１ はじめに
１.１ 背景と目的
1) 本人確認とデジタルアイデンティティを取り巻く環境
本ガイドラインの前身となる「DS-500行政手続におけるオンラインによる本人確認の手法に関するガイドライン」（2019年（平成31年）2月25日各府省情報化統括責任者（CIO）連絡会議決定）は、各府省が行政手続をデジタル化する際に必要となる本人確認に関する基準、手法例、リスク評価の手順等をとりまとめた文書として策定されたものである。
同ガイドラインの策定以降、我が国ではいわゆるデジタル手続法の施行、マイナンバーカードの普及・利活用の推進などが進められ、本人確認においてデジタルアイデンティティ[^1]を取り扱う機会が急速に拡大した。同時に、本人確認書類の偽造、オンラインサービスにおけるフィッシング攻撃、生成AIを悪用したディープフェイクによるなりすましなど、本人確認に対する脅威も高度化の一途をたどっており、本人確認とデジタルアイデンティティを取り巻く環境は大きく変化している。
2) デジタルアイデンティティに関する諸外国の動向
諸外国においても、デジタルアイデンティティに関するガイドライン等の見直しや新規制定が活発に進められている。米国では、米国国立標準技術研究所（NIST）が発行する米国連邦政府向けのデジタルアイデンティティガイドラインであるSP 800-63が2025年8月に全面改定され、フィッシング対策の強化、プライバシーや利用者体験への配慮の強化、運転免許証をスマートフォンに格納して利用できる仕組みである「モバイル運転免許証（mDL）」への対応などが盛り込まれた。また、欧州においては「欧州デジタルアイデンティティ規則（The European Digital Identity Regulation）」と称される規則が2024年5月に施行され、様々なデジタル資格情報をスマートフォンに格納して利用するための「EU Digital Identity Wallet」の導入に向けた検討が欧州各国で進められている。
3) 本ガイドラインの目的
本ガイドラインは、前述のような環境の変化を踏まえ、我が国の行政手続等での本人確認におけるデジタルアイデンティティの取扱いを最新の脅威・技術等に適応させるべく、「DS-500行政手続におけるオンラインによる本人確認の手法に関するガイドライン」を全面改定する形で制定したものである。
本ガイドラインにより、国の行政手続等における本人確認が、それぞれのリスクに応じた適切な手法によって実施され、ひいては安全・安心で、公平かつ利便性の高い行政サービスの実現に資することを目的とする。
１.２ 適用対象
本ガイドラインは、国の行政機関が提供する行政手続又は行政サービス（以下「対象手続」という。）において、個人又は法人等が申請・届出・アカウント登録・ログイン等を行う際の本人確認を対象とする。
また、法人等の手続における身元確認については、個人に対する身元確認とは異なる考え方や手法が必要となるため、その考え方、プロセス、手法例を「別紙２ 法人等の手続における身元確認の考え方について」で示す。
なお、委任や代理人等の条件については対象手続に関係する法令等に従うものとし、本ガイドラインの対象外とする。
１.３ 位置付け
本ガイドラインは、デジタル社会推進標準ガイドラインにおける「標準ガイドライン（Normative）：政府情報システムの整備及び管理に関するルールとして順守する内容を定めたドキュメント」として位置付ける。
１.４ 用語
本ガイドラインにおいて使用する用語は、標準ガイドライン群用語集及び表１-1のとおりとする。ただし、標準ガイドライン群用語集と異なる定義をするときは、標準ガイドライン群用語集と異なる定義であることが明確となるように記載するものとする。なお、参照しやすいよう文中の注記等にて用語集と同様の定義を記載する場合がある。
標準ガイドライン群用語集及び標準ガイドライン群各文書中に用語の定義をしていないものは、一般的な用語の意義を用いるものとする。その他専門的な用語については、民間の用語定義を参照されたい。
なお、国の行政機関における本人確認やデジタルアイデンティティにおいては、諸外国との国際的な相互運用性が求められる場面が想定されるため、用語の対応関係を明確にすることを目的として、一部の用語には対応する英語表記を併記する。
| 用語 | 意味 |
|---|---|
| 本ガイドライン全般に係る用語 | |
| 本人確認 | 申請者の実在性や当人性を確認する行為のこと。本ガイドラインでは、本人確認を「身元確認」、「当人認証」及び「フェデレーション」の3つの要素に分解して説明する。 [補足]一般に多義的に用いられる用語であるため、対象手続に関連する法令等での定義とは異なる場合があることに留意すること。 |
デジタルアイデンティティ （Digital Identity） |
ある主体(Entity)をデジタル空間において表現するための属性の集合のこと。 |
| 身元確認 （Identity Proofing） |
申請者を一意に識別するとともに、その実在性を確認すること。 具体的には、申請者の属性情報を収集することで申請者を一意に識別するとともに、収集した属性情報が真正かつ申請者自身のものであることを本人確認書類により検証することで、申請者が実在かつ生存する人物であることを確認する。 |
| 当人認証（Authentication） | 申請者の当人性を確認すること。 具体的には、対象手続を利用しようとする者が、身元確認時に登録された者と同一の人物であることを、申請者と紐づけて登録した認証器等を用いて確認する。 |
| フェデレーション（Federation） | 身元確認や当人認証を、他者に依拠して実現すること。 具体的には、信頼できるIDプロバイダと連携し、IDプロバイダによって行われた身元確認や当人認証の結果に関する情報を入手することで、対象手続における本人確認を実現する。 |
申請者 （Applicant / Claimant） |
対象手続において、申請・届出・アカウント登録・ログイン等を行おうとする個人又は法人等の担当者のこと。 申請者は必ずしも対象手続の正当な利用者とは限らないため、「身元確認」や「当人認証」によって検証する必要がある。 |
| 法人等 | 本ガイドラインでは、国税庁長官により法人番号の指定を受けた法人のことを指す。 |
| 保証レベル | 本人確認の確からしさを段階的に表現するためのレベル。本ガイドラインでは「身元確認保証レベル」と「当人認証保証レベル」の2種類の保証レベルの位置づけと対策基準を定義する。 |
| 対策基準 | 対象手続の本人確認において実施すべき対策の基準を定めたもの。 |
| 身元確認（Identity Proofing）に係る用語 | |
| 属性情報（Attributes） | ある主体が備えている性質や特徴に関する情報。[例]氏名、生年月日、住所など。 |
| 本人確認書類 （Identity Evidence） |
身元確認において、申請者が主張する属性情報の証拠として用いる書類。 [補足]マイナンバーカードや運転免許証などの物理的な本人確認書類のほか、スマートフォンに格納されたデジタル証明書なども本人確認書類になり得る。 |
| 真正性 | 情報、データ、文書などが本物であり、偽造や改ざんがされていないこと。本ガイドラインでは本人確認書類の真正性について扱う。 |
| デジタル署名 （Digital Signature） |
公開鍵暗号を用いた電子的な署名情報のこと。デジタル署名を検証することで、署名者の検証及び署名対象情報が改ざんされていないことの検証を実現できる。 |
| 信頼できる情報源 （Authoritative Source） |
本人確認書類の記載情報を保持している権威ある組織やシステム等。本人確認書類の検証において、記載情報を照会することで正確性や非改ざん性を確認する際に用いられる。 |
| 当人認証（Authentication）に係る用語 | |
| 知識情報 | パスワードや暗証番号等、利用者本人のみが知り得る情報。 |
| 所持情報 | 秘密鍵を格納したICカードやスマートフォン、ワンタイムパスワード生成器、乱数表など、利用者本人のみが所持する所有物に関する情報。 |
| 生体情報 | 顔、指紋、光彩、静脈等、本人のみがもつ生体的特徴に関する情報。これを用いる認証方法を生体認証と呼ぶ。 |
| 単要素認証 （Single-Factor Authentication） |
「知識情報」、「所持情報」、「生体情報」のうち、単一の要素のみを用いて当人認証を行う方式。 |
| 多要素認証 （Multi-Factor Authentication） |
「知識情報」、「所持情報」、「生体情報」のうち、複数を組み合わせて当人認証を行う方式。 |
| 認証器 （Authenticator） |
当人認証に用いるために申請者が所持し管理する情報、機器、ソフトウェア等の総称。 [例]パスワード、ワンタイムパスワード生成器、公開鍵暗号を格納したデバイスなど。 |
| フィッシング攻撃 （Phishing Attack） |
利用者を偽のサイトに誘導し、入力されたパスワードや個人情報等を窃取する攻撃。 [補足]窃取した情報をリアルタイムに中継することでワンタイムパスワード認証等を突破する攻撃手法も存在する。 |
| SIMスワップ （SIM Swap） |
携帯電話会社のSIMカードの再発行手続等に対してなりすまし等の攻撃を行い、利用者の携帯電話番号を乗っ取る攻撃。 |
| サイドチャネル攻撃 | ICカード等のハードウェアを物理的に観測することで得られる情報（消費電力、電磁場、処理時間等）を基に、内部の秘匿された秘密鍵等の情報を復元する攻撃。 |
| 耐タンパ性 | 暗号鍵を格納する機器等において、内部に格納された情報の不正な読み出し、改ざんなどの攻撃（物理的な解析攻撃やサイドチャネル攻撃等）への耐性を示す度合いのこと。 一般に、「耐タンパ性を備えている」「耐タンパ性がある」と表現する場合、そのような攻撃が極めて困難であることを意味することが多い。 |
| フェデレーション（Federation）に係る用語 | |
| IDプロバイダ （Identity Provider） |
フェデレーションによる連携を行うモデル（連携モデル）において、申請者に対する身元確認や当人認証を行い、その結果に関する情報を依拠当事者へと連携する主体のこと。 |
| 依拠当事者 （Relying Party） |
連携モデルにおいて、身元確認や当人認証をIDプロバイダに依拠する主体のこと。 |
| アサーション （Assertion） |
連携モデルにおいて、身元確認や当人認証の結果に関する情報を連携するために、IDプロバイダから依拠当事者へと発行される情報のこと。 |
| アサーションインジェクション攻撃（Assertion Injection Attack） | 偽造・改ざん・再利用などによる不正なアサーションを依拠当事者に提示することで、不正アクセス等を行う攻撃。 |
| 共有シグナル （Shared Signaling） |
IDプロバイダと依拠当事者の間で、利用者アカウントの停止、侵害の疑い、属性情報の変更などを共有するために用いられる情報のこと。 |
１.５ 基本的な考え方
本人確認は、単に高いセキュリティを確保すればよいというものではなく、事業目的の遂行、公平性、プライバシーなど様々な観点を考慮した検討が必要となる。本ガイドラインに基づく検討は、以下に示す5つの観点を念頭において実施するものとする。
1) 事業目的の遂行
本人確認が障壁となって、対象手続が達成しようとする事業目的が阻害されてはならない。
例えば、災害発生時における緊急性の高い手続において必要以上に厳格な本人確認手法を求めた場合、それが申請の妨げとなり、本来の事業目的を阻害してしまうおそれがある。
採用しようとする本人確認手法において事業目的の遂行を阻害する懸念がある場合には、代替の手段や例外措置をあわせて検討する必要がある。
2) 公平性
本人確認手法によって、対象手続の公平性が損なわれてはならない。
例えば、スマートフォンの所持のみを前提とする当人認証手法は、スマートフォンを所有しない利用者にとって利用が難しく、窓口への来訪を必須とする本人確認手法は居住地が窓口から遠い利用者にとって不利となり得る。このほか、性別、居住地、職業、身体/認知機能、障害の有無などによって対象手続の申請や利用における公平性が損なわれないかの評価を行い、不公平性の懸念が生じる場合には、代替、追加手段の提供や例外措置をあわせて検討する必要がある。
3) プライバシー
本人確認においては個人に関する情報を取り扱うため、個人情報やプライバシーの保護について十分な留意が必要である。例えば、本人確認に不必要な情報が本人確認の名目で取得されたり、本人確認のために収集された個人情報が不適切に二次利用されたりすると、利用者に不必要なプライバシーリスクを課すことになりかねず、また事業そのものの信頼性を損ないかねない。
そのため、個人情報の取得時における利用目的の明示や、利用目的の達成に必要な範囲に限定した保有などの個人情報保護法に準拠した取扱いを徹底するとともに、プライバシー影響評価やプライバシー・バイ・デザイン等の取組を行う必要がある。
4) アクセシビリティ及びユーザビリティ
提供する本人確認手法は障害の有無にかかわらず利用できるもの（アクセシビリティ）であり、利用者にとって使いやすいもの（ユーザビリティ）でなくてはならない。
提供する本人確認手法におけるアクセシビリティ及びユーザビリティが十分に配慮されていないと、特定の申請者が誤操作を行う、手続を断念する原因にもなり、事業目的の遂行や公平性に大きな影響を与えることになる。
5) セキュリティ
セキュリティ強度の高い本人確認手法は、前述の事業目的の遂行、公平性、プライバシー、アクセシビリティ及びユーザビリティの観点ではデメリットを抱えている場合がある。したがって、セキュリティ面のリスクの影響度を考慮しつつ、事業目的の遂行、公平性、プライバシー、アクセシビリティ及びユーザビリティへの影響も踏まえた適切な手法の選択が必要である。