一般社団法人OpenIDファウンデーション・ジャパンは、最新の技術動向や法制度・脅威環境の変化に合わせてアップデートした「民間事業者向け デジタル本人確認ガイドライン 第1.3版 本人確認手法編」を公開いたしました。

マイナンバーカードの保有率は人口の80%を超え、マイナンバーカードのスマートフォン搭載が進んでいます。一方で、フィッシングをはじめとする本人確認プロセスを悪用した犯罪は後を絶たず、既存の本人確認方式をベースとしたサービスが大きな変革を求められる時期となっています。今回公開した第1.3版では、これらの環境変化に対応すべく、主に以下の点を中心に内容の拡充を行いました。

1. ICチップの読み取りやスマホに格納されたデータの取得に関する情報の詳細整理
本人確認書類のICチップ読み取りやスマホに格納されたデータの取得に関する情報について詳細に整理しました。さらに、本人確認書類の系譜を調査しそれぞれの本人確認書類の関係性や属性突合の時の失敗パターンについても整理しました。

2. フィッシング耐性に関する考察の深化
高度化するリアルタイムフィッシング攻撃に対抗するため、フィッシング耐性のある多要素認証を対応すべきリスクに応じて導入することを求められています。しかし、「フィッシング耐性のあり・なし」の二元論では、フィッシング耐性のある認証器にアクセスできないユーザのセキュリティは一向に改善しません。そのため、「想定しうるリアルタイムフィッシング攻撃の特性に対して、それぞれの認証方式がどこまで有効か」を類型化して、各認証方式における評価をしています。

3. 【継続・重要】犯収法施行規則に基づく身元確認手法の「汎用的な名称」の活用推進
前回からの継続となりますが、極めて重要なポイントとして、犯罪による収益の移転防止に関する法律（犯収法）の施行規則に規定されている非対面の身元確認手法について整理を行っています。

これまで実務上で慣例的に用いられてきた「カタカナ方式（『ホ』方式、『ヘ』方式など）」は、施行規則が改正されるたびに項番（カタカナ）が変更される可能性があり、事業者間や関係省庁との意思疎通において齟齬や困難をきたすケースが生じています。
これを解決するため、本ガイドラインでは各手法に対して特定の条項ズレに依存しない汎用的に利用できる名称（例：「容貌確認方式（ICチップ型）」「JPKI署名用電子証明書方式」「銀行顧客照会方式」など）を定義しています（下図参照）。無用なコミュニケーションエラーを防ぐためにも、是非ともこの汎用的な名称をご活用ください。

2023年の初版から続く知見をベースに、現時点でのベストプラクティスを収集した本資料が、皆様のサービスの安全性と利便性を両立させる一助となることを期待しております。

▽ダウンロードはこちらから▽
民間事業者向け デジタル本人確認ガイドライン 第1.3版 本人確認手法編

KYC ワーキンググループは今後も活動を続けていくことを計画しています。
ご興味のある方は是非事務局にお声がけください。

---
本件に関するお問い合わせ：
OpenIDファウンデーション・ジャパン事務局
contact@openid.or.jp