【ASW21-02】公金受取口座の誤紐付けに対する安全分析と設計提案

2015年10月，12桁のマイナンバー（個人番号）が公表され以降，様々な行政手続きや本人確認に利用されている．デジタル庁による総点検は，公金の受取口座と個人のマイナンバー口座の紐付けに人為的なミスがあったことが判明した．しかし，本研究ではシステム設計の不備が必然的に人為的ミスを招いたと仮定し，この仮説をシステム理論に基づく自己分析手法である，STAMP/CAST分析を用いて検証した．まず，損害に関与したシステム全体をモデル化し，どこに脆弱性が存在するかを特定した．次に，改善のための提案が特定され，報告書で示された原因との違いが比較された．その結果，エラーの主な原因は，利用者の身元を確認できなかったことであることがわかった．安全設計のための提案には，ポータルサイトのログイン状態の表示方法の改善，本人確認の仕組みの改善などが含まれる．

In October 2015, the 12-digit My Number (personal number) was announced and has been used in various administrative procedures and for identity verification since then. A comprehensive review found that there was human error in linking public money receiving accounts to individual My Number accounts. However, this present study assumes that the system's poor design inevitably led to human errors. This assumption was verified using STAMP/CAST analysis, an accident-analysis method based on systems theory. First the entire system involved in the loss was modelled to identify where vulnerabilities existed. Next suggestions for improvement were identified, and the differences from the causes presented in the review were compared. The results showed that the main cause of errors was the failure to confirm the identity of the user. Suggestions for security design includes improving the way in which the login status of the portal website should be displayed, and improving the identity verification mechanism.

Transcript

1. 公金受取口座の誤紐付けに対する 安全分析と設計提案 Preventing Erroneous Linking of My Number to Third-Party Bank Accounts 創価大学 理工学研究科 中野幸子 金子朋子 e24m5312@soka-u.jp 2024年12月5日 第6回 AI/IoT安全性シンポジウム ASW21-02
2. 研究概要 Copyright 2010, Soka University, All Rights Reserved. 2 ➢2023年 公金受取口座の誤紐付けなど様々なアクシデントが発生 背景 仮説 ➢システム設計の不備による必然的な人為的ミス 手法 ➢システム理論に基づく事故分析手法であるSTAMP/CAST分析 原因 ➢ 不適切なログアウトの処理 / 不十分な本人確認システム 提案 ➢ 本人確認の仕組みの改善 / ポータルサイトのログイン状態の表示方法の改善
3. Summary of this study Copyright 2010, Soka University, All Rights Reserved. 3 ➢2023 Various incidents, including erroneous linking of public money receipt accounts Back ground Hypothesis ➢Inevitable human error due to poor system design Method ➢STAMP/CAST analysis, an accident analysis method based on systems theory. Cause ➢ Inadequate logout handling / inadequate identification systems. proposal ➢ Improved identification system / Improved display of login status on the portal site
4. 目次 研究背景 研究目的と分析手法 分析内容 分析結果 結論 参考文献
5. 研究背景 • 2015年10月以降住民票を有する人に12桁のマイナンバー（個人番号）が通知 • 各種行政手続きや身元確認として手続きが容易になった一方で公金受取口座の紐づけの ミスなどが発覚 • デジタル庁による総点検 2023年6月〜2023年12月 Copyright 2010, Soka University, All Rights Reserved. 5 総点検で判明した誤り[1]
6. 事故詳細 Copyright 2010, Soka University, All Rights Reserved. 6 ロ グ ア ウ ト A B 実際の処理 ロ グ ア ウ ト A B Aのアカウント Aの家族の口座 (1)AのアカウントのままBの口座を紐付ける (2)AのアカウントでAの家族の口座を紐付ける 1186件 約14万件(2023年6月)
7. Copyright 2010, Soka University, All Rights Reserved. 7 出典 デジタル庁に対する特定の個人を識別するための番号の利用等に関する 法律及び個人情報の保護に関する法律に基づく行政上の対応について (個人情報保護委員会)
8. Copyright 2010, Soka University, All Rights Reserved. 8 出典 デジタル庁に対する特定の個人を識別するための番号の利用等に関する 法律及び個人情報の保護に関する法律に基づく行政上の対応について (個人情報保護委員会)
9. ◼ 制度について ➢公金受取口座制度 • 給付金などを受け取る口座を1つだけ登録 できる ➢預貯金口座付番制度 • 金融機関の口座にマイナンバーを紐づける ◼ 報告書のまとめ ・個人情報保護委員会の資料 ・総点検報告書の資料 使用端末のログアウトのし忘れによる上書き 本件は、同登録手続を支援するマイナポイント支援窓 口(市区町村に設置。以下「支援窓口」という。)にお いて、共用端末を用いたマイナポータル経由の登録支 援を行っていた際、本人又は手続を支援する者による 操作ミス(ログアウトの失念)等により、別人のマイナン バーと銀行口座情報を紐付けた ➢対策 省令等改正(9月) 「マイナンバー登録事務に係る横断的ガイドライン」の策定(10月) J-LISの照会システム改修(12月) Copyright 2010, Soka University, All Rights Reserved. 9 研究背景 〜制度・報告書のまとめ〜
10. 利用者のマイナポータル上の手続きの流れ 手順1. 券面次項入力補助用のパスワードを入力し、マイナンバーカードを読み取ってマイナポー タルにログイン 手順2. メニューから「口座情報の登録・変更」を選択 手順3. 再度パスワード入力とマイナンバーカードの提示 手順4. 登録されている氏名・生年月日・住所の確認 手順5. 氏名の読み仮名（カタカナ氏名と空白スペース）を入力 手順6. 金融機関名・支店名・口座種別・口座番号を入力 (なお口座名義に関しては、前画面にて入力した氏名読み仮名が自動で半角入力されている) 手順7. 入力した情報の確認 Copyright 2010, Soka University, All Rights Reserved. 10
11. 研究目的 Copyright 2010, Soka University, All Rights Reserved. 11 ➢マイナンバーに関する問題は健康保険証やその他の後紐付けも確認済み ➢それぞれの問題で対策を講じるのではなく、根本としてマイナンバー制度のシステム構造に欠陥がある 課題 目的 ➢総点検の報告書で原因としてまとめられたログアウト問題以外に原因がないか ➢報告書だけでは見えていない問題の抽出 手法 ➢システム理論に基づく事故分析手法であるSTAMP/CAST分析 仮説 ➢ログアウトのし忘れ等の人為的ミスの根本原因がシステム設計の不備である
12. CAST分析について • システム全体からのモデル化を行うことによって、将来のリスクに備えた改善策を立てることが 可能 • CASTの決定すべきゴールは、人々が事故を起こした理由や事故発生を許した安全コント ロールストラクチャーの弱点を明らかにすること ☆分析は「Aの口座にBの口座が誤紐付けされた」事故を取り上げ、意図的に登録した「家族 口座紐付け」については除く Copyright 2010, Soka University, All Rights Reserved. 12
13. 分析の流れ 仮説 報告書で確認された原因とは別に制度のシステム構造に問題があると仮定し，事故分析手法であるCAST分析にて検証． モデル化 損失に関するシステムとハザードの確認(CAST1-2)，システム全体のモデル化(CAST3) 分析 損失に近接するシステム・運用保守上の発生イベントを取り上げ(CAST4)，物理レベル(CAST5)・論理レベル(CAST6)で分析 考察 損失に関与した共同作業，コミュニケーションの寄与者すべてを調査(CAST7)し，どこに弱点があったのかを突き止め(CAST8)， 最後に改善勧告として，事故の原因と改善案を確認し(CAST9)，考察 評価 報告書にあった本事故に対する対策の有効性の評価． Copyright 2010, Soka University, All Rights Reserved. 13
14. CAST1，CAST2 他人の口座が紐付けられたことによるプライバシーの侵害 事故 自分のマイナンバーに自分以外の口座を紐付けできる ハザード 自分のマイナンバーに自分以外の口座が紐付けされてはいけない 安全規約 Copyright 2010, Soka University, All Rights Reserved. 14 損失に関連するシステムとハザードを明らかにし， ハザードに関連したシステムの安全規約やシステム要求を明らかにする
15. CAST3 Copyright 2010, Soka University, All Rights Reserved. 15 安全コントロール ストラクチャー図の作成
16. CAST4 Copyright 2010, Soka University, All Rights Reserved. 16 損失に近接するシステム・運用保守上の発生イベントを取り上げ，損失を被った申請者 の視点から記述する
17. Copyright 2010, Soka University, All Rights Reserved. 17 <調査報告書の説明> ・支援端末のログアウトし忘れによる上書き保存 ・本人が家族口座等を登録する行為が想定されていない ・意図的に本人名義でない口座情報を入力しても、システム的に確認できない
18. Copyright 2010, Soka University, All Rights Reserved. 18 <調査報告書の説明> ・支援窓口でのログアウト確認およびシャットダウン等の措置を怠った
19. <自分の口座が本人以外のアカウントに結びついたこと> • なぜ本人以外のアカウントに結びつくのか <自分の口座と本人確認ができていなかったこと> • 本人情報と口座情報の一致確認はなぜできないのか • 口座と本人の確認が一度にできるような最終確認は行えないのか <ログアウトのし忘れ> • なぜログアウトをし忘れたのか • 自動ログアウトがされるようなシステムにはなっていないのか • マニュアルではどうなっていたのか Copyright 2010, Soka University, All Rights Reserved. 19 CAST4 損失に近接するシステム・運用保守上の発生イベントを取り上げ，損失を被った申請者 の視点から記述する
20. CAST5 Copyright 2010, Soka University, All Rights Reserved. 20 損失を下位 (物理) レベルで分析する
21. • (1)口座情報登録申請機能 • 本人情報で登録した仮名とマイナンバーカードから得られた氏名の一致が確認できない • (2)口座情報管理機能 • 特になし • (3)個人番号管理機能 • ログインした際のマイナンバーと情報登録のマイナンバーの一致が確認できなかった点(改 修済) • 報告書にも「ポータル上の口座名義人欄の氏名は，本人情報登録画面で入力した氏名が 反映されるため，口座情報の一致確認が行えない」と記載 Copyright 2010, Soka University, All Rights Reserved. 21 CAST5 損失を下位 (物理) レベルで分析する
22. 利用者のマイナポータル上の手続きの流れ (再掲) 手順1. 券面次項入力補助用のパスワードを入力し、マイナンバーカードを読み取ってマイナポー タルにログイン 手順2. メニューから「口座情報の登録・変更」を選択 手順3. 再度パスワード入力とマイナンバーカードの提示 手順4. 登録されている氏名・生年月日・住所の確認 手順5. 氏名の読み仮名（カタカナ氏名と空白スペース）を入力 手順6. 金融機関名・支店名・口座種別・口座番号を入力 (なお口座名義に関しては、前画面にて入力した氏名読み仮名が自動で半角入力されている) 手順7. 入力した情報の確認 Copyright 2010, Soka University, All Rights Reserved. 22 ※具体的なシステム変更の時期については不明 2023年6月改修
23. CAST6 Copyright 2010, Soka University, All Rights Reserved. 23 論理レベルに移り，如何にして，そして何故，より上位のレベルが現在 (物理) のレベル における不適切な制御を許したかもしくは寄与したかを決定する
24. (1)支援窓口 • 支援員または利用者がログアウト・端末のシャットダウン処理を怠ったことによる上書き • 支援員や利用者がその処理を知らなかったことやリスクを認識していなかったことも起因 (2)マイナポータル • サイトの表示の仕方から、誰がログインしているのか分かりづらい Copyright 2010, Soka University, All Rights Reserved. 24 CAST6 論理レベルに移り，如何にして，そして何故，より上位のレベルが現在 (物理) のレベル における不適切な制御を許したかもしくは寄与したかを決定する
25. 実証ベータ版マイナポータル(2023年12月) Copyright 2010, Soka University, All Rights Reserved. 25 ・「利用者本人」が誰なのか不明 ※名称変更可能
26. ・「わたし」が誰なのか不明 ※名称変更不可 実証版マイナポータル(2024年8月) Copyright 2010, Soka University, All Rights Reserved. 26
27. CAST7,CAST8,CAST9 • CAST7：損失に関与した共同作業，コミュニケーションの寄与者すべてを調査 • CAST8：損失に関連するシステムと安全コントロールストラクチャーの時間経過による動的 な特性や変化，および安全コントロールストラクチャーの長期間での弱化を正確に定める • CAST9：改善勧告 • ここまでの分析で、報告書にもあったログアウトの問題・人為的な問題・本人確認問題の3 つに特徴を分けることができる Copyright 2010, Soka University, All Rights Reserved. 27
28. • ログアウトに関する問題 • 「ログアウトを行わなかった」という人為的ミス • マイナポータルのデザイン・システム構造 →適切にログアウトを行えるシステムを作成する • 人為的ミス • ログアウト処理およびマニュアルの徹底をしなかったことが起因 • マニュアルにてログアウトを行わなかったことへの損失や影響を記載 →特定個人情報を扱う非常にリスクの高い行動を行なっているという自覚を促す • 本人確認 • 登録口座重複チェック機能の実装 • 漢字氏名・カタカナ口座名義の検知モデルや実装 Copyright 2010, Soka University, All Rights Reserved. 28
29. デジタル庁が発表した対策 • 省令等改正（９月） 各制度の申請時にマイナンバーの記載を求める • 「マイナンバー登録事務に係る横断的ガイドライン」の策定（10月） ①各制度の申請時にマイナンバーの取得を原則とすること ②提供されたマイナンバーの真正性の確認 ③住基ネット照会を行う際には原則基本４情報（氏名・生年月日・性別・住所）で 照会を行うこと • J-LISの照会システム改修（12月） 原則４情報でのマイナンバー照会以外は回答不可とする Copyright 2010, Soka University, All Rights Reserved. 29
30. 分析結果から求めた提案 • ログアウトの徹底 • 支援員および個人のレベルでの徹底 • マニュアルやガイドラインによる規制 • 支援員やデジタル庁職員のリスクに対する周知徹底 • チェック期間を設ける • 第3者からの監視など • 漢字氏名・カタカナ口座名義の検知モデルの改善 • マイナポータルのログイン状態の表示の仕方の改善 • 誰がログインしているのかを明記 • ログイン/ログアウト状態の表示 Copyright 2010, Soka University, All Rights Reserved. 30
31. マイナポータルの改善案 Copyright 2010, Soka University, All Rights Reserved. 31 ・ログアウトボタンの追加 ・名前の表記
32. 結論 • 本事故の原因 • 支援者や利用者がログアウト操作を行わなかったことと，支援者・デジタル庁職員のマイ ナンバー制度に対するリスクの認識の甘さという人為的な問題が原因 • ログアウト操作を行わなかった背景として，マイナポータルのログイン状態の表示が曖昧 だったことから，誰がログインしているのかわからなかった • 事故当時はログインしているマイナンバーと，情報登録のために認証させたマイナンバーの 一致確認ができていなかったことも原因 • 本事故の主な根本原因 • 不十分な本人確認システム • 安全設計の提案 • マイナポータルのログイン状態の表示の仕方の改善，支援員やデジタル庁職員のリスクに 対する周知徹底とログアウトの徹底，本人確認の仕組みの改善が掲げられた． • よって、報告書で報告された「ログアウトのし忘れ」による事故原因が正しかったと証明された Copyright 2010, Soka University, All Rights Reserved. 32
33. 今後の展望 • 今秋より医療機関にて原則としてマイナ保険証が決定 • また、運転免許証との一体化も掲げられている →マイナポータルの必要性や個人情報の取り扱いの注意が問題視されてくると考えられる • マイナ保険証や運転免許等との一体化した際のリスク分析を予定している Copyright 2010, Soka University, All Rights Reserved. 33
34. 参考文献 1. デジタル庁，”マイナンバーの誤紐付け事案”， https://www.digital.go.jp/assets/contents/node/basic_page/field_ref_resources/baab515c-3b31-4089-8647- 2d76f5efba29/a90a9905/20230621_meeting_councilsmynumber_all_check_outline_01.pdf，2023，（参照2024年9月24日） 2. デジタル庁，”資料 ”， https://www.digital.go.jp/assets/contents/node/basic_page/field_ref_resources/03221b7f-75b7-41ee-a0c8- cf58b5e805ff/66490c14/20231006_meeting_councilsmynumber_all_check_outline_01.pdf，2023，（参照2024年9月24日） 3. デジタル庁，” 資料2 マイナンバー制度及びマイナンバーカードに関する政策パッケージについて”， https://www.digital.go.jp/assets/contents/node/basic_page/field_ref_resources/ccc4719c-d557-4d61-873f- 4c9627342e5d/5e4870ea/20230808_meeting_councilsmynumber_all_check_outline_02.pdf，2023，（参照2024年9月24日） 4. デジタル庁，” 総点検本部資料（第5回）”，https://www.digital.go.jp/assets/contents/node/basic_page/field_ref_resources/368a251f-02a6-48a5-9125- 1e3f138d6b9d/94da690d/20231212_meeting_councilsmynumber_all_check_outline_01.pdf，2023，（参照2024年9月24日） 5. 日経クロステック，” 個人情報保護委員会がデジタル庁を行政指導，当事者意識の欠如で対策が後手に”，https://xtech.nikkei.com/atcl/nxt/column/18/00001/08422/， 2023，(参照2024年9月24日) 6. マイナポータル，https://myna.go.jp/，(参照2024年9月24日) 7. 個人情報保護委員会，”デジタル庁に対する特定の個人を識別するための番号の利用等に関する法律及び個人情報の保護に関する法律に基づく行政上の対応について”， https://www.ppc.go.jp/files/pdf/230920_03_houdou.pdf，2023，（参照2024年9月24日） 8. 特定個人情報保護評価書，https://www.digital.go.jp/assets/contents/node/basic_page/field_ref_resources/67b95f11-c7f0-4fe6-835c- e1a53c6227ea/747cd4ec/20221102_take_action_privacy_all_01.pdf，2023，（参照2024年9月24日） 9. “安全性分析の新潮流と事故分析手法STAMP/CAST”，日本ソフトウェア科学会コンピュータソフトウェア 40((3)) 73-87 ，2023年8月 10. 金子朋子, 髙橋雄志, 吉岡信和, 佐々木良一，“システム理論に基づく事故分析手法 CASTによる情報セキュリティ・インシデント分析”， コンピュータセキュリティシンポジウム2020 （CSS2020） 11. マイナポータル，“マイナポータルを通じた国民生活の利便性向上”，https://www.digital.go.jp/policies/myna_portal，（参照2024年9月24日） Copyright 2010, Soka University, All Rights Reserved. 34
35. ご清聴ありがとうございました
36. Appendix
37. Copyright 2010, Soka University, All Rights Reserved. 37 特定個人情報保護評価書[8]より引用
38. 政府の政策に対する疑問 • 登録口座重複チェック機能の実装 • システム構築の段階で口座が重複されて登録されることに気が付かなかったところが問題 • 親の口座で登録ができない仕組みについても改善の余地あり • 預貯金口座付番制度と公金口座受取制度の２つを分ける必要性 • 制度としては，金融機関でマイナンバーを紐づけるとともに，本人名義の1口座を公金 受取口座として登録し，他の口座の重複がないかを確認する仕組みが一番理想的 • 国全体のシステムとして基本４情報それぞれに体制がないこと • 国として表記方法を決めれば，点検モジュールの高度化や目視確認の容易性の向上 Copyright 2010, Soka University, All Rights Reserved. 38