English
第1回では、情報漏洩そのものではなく、その後に起きるなりすましや不正利用まで考える必要性を取り上げた。
第2回では、米国のSocial Security Number（SSN）と日本のマイナンバーを比較し、個人を識別する共通番号が社会にもたらす利便性とリスクを考える。
両者は制度の目的、利用範囲、法的な位置づけが異なるため、単純に比較することはできない。しかし、約90年にわたってSSNを運用してきた米国の経験から、日本が学べることは多い。
SSNは社会保障の記録管理から始まった
SSNは1936年、労働者の所得記録を管理し、社会保障給付を計算する目的で導入された。
当初は限定された行政目的の番号だったが、その後、政府機関や民間企業が個人を識別する手段として利用するようになった。現在では、雇用、納税、多くの金融・信用取引など、米国社会のさまざまな場面に関係する番号となっている。
米社会保障局（SSA）の解説によると、SSNは9桁で構成されている。かつては最初の3桁に地域的な意味があったが、2011年に番号の割り当てがランダム化され、地理的な意味はなくなった。
SSNカードは現在も基本的に紙製である。カード自体が高度な認証機能を持っているわけではなく、重要なのは記載された番号である。
識別子と本人確認は同じではない
SSNを考えるうえで重要なのは、個人を識別する番号と、目の前の人物が本当に本人であることを確認する手段は別だという点である。
SSNは「どの人物の記録か」を区別するための識別子としては有効である。しかし、その番号を知っているだけで、本人であることが証明されるわけではない。
長年にわたり、SSNが事実上の秘密情報として扱われ、本人確認にも利用される場面があった。その結果、番号が流出すると、第三者が本人を装って金融サービスなどを申し込むリスクが生じた。
変更しにくい共通番号を、パスワードのような秘密情報として扱う設計には限界がある。
子どものSSNが悪用される理由
米国では、多くの人が出生後まもなくSSNを取得する。しかし、本人が雇用やクレジットのために番号を本格的に使い始めるまでには長い期間がある。
その間に番号が不正利用されても、本人や家族が気づきにくい。子どもの名義で口座やクレジット契約が不正に開設され、成人後に初めて問題が発覚する可能性もある。
米連邦取引委員会（FTC）は、子どものIdentity Theftへの対策として、子どものSSNを提出する前に必要性を確認すること、個人情報を含む書類を安全に管理すること、必要に応じて信用情報を凍結することなどを案内している。
これは、番号を発行すること自体が問題なのではない。番号と本人確認の仕組みが適切に分離されているか、利用状況を確認できるか、不正利用を早期に検知できるかが重要なのである。
マイナンバーとマイナンバーカードは別のもの
日本で議論する際には、マイナンバーとマイナンバーカードを区別する必要がある。
マイナンバーは、住民票を持つ一人ひとりに付与される12桁の個人番号である。法令に基づき、主として社会保障、税、災害対策の事務で利用される。民間企業が任意の顧客管理番号として自由に使えるものではない。
一方、マイナンバーカードは、顔写真とICチップを備えた本人確認書類である。ICチップに格納された電子証明書は、行政手続きや民間サービスにおけるオンライン本人確認などに利用できる。
つまり、少なくとも次の三つは分けて考える必要がある。
- 個人を識別するマイナンバー
- 顔写真付き本人確認書類としてのマイナンバーカード
- オンラインで本人性を確認する電子証明書
SSNとマイナンバーを番号だけで比較すると、この違いが見えにくくなる。
利便性が高まるほど、例外時の設計が重要になる
共通の識別基盤が整えば、行政手続きの重複を減らし、異なる機関にある情報を正確に結び付けやすくなる。
その一方で、一つの識別子や認証手段に依存しすぎると、カードや端末の紛失・盗難、情報漏洩、システム障害が起きたときの影響も大きくなる。
したがって、制度を評価する際には、通常時の利便性だけでなく、次の点も確認する必要がある。
- 番号を知っているだけで本人と判断されないか
- 不正利用を本人が確認できるか
- カードや認証手段を紛失したときに、迅速に停止・再発行できるか
- 一つの認証手段が使えない場合の代替手段があるか
- 誰が、どの目的で、どの情報へアクセスしたか記録されるか
これは行政制度だけの問題ではない。顧客IDを使って複数のサービスやデータを結び付けている企業にも同じ考え方が必要である。
企業が学ぶべきこと
企業では、顧客番号、メールアドレス、電話番号などが、複数のシステムにある情報を結び付ける識別子として使われている。
識別子はデータを管理するために必要だが、識別子そのものを本人確認の証拠として使うべきではない。
顧客番号や生年月日を知っているだけで重要な手続きを進められる設計では、情報漏洩がそのままなりすましにつながる。
本人確認には、パスキー、電子証明書、信頼済みデバイス、多要素認証、対面確認など、用途とリスクに応じた別の手段が必要である。
識別番号を認証情報として扱わない
SSNの歴史から得られる教訓は、共通番号を導入してはいけないということではない。識別のための番号を、本人であることを証明する秘密情報として扱ってはならないということである。
マイナンバーやデジタルIDの普及によって、行政と民間サービスの利便性は高まる。その価値を生かすためにも、識別、認証、権限管理、復旧を分けて設計することが重要である。
藤本真也｜Silicon Valley Japan Lab Founder / Chief Strategist
米国在住25年以上。エンジニアと経営者の経験をもとに、シリコンバレーの技術動向を日本企業の経営や事業開発にどう生かすかという視点から発信している。