EUにおけるeシールとeIDAS規則を巡る動向

株式会社コスモス・コーポレイション 取締役 ITセキュリティ部 責任者
(JIPDEC 客員研究員) 濱口 総志 氏

Ⅰ.eIDAS規則におけるeシール

1.eIDAS規則の概要

 eIDAS規則は2014年7月に成立、2016年7月に発効されたEU加盟国全体に適用される、EU圏内市場での電子商取引のための電子識別およびトラストサービスに関する規則で、この枠組みの中でeシールを含むトラストサービスが定義され、法的有効性が定められています。EU域内ではトラストサービス利用により、法的確実性を伴った電子取引が実現されています。 

EUの法体系
 EU法は基本的な条約レベルの「一次法」と法的効力を及ぼす「二次法」に分類されます。EUでは二次法のなかで一番効力の強い「規則(Regulation)」が直接的法的拘束力を持つことから、規則と加盟国内法間で矛盾やオーバーラップが生じた際には規則が優先されます。eIDAS規則の施行で、EU加盟各国の電子署名法はすべてeIDAS規則に上書きされました。

eIDAS規則の必要性
 eIDAS規則を必要とした理由の1つはデジタル単一市場戦略です。EU加盟国は前身である電子署名指令を自国の解釈で各々電子署名法として施行していたため、各国間で指令の解釈に差が生じたことから、相互運用性のある、より強い法体系を持ち、加盟国に直接適用できる法律としてeIDAS規則を策定しました。
 またeIDAS規則施行の目的として、トラストサービスによる新たなオンラインサービス、経済発展の促進が挙げられます。オンライン環境下では信頼構築が経済、社会発展の鍵となりますが、その信頼欠如、特に法的安定性の欠如が消費者、企業、公的機関の新たな電子取引サービス導入を躊躇させてしまうことから、新たな法的効力で新たな電子取引サービスやデジタル化を促進させたい、と考えられています。

eIDとトラストサービス
 eIDは電子的に本人確認を行う電子認証で、国が指定する国民のためのサービスの傾向が強いものです。日本でいえばマイナンバーカードに相当します。
 トラストサービスは民間事業者が提供する民間のサービスで、電子署名やタイムスタンプなどのサービスを指します。

 eIDAS規則ではトラストサービスの定義は以下のとおりです。

・電子署名、eシール、又はタイムスタンプの生成、検証、照合又は、eデリバリーサービス及びこれらのサービスに関連する証明書の生成、検証、照合;または、
・ウェブサイト認証(SSL認証)の為の証明書の生成、検証、照合;または、
・これらのサービスに関連する電子署名、シール、又は証明書の保存

2.eIDAS規則におけるeシールについて

 eIDAS規則においてeシールは3段階に定義されています。

・electronic seal(eシール):データの起源と完全性を保証する為に電子データに添付又は論理的に関係している電子形式のデータをいう
・advanced electronic seal; AES(先進eシール):第36条で規定する要件を満たすeシールをいう
・qualified electronic seal; QC(適格eシール):適格eシール生成装置を利用して生成され、eシールの適格証明書に準ずる先進eシールをいう
 適格eシールは法的効力を持ち、データの完全性と起源と正確性が即座に推定されますが、それ以外は裁判で効力を争うこととなります。

先進eシールについて
 eIDAS規則第36条で先進eシールは、シール生成者とのリンク、生成者の識別など4つの要件を満たすことが定義されています。
 適格eシール生成装置の要件は、付属書Ⅱに規定される要件を満たすeシール生成装置を指しています。付属書Ⅱの要件を満たすためには法律上の規程のほか、ISO/IEC 15408(Common Criteria)とProtection Profile(EN 419 211シリーズ)に適合した認証製品を使う必要があります。認証局は電子証明書をICカードに発行する際、Common Criteriaの認証を受けた適格生成装置認証製品リストから、製品を調達して秘密鍵を入れることになります。

eシールの適格証明書
 eシールの適格証明書は、日本の電子署名法による認定認証業務にあたる事業者に相当する適格トラストサービスプロバイダから発行され、付属書 Ⅲ の規定要件を満たすeシール証明書を指します。この要件の詳細はETSI EN 319 421シリーズに規定されています。

適格トラストサービスプロバイダ
 適格トラストサービスプロバイダ(QTSP)は、1つ以上の適格トラストサービスを提供し、監督機関より資格を与えられたトラストサービスプロバイダを指します。eIDAS規則第20条に監督/監査要件が定められています(図1)。

図1.適格トラストサービスプロバイダの監督/監査要件

図1.適格トラストサービスプロバイダの監督/監査要件

電子証明書を発行するトラストサービスプロバイダ(TSP)の要件
 電子証明書を発行する認証局が適格トラストサービスプロバイダ(QTSP)となる要件として、EN 310 401 他の規格に沿った証明書の発行が求められます。適合性評価機関はこれらの仕様に基づいた監査が求められます。

TSP適合性評価の流れ
 国家認定機関が民間の監査企業や評価機関の適合性評価機関(CAB)を認定し、eIDAS規則の適合性評価サービスを行います。CABはトラステッドリストに適格性資格を掲載してもらいたいTSPに対し審査を行い、審査結果を監督機関に報告してリストに掲載される流れとなります(図2)。

図2.トラストサービスプロバイダ適合性評価モデル

図2.トラストサービスプロバイダ適合性評価モデル

 適合性評価にはEN 319 403 の要求事項である公平性、独立性が求められます。なおQTSPは24カ月に1度フル監査を受査しますが、さらに初回認定から12カ月以内に適格性維持のための定期的な監査(サーベランス監査)の受査が言及されています。したがって、QTSPは外部監査を毎年受けていることになります。

トラステッドリスト
 eIDAS規則第3章第22条には、各EU加盟国自らが責任を負うQTSPの情報と提供する適格トラストサービス情報を含む、電子署名またはシールにより改ざんが防止されたトラステッドリストを作成・維持・公開する義務があることが規定されています。EU CommissionのトラステッドリストブラウザでEU加盟国のトラステッドリスト情報をまとめたList of Trusted Listが閲覧できます。

Ⅱ.eシールのユースケース

 EUでは、eシールは法人が行うもの、電子署名は自然人が行うものと法的に解釈しています。以前、法人による電子署名を可能にして法人用の電子署名が存在した国がありましたが、eIDAS規則により法人は署名行為ができないと解釈されました。(図3)。

図3.eシールと電子署名のeIDAS規則における比較

図3.eシールと電子署名のeIDAS規則における比較

eシールの利用例[X-Road]
 エストニア、フィンランド、キルギスタンで利用されている官民情報連携基盤X-Roadでは、情報の真正性と完全性確保にeシールが利用されています。各セキュリティサーバの中にeシール証明書が格納されており、セキュリティサーバ間の情報送信時には必ずeシールを付けています。X-Roadに適格性eシールが利用されたのは2016年頃からですが、2018年のリクエスト数は約10億件となりました(図4)。

図4.eシール利用例 X-Road

図4.eシール利用例 X-Road

eシールの利用例[電子インボイス]
 電子インボイスについて、VAT指令(COUNCIL DIRECTIVE 2006/112/EC)では「保管されているインボイスの起源の真正性と内容の完全性、および可読性は保管期間終了まで保証されなければならない」と規定されています。適格eシールの法的効力はデータの起源と完全性の保証なので、eシールを使うことで電子インボイスの法的要件を満たすことになります。

 X-Roadや電子インボイス事例他、eシールの利用例を資料で紹介していますので、ご参照ください。

Ⅲ.eIDAS規則の改定の方向性について

 現在、eIDAS規則改定に向け、3つのオプションが提案されています。
Option1:下位規則およびガイドラインの制定
 eIDAS規則の大部分を占める法的要件を満たす技術基準のほとんどが法律では直接定められていないことから、その中でも特に本人確認方式について下位規則を定めるべきとの提案が出ています。
認証局が求められている本人確認は、①対面、②eIDによる認証、③発行済の適格証明書による確認、④その他加盟国が同等と認めた方式、と定められていますが、この同等と認めた方式の解釈が加盟国間で統一されず、同等性が担保されていないことから、下位規則の制定が求められています。

Option2:新たなトラストサービスの規定(Identification and Authentication)
 本人確認の同等性が担保されていないのは、民間が提供するトラストサービスの中に本人確認サービスが規定されていないためであるとして、新たに本人確認サービスを規定することが提案されています。

Option3:EUiD(European Digital Identity scheme)の規定
 eIDAS規則では各加盟国は自国のeIDスキームを通知し、認証結果を加盟国間で相互に受け入れるようにしていますが、新たにEUiDを規定して受入れをマストにしようとする提案です。EUiD構想の詳細は把握できていませんが、現在のeIDAS規則では加盟国によるeIDスキームの通知が必須ではないため、特定の国の国民が他国においてID認証が認められないことから、EUで統一的なIDスキームを作り、法的なサービスの提供を目指しているのではないか、と思います。

 これらの提案のどれが採用されるかはわかりませんが、Option2の採用が有力視されているようです。ただし、ドイツ、フランスなどは自国の認証制度の利用促進を妨げることになることから、強く反対しているようです。

●いただいた主なご質問への回答

【質問】eシール導入における「EU eシール」と「日本版eシール」の共通点・相違点他、今後の取組みや課題等は何でしょうか.

→大きな違いはICカードの利用が必須か否かです。EUでは適格eシールに関し、セキュリティ評価を受けたICカード(チップ)の利用がマストとなっており、例外は認められていません。一方、日本では認定認証業務で発行された電子証明書に基づいた電子署名が最もレベルが高く認められていますが、ICカードの利用はマストではない点でしょう。

【質問】S/MIMEがeシールではなく電子署名に分類されていましたが、しばしば法人や組織の署名がされており、今後もそうだと思います。EUでは、これをどう整理しているのでしょうか?

→QualifiedのレベルのeシールのS/MIMEは見たことがありません。私はS/MIMEはメール文を誰が送ったか、自然人との紐づきを示すものと認識しています。
 S/MIMEのユースケースについて、たとえば、企業の問合せフォームからの合せに対し、自動応答メールには組織のeシールで送ることは可能だと思います。誰が送るかによって、電子署名かeシールか変わるだろうと思います。



株式会社コスモス・コーポレイション 取締役 ITセキュリティ部責任者
(JIPDEC 客員研究員)  濱口 総志 氏

・2007年4月 コスモス・コーポレイションに入社。
・2008年9月よりドイツTUEV Nord AGグループにて1年3ヶ月間の研修を受講。
TUEV Informationstechnik GmbHではCommon Criteria評価に従事。
・2011年4月よりTUEV Informationstechnik GmbHの日本現地パートナーとして、認証局・タイムスタンプ局のマネジメントシステムの認定業務、セミナー、調査等を担当。
・2013年4月よりJIPDEC客員研究員として、JCAN証明書の普及に関する業務に携わる。

本内容は、2020年10月16日に開催された第98回JIPDECセミナー「eシールとは? —内外での活用状況からJIPDECの取組みまで」の講演内容を取りまとめたものです。