デジタルアイデンティティの活用 -ビジネスにおける基礎-(Draft)

Slide 1

Slide 1 text

デジタルアイデンティティの活用 - ビジネスにおける基礎 – （Draft）⼀般社団法⼈OpenID ファウンデーション・ジャパン人材育成ワーキンググループビジネスサブワーキンググループ

Slide 2

Slide 2 text

Copyright © OpenID Foundation Japan 2 はじめに • デジタルアイデンティティは、人、データ、デバイス等、あらゆる実体をデジタル世界で表現する、デジタルサービスの基礎となるコンポーネントです。 • 仮想世界と物理世界の境界線があいまいになり、デジタルとインターネット技術の急速な拡大とつながりが進んでいます。開発者や消費者はこの変化するエコシステムについて、その利便性やサイバー脅威等のリスクを含めて理解することが不可欠となっています。このエコシステムとの関わり方は、デジタルアイデンティティを確立する個々の能力と意思によって決定されます。 • デジタルビジネスを推進するために、経営者はデジタルアイデンティティを重要な経営資源として取り扱う必要があるものと認識し、開発者はそれを実現できるよう、デジタルアイデンティティを正しく理解し、システムを開発・運用する必要があります。 • デジタルアイデンティティに関する規程やガイドライン、仕様などは様々な機関やベンダーから公開されています。 • 一方で、世の中の情報は一部の概念や機能・技術仕様などに特化していたり、前提知識を必要とする情報も多く、デジタルアイデンティティに触れたことがない人にとっては、スタートラインに立つこと自体のハードルが高い状態であるといえます。 • 初めてデジタルアイデンティティに触れる人にとっては、一部の要素に関する詳細な情報よりも、デジタルアイデンティティの全体像や、デジタルアイデンティティがなぜ重要か、といった情報が体系的に整理されていることが重要となります。 • そこで、OpenIDファウンデーション・ジャパンでは、人材育成ワーキンググループを立ち上げ、ビジネスにおいてデジタルアイデンティティを扱ううえでまずはじめに理解しておくべき情報を整理しました。 • 本書を通じて、すでにデジタルアイデンティティに取り組んでいる人や、これからデジタルアイデンティティに関わっていく人々の共通理解が促進され、デジタルアイデンティティ業界全体が成長していくことを期待します。サブWG内で作成・レビュー・修正中

Slide 3

Slide 3 text

Copyright © OpenID Foundation Japan 3 本書の位置づけ • 本書は、デジタルアイデンティティに関わる可能性がある人全てを想定読者としています。本書では極力専門知識が必要な技術仕様等の詳細には踏み込まず、一般的なITやデジタルの知識があれば読める内容を想定しています。 • 情報システム部門の方にとっては、デジタルアイデンティに関するシステムを実装するうえで、どういった概念で管理されるのか、どういったアイデンティティの管理形態があるのか、といった要件的な面で参照いただける情報を記載しています。 • デジタル戦略部門やコンプライアンス部門など、情報システムに直接関わりのない方々であっても、新規ビジネス立ち上げに伴う顧客の情報の取り扱いや、組織内のセキュリティ対策・コンプライアンス対応など、デジタルアイデンティティを扱う必要がある場面で最低限抑えておくべき知識を得るために本書を活用いただけます。 • 本書は、デジタルアイデンティティに関する知識を得るための第一歩として、以下の３つの要素について取りまとめています。 ①デジタルアイデンティティとは現実空間とデジタル空間におけるアイデンティティの違いに触れ、デジタルアイデンティティの概要や、ビジネスにおけるデジタルアイデンティティ管理の重要性について説明します。 ②デジタルアイデンティティの管理に必要な概念認証や認可など、アイデンティティの管理において必要な概念を説明します。それぞれどのように絡み合って管理されているかについて説明します。 ③デジタルアイデンティティ管理の類型デジタルアイデンティティは取り扱う目的やおかれている環境によって様々な形態で管理されています。自身のビジネスに適した管理方法を選択するため、どのような類型があるか説明します。サブWG内で作成・レビュー・修正中

Slide 7

Slide 7 text

Copyright © OpenID Foundation Japan 7 デジタルアイデンティティとはデジタルアイデンティティとは、エンティティ(実体)に紐づくアイデンティティをデジタル空間でも扱えるように、デジタル様式で表現したものを指します。エンティティ（実体）存在する人やモノなど、実体のすべてを指す。人やモノなのかどうかも不明な状態アイデンティティエンティティ（実体）に対して様々な属性を定義し、それらの属性を認識することで、初めてその背景にある実体を観測できる。 ︖ デジタルアイデンティティとは、アイデンティティの情報をデジタル様式で表現したものを指す他者からの観測アナログデジタルエンティティ (実体) 実体に紐づく属性情報（アイデンティティ） • 名前や生年月日、外見などの情報から、本人の実体を観測する • 運転免許証等をもとに、実在する人物であることを確認する • 入力された情報（名前やログインID、住所、など）をもとに本人を観測する • マイナンバーカード等で登録された電子情報をもとに、実在する人物であることを確認する？他者からの観測アナログデジタルエンティティ (実体) • 大きさや色、付属している設備などの情報から、実体を観測する • 製造番号やシリアル等の情報から実在する製品であることを確認する • MACアドレスやシリアルなど、付加されたデジタル情報をもとに実体を観測する • 電子証明書等の技術を併用し、相手が正しいデバイスであることを確認する例）人の場合例）デバイスの場合実体に紐づく属性情報（アイデンティティ）サブWG内で作成・レビュー・修正中

Slide 9

Slide 9 text

Copyright © OpenID Foundation Japan 他己像他己像他己像他己像 9 デジタルアイデンティティがなぜ必要か｜コントロールの重要性人は他者との関係性等をもとに自己像(どのように自分を見てほしいか)をコントロールしています。デジタル空間でもアナログ空間と同様に、システムを通じて観測される自身のデジタルアイデンティティや自己像を適切にコントロールする必要があります。 ︖ アイデンティティ (自己像) 実体(エンティティ) アイデンティティ (自己像) デジタル空間アナログ空間名前友人誕生日性別名前スキル性別家族キャリア志向相手との関係性や場面によって、「どのように自分を見てほしいか」という自己像を持っており、それが交わらないようにコントロールしている。接点を通じて友人や上司からは直接観測される。アナログ空間と同様に、相手や場面によって自己像をコントロールすることが重要である。友人や上司からはデジタルサービス等を通じて自身が観測されるため、デジタルサービス上で正確に自己表現を行うことはアナログ空間よりもさらに重要である。観測観測アイデンティティ (自己像) アイデンティティ (自己像) 名前趣味性別名前所属性別家族業務内容上司私生活における自己像仕事における自己像接点 (SNSなど) 私生活における自己像仕事における自己像自分でコントロールできる範囲観測観測接点 (会社システムなど) 接点 (食事、旅行など) 接点 (仕事など) 友人上司デジタル化された情報がシステムを通じて観測される私生活の自分仕事の自分識別識別サブWG内で作成・レビュー・修正中

Slide 14

Slide 14 text

Copyright © OpenID Foundation Japan 14 （参考）ゼロトラスト成熟度モデル CISA(Cybersecurity & Infrastructure Security Agency)より発出されているゼロトラスト成熟度モデルにおいても、アイデンティティは5つの柱のひとつとして扱われています。ゼロトラスト成熟度モデルの全体像 ①ユーザエクスペリエンスの改善 ②セキュリティの向上 ③コンプライアンスと規制遵守 Identity Devices Networks Applications and Workloads Data • 継続的な検証およびリスク分析 • 全社的なアイデンティティの統合 • 必要最小限のアクセスを自動的に提供 • 自動化されたサプライチェーンリスクマネジメントと統合された脅威防御を含む物理的・仮想的な資産の継続分析 • リソースへのアクセスはデバイスリスクのリアルタイムな分析により決定 • JITと必要最小限のアクセスによるレジリエンスを備えた分散型マイクロペリメーター • アプリケーションプロファイルに応じた最適なコンフィグの管理 • 暗号技術の実用性を高めるベストプラクティスを統合 • 公共NWで継続的に利用できるアプリ • すべてのワークロードで高度な攻撃を防御 • ライフサイクルに組み込まれたセキュリティテストによる普遍的なワークロード • データの継続的な棚卸 • データの分類とラベリングを全社的に自動化 • データの可用性を最適化 • DLPによる情報流出遮断 • ダイナミックなアクセス制御 • 使用中のデータを暗号化 • フィッシングに強いMFA • アイデンティティ・ストアのセキュアな統合と一元管理 • アイデンティティのリスク評価の自動化 • 要求/セッションベースのアクセス • ほぼすべての物理的・仮想的な資産をトラッキング • 統合された脅威防御とコンプライアンスの実施 • 初回のリソースアクセスをデバイス状態に応じて決定 • 隔離とレジリエンスのメカニズムを拡充 • 自動化されたリスク対応アプリケーションプロファイル評価に基づいた柔軟性がある管理 • NWトラフィックを暗号化し、鍵の発行とローテーションを管理 • ミッションクリティカルなアプリの大部分が許可されたユーザに対して公共NW上で利用可能 • すべてのアプリのワークフローで、コンテキストベースの保護を導入 • 開発、セキュリティ、運用の各チームをコーディネート • トラッキングによるデータインベントリの自動化 • 一貫性があり階層化された分類とラベリング • 冗長化された可用性の高いデータストア • 静的DLP • コンテキストベースの自動化されたアクセス • 保存状態のデータを暗号化 • パスワードによるMFA • 自己管理型・ホスト型のアイデンティティストア • によるアイデンティティのリスクアセスメント • 自動レビューでアクセス権が失効する • すべての物理的資産をトラッキング • 限られたデバイスベースのアクセスコントロールとコンプライアンス • 自動化によって提供されるいくつかの保護機能 • クリティカルなワークロードの分離 • NWケイパビリティにより、アプリケーション増加に対応した可用性を管理 • 一部のNWで動的なコンフィグの管理 • より多くのトラフィックを暗号化し、鍵管理ポリシーを策定 • ミッションクリティカルなワークフローで、統合されたプロテクションを持ち、許可されたユーザが公共NW上でアクセス可能 • CI/CDパイプラインによる定期的なコードデプロイ • デプロイ前の静的・動的セキュリティテスト • インベントリデータとアクセス制御のための限定的な自動化 • データ分類のための戦略 • 一部に高可用性データストア • 通信中のデータ暗号化 • 初歩的な集中管理鍵管理ポリシー • パスワードまたはMFA • オンプレミス・アイデンティティ・ストア • 限られたアイデンティティのリスクアセスメント • 定期的な見直しを行う永続的なアクセス • デバイスのインベントリを手動トラッキング • 限定的なコンプライアンス可視化 • デバイスからリソースにアクセスするための基準がない • 一部デバイスに脅威防御を手動で適用 • 大きなペリメータ・マイクロセグメンテーション • 限られたレジリエンスの中で、ルールセットとコンフィグを手動で管理 • アドホックな鍵管理による最低限のトラフィック暗号化 • プライベートNW経由でアクセス可能なミッションクリティカルなアプリ • ワークフローに最低限のプロテクション • アドホックな開発テストと本番環境 • データを手動で棚卸・分類 • オンプレミスのデータストア • 性的なアクセス制御 • アドホックな鍵管理による保存時及び通信時の差異知恵減のデータ暗号化最適高度初歩従来可視化と分析自動化とオーケストレーションガバナンス可視化と分析自動化とオーケストレーションガバナンス可視化と分析自動化とオーケストレーションガバナンス出典 • Zero Trust Maturity Model サブWG内で作成・レビュー・修正中

Slide 16

Slide 16 text

Copyright © OpenID Foundation Japan 16 セキュリティの向上｜利用者への被害が発生した事例バーコード決済の利用時に、端末情報との紐づけや二要素認証等の検証が不十分だったことにより、利用者への被害が発生し、最終的にサービス廃止に至った例があります。発生時期 2019年7月～2019年9月影響ユーザアカウントに不正アクセスされ、不正な決済が発生被害者バーコード決済サービス利用者事案発生の原因 1. システムの認証レベルが低かった - 個人のアカウントと端末の紐づけがなく、複数端末からのログインへの対策が十分でなかった ※コード決済を提供する際は、利用登録端末とコード決済アプリを紐づけることとしてガイドラインが策定されている(※1) - 二要素認証等の検証を事前に十分にできていなかった 2. システム開発に関係するグループ各社のシステム全体最適化の検証が十分でなかった - 金融情報を扱うバーコード決済とその他アプリケーションで求められるセキュリティレベルの差異があり、それらを同じアカウントで連携してしまったことも脆弱性の発生原因として考察されている 3. システムリスク管理体制が十分でなかった - リスクを管理する組織を整備できておらず、相互検証・相互牽制の仕組みが十分に機能していなかったおそれがある事象何らかの方法で入手されたアカウント情報をもとにサービスへ不正アクセスされ、利用者のアカウントで不正な決済が発生した。攻撃者がどこかで不正に入手した情報による「リスト型アカウントハッキング」の可能性が高い。決済システム自体のセキュリティや脆弱性ではなく、開発体制やアプリケーションの設計に問題があったとされている。事象発生から約3か月後、当該バーコード決済サービスの廃止が発表された。 ①ユーザエクスペリエンスの改善 ②セキュリティの向上 ③コンプライアンスと規制遵守出典 • ※1 コード決済に関する統一技術仕様ガイドラインサブWG内で作成・レビュー・修正中

Slide 17

Slide 17 text

Copyright © OpenID Foundation Japan 17 デジタルアイデンティティがなぜ必要か｜活用範囲の拡大デジタル化の推進によって、不特定多数のプラットフォームなど、デジタルアイデンティティの活用範囲が広がっています。複雑なIT環境に合わせ、柔軟かつ適切な自己表現を行うことが重要となっています。年代独立したプラットフォームでの利用デジタルサービスを利用するために、個人を識別する情報としてデジタルアイデンティティを利用する。デジタルアイデンティティの情報をもとに、資源（リソース）に対するアクセス制御を行う。限定的なプラットフォーム間の連携複数のデジタルサービス間の連携やマルチクラウド化など、アイデンティティを使い分ける機会が増え、効率的な管理・活用が重要となる。必要な属性情報はデジタルサービスごとに異なり、過剰な情報連携はユーザーのプライバシーを侵害する恐れがある。複数のデジタルサービスで連携される情報は漏えいや悪用等のリスクが増大するため、適切なセキュリティ対策が実施されている必要がある。不特定多数のプラットフォームでの活用デジタル化の推進によって、アナログだったものがデジタル化されるなど、デジタルサービスで扱われる情報が複雑化し、プラットフォームが多様化している。複雑なIT環境であっても、適切な自己表現を行うことは重要であるが、アイデンティティを管理するうえでの絶対的な正解はない状態となっている。デジタルサービスの内容に応じて、集約型や分散型など、アイデンティティを活用するために適切な選択を行うことが重要となる。デジタルアイデンティティの活用範囲デジタル化の推進と自己表現の重要性の拡大イメージ 2000年頃 2000年～2020年頃現在サブWG内で作成・レビュー・修正中

Slide 18

Slide 18 text

Copyright © OpenID Foundation Japan 18 デジタルアイデンティティがなぜ必要か｜各業界のID活用動向・展望デジタルアイデンティティは単一のサービスとして利用されるだけでなく、個人のデジタルアイデンティティをもとに様々なサービスを利用できる動きが各業界で進められています。金融（銀行、保険等）エネルギー（電力、ガス等）製造（自動車等）物流・交通情報通信サービス政府・行政医療小売不動産・建築スマートフォンのウォレットに保存したデジタルIDの電子証明書で身分を証明し、スマートフォンのアプリから金融サービスだけでなく様々なサービスの利用が可能となっている家庭で太陽光発電によって生産された電力が個人間で売買し、電力市場の活性化を目指す取り組みが推進されている。生産者と消費者をデジタルIDにより特定し、安全な取引を実現する必要がある消費者接点の増加に伴い、自社の製品を使用・継続してもらう工夫が必要となっている。広告等による認知、検討や購入、アフターサービスなど、個人のアイデンティティに紐づく形でビジネスが展開されている通信販売の増加により取引量が増加しており、サプライチェーン全体の効率化が必要となっている。荷物にデジタルIDを付与することにより、供給元から配達先までのすべての段階で流通や資産管理の最適化を目指す動きがある様々なクラウドサービスの利用が増え、アカウントやパスワードの管理が複雑化している。任意のサービスで認証された情報を複製し、他のサービスでも利用するなど、デジタルサービスの利用を促進するためのデジタルサービス事業者のプラットフォームに登録されたID情報を連携し、他のWebサービスの利用を促進させられるとともに、パスワードの使いまわしを防ぐなどのセキュリティ面での効果も期待されるマイナンバーカードによる本人確認を実施したうえで、スマートフォン上にデジタルIDを実装し、先端的サービスとの連携によりニーズに合わせ最適化されたサービスを提供する動きがあるカルテが電子化され、その情報が他の病院と連携される等、デジタル化が進んでいる。要配慮個人情報等も含まれるため、連携されるべき情報・秘匿すべき情報を適切に管理する必要があるキャッシュレス決済が普及し、様々な決済手段がユーザによって利用される。デジタルIDに基づき、支払いに関する情報や残高情報などを適切に扱う必要がある住所や土地に付与された記号情報が統一化されていないため、不動産IDを設ける動きがある。その土地の管理者だけでなく、一意に識別するためのデジタル化された情報が重要となっているサブWG内で作成・レビュー・修正中

Slide 19

Slide 19 text

Copyright © OpenID Foundation Japan 19 デジタルアイデンティティをビジネスとして扱う上で必要な観点デジタルアイデンティティを活用してビジネスを実現するためには、技術だけでなく、法や規制を考慮し、戦略から技術まで一貫して整備することが必要不可欠となります。戦略 Strategy • デジタルアイデンティティのリスクは企業への潜在的な影響を超えて広がっており、企業のビジネス戦略においては、デジタルアイデンティティが経営資源であることを認識したうえで意思決定を行う必要がある • デジタルサービスを利用する際のユーザー体験を向上させるため、連携サービスの拡大および情報の管理などに計画的に取り組むべきである組織 Organization • 社内のアイデンティティに関しては人事部門、顧客のアイデンティティに関してはコンプライアンス部門など、デジタルアイデンティティに関連するステークホルダを明確化し、体制やサービス内容に沿った組織を構成する必要がある指針・規程 Policy • デジタルアイデンティティに関するリスクを組織体系やサービス内容に沿って精査し、ガバナンスルールを整備する • プライバシー保護や国ごとのデータ規制など、各種法規制への対応やコンプライアンスを実現するためのルールや規程の整備が必要となるプロセス Process • アイデンティティのライフサイクルに合わせ、作成や更新、削除など、適切な管理プロセスの整備が求められる • 本人確認や認証・認可など、アイデンティティを利用してアクセス制御を行うための概念を理解し、実現するためのプロセス構築が必要となる技術 Technology • 収集したデジタルアイデンティティ情報を様々なデジタルサービスに展開・連携し利便性を提供しつつ、個人情報を保護するためのセキュリティを確保し両立させる必要がある • 様々な第三者サービスとの連携のため、標準仕様に則りデジタルアイデンティティを活用し、相互接続性を確保することが求められるサブWG内で作成・レビュー・修正中

Slide 33

Slide 33 text

Copyright © OpenID Foundation Japan 33 身元確認の手法主な身元確認手法については、OpenIDファウンデーション・ジャパンKYCワーキンググループ内に設置された本人確認ガイドラインタスクフォースが作成した「民間事業者向けデジタル本人確認ガイドライン」に詳しい記載がある。出典 • 民間事業者向けデジタル本人確認ガイドライン（OpenIDファウンデーション・ジャパン KYC-WG） IAL 2 IAL 2 IAL 2 IAL 1 - IAL 3 本人確認書類の券面画像のアップロードウェブサイト等での身元確認等、法令等に定めの無い身元確認顔写真付き本人確認書類の券面(裏・表・厚みその他)と容貌のリアルタイム撮影顔写真付き本人確認書類の ICチップ読み取りによる券面画像の取得と容貌のリアルタイム撮影マイナンバーカードの署名用電子証明書により最新の氏名・住所等を取得(券面画像の取得は不要) 銀行口座の開設、携帯電話の登録等、法令に定めのある身元確認銀行口座の開設、携帯電話の登録等、法令に定めのある身元確認行政文書等の電子申請や電子申告等本人確認書類に基づかない、自己申告ウェブサイトへのアカウント登録アップロード犯収法へ方式自己申告公的個人認証（署名用電子証明書）犯収法ホ方式手法の概要手法の特徴ユースケースの事例保証レベルユーザーの所要時間(目安) 利用可能な本人確認書類暗証番号 - 本人確認書類全般 (健康保険証や場合によっては学生証等も含む) 顔写真付き本人確認書類 (運転免許証、マイナンバーカード、パスポート、在留カード等が主流) 顔写真付き本人確認書類 (運転免許証、在留カードが主流) - マイナンバーカード不要不要必要必要約30秒 (本人確認書類画像を選択し、アップロードする時間) 約60秒 (本人確認書類と容貌の撮影時間) 約40秒 (暗証番号の入力・ICチップ読み取りと容貌の撮影時間) 約20秒 (暗証番号の入力と ICチップ読み取り時間) 事業者の審査時間 - 数時間〜数日（目視確認を行う場合）数時間～数日（法令に基づいた目視確認を行う場合）即時 DADC IAL DADC IAL 1 DADC IAL 3 DADC IAL 3 DADC IAL 0 DADC IAL 4 IAL* 数時間～数日（法令に基づいた目視確認を行う場合）

Slide 41

Slide 41 text

Copyright © OpenID Foundation Japan 41 認証手法主だった認証手法については、民間事業者向けデジタル本人確認ガイドラインに詳しい 10.1. 主な当人認証手法とその特徴 AAL 2 AAL2 AAL1 手法の概要手法の特徴ユースケースの事例保証レベル*1 認証要素留意事項 AAL 3 AAL 3 公的個人認証 (利用者用電子証明書) セキュリティキー認証 (FIDO認証) パスワードレス生体認証(FIDO認証) パスワード+OTP パスワードパスワードの入力に加え、ワンタイムパスワードの入力又はアプリのプッシュ認証スマートフォンアプリやブラウザを利用した生体認証(FIDO認証) パスワードの入力セキュリティキーに生体やパスワードなどの第2要素を組み合わせた認証 (FIDO認証) マイナンバーカードの読み取り及び利用者用証明書暗証番号 (4 桁)の入力による認証金融機関へのログイン等の2 要素認証パスワードレス認証、パスキー IDとパスワードを入力しての認証 YubiKey 5 FIPSシリーズを利用した認証マイナポータルへのログイン、住民票や印鑑証明書の写しのコンビニ交付等記憶 + 所持生体*2 + 所持記憶生体*2+ 所持 (耐タンパ端末) 記憶 + 所持 (耐タンパ端末) ユーザーの利便性 OTPをフィッシングサイトに入力してしまうリスクがあるプロダクトにより、暗号鍵の管理方法やアカウントリカバリ等の利便性が変わるパスワードの桁数や内容によって強度が変動利用するセキュリティキー等が AAL3の要件を満たしている必要がある事前にマイナンバーカードを取得し、利用者証明用電子証明書を発行する必要がある金融機関やSNSへのログイン等で一定程度普及しており、認知度が高い生体認証を行うだけで、強度の高い認証が可能 (ただし、事前にアプリやブラウザによる登録が必要) 一般的なログイン手法であり、なじみがあるセキュリティキーと第2要素の併用で最高レベルの強度の認証が可能マイナンバーカード1枚で強固なログインが可能 (ただし、事前に会員登録を行っている必要がある) 脅威耐性 ✕ ◯ ✕ ◯ ◯ フィッシングリスト型攻撃 ◯ ◯ ✕ ◯ ◯ 当人認証注釈1︓保証レベルは「行政手続におけるオンラインによる本人確認の手法に関するガイドライン」における保証レベル。注釈2︓生体認証が成功しない場合、PIN等の記憶要素を用いた認証が行われる場合がある。

Slide 42

Slide 42 text

Copyright © OpenID Foundation Japan 42 パスキー認証パスキー認証は近年普及しているパスワードの代替手段としての認証方式。FIDO認証とも。パスキーは公開鍵暗号方式で認証を行うための秘密鍵とメタデータの組み合わせのことを指す。パスキー認証では、ユーザの端末に保持しているパスキーでチャレンジと呼ばれるデータに対して署名を行い、認証サーバ側で署名の検証を行うことで認証を行う。また、パスキーを利用するためにデバイス側でローカル認証を行う必要があるため、ローカル認証＋公開鍵暗号による認証の2段階認証となる。ローカル認証の手段（生体・PIN等）は規定されていない。パスキーは、ウェブサイトのURLのドメインごとに生成される。そのため、ドメインが異なるフィッシングサイトでは利用できず、パスキー自体もウェブサイトに送られることはないため、フィッシング攻撃等の脅威に対して有効であり、パスワードの代替手段として普及してきている。公開鍵暗号方式による認証ローカル認証生体認証の場合が多いがPIN やセキュリティキーなどもある秘密鍵公開鍵認証サーバ（RP）デバイス AppleのiCloudやGoogleのGoogle パスワードマネージャーなどにパスキーを同期し、同一アカウントの複数デバイスで共有できる署名されたチャレンジ参考︓https://fidoalliance.org/passkeys/?lang=ja メタデータ「同期パスキー」と「デバイス固定パスキー」同期パスキー︓ クラウドサービスを介してユーザのデバイス間で同期されるパスキー非同期パスキー︓ 1つのデバイスから外に出ることのないパスキーパスキーサブWG内で作成・レビュー・修正中

Slide 54

Slide 54 text

Copyright © OpenID Foundation Japan 54 プライバシー対策の重要性プライバシー対策が不十分である場合、法令違反による巨額の制裁金が科される。また法令違反でない場合も社会的な炎上等により企業の信頼失墜が起こる可能性がある。ある企業のサービスでは、利用目的を説明したページが分散しており、ユーザーにとって探しづらく分かりにくいことから個人情報の利用目的をユーザーに明確に説明しなかったと指摘された。また、ターゲティング広告の仕組みの説明が不十分とされた。さらに、その企業はユーザーがアカウントを作成する際、一括して利用規約への同意を取っていたものの、本対応は目的別に明確に同意を取得しておらず不適切だと判断された。ターゲティング広告の配信についても、機能をオフにするためには煩雑な作業が必要で、同意の取り方についても違法とされた。法令（GDPR）違反による巨額の罰金支払い事例同意のない個人情報利用ある企業ではID(ポイントカード等から取得)に紐づく購買履歴等からユーザの妊娠を予測し、妊娠が予想されるユーザにマタニティグッズのクーポンを送付していた。(ターゲティング隠蔽のため複数のクーポンを混ぜて送付) 本クーポンがある女性に郵送され、父親がクレームを申し入れた。父親が実際に娘確認したところ妊娠が発覚し、父親は謝罪した。本事案は、ある国の大手新聞社によって報道され、センシティブな情報を企業が予測しマーケティング活用しているとして炎上した。炎上後もその企業からの説明・リリースはなかった。タイトル概要* 妊娠予想スコアによるターゲティングインシデントによる影響センシティブな情報を勝手に予測し、それを間接的に第三者に知られてしまう可能性がある形でクーポンを送付したことによる炎上問題発生後、取材に対する回答や世間に対する説明がほとんどなかったことによる企業イメージの悪化ある国のデータ保護機関により、その企業がGDPRに違反したとして、5,000万ユーロ（約65億円）の支払いが求められたタイトル概要* インシデントによる影響消費者からの炎上による企業の信頼失墜事例サブWG内で作成・レビュー・修正中

Slide 57

Slide 57 text

Copyright © OpenID Foundation Japan 57 プライバシー対策の実務（1/5）～体制の構築～事業目的の実現とプライバシーリスクマネジメントを両立させる対応策を検討するために、プライバシー保護責任者を中心とした組織の設置が求められる。実施事項他社事例プライバシー保護体制 • プライバシー保護責任者としてCPOを指名、CPO議長の下でアドバイザリーボードを含む会議体を設置 • プライバシー保護組織として、プライバシーガバナンス推進部署を設置 • 業務分野毎に保護対応責任者を指名 A.プライバシー保護責任者の設置 • プライバシー保護実践のための方針の確立 • リスクを把握、評価し、対応策を検討できる体制の構築 • 経営者へ対応及び方針の報告等 B.プライバシー保護組織の設置 • 企業内の各部門からの情報の集約及びプライバシー問題及びリスクの発見 • 発見されたリスクに対するマネジメント及び対策実施等出典 ︓「DX時代における企業のプライバシーガバナンスガイドブック ver1.3」（総務省・経産省）サブWG内で作成・レビュー・修正中取締役会プライバシーガバナンス推進会議(議長 CPO) •重要事項、方針の決定 •取り組み、課題報告 •具体的施策の決定アドバイザリーボード •研究者 •弁護士 •消費者団体代表者等で組織 •各種取り組みへの助言経営層プライバシーガバナンス推進部署主要分野(プライバシーリスクに応じて設定) Chief Privacy Officer（CPO） •法的検討 •ルール策定 •社内教育・文化醸成 •ガバナンス実装 •主要分野支援品質保証販売店金融開発人事ｼｽﾃﾑセキュリティ •分野内のプライバシー保護対応社内各部国内・海外子会社親会社・・・

Slide 58

Slide 58 text

Copyright © OpenID Foundation Japan 58 プライバシー対策の実務（2/5）～運用ルールの策定と周知～プライバシー・バイ・デザイン（PbD）やプライバシーリスク評価（PIA）により、プライバシーリスクを可視化し管理する運用ルールの策定と周知徹底が必要。実施事項他社事例プライバシーリスクの類型化の事例 A.プライバシー・バイ・デザインの導入 • サービスや業務プロセスの設計段階からプライバシー保護を考慮した施策を検討・導入 • 取り扱う個人情報の種別や私生活への影響の度合いを消費者本人がコントロール仕組みづくりが必要 B. プライバシーリスク評価の導入 • サービスや業務プロセスのプライバシーリスクを評価 • コンプライアンスリスク（個人情報保護法違反）に加え、私生活への侵入や人格/自律権の侵害の度合いをプライバシー問題の類型から評価し、対策を検討する。社内マーケティング各事業部セールスサポートパーソナルデータの取扱類型顧客／見込み客データ取得サービス提供データの処理データの処理パーソナルデータ第３者データ取得データの拡散 • 継続的なモニタリングにより、不安や居心地の悪さを与える • 個人にとって害のある情報も結び付けられてしまう • 私的情報の他者への暴露により、名誉や信頼を損ね恥辱を感じさせてしまう。 • 顧客の不利益を招くデータ利用方法を行ってしまう • 同意が取れていないデータを第三者へ提供または公開してしまう • 「なぜそんな情報を知っているのか︖」と顧客に不安感を抱かせてしまうデータの拡散サービス提供類型毎の代表的なリスク社外データの処理データの処理サブWG内で作成・レビュー・修正中

Slide 59

Slide 59 text

Copyright © OpenID Foundation Japan 59 プライバシー対策の実務（3/5）～企業文化の醸成～プライバシーリスクに対し、適切に対応できるような企業文化を組織全体で醸成していく活動が必要。実施事項他社事例社内啓発活動の事例各種社内啓発活動の実践従業員がプライバシーリスクコントロールを実践するため、以下のような取り組みを通じて社内啓発を行う。 – プライバシー保護責任者からのメッセージ配信 – ハンドブックの作成、配布 – e-Learning等の社内研修 – ジョブローテーションによる担当者育成等定期的なe-learning や研修教育社内向けのプライバシー保護責任者の活動を社内広報する等の啓発活動対象必須任意定期（年次など）都度階層別全階層経営層プライバシー研修 (経営層向け) 経営へのインパクトなどプライバシー研修 (基本編) 個人情報の取扱いに関する研修（個人情報を取り扱う部署・担当者向け）法改正に伴う社内のポリシー、ルールの改訂に関する研修自主的な勉強会個人情報保護責任者やプライバシー保護組織による動画配信、各部署における勉強会など外部セミナー受講管理職プライバシー研修 (管理職向け) 管理職の責任等などその他従業員 -  メールマガジン社内の取り組み状況の報告、法律の改訂、事件の発生等に関して個人情報取扱従事者や全従業員に向けて発信  プライバシーに関する社内のホームページニュース、規程類、マニュアル類、教育コンテンツ、Q&A、問い合わせ先などのコンテンツを掲載サブWG内で作成・レビュー・修正中

Slide 62

Slide 62 text

Copyright © OpenID Foundation Japan 62 プライバシー対策のためのテクノロジー～プライバシーテック～近年、同意管理やデータマッピング、匿名化/仮名化などをシステム・ツール導入で対応する企業も増えている。 Privacy Program Management Enterprise Privacy Management PIAの運用、リスク・ギャップの特定、コンプライアンスの実証、レポート作成など、プライバシー観点の評価を自動で行うツール ② 同意管理 ③ データマッピングユーザの同意を収集し、追跡し、実証し、管理するツールどこにどんなデータがあり、どのように使われているか、企業全体のデータフローを可視化し、管理するツール ① アセスメント管理データ主体からのアクセス権や訂正権、データポータビリティ権、消去権などの権利行使に円滑に対応するためのツール企業がデータ漏洩インシデントに対応する際に、何が漏洩したのか、どのような通知義務を果たさなければならないのかについて、関連する利害関係者に情報を提供するツール世界中の最新のプライバシー法に関する情報を提供するツール企業のウェブサイトをチェックし、どのようなクッキー、ビーコン、その他のトラッカーが埋め込まれているかを判断し、様々なクッキー法やその他の規制への準拠を支援するツール ⑤ インシデント対応 ⑥ プライバシー情報管理 ④データ主体からの請求対応 ⑦ ウェブサイトのスキャンニング誰がいつ個人データにアクセスしているかを監視し、アクティビティを管理するツール個人データの種類を分類し、探索しやすくするツール利害関係者が、データ主体のプライバシーを損なうことなく、データセットの情報を活用できるよう、個人データの匿名化・仮名化を行うツール個人データ漏洩や不正な取扱い防止に向けて、企業が適切な社内コミュニケーションを実施することを支援するツール ⑧ アクティビティモニタリング ⑨ データ探索 ⑩ 匿名化/仮名化 ⑪ 社内コミュニケーション機能概要プライバシーテックの機能サブWG内で作成・レビュー・修正中

Slide 63

Slide 63 text

Copyright © OpenID Foundation Japan 63 プライバシー対策のためのテクノロジー～同意管理～これまでユーザーは、複数のサービスやアプリの利用に際し、個別に同意してきた。 ID統合に伴い、ユーザの同意状態も統一的に管理する必要が生じる。同意のうえ以下の「ログイン」を押してください。プライバシーポリシー・規約一覧・プライバシーポリシー・●●●ID規約・▲▲▲会員規約・×××利用規約同意記録規約セットA ログイン氏名 URL 〇△社への個人データ提供統計加工したうえでの第三者提供 XXX XXX 同意同意未済 XXX XXX 同意同意未済 XXX XXX 同意同意未済サービスA 同意のうえ以下の「ログイン」を押してください。プライバシーポリシー・規約一覧・プライバシーポリシー・●●●ID規約・▲▲▲会員規約・×××利用規約同意記録規約セットB ログインサービスB 統一フォーマットユーザーユーザー【結果・効果】ユーザーがいつ・どの画面で・どのプライバシーポリシー（規約）に同意したのかを正確に記録することで、有事の際に素早く、確実に同意状況を確認できる状態を実現導入後導入前同意のうえ以下の「ログイン」を押してください。プライバシーポリシー・規約一覧・プライバシーポリシー・●●●ID規約・▲▲▲会員規約・×××利用規約ログインユーザーサービスA画（例）同意のうえ以下の「ログイン」を押してください。プライバシーポリシー・規約一覧・プライバシーポリシー・●●●ID規約・▲▲▲会員規約・×××利用規約ユーザーサービスB画（例）ログイン同意データ同意データ同意データの内容は各サービスによって異なる • 〇△社への第三者提供に同意 • マーケティング利用に同意 • ××サービスへの利用に同意 • 統計加工したうえでの第三者提供に同意氏名 URL 〇△社への個人データ提供統計加工したうえでの第三者提供 XXX XXX 同意未済同意 XXX XXX 同意未済同意 XXX XXX 同意未済同意 ◆同意管理システム導入事例サブWG内で作成・レビュー・修正中

Slide 69

Slide 69 text

Copyright © OpenID Foundation Japan アイデンティティ管理の分類パターンアイデンティティ管理は、管理主体や管理対象などの違いによって分類することができる。管理対象とは、属性によって形づくられる個人などの実体を指す。実体としての個人は自身の属性を使い分けることで複数の人格（アイデンティティ）を主張することができる。一方、管理主体とは、アイデンティティを管理する主体であり、管理対象の属性を保管/保護する認証サーバなどを指す。管理主体は管理対象の認証とともに認証済アイデンティティをサービスに連携することで、管理対象によるサービスアクセスを許可する。 Aさん(実体) 管理対象管理主体利用サービス氏名社員番号所属部署役職 ECサービス上における Aさんのアイデンティティ社内サービス上における Aさんのアイデンティティ認証: メールアドレス、パスワード認証: 社員番号、パスワード氏名住所電話番号メールアドレスアイデンティティ連携 ECサービス社内サービスサービスアクセス氏名住所電話番号メールアドレス ECサービス認証サーバサービスアクセス社内サービス認証サーバアイデンティティ連携氏名社員番号所属部署役職消費者としての Aさん会社員としての Aさん例︓管理対象の実体であるAさんが消費者と会社員で異なるアイデンティティを持つ場合、各々のアイデンティティを管理する主体は”ECサービス認証サーバ”や “社内サービス認証サーバ”というように利用するサービスによって異なる。このように、管理対象や利用サービスの種類によって管理主体も分類される。認証済アイデンティティ認証済アイデンティティ本章の説明範囲サブWG内で作成・レビュー・修正中

Slide 71

Slide 71 text

Copyright © OpenID Foundation Japan 71 アイデンティティの管理対象による分類*1 管理対象が従業員か顧客かによって一般的にEIAM/CIAMに分類されます。また、顧客向け (Customer/Consumer)では、サービスの性質によって分類でき、特徴が異なります。 CIAM (Customer IAM /Consumer IAM) BtoB Business to Business BtoC Business to Customer/Consumer GtoC Government to Citizen*2 EIAM (Enterprise IAM/ Workforce IAM) *1︓いずれも集中管理型の場合を想定 *2︓Customer/Consumerと解釈されることもある概要卸し先企業の従業員等消費者市民企業行政機関企業管理者と同じ組織の従業員/協力社員等企業 /学術機関等イメージ社内の従業員や学術機関の生徒・職員、社外の協力社員などの内部ユーザを対象に、企業や学術機関等が提供するアイデンティティとアクセス管理サプライチェーンに含まれる取引先企業や代理店のユーザを対象に、企業が提供するアイデンティティとアクセス管理銀行や通信事業者等の企業が提供する消費者向けサービスの一般ユーザを対象に、企業が提供するアイデンティティとアクセス管理行政機関が一般市民向けに提供するアイデンティティとアクセス管理特徴 • 一般的に、HRの人事DBや契約情報管理 DB等をIDの源泉とし、社内のワークフローを通じて管理される • 従業員の入退に応じたライフサイクル管理や特権管理等が必要となる • 一般的に、ユーザが属する企業のメールアドレスの送達確認等により、法人顧客管理者の承認を経て登録、管理される • 顧客であるため同意管理が必要となる • サービスによって集める属性情報やその管理方法は様々 • 同意管理だけでなく、データ主体が求める利用停止や消去等の要求への迅速な対応が必要となる • サービスによって集める属性情報やその管理方法は様々 • 普及に際し、国民監視を強めることへの懸念や、配布漏れによる権利の侵害、唯一性の担保など課題が多い CIAM/EIAM サブWG内で作成・レビュー・修正中

Slide 76

Slide 76 text

Copyright © OpenID Foundation Japan 76 アイデンティティの管理対象による分類参考:Access Managementの機能のうち、アクセス制御に着目すると8種類の制御方式が確認できる。これらはベンダによる独自の呼称などは存在するものの、内容に関してはおおむね共通したものを表している。 What is Access Control? (techtarget.com)：アクセス制御とは、重要性、各アクセス制御の概要 Types of Access Control Systems - Article | SailPoint：各アクセス制御の概要 What Are the Diﬀerent Types of Access Control? – JumpCloud：各アクセス制御の概要・メリットデメリット任意アクセス制御強制アクセス制御ロールベースアクセス制御ルールベースアクセス制御属性ベースアクセス制御 IDベースアクセス制御履歴ベースアクセス制御 IDドリブンアクセス制御制御の基準ユーザー自身によって決定可能一律で定められた、ユーザーやデータに対するポリシーを元に判断ユーザーに割り当てられたロールの情報を元に判断ユーザーやデータに対するポリシー、ルールを元に判断ユーザーやデータが持つ複数の属性を元に判断 IDに紐づいたポリシー等を元に判断使用履歴や属性情報、アクセス先の機密性等を元に判断 AIが利用可能な情報を元に判断想定されるユースケース個人利用のPC やクラウドサービス細かいアクセス制御を必要としない企業職位等によるアクセス制限が存在する企業特定の条件に従ったアクセス制御が要求される企業複数の属性情報によるアクセス権の判断が要求される企業個人(ID)単位での細かいアクセス制御が要求される企業属性情報だけでなく、使用履歴等のデータによるリスク判断が必要な企業高度なアクセス制御だけでなく、管理負荷の低減を目指す企業 AM(Access Management) サブWG内で作成・レビュー・修正中

Slide 1

Slide 1 text

Slide 2

Slide 2 text

Slide 3

Slide 3 text

Slide 4

Slide 4 text

Slide 5

Slide 5 text

Slide 6

Slide 6 text

Slide 7

Slide 7 text

Slide 8

Slide 8 text

Slide 9

Slide 9 text

Slide 10

Slide 10 text

Slide 11

Slide 11 text

Slide 12

Slide 12 text

Slide 13

Slide 13 text

Slide 14

Slide 14 text

Slide 15

Slide 15 text

Slide 16

Slide 16 text

Slide 17

Slide 17 text

Slide 18

Slide 18 text

Slide 19

Slide 19 text

Slide 20

Slide 20 text

Slide 21

Slide 21 text

Slide 22

Slide 22 text

Slide 23

Slide 23 text

Slide 24

Slide 24 text

Slide 25

Slide 25 text

Slide 26

Slide 26 text

Slide 27

Slide 27 text

Slide 28

Slide 28 text

Slide 29

Slide 29 text

Slide 30

Slide 30 text

Slide 31

Slide 31 text

Slide 32

Slide 32 text

Slide 33

Slide 33 text

Slide 34

Slide 34 text

Slide 35

Slide 35 text

Slide 36

Slide 36 text

Slide 37

Slide 37 text

Slide 38

Slide 38 text

Slide 39

Slide 39 text

Slide 40

Slide 40 text