供者 ( クレジットカード会社 ) 情報管理機能 情報 ID ( カード番号等 ) (5) 情報の確認及びサービス提供 検証を 委託 (4) 電子署名 / 電子証明の検証 共通的 PF ( 中継サービス ) 2 紐付管理機能 紐付 ID シリアル番号 ( カード番号等 ) 3JPKI インタフェース機能 電子証明書有効性確認 署名 / 証明検証 (3) 電子証明書の有効性確認 公的個人認証サービス ( 地方公共団体情報システム機構 ) 電子証明書失効情報 シリアル番号紐付情報 1JPKI 情報読取機能 カードリーダ (2) 電子証明書の送信 証明用証明書 電子証明 < 着目すべき点 > (1) IC カードセット (PIN 入力 ) 各の証明用シリアル番号とカード番号とを確実に紐付けする責任を最終的に負うのは誰なのか 証明用証明書の有効性確認及び電子証明の検証の結果を最終的に利用するのは誰なのか 15
3. 署名検証者及び証明検証者の制度的位置付け サービス提供者 ( クレジットカード会社 ) ID 変換機能 ID 変換 ID 変換用 ID ( カード番号等 ) 情報管理機能 情報 ID ( カード番号等 ) (5) 情報の確認及びサービス提供 検証を 代行 こちらが 検証者 ( 共通的 PF の場合 ) (4) 電子署名 / 電子証明の検証 共通的 PF ( 中継サービス ) 2 紐付管理機能 紐付 変換用 ID シリアル番号 3JPKI インタフェース機能 電子証明書有効性確認 署名 / 証明検証 (3) 電子証明書の有効性確認 公的個人認証サービス ( 地方公共団体情報システム機構 ) 電子証明書失効情報 シリアル番号紐付情報 1JPKI 情報読取機能 カードリーダ (2) 電子証明書の送信 証明用証明書 電子証明 < 着目すべき点 > (1) IC カードセット (PIN 入力 ) 各の証明用シリアル番号とカード番号とを確実に紐付けする責任を最終的に負うのは誰なのか 証明用証明書の有効性確認及び電子証明の検証の結果を最終的に利用するのは誰なのか 16
3. 署名検証者及び証明検証者の制度的位置付け < 委託 の場合 > ~ 留意事項 ~ 検証者 である個々のサービス提供者は 総務大臣による認定基準への適合や 電子証明書の失効情報の対価負担などが求められる < 代行 の場合 > 検証者 である共通的 PF は 総務大臣による認定基準への適合や 電子証明書の失効情報の対価負担などが求められる 他方 個々のサービス提供者は 以下の点に留意が必要 自らが 検証者 となる場合と比較し 認証のセキュリティレベルは必然的に低下 ( 共通的 PFとの契約関係によりJPKIの認証結果を利用 ) 自らが電子証明書のシリアル番号を保持 管理しないための仕組みが必要 顧客情報等の個人データを共通的 PFに提供することに関し 個人情報保護のため適切な措置を講ずることが必要 ( の事前同意等 ) 17
4. 今後の検討課題 実サービスに繋げていくためには 個別のユースケースごとに 適切なシステム構成や 具体的な費用対効果について更に詳しく検討することが必要 個人番号カードで単一の機能を代替するだけでなく 複数の機能を集約すること ( ワンカード化 ) で 側の利便性が飛躍的に向上することが期待そのためには 保健医療等の他の分野も含めた様々な業界の理解増進や連携促進のための環境づくりが重要 ( ワンカード化の例 ) 医療機関における受付から支払い さらには薬局での薬の受け取りまでが 個人番号カードだけで可能になること JPKI の 変更確認 のユースケースの活用可能性についても あわせて検討していくことが有効 18
4. 今後の検討課題 ~ 変更確認のイメージ ~ 事前に何らかの手続を電子的に実施 サービス提供者 情報管理機能 個社で整備? or 共通的 PF を構築? 2 紐付管理機能 1JPKI 情報読取機能 カードリーダ (1) IC カードセット (PIN 入力 ) 情報 ID 紐付 ID シリアル番号 (2) 電子証明書の送信 新規契約 or 契約変更 申込書 (5) 情報の確認及びサービス提供 3JPKIインタフェース機能 電子証明書有効性確認 ( 電子署名付 ) 署名 / 証明検証 に住所等変更手続を依頼 署名用証明書を保存しておき 定期的にその有効性を確認 住所等の変更が生じた場合に署名用証明書が失効 (4) 電子署名 / 電子証明の検証 公的個人認証サービス 電子証明書失効情報 (3) 電子証明書の有効性確認 失効している場合 署名用証明書 署名用シリアル番号 署名用公開鍵 基本 4 情報 < メリット > 定期的に契約内容確認書類を郵送したり 営業職員が訪問するためのコストが削減可能 19
5. まとめ マイナンバー制度 の導入に伴い 公的個人認証サービス ( 電子署名及び電子証明 ) の民間活用が可能 金融 決済分野を例に取り上げ クレジットカード デビットカード ATM などのサービス提供における公的個人認証サービスの具体的な利用可能性について考察 今後 安全性やプライバシーに配慮しつつ 更なるユースケースの検討や 実際のサービス導入に際した費用対効果等の検証等を行っていくことが必要 20