内閣官房 確定 ・オンライン手続におけるリスク評価及び電子署名・認証ガイドライン

　こんにちは、丸山満彦です。内閣官房が「オンライン手続におけるリスク評価及び電子署名・認証ガイドライン」を公表していますね。。。

●内閣官房　電子政府ガイドライン作成検討会

・オンライン手続におけるリスク評価及び電子署名・認証ガイドライン
・　オンライン手続におけるリスク評価及び電子署名・認証ガイドライン（概要版）

・「オンライン手続におけるリスク評価及び電子署名・認証ガイドライン」（案）に関するパブリックコメントの概要及びそれに対する考え方

・2010.02.02 「オンライン手続におけるリスク評価及び電子署名・認証ガイドライン」（案）の策定に向けた意見の募集について

保証レベルを4つに分け、登録、発行・管理、トークン、認証プロセス、署名等プロセスについての対策基準をつくっています。。。

保証 レベル	登録	発行・管理	トークン	認証プロセス	署名等プロセス
レベル４	（窓口） • 写真付き身分証明1種の提示 • 申請情報の台帳照合 • 重複登録ではないことの確認	• 手渡し、本人限定受取 郵便、によるトークン発行	• レベル3の基準に加え、耐タンパ性が確保されたハードウェアトークンを利用すること	• レベル３と同等の基準	• 電子政府推奨暗号リストに記載の署名方式 • 電子署名用の証明書の用途は電子署名限定
レベル３	（窓口） • 写真付き身分証明1種（or他2種）の提示 • 申請情報の台帳（又は公的証明書）照合 （郵送or オンライン） • 申請書に対する電子署名 • 申請情報の台帳（又は公的証明書）照合	• レベル4の方法に加え、書留郵便、書留郵便＋ダウンロード、電子署名＋ダウンロード、によるトークン発行	• レベル2の基準に加え、複数の認証要素を利用すること	• レベル２と同等の基準に加え、フィッシングの脅威に対する耐性	• 電子政府推奨暗号リストに記載の署名方式
レベル２	（窓口） • 写真付き身分証明1種（or他2種）の提示 （郵送or オンライン） • 申請情報に他機関の登録情報（クレジット カード番号等）を含めて申告	• レベル3の方法に加え、分割配付（一方を郵送）、メール通知後のダウンロード、によるトークン発行	• 認証情報の推測確率が１６３８４分の１未満であること	• レベル1と同等の基準に加え、盗聴、セッション・ハイジャック、中間者攻撃の脅威に対する耐性
レベル１	（窓口or 郵送or オンライン） • 身元確認は不要 • メールアドレスの到達確認	• レベル2の発行方法に加え、電子メールによる送付、ダウンロード、によるトークン発行	• 認証情報の推測確率が１０２４分の１未満であること	• オンライン上の推測、リプレイ攻撃の脅威に対する耐性