４　本人確認手法の検討方法

本人確認手法の検討は、表 ４‑1のプロセスに従って行うものとする。各プロセスの検討結果は文書化して管理し、継続的な評価と改善に活用すること。

表 ４‑1　本人確認手法の検討プロセスの全体像
No. 検討プロセス 概要
1 対象手続の保証レベルの判定 リスクの特定 対象手続の機能やサービス等を踏まえつつ、本人確認のリスクを特定する。
2 リスクの影響度の評価 特定したリスクが顕在化した場合の影響度の大きさを3段階で評価する。
3 保証レベルの判定 影響度の評価結果に基づき、対象手続に求められる保証レベルを判定する。
4 本人確認手法の評価と決定 本人確認手法の評価 採用候補とする本人確認手法を選定し、事業目的の遂行、公平性、プライバシー等の観点での影響を評価する。
5 補完的対策等の検討 手法の評価結果を踏まえ、懸念される影響を軽減するための補完的対策を検討する。また、必要に応じて対象手続における保証レベルを見直す。
6 例外措置の検討 本人確認における例外ケースを想定し、必要な例外措置を検討する。
7 継続的な評価と改善 評価のための情報収集 本人確認手法の評価と改善に必要となる情報を検討し、運用期間中における情報収集を行う。
8 評価と改善の実施 収集した情報を基に本人確認手法の評価を行い、必要に応じて改善措置を講じる。

４.１　対象手続の保証レベルの判定

このプロセスでは、対象手続における本人確認のリスクを特定し、当該リスクが顕在化した場合の影響度を評価することで、対象手続に求められる保証レベルを判定する。

1)　リスクの特定

対象手続が提供する機能やサービス、取り扱う情報資産、手続によって得られる権益等を踏まえつつ、対象手続の身元確認や当人認証において想定されるリスクを特定する。具体的には、身元確認及び当人認証における脅威を基に対象手続におけるリスクケース（脅威によって悪影響が引き起こされる典型的なケース）を定義し、当該ケースにおいて利用者や関係者に生じる悪影響の内容を明確化する。

代表的なリスクケースの例を以下に示す。ただし、想定すべきリスクケースは対象手続によって異なることに留意すること。

表 ４‑2　代表的なリスクケース例
プロセス リスクケース例 リスク特定の考え方
身元確認 実在する人物になりすました申請や登録 本人確認書類の偽造・改ざん、盗用等によって、攻撃者が実在する人物になりすまして申請やアカウント登録を行った場合に、なりすまされた人物、自組織、その他の関係者にどのような悪影響が生じるか。
実在しない架空の人物になりすました申請や登録 本人確認書類の偽造・改ざん等によって、攻撃者が実在しない架空の人物になりすまして申請やアカウント登録を行った場合に、自組織やその他の関係者にどのような悪影響が生じるか。
当人認証 登録済みの利用者に対する不正アクセス パスワードの推測や認証器の盗用等によって、攻撃者が他の利用者アカウントに不正にログインした場合に、不正アクセスを受けた利用者、自組織、その他の関係者にどのような悪影響が生じるか。
フィッシングサイトに対するパスワードや個人情報の入力 利用者がフィッシングサイトに誘導され、パスワードや個人情報が攻撃者に詐取された場合に、利用者、自組織、その他の関係者にどのような悪影響が生じるか。

2)　リスクの影響度の評価

特定したそれぞれのリスクに対して、リスクが顕在化した際の影響度を「高位」、「中位」、「低位」の3段階で評価し、最も高い影響度を「対象手続における総合的な影響度」として判定する。リスクの影響度の評価基準を下表に示す。

なお、対象手続によっては身元確認と当人認証でリスクの影響度が異なる場合も想定される。そのような場合は、身元確認と当人認証のリスクの影響度をそれぞれ個別に判定すること。

表 ４‑3　リスクの影響度の評価基準
観点 評価の基準 影響度 想定例
対象手続等によって得られる権利権益等の侵害 特定の利用者や関係者が、本来有する権利権益を長期間にわたって行使又は享受できなくなるなど、深刻かつ長期的な影響を受ける。 高位 なりすましの被害者が長期間にわたって行政サービスを受けられなくなり、遡及等の原状回復にも時間を有する。
特定の利用者や関係者が、本来有する権利利益を一時的に行使又は享受できなくなるが、短期間での回復や復旧ができる。 中位 なりすましの被害者が本来有する資格を一時的に行使できなくなるが、短期間で復旧できる。
特定の利用者や関係者の権利権益は侵害しないが、一時的な不便等の影響を与える。 低位 なりすましの被害者はアカウント再発行が必要となり一時的な不便を被る。
プライバシーの重大な侵害 特定の利用者や関係者に関する要配慮個人情報が漏えいするなど、容易には回復できないプライバシー面の影響を受ける。 高位 不正アクセスによって利用者の要配慮個人情報等を攻撃者に閲覧・窃取される。
犯罪や攻撃への悪用 対象手続におけるなりすましや不正アクセスの結果が、犯罪や他の行政サービス・民間サービスへの攻撃に悪用される。 高位 攻撃者に対して対象手続から証明書が発行され、民間サービスに対するなりすましに悪用される。

3)

　保証レベルの判定

影響度の評価結果を基に、対象手続に求められる保証レベルを以下の基準に基づき判定する。

なお、身元確認と当人認証のリスクの影響度が異なる場合には、身元確認保証レベルと当人認証レベルも異なるレベルとなる。

表 ４‑4　影響度と保証レベルの対応関係
影響度 身元確認
保証レベル		 当人認証
保証レベル
高位 レベル3 レベル3
中位 レベル2 レベル2
低位 レベル1 レベル1

補足：本ガイドラインが想定するリスクの影響度の範囲について

本ガイドラインは、対象手続において個人又は法人等が申請・届出・アカウント登録・ログイン等を行う際の本人確認を対象としているため、本人確認に関するリスクの影響範囲は、攻撃や侵害を受けた特定の利用者やアカウント等に限定されることを前提としている。

したがって、リスクの影響範囲が多数の利用者又は関係者に及ぶ場合には、その影響度は本ガイドラインが定義する「高位」よりも更に高次のものとして扱う必要があり、必要な対策についても「保証レベル3」より高次の対策が求められるため、対象手続において個別のリスク分析と追加対策の検討を行うこと。

４.２　本人確認手法の評価と決定

本人確認手法には様々な種類や方式が存在し、対象手続の目的、根拠法、想定利用者などによって適する手法は異なる。

このプロセスでは、対象手続の保証レベルに基づき採用候補とする本人確認手法を評価することで、補完的対策の検討、保証レベルの見直し、例外措置の検討を行い、対象手続で採用する本人確認手法を決定する。

1)　本人確認手法の評価

保証レベルの判定結果を基に、採用候補とする本人確認手法を選定し、「1.5基本的な考え方」で示す5つの観点に基づき手法の評価を行う。

表 ４‑5　本人確認手法の評価観点
評価の観点 評価の観点の具体内容
事業目的の遂行

事業目的の遂行に適した手法であるか。

具体的には、対象手続の目的、根拠法、緊急性、本人確認を行う環境、想定される利用者層などに対して適した手法であり、事業目的の遂行を阻害する懸念がないか。
公平性

当該手法によって公平性が損なわれないか。

具体的には、想定される利用者の一部にとって障壁となる懸念がなく、当該事業が対象とする利用者全員に対して、公平な利用機会を提供できる手法であるか。
プライバシー

当該手法によるプライバシー面の懸念がないか。

例えば、対象手続のサービス提供に必要な範囲以上の個人情報を収集してしまうなど、「OECDによるプライバシー8原則」に抵触するような制約がないか。
アクセシビリティ及びユーザビリティ 選定した本人確認手法を実装した画面やシステムが、障害の有無に関わらず、知覚可能であるか、操作可能であるか、理解可能であるか。具体的には、利用者の視力や聴力が低下又は使えない状況、一時的な怪我による手や上肢の不自由、高齢や病気等による認知・判断力の低下等を考慮しているか。
セキュリティ

対象手続が求める保証レベルに該当する手法であり、必要以上の強度を有する過剰な手法となっていないか。

また、耐性を有さない脅威によるリスクは受容可能であるか。

2)　補完的対策等の検討

前項の評価の結果、事業目的の遂行、公平性、プライバシー、アクセシビリティ及びユーザビリティ、セキュリティの観点での懸念やリスクが想定される場合には、対象手続で求められる要求事項とのギャップを補完するための補完的対策を検討する。補完的対策の例を以下に示す。

補完的対策概要
複数の本人確認手法の併用採用しようとする手法の制約によって事業目的の遂行や公平性の阻害が懸念される場合には、複数の本人確認手法を併用することで制約を緩和することが検討できる。
追加の対策採用しようとする本人確認手法だけではプライバシーやセキュリティの要求事項を満たせない場合には、追加的な対策を講じることでリスクを軽減することが検討できる。
より高い保証レベルの本人確認手法の採用採用しようとする本人確認手法にセキュリティ面の懸念がある場合などには、対象手続に求められる保証レベルよりも高いレベルの本人確認手法を採用することも検討できる。ただし、それによって事業目的の遂行や公平性など他の観点へ与える影響を考慮する必要がある。
より低い保証レベルの本人確認手法の採用事業目的の遂行、公平性、アクセシビリティ及びユーザビリティ等の観点から、対象手続に求められる保証レベルよりも低いレベルの本人確認手法を採用することも検討できる。この場合、本来必要とされる保証レベルとの差によるセキュリティ面のリスクを「追加の対策」によって補完するか、リスクを受容する判断が必要となる。

表 ４‑6　補完的対策の例

3)　例外措置の検討

本人確認を行う手続においては、申請者の本人確認書類の紛失、利用者の当人認証用デバイスの故障など、様々な例外ケースが想定される。対象手続の事業目的や緊急性によっては、こうした例外ケースにおいても申請等を受け付けなければならない場合も想定されるため、採用する本人確認手法とともに、対象手続における例外措置の要否と内容を検討・決定する。

なお、本来の手法と例外措置に保証レベルに差があると、なりすまし等の攻撃の起点に悪用されるおそれがある点に留意が必要である。また、攻撃の起点とされることを防ぐため、例外措置の詳細は非公開とすることについても検討すべきである。

４.３　継続的な評価と改善

1)　評価のための情報収集

対象手続において採用した本人確認手法について、評価に必要となる情報を定義し、それらの情報を収集・蓄積すること。

評価に必要な情報には、対象手続における利用者からの問合せ履歴、セキュリティ監視によって検知したイベントやインシデントの履歴、本人確認に関する脅威やインシデントの動向など様々なものが考えられる。

これらの情報収集には、システムの運用・監視等の仕組みの構築が必要となるものも含まれるため、情報システムの要件定義時点から、このような情報収集を見据えた要件定義を行うことが必要である。

2)　評価と改善の実施

収集した情報を基に本人確認手法の評価を行い、必要に応じて手法の見直し、追加対策の導入、本人確認担当者に対する教育・訓練等の改善措置を講じること。

別紙１　附則

附則（令和7年9月30日デジタル社会推進会議幹事会決定）