本ホワイトペーパーは全3回で公開いたします。
第一回（今回）：日本におけるトラスト基盤の歩みと属性認証 ～ 個人認証から「何者であるか」の証明へ～
第二回：日本におけるトラスト基盤の歩みと属性認証 ～ 属性認証の技術的潮流 ～
第三回：日本におけるトラスト基盤の歩みと属性認証 ～ 属性認証のあるべき姿と求められるガバナンス ～ 

イントロダクション：デジタル社会における「認証」の現在点
 

あらゆる社会活動がオンラインへ移行する中で、デジタル空間において「誰を、何を根拠に信頼するのか」を明確にすることが、行政手続、金融取引、医療・福祉サービス、企業活動のデジタル化における重要な課題となっています。
属性認証（Attribute Authentication）とは、対象者が持つ資格、権限、所属、状態といった属性情報について、その真正性を信頼できる発行元まで遡って確認できるようにする仕組みです。これは単なるID連携ではなく、「本人であること」の確認に加え、「どのような資格・権限・状態を有しているか」をデジタルに証明するための基盤と位置付けられます。
属性認証を社会実装するためには、主に三つの論点があります。第一に、本人性と属性情報をどの程度結びつけるべきかという信頼レベルの設計です。第二に、属性情報を管理・発行する組織がどのような責任を負うべきかという運用上の整理です。第三に、発行者・検証者・利用者の間で信頼を成立させるためのガバナンスです。本稿では、これらの論点を踏まえ、日本におけるPKI基盤の歩みと属性認証の位置付けを整理します。

1. 「本人性」と「属性情報」：求められる信頼の二層構造

現実の社会活動において、手続きに求められる信頼の形は一様ではありません。属性認証を設計する際には、少なくとも二つの観点を分けて考える必要があります。一つは、属性情報を特定の本人とどの程度強く結びつけるかという「本人性との紐づけ」の強度です。もう一つは、検証者に対してどの範囲の属性情報を開示するかという「属性情報の開示範囲」です。
例えば、不動産取引、医療・福祉に関する手続き、専門資格に基づく業務など、法的責任や不正利用時の影響が大きい場面では、資格や権限の正しさに加え、その属性を提示している主体が正当な本人であることを高い水準で確認する必要があります。このような場面では、公的個人認証（JPKI）を含む強固な本人確認基盤や、それと同等の信頼性を持つ認証手段と属性証明を組み合わせることが重要になります。

一方で、すべての場面で詳細な本人情報まで必要になるわけではありません。専門家限定の情報閲覧、資格保有者向けサービス、イベント参加資格の確認、企業内の入退館管理やシステムアクセス制御などでは、「有効な資格を持っていること」「特定の組織に所属していること」などが確認できれば、実務上の目的を達成できる場合があります。また、障害者支援や医療・福祉サービスのように機微な属性を扱う場面では、対象者であることを確認しつつ、詳細な属性情報の開示を最小限に抑えることが求められます。つまり、属性認証では、本人性との紐づけを強く求める場面と、属性情報の真正性を中心に確認すれば足りる場面を、ユースケースごとに切り分ける必要があります。
このように、本人性の強度と属性情報の開示範囲を適切に設計できることが、属性認証の大きな特徴です。今後のデジタル社会では、すべての手続きに同一水準の本人確認を求めるのではなく、リスクや利用目的に応じて信頼の強度を調整できる仕組みが求められます。

2. 発行組織の責務：デジタル空間における「信頼の起点」としての規範

属性認証が成立するためには、情報を提示するユーザだけでなく、属性情報を管理・発行する組織の在り方が問われます。病院、士業管理機関、教育機関、企業などは、デジタル空間において属性情報のトラストアンカー（信頼の起点）となる可能性があります。これらの組織に求められるのは、単に紙の証明書や台帳をデジタル化することではありません。属性情報がどのような根拠に基づいて生成されたのか、いつ更新されたのか、失効や変更がどのように反映されるのかを、検証可能な形で管理することが重要になります。具体的には、以下のような観点が求められます。
- 属性情報の登録・変更時における適切な本人確認および資格確認
- 属性情報の失効、所属変更、有効期限切れなどを反映するライフサイクル管理
- 必要に応じた電子的な証明書発行や署名付与のための安全な運用体制

これらは、属性情報を扱う組織にとって新たな業務負担となり得ます。一方で、属性情報の真正性を社会全体で信頼できるようにするためには、発行元がどのような確認・管理プロセスを担っているのかを明確にする必要があります。なお、すべての属性管理機関が高度な証明書発行基盤を自ら運用することは現実的ではありません。そのため、属性情報の正確性を管理する主体と、電子的な証明書を発行する主体を分離する考え方が重要になります。この点は、第3回で詳しく扱います。

3. 社会実装を阻む壁：属性認証を支えるガバナンスの未整備

技術的に属性情報を検証できるとしても、それを社会的に受け入れるための枠組みがなければ、属性認証は十分に機能しません。例えば、ある医療機関や教育機関が発行した属性情報を、別の検証者（サービス提供者）がどのような条件で信頼してよいのか、という問題があります。このとき、次のような論点が生じます。
- 誰が属性管理機関を審査し、その信頼性を確認するのか
- 異なる属性管理機関が発行する属性情報の相互運用性をどのように確保するのか
- 属性情報が誤っていた場合、または検証に失敗した場合の責任は誰が負うのか
- 検証者は取得した属性情報をどの範囲で利用できるのか

現状、これらの論点を包括的に扱うガバナンス・フレームワークは十分に整備されているとは言えません。技術標準だけでなく、属性管理機関の参加基準、証明書発行機関の運用基準、検証者による属性情報の利用ルール、インシデント時の責任分界を含むエコシステム設計が必要です。この課題に対応するためには、属性情報の正確性、証明書発行処理の正当性、検証者による属性情報の利用目的を、それぞれ分けて整理する必要があります。属性管理機関は属性情報の内容と更新管理に責任を持ち、証明書発行機関は証明書の発行・検証プロセスの正当性に責任を持ちます。また、検証者は取得した属性情報をどの目的で利用するのかを明確にし、不必要な属性情報を取得しない設計を採る必要があります。この責任分界を明確化することが、属性認証を社会実装する上での前提となります。

本連載では、日本が誇る強固なPKI基盤をいかにしてこれらの課題に応える「属性認証」へと拡張していくのか。その歴史的背景から最新の技術、そしてガバナンスの在り方までを、実務的な視点で紐解いていきます。

日本におけるPKI基盤の歴史
 

日本のデジタル社会における「信頼」の構築は、公開鍵暗号基盤（PKI）の発展とともに歩んできました。その歴史は、いかにしてオンライン上で「間違いなく本人であること」を証明するかという、身元確認の厳格化を追求してきた過程でもあります。

4. JPKIの確立：国家規模のトラストアンカー

日本における公的個人認証サービス（JPKI）の礎は、2002年の住民基本台帳カードに遡ります。その後、2016年に導入されたマイナンバーカードによって、国家レベルの強力なPKI基盤が国民全般へと普及する歴史的な転換点を迎えました。こJPKIの最大の特徴は、対面での厳格な審査に基づく高い身元保証レベル（IAL）と、ICチップ内の耐タンパ領域に格納された秘密鍵による強固な当人認証レベル（AAL）を両立させている点にあります。

5. 法的基盤：電子署名法と信頼の連鎖

このトラスト基盤を支えている制度の一つが、2001年に施行された電子署名法です。電子署名法は、一定の要件を満たす電子署名について、本人による署名または押印と同様に真正に成立したものと推定される枠組みを定めています。
この電子署名の信頼性を支える仕組みとして、電子証明書と認証局の役割があります。技術的には、X.509規格に基づく証明書の階層構造、いわゆる信頼の連鎖（Chain of Trust）により、利用者は認証局を介して署名者や証明書の正当性を確認できます。これにより、B2B取引やe-Tax等の行政手続きなど、紙と印鑑に依存していたトラストモデルの一部がデジタルへ移行してきました。

さらなるPKI基盤としての「属性認証」
 

6. ”Who you are”から”What you are”へ

公的個人認証サービスが「間違いなくその人である（Who you are）」ことを確認する基盤として整備されてきた一方で、デジタル社会では「その人がどのような資格・権限・状態を有しているか（What you are）」を確認するニーズが高まっています。
例えば、健康保険証や運転免許証をはじめ、資格、所属、在籍、受給資格など、社会生活で利用される多様な属性情報のデジタル化が進みつつあります。これらは、単にカードや書類を電子化するだけでなく、属性情報の真正性をオンラインで確認できるようにする取り組みです。
もっとも、属性情報を本人確認基盤にすべて集約することが唯一の解ではありません。実務上は、本人性は既存のデジタルIDや公開鍵証明書により確認し、資格・所属・在籍・状態といった属性情報は、属性管理機関が確認した上で属性証明書として発行する構成も考えられます。
この構成により、本人確認と属性証明を一体的に扱う場面と、属性情報のみを必要最小限で提示する場面を、ユースケースに応じて切り替えることが可能になります。

7. 属性認証が切り拓く新しい産業

この属性証明のデジタル化と信頼性の向上は、広範な産業のDXを後押しします。まず、企業の従業員情報や在職証明を公的なトラスト基盤と連携させることで、銀行口座開設や住宅ローン審査といった金融サービスにおいて、厳密な在籍確認や収入証明がリアルタイムかつセキュアに行えるようになります。また、行政サービスにおいても、申請者の企業属性に応じた優遇措置や手続きの簡素化が実現し、DXが加速します。次に、機微情報の最適な開示です。障がい者手帳や学生証などの電子化を進めることで、情報提示のシーンごとに必要な情報のみを選択的に開示（Selective Disclosure）することが可能になります。これにより、不必要な個人情報が流出するリスクを避けられるだけでなく、利用者の心理的な負担も大きく軽減されます。これらの属性認証を基盤とした新しいサービスは、社会全体の利便性を高め、安心安全なデジタル社会の実現に不可欠な要素となります。

8. おわりに

本稿では、属性認証の可能性と、それが切り拓く新しい産業の未来を概観しました。この信頼のグラデーションを実現し、社会に浸透させるには、いかなる技術と具体的な事例が必要なのでしょうか。次回は、必要な情報だけを提示する選択的開示などの技術的手法と、多様な属性情報をめぐる国内外の最新動向を探ります。

第二回はこちらから：日本におけるトラスト基盤の歩みと属性認証 ～ 属性認証の技術的潮流 ～