本人確認とは何ですか？

その基盤は、一見した以上に重要です。その後に行われるあらゆる認証は、そのアカウントを作成した登録情報の信頼性を引き継ぐことになります。つまり、検証プロセスが脆弱であれば、その上に重ねられたどんなに強力な認証であっても、その価値は知らぬ間に制限されてしまうのです。.

身元証明は、かつては政府による特殊な要件でしたが、大規模なリモートオンボーディング、組織化された合成身元詐欺、そして偽造文書や偽造顔を安価に作成できる生成AIツールの台頭により、現在では企業の主要な関心事となっています。 このページでは、身元確認の仕組み、身元検証や認証との違い、NISTが認定する4つの身元確認の種類、それを評価する身元保証レベル、そして現代の アイデンティティ＆アクセス管理 プログラム。.

本人確認は、認証サービスプロバイダー（CSP）によって行われます。CSPとは、サードパーティのベンダーである場合もあれば、組織が自らその役割を担う場合もあります。. NIST SP 800-63A, ここでは登録および本人確認の要件が概説されており、登録プロセスは3つの連続したステップで構成され、その後に登録が行われることになっています：

このプロセスにおいて、CSPは申請者から本人確認資料および基本属性を収集します。その後、照合、妥当性確認、および本人確認が順に行われます。 主要属性には通常、名、ミドルネームまたはイニシャル、姓、生年月日、および申請者と連絡が取れる実住所またはデジタル住所が含まれ、CSPは社会保障番号、運転免許証番号、パスポート番号などの公的識別子を少なくとも1つ含めなければなりません。 手続きが正常に完了すると、申請者はアカウントを持つ加入者となり、1つ以上の認証手段がそのアカウントに紐付けられます。検証済みの郵送先住所または電話番号に検証完了の通知が送信されるため、登録を自ら行わなかった人物が異議を申し立てることができるようになっています。.

これら3つのステップは似通っているように聞こえ、ベンダーを含め、日常的に混同されがちです。これらを明確に区別しておくことが、このトピックの残りの部分を理解しやすくする鍵となります。.

IDの照合

「本人確認」とは、申請された身元が、単一かつ唯一無二の実在の人物と一致するかどうかを判断するプロセスです。これには、その個人を特定するために必要な最小限の証拠や属性情報を収集することが含まれます。また、これが最初の接点となるため、不正検出もここから始まります。.

本人確認

検証とは、証拠や属性が本物であるかどうかを判断するものであり、2つの側面から構成されています。証拠の検証では、文書やデジタル資格情報が真正であること（つまり、偽造や改ざんされていないこと）、および正確かつ有効であることを確認します。属性の検証では、権威ある、あるいは信頼できる情報源と照らし合わせて、中核となる属性の正確性を確認します。.

これら2つの情報源の種類は、しばしば同じものとみなされがちであるため、その違いを知っておく価値があります。 「権威ある情報源」とは、発行元そのものであるか、あるいは発行元が管理する記録に直接アクセスできる情報源を指します。例えば、運転免許証のデータについては、州の自動車局などがこれに該当します。「信頼できる情報源」とは、権威ある情報源に遡って確認できる属性情報を保持しているか、あるいは正確性と最新性を確保するために複数の情報源からの情報を照合しており、かつ規制当局の監督下にある情報源を指します。.

本人確認

本人確認とは、手続きを行っている申請者が、検証対象の証拠の正当な所有者であるかどうかを確認するものです。これは、多くの人が「本人確認」と言う際に思い浮かべる段階であり、まさにそのために、この2つの用語がこれほど多くの混乱を招いているのです。.

これらは競合するアプローチではありません。本人確認は、本人確認プロセスの一段階であり、その代替となるものではありません。.

• 適用範囲: 「本人確認」とは登録プロセス全体を指すのに対し、「本人認証」とは、実在する人物と検証済みの証拠とを結びつける単一のステップを指す
• 質問への回答: 本人確認では、この身分証明書が存在し、当該申請者に属するものであるかどうかを確認し、実名確認では、当該申請者が提示された証拠の正当な所有者であるかどうかを確認する
• 出力: プルーフィングでは、指定された保証レベルに基づいて承認済みアカウントが生成され、検証では、リンクの成否が判定されます
• 使用方法: ベンダー市場では、「本人確認」という用語がプロセス全体を指すために大まかに使われることが多いため、規格上はこれらを区別しているにもかかわらず、この2つの用語はしばしば同義語として扱われる

ある製品が「本人確認」として販売されている場合、実際にその製品が3つのステップのうちどれを実行しているのかという点が、実用上の問題となります。解決策によっては、照合と妥当性確認は行うものの、本人確認自体は顧客に委ねているものもあれば、その逆のケースもあります。.

より明確な区別は、「校正」と「認証」の間にあり、それはそれぞれがいつ行われるかという点に帰着します：

• 本人確認は、登録時に一度だけ行われ、その人物が誰であるかを確認するものです。
• 認証 これはその後のアクセス試行のたびに発生し、再訪問したユーザーが、以前に本人確認済みのユーザーと同一人物であることを確認する
• 証明保証は「身元保証レベル」によって測定され、認証保証は「認証保証レベル」によって測定され、これら2つは保護対象となるサービスのリスクに基づいて個別に選定される。

弱い証明に基づいて構築された高信頼性の認証は、防御が万全なアカウントを生み出しますが、そのアカウントは、名目上の所有者とは異なる人物のものになっている可能性があります。このギャップが最も頻繁に現れるのがアカウントの復旧時です。というのも、当初の登録時よりも弱い証拠を受け入れるリセット手順では、日常的な認証がいかに強固であっても、アカウントの実効的な信頼性が低下してしまうからです。これが、 ヘルプデスク詐欺 セキュリティ対策が万全な組織に対しても、最も効果的な攻撃経路の一つとなっている。.

NISTは、身元確認の手法を4種類に定義しており、これらは「プロセスが実施される場所」と「CSPの担当者が立ち会うかどうか」という2つの要素によって区別される。.

• 遠隔・無人: 解決、妥当性確認、および検証は、CSPが管理していないデバイスおよび場所において、エージェントを一切介さずに完全に自動化されています
• 遠隔監視: 申請者は、CSPが管理していない端末を使用して、検証担当者または信頼できる保証人との安全なビデオセッションを通じて、一連の手順を完了します
• 現場での無人運用: このプロセスは完全に自動化されていますが、CSPが管理する物理的な場所にあるワークステーションまたはキオスク上で実行されます
• 現場での常駐: 申請者は、CSPが管理する場所において、検証担当者または信頼できる立会人の立ち会いのもと、同席するか、あるいは管理されたキオスクを通じて、手続きの全過程を完了する

CSPは、これらを組み合わせてハイブリッドなプロセスとすることも可能です。一般的なパターンとしては、検証が行われる有人セッションに先立って自動検証を実行するもので、これにより、結果の信頼性を損なうことなく、有人セッションの所要時間を短縮することができます。.

すべての身分証明書が同等の信頼性を持つわけではありません。証拠の強さは、発行プロセスの厳格さ、証拠の検証の信頼性、および承認された確認方法のいずれかを裏付けることができるかどうかによって評価されます。NIST規格では、3つの段階が定義されています。.

• フェア: 正式な手続きを経て発行され、当該人物に交付されるもので、記載された氏名に加え、参照番号、生体認証情報、またはその人物を一意に特定するのに十分な属性のいずれかが記載されており、複製を困難にするセキュリティ機能が備わっているもの
• 強い: 規制当局または公的説明責任を負う機関による発行手続きの定期的な監督を追加するとともに、証明書自体に顔画像またはその他の生体認証情報を記載することを義務付ける
• 優れた: 発行元によるデジタル署名を通じて検証可能な、暗号技術によって保護された属性を追加し、発行元が対面登録プロセスを通じて対象者の実在を確認することを義務付ける

州が発行する運転免許証は、強力な証拠の代表的な例です。「優れた証拠」はこれよりも範囲が狭いカテゴリーですが、モバイル運転免許証や検証可能な資格情報といった新しい形式の資格情報が注目を集めている理由の一つは、発行者によってデジタル署名されており、目視ではなく暗号技術を用いてその有効性を検証できる点にあります。.

検証済みの身元に対する保証は、「身元保証レベル（IAL）」として表されます。各レベルは、その下のレベルの要件を基盤としているため、これらのレベルは並列的な選択肢ではなく、累積的なものです。.
セキュリティレベルの選定はリスク判断であり、単に利用可能な選択肢の中で最も厳格なものをデフォルトとして採用する問題ではありません。必要のないサービスに最高レベルのセキュリティを適用すると、利用開始の障壁や運用コストが増大するだけでなく、正当なユーザーを排除することになり、真に重要な場面で高保証レベルを適切に実装するために必要な予算を浪費することになります。.

本人確認なし

基本方針として、申請者を特定の実在の人物と結びつける必要はありません。証拠の収集は求められず、属性の検証を行うか否かは任意であり、本人確認も行われません。これは、架空の身元がサービスやその利用者に与える害が最小限にとどまる場合に適切な選択肢であり、セキュリティ上の不備というよりはリスク判断の問題です。.

身元保証 – レベル1 (IAL1)

IAL1では、本人確認プロセスは、主張された身元の現実世界における存在を裏付け、申請者がその身元と関連していることをある程度保証するものです。主要な属性は、証拠から取得されるか、申請者自身によって申告されますが、それらはすべて権威ある情報源または信頼できる情報源と照合して検証され、その属性が本人確認の対象となる人物に属するものであることを確認するための措置が講じられます。.

IAL1における証拠要件は、デジタル検証が可能であるか、顔写真やその他の生体認証情報を含む1つの「適正な証拠」、あるいは1つの「強力な証拠」または「優れた証拠」によって満たされます。 4種類の認証方式のいずれでも使用可能であり、有人・無人かを問わず、生体認証による照合は任意です。IAL1は、自動登録などの大規模な攻撃を制限し、合成IDや流出した個人情報の悪用から保護するように設計されています。.

身元保証 – レベル 2 (IAL2)

IAL2では、追加の証拠を収集するとともに、その証拠の妥当性を検証し、身元を確認するために、より厳格な手続きを適用することが求められます。これには、申請者が提出した物品の正当な所有者であることを確認するための強化された手順も含まれます。.
ある点について、広く誤った情報が報じられています。IAL1と同様、IAL2における本人確認も、遠隔または現地で、有人または無人で行うことができます。IAL2では、直接の来訪は必須ではありません。この仕組みは、大規模かつ標的型の攻撃を制限し、基本的な証拠の改ざん、証拠の盗難、およびソーシャルエンジニアリングから保護するように設計されています。.

身元保証 – レベル3 (IAL3)

IAL3では、IAL2に2つの要件が追加されています。「プルーフィング・エージェント」と呼ばれる訓練を受けたCSPの担当者が、対面セッションの一環として申請者と直接やり取りを行う必要があり、かつ少なくとも1つの生体認証特徴を収集しなければなりません。 対面セッションでは、同席する担当者またはキオスク端末のいずれかを使用することができます。セッションが正常に完了すると、登録が行われ、アカウントに紐付けられた1つ以上の認証情報が発行されます。.

IAL3は、高度な証拠改ざん、窃盗、否認、さらに高度なソーシャルエンジニアリングなど、巧妙な攻撃を対象としています。.

NIST SP 800-63A – リビジョン 4 における変更点

改訂第4版は2025年7月に発行され、2020年3月に最終更新された2017年6月版に取って代わりました。本人確認に関する記述の多くは依然として以前の改訂版に基づいているため、広く引用されてきたいくつかの記述は、現在では時代遅れとなっています。.

• IAL1は、それ自体が校正レベルとして再定義され、校正を必要としない場合は、IAL1としてではなく、独立したベースラインとして扱われるようになった。
• IAL3は現場で担当者が常駐するプロセスであるため、以前の要約でIAL3に帰属されていた「監視付きリモートパス」は、もはや当てはまりません。
• 知識ベースの本人確認は、本人確認方法として認められなくなりました
• デジタル不正注入の防止および偽造メディアの検出に関する新たな要件が追加されました
• CSPは現在、不正管理プログラムを策定・維持することが義務付けられており、その中には、文書化された不正チェックおよび不備が発生した場合の明確な対応手順が含まれていなければならない。

本規格は、検証済みの証拠と実際の申請者との関連性を確立するための許容される方法を規定している。.

• 確認コードの検証: 申請者は、認証済みのメールアドレスまたは電話番号に送信されたコードを返信することで、証拠品の管理権限があることを証明します
• 認証およびフェデレーションプロトコル：申請者が、オンライン銀行口座などのデジタルアカウント、または署名付きデジタルアサーションの管理権限を有していることを証明している
• 取引の検証: 申請者は、CSPと発行元との間のマイクロトランザクションに基づいて値を返します。これには、金融口座の所有権を確認するために使用されるマイクロデポジットなどが含まれます。
• 顔画像の視覚的比較: 訓練を受けた審査担当者が、証拠資料に写っている顔画像と申請者の顔画像を、対面または遠隔で照合します
• 生体認証による自動照合: アルゴリズムは、セッション中に取得された生体認証サンプルを、証拠に記録されている、あるいは公的記録に保管されている生体認証情報と比較する

確認コードには独自の制約があります。確認コードは、少なくとも6桁の10進数、またはそれに相当する文字列で構成されている必要があり、有効期限も短くなっています。検証済みの電話番号に送信された場合は10分、Eメールの場合は24時間、米国本土内の住所に郵送された場合は21日間、米国本土外の住所に郵送された場合は30日間です。.

セキュリティの質問は、もはや有効な方法とはみなされなくなりました

SP 800-63A-4 に基づき、以前の住所や過去の自動車ローンについて尋ねるといった、おなじみの「知識ベース認証」は、本人確認手段として使用できなくなる可能性があります。その理由は単純明快です。これらの質問の根拠となる個人の経歴は、情報漏洩事件で何度も公開されてきたため、その答えを知っているからといって、その身元が本人であることを示すものではなくなってしまったからです。.

この禁止措置は、一律的なものではなく、特定のケースに限定されたものです。知識ベースの確認は、不正管理プログラムの一要素として引き続き利用可能です。ただし、これらが本人確認の代わりとなることはできません。つまり、本人確認のためにセキュリティ質問に依存している登録やアカウント復旧のフローは、いずれも現在の基準を満たしていないことになります。.

生体認証の性能要件

生体認証が使用される場合、本規格では、性能をベンダーの主張に委ねるのではなく、測定可能な閾値を設定しています。主張された身元との一対一の照合において、誤一致率は1万分の1以下、誤非一致率は100分の1以下でなければなりません。 遠隔生体認証情報の収集においては、なりすまし攻撃の提示受入率を0.07未満に抑える提示攻撃検出が求められる。どの人口統計学的グループにおいても、固定された閾値を用いて測定した場合、その性能は全人口の性能と比較して25％を超えて劣ってはならず、結果は一般に公開されなければならない。.

リモートプルーフィングには、生体認証の照合だけでは対処できない脅威が存在します。 インジェクション攻撃は、キャプチャデバイスと比較処理を行うシステムの間に偽造または改ざんされたメディアを挿入するものであり、攻撃が成功すればキャプチャ工程を完全に迂回することになる。生成AIツールと組み合わせることで、自動化された文書検証、自動化された生体認証照合、あるいは人間の検証担当者が監視している映像フィードを標的とする場合でも、偽造メディア自体は現在、安価かつ説得力のあるものとなっている。.

対策は、単一の制御手段としてではなく、多層的に機能します：

• デジタルメディアが本物のセンサーから生成されたものであることを確認する。これには、仮想カメラ、デバイスエミュレータ、およびジェイルブレイクされたデバイスのチェックが含まれる。
• 提出されたすべてのメディアについて、改変、操作、または偽造の痕跡がないか分析し、自動化された判定結果を人手による確認で補完する
• ドキュメントの存在確認機能を備えたライブドキュメントキャプチャにより、改ざんされたコピーではなく、実物が実際に存在することを確認します。
• 注意を要するリモートセッション中に、特定の動作を依頼するなど、ランダムに人間による指示が挿入される場合、これらは事前に作成されたメディアでは対応しづらい
• SIMスワップの検知、端末およびアカウントの利用期間の確認、郵送先住所のリスクチェック、端末フィンガープリント、取引分析に加え、死亡記録の照会を義務付けるなど、より広範な不正検知措置

身元確認の義務は、誤った人物を受け入れた場合に深刻な結果を招く恐れがある場合には、いかなる場合においても生じます。.

• 政府機関 およびその委託先については、デジタルIDのリスク評価に基づき、特定のサービスに必要な保証レベルが決定され、個人情報および生体情報の収集には追加のプライバシー義務が課される
• 金融サービス:, 、そこでは、顧客確認および「顧客確認（KYC）」の義務に基づき、口座開設時に口座保有者の身元を確認することが求められている
• 医療分野では、患者の本人確認がポータルへの登録、診療記録へのアクセス、電子処方箋の発行を支えており、記録の不一致は臨床上のリスクだけでなく、プライバシー上のリスクももたらす
• 州の給付プログラムは、長年にわたり、架空の身元情報や盗まれた身元情報を利用した詐欺の被害にさらされてきた
• 規制対象の業界では、業務の回復力やアクセス制御に関する要件が課されており、認証の強度とともに、登録の強度もますます厳しく検証されるようになっている

保証とアクセスの間には相反する関係があります。証拠の要件を厳格化すると、その証拠を提示できない正当な申請者が排除されてしまうため、この基準では、例外処理を後付けの対応ではなく、設計上の要件として扱っています。 この基準では、通常の要件を満たせない申請者に対してリスクベースの判断を下すよう訓練を受けた「信頼できる審査担当者」と、申請者の身元、属性、または状況を保証できる「申請者紹介者」を定義している。これらの経路は、災害により避難を余儀なくされた人々、ホームレスの状態にある人々、高齢の申請者、未成年者など、通常の書類を所持していない人々にとって重要である。.

そこから、いくつかの実践方法が導き出されます：

• リスクに見合ったレベルを設定してください。過度なセキュリティ対策はコストがかかる上、セキュリティ上の価値をもたらさないからです。
• 複数の検証タイプを用意し、複数の証拠の組み合わせを受け入れることで、単一の失敗モードによってユーザーが利用できなくなることを防ぐ
• プライバシーを設計の一部として位置づけ、データの最小化、収集時の明確な告知、生体情報の保存および削除に関する記録、ならびに生体情報の利用に関する同意の記録を行うこと
• 再認証ポリシーを慎重に設定し、アカウントの復旧時に、当初の登録時よりも信頼性の低い認証手段が受け入れられないようにしてください。
• 脅威の状況や申請者の構成によって有効性が変化するため、不正検知のパフォーマンスを長期的に監視する必要があります。

本人確認は、IDライフサイクルにおける信頼の基盤です。認証、認可、および アイデンティティガバナンス すべては、そのアカウントを作成した登録情報の信頼性を引き継ぐことになるため、登録を単なる記入すべきフォームとして扱いながら、アクセス制御に多大なリソースを投じるID管理プログラムは、検証されていない基盤の上に強固さを築いていることになる。.

ほとんどの企業は、自身で身元確認業務を行っていません。CSPや検証プロバイダーからそのサービスを利用しており、その結果、企業が担う役割は、身元確認済みのIDと、それに発行された認証情報との結びつきを管理することにあります。その結びつきこそが、時間の経過とともに保証が維持されるか、あるいは失われるかの分かれ目となります。A フィッシング対策機能付き認証ツール 登録時に紐付けられた資格情報は、検証結果に意味を持たせ続ける一方で、紐付けが弱い資格情報は、追加の検証なしに攻撃者によって置き換えられてしまう可能性があり、その結果、登録によって確立されたものが知らぬ間に破棄されてしまう。.

高信頼性が求められる環境や規制の厳しい環境では、クラウドのみのアプローチでは対応しきれない制約が生じます。 検証済みのIDは、認証手段に紐付けられ、クラウド、ハイブリッド、オンプレミス、エアギャップ環境の各システムにわたって一貫して管理されなければなりません。その際、IDデータの処理場所そのものを制限する可能性のあるデータ主権の規則の下で、また、アクセスが必要な際に外部の検証サービスに接続できない可能性がある状況下でも、一貫した管理が求められます。.

RSAは、検証済みのID情報をフィッシング対策機能を備えた認証手段に紐付け、それらの環境全体で一貫した保証ポリシーを適用します。. RSA ID Plus クラウド、ハイブリッド、オンプレミスの各環境にわたる認証とアクセス機能を提供し、クラウドに接続できない環境ではオフライン認証にも対応しつつ、 アイデンティティのセキュリティ態勢管理 組織が自らが有していると信じている保証と、その財務諸表が実際に有する保証との間のギャップを浮き彫りにする。.