参考情報：段階的な身元確認について ガイドライン本編では、本人確認を次の三つの要素で構成すると定義しています。一つ目は「身元確認」です。これは申請者を一意に識別するとともに、その実在性を確認するプロセスで、申請者の属性情報を収集し、その真正性を本人確認書類により検証することで実現され、同時にシステムを利用するうえで必要な利用者の属性を収集します。二つ目は「当人認証」です。身元確認済みの本人が再度システムにアクセスする際に、本当にその人であることを確認するプロセスで、申請者と紐づけて登録した認証器（パスワードやパスキー、スマートフォンアプリ等）を用いて実現されます。三つ目は「フェデレーション」で、身元確認や当人認証を信頼できるIDプロバイダと連携して実現する仕組みです。 標準的な流れは、まず公的証明書などを利用して（フェデレーションを利用する、併用することも可能です）必要な属性をすべて収集し、それを確認することで身元確認を実施し、確認が完了したらその人にIDを発行、同時にパスワード、パスキーなどの認証関連情報を登録するというものです。この方法は、すべてのIDの身元確認保証レベルが統一されているため、システムの構築が容易であるという利点があります。 一方、コンシューマ向けサービスでは、「段階的な身元確認（Credential first flow等と呼ばれます）」という方法が広く採用されています。この方式では、例えば、まずメールアドレスを入力し、その到達確認が完了した時点でIDと認証器を発行し、サービス利用を開始します。この時点では申請者が当該メールアドレスへのアクセスが可能であるということを確認しているのみであり、身元確認はほとんど行われていません。そして必要に応じて、段階的に詳細な身元確認を実施していくのです。例えば、補助金申請サイトで現在有効な補助金の一覧を検索するだけなら詳細な身元確認は不要ですが、実際に補助金を申請する際には追加の身元確認を求めるといった使い方です。 この方式には２つのメリットがあります。一つ目は、利用者が煩雑な身元確認の手続なしにすぐサービスを使い始められることです。例えば、簡易な身元確認により、自分が利用可能な補助金が存在するのかを確認でき、利用可能な補助金が存在しない場合はそこでシステム利用を取りやめることができます。補助金申請が必要になって初めて、より正確な身元確認を行うことになります。二つ目がセキュリティの向上です。一般的な会員登録の流れではサービス提供に必要な身元確認とシンプルな認証器（典型例：パスワード）を先に登録します。つまり、多要素認証に必要な強力な認証器の登録は後から追加で実施するため、それまでの間にアカウントの乗っ取りのリスクが相対的に高い状態のままとなってしまいます。一方、身元確認の手間を減らす代わりに最初に「強力な」認証器を登録してもらうことで、アカウント乗っ取りのリスクを減じた状態でサービスを利用できるわけです。 ただし、段階的な身元確認アプローチには重要な注意点があります。それは各IDについて、どのレベルの身元確認が完了しているかを記録し、そのレベルに応じて「できること/利用できるサービス」を制限する必要があるということです。例えば、身元確認がほとんど行われていない段階の利用者には利用可能な手続の閲覧、検索のみを許可し、IAL2相当の利用者には手続の申請を許可するといった形です。この制御が適切に行われないと、アクセス制御の不備に起因する業務上の問題となりえます。 段階的な身元確認は、ログインした利用者の身元確認レベルが異なるため、身元確認レベルに応じた適切なアクセス制御が必要である代わりに、利用者の利便性を高め、アカウント乗っ取りに対する強力なセキュリティ対策になります。サービスの性質によっては採用を検討してみても良いでしょう。 |
|---|
参考情報：法人に対する本人確認について ガイドライン本編別紙２では法人に対する本人確認方法を例示しています。その範囲は①法人等の実在性確認、②申請等の手続を行う代表者等の個人としての身元確認、③法人等と申請者個人との紐づきの確認、の３つです。一方、留意事項として「法人の事業内容の確認、事業実態の確認、実質的支配者の確認、コンプライアンス面の確認」などを含んでいない旨を記載しています。これは法人の本人確認はその意味するところ、範囲が目的に応じて多岐にわたるものであり、画一的な記載が難しいためです。 自然人の本人確認と比べて法人の本人確認が根本的に異なる点は、確認すべき対象が二層構造になっている点です。まず、取引相手となる「法人」という法人格を持つ組織体そのものを確認する必要があります。これは登記簿謄本などの公的証明書による法的実在性の確認が基本です。しかし、法人は自ら行動することができず、実際には代表者、従業員、業務委託先の社員といった立場の自然人が法人を代表・代理して行動します。これらの自然人と法人との関係性（在籍確認、権限確認）と、自然人そのものの本人確認の両方が必要となります。 さらに、法人という組織の確認についても、目的によって確認すべき内容が大きく異なります。具体的には、例示した法人登記の有無と内容、代表者といった法的実在性の確認に加え、反社会的勢力との関係性チェック（反社チェック）、制裁リスト該当性の確認、マネーロンダリング・テロ資金供与リスクの評価といったコンプライアンス関連の確認も存在します。さらに、実際に事業活動を行っているか、事業所が実在するか等の事業実態の確認、そして財務状況、支払能力といった経営の健全性・安全性の確認も含められることがあります。 これら多様な観点での確認が求められる背景は二つに分類されます。一つは法令による要求で、犯罪収益移転防止法や各種業法での規制などがあります。法令要求の場合、確認すべき項目や方法が明確に定められています。もう一つは行政上のリスク管理で、補助金交付における政策効果の判断、許認可における事業遂行能力の確認、入札参加資格審査などがこれに該当します。この場合、各行政機関は法令の範囲内において、透明性・公平性・説明責任を確保したうえで、政策目的や事案の性質に応じて確認の内容・深さを決定します。 また、自然人と法人の関係についても、ガイドライン本編で例示した自然人が法人の代表権を持つか否かの確認以外に、自然人が法人に雇用されているか、自然人が法人において特定の業務、手続などを実行する権限を保有するか、法人と契約する別の自然人がその契約においてどの範囲で法人の業務を代理して実施するか等その確認は広範囲にわたります。 このように法人の本人確認は、自然人の本人確認に比べて本質的に複雑です。法人そのものと法人に紐づく自然人の両方を確認する二層構造であること、法的実在性、コンプライアンス、事業実態確認、事業遂行能力など確認内容が目的によって異なることについて理解することが重要です。 |
|---|