【解説】デジタルアイデンティティガイドライン「NIST SP 800-63」第4版ドラフトはどう変わる？＜全体編＞

blogtop

2022年12月に米国立標準技術研究所（NIST）により、電子的な本人確認に係るデジタルアイデンティティガイドライン（NIST SP 800-63）の第4版（NIST SP 800-63-4）のドラフトが公開されました^[1]。

同ガイドラインはアメリカの連邦政府機関のシステムを対象としているものの、日本を含む他国での公共領域のみならず民間領域でも参照されており、第4版ドラフトの公開時も多くの注目が集まりました。日本でもOpenIDファウンデーション・ジャパンの有志による翻訳版が公開されています^[2]。

本連載では第4版ドラフト公開後のデジタルアイデンティティにまつわる出来事も踏まえつつ、第3版から第4版ドラフトへの主要な変更事項を読み解き、昨今のデジタルアイデンティティの潮流やこれから訪れうる変化を見出していきます。

なお、デジタルアイデンティティについては筆者の別記事もぜひご覧ください。https://www.nri-secure.co.jp/blog/digital-identity

【解説】デジタルアイデンティティガイドライン「NIST SP 800-63」第4版ドラフトはどう変わる？＜当人認証編＞

【解説】デジタルアイデンティティガイドライン「NIST SP 800-63」第4版ドラフトはどう変わる？＜フェデレーション編＞

▶「大規模ユーザを管理する顧客ID統合プロジェクト成功の秘訣」をダウンロードする

NIST SP 800-63 デジタルアイデンティティガイドラインとは

NIST SP 800-63シリーズ自体は2006年に「電子認証に関するガイドライン」として初版が公開され、次版の第1版が2011年、第2版が2013年、名称を現在の「デジタルアイデンティティガイドライン」に変えた第3版が2017年に公開されてきました。

第4版の正式版の公開は2024年の春頃に予定されていましたが、米国時間2024年4月22日に公表された第3版の一部改訂についての文書より、第4版の2つ目のドラフトが2024年半ばに公開されるということが分かりました。第4版の正式版が公開される新たな時期は現時点では不明です。

ちなみに、NIST SP 800-63シリーズは、元々は2003年12月に出されたアメリカ合衆国行政管理予算局（OMB）による連邦政府機関向けの電子認証ガイダンスの覚書（OMB M-04-04）^[3]を補うための技術的なガイダンスとしての立ち位置でした。

今回比較する第3版（NIST SP 800-63-3）と第4版ドラフト（NIST SP 800-63-4 Draft）のガイドラインはどちらも4つの文書から構成されており、本記事で紹介する全体概要（ベース）^[4]、デジタルアイデンティティの登録および身元確認とそれらの保証レベル（A）^[5]、デジタルアイデンティティの当人認証とその保証レベル（B）^[6]、システム間での認証連携（フェデレーション）とその保証レベル（C）^[7]の文書から成り立っています。A、B、Cについてはそれぞれ本連載の別記事にて変更点を紹介していきます。

NIST SP 800-63-4のドラフトでの章立ての変更点

まずは全体を俯瞰するためにベースの章立てから変更点を見ていきましょう。現行の第3版（NIST SP 800-63-3）の章立てを踏まえて、第4版ドラフト（NIST SP 800-63-4ドラフト）の章立てを下の表にまとめています。それぞれの版で、同じような内容についての箇所は同列に配置しています。また、項目自体が無くなったり追加されたり、項目名が変更されたりした箇所については表に色を付けています。

まず、第3版では全8章で構成されていましたが、第4版ドラフトでは全5章と章番号無しの参考文献などという構成に大きく変わりました。

項目名の変化や構成の入れ替えも多くある傍ら、第4版として追加されたものの中で特に印象的な項目は、2.3でのエンタープライズにおけるリスク管理の要件と考慮点、2.3.3での公平性、2.3.4でのユーザビリティ、4.4.1でのフェデレーションのメリット、5.3での保証レベルの調整、5.4での継続的な評価と改善、5.5でのサイバー、不正行為、アイデンティティプログラムの完全性などが挙げられます。

NIST SP 800-63の第3版と第4版の章立ての比較表

NIST SP 800-63-3	NIST SP 800-63-4 ドラフト	第4版での各項目のタイトル（和訳）
1. Purpose	1. Purpose	目的
2. Introduction	2. Introduction	イントロダクション
2.1. Applicability	2.1. Scope & Applicability	対象と適用領域
2.2. Considerations, Other Requirements, and Flexibilities	-	-
2.3. A Few Limitations	-	-
2.4. How to Use this Suite of SPs	2.2. How to Use this Suite of SPs	本文書群の利用方法
-	2.3. Enterprise Risk Management Requirements and Considerations	エンタープライズでのリスク管理の要件と考慮点
-	2.3.1. Security	セキュリティ
-	2.3.2. Privacy	プライバシー
-	2.3.3. Equity	公平性
-	2.3.4. Usability	ユーザビリティ
2.5. Change History	Appendix B. Change Log	変更履歴

NIST SP 800-63-3	NIST SP 800-63-4 ドラフト	第4版での各項目のタイトル（和訳）
3. Definitions and Abbreviations	3. Definitions and Abbreviations	定義と略語（Appendix Aに記載）
4. Digital Identity Model	4. Digital Identity Model	デジタルアイデンティティのモデル
4.1. Overview	4.1. Overview	概要
4.2. Enrollment and Identity Proofing	4.2. Enrollment and Identity Proofing	登録と身元確認
4.3. Authentication and Lifecycle Management	4.3. Authentication and Lifecycle Management	認証とライフサイクルの管理
4.3.1. Authenticators	4.3.1. Authenticators	認証器
4.3.2. Credentials	-	-
-	4.3.2. Subscriber Accounts	加入者のアカウント
4.3.3. Authentication Process	4.3.3. Authentication Process	認証のプロセス
4.4. Federation and Assertions	4.4. Federation and Assertions	フェデレーションとアサーション
-	4.4.1. Federation Benefits	フェデレーションのメリット
4.4.1. Assertions	4.4.2. Federation Protocols and Assertions	フェデレーションのプロトコルとアサーション
4.4.2. Relying Parties	4.4.3. Relying Parties	リライングパーティー

NIST SP 800-63-3	NIST SP 800-63-4 ドラフト	第4版での各項目のタイトル（和訳）
5. Digital Identity Risk Management	5. Digital Identity Risk Management	デジタルアイデンティティのリスク管理
5.1. Overview	-	-
-	5.1. Conduct Initial Impact Assessment	最初の影響分析の実施
-	5.1.1. Identify Impacted Entities	影響を受けるエンティティの特定
5.2. Assurance Levels	5.2. Select Initial Assurance Levels	最初の保証レベルの選択
	5.2.1. Assurance Levels	保証レベル
	5.2.2. xAL Descriptions	各保証レベルの説明
5.3. Risk and Impacts	5.1.2. Identify Impact Categories and Potential Harms	影響分類と潜在的な脅威の特定
5.3.1. Business Process vs. Online Transaction	-	-
5.3.2. Impacts per Category	5.1.3. Identify Potential Impact Levels	潜在的な影響度の識別
5.4. Risk Acceptance and Compensating Controls	-	-
-	5.3. Tailor and Document Assurance Levels	保証レベルの調整と文書化
-	5.3.1. Assess Privacy, Equity, Usability and Threats	プライバシー、公平性、ユーザビリティ、脅威の診断
-	5.3.2. Identify Compensating Controls	代替策の特定
-	5.3.3. Identify Supplemental Controls	補足的な対策の特定
5.5. Digital Identity Acceptance Statement	5.3.4. Document Results – The Digital Identity Acceptance Statement	デジタルアイデンティティ受け入れの文書化
-	5.4. Continuously Evaluate and Improve	継続的な評価と改善
-	5.5. Cyber, Fraud, and Identify Program Integrity	サイバー、不正行為、アイデンティティプログラムの完全性
5.6. Migrating Identities	-	-
6. Selecting Assurance Levels	5.1.4. Impact Analysis	影響分析
6. Selecting Assurance Levels	5.2.3. Initial Assurance Level Selection	最初の保証レベルの選択
6.1. Selecting IAL	5.2.3.1. Selecting Initial IAL	最初のIALの選択
6.2. Selecting AAL	5.2.3.2. Selecting Initial AAL	最初のAALの選択
6.3. Selecting FAL	5.2.3.3. Selecting Initial FAL	最初のFALの選択
6.4. Combining xALs	-	-

NIST SP 800-63-3	NIST SP 800-63-4 ドラフト	第4版での各項目のタイトル（和訳）
7. Federation Considerations	-	-
8. References	References	参考文献
8.1. General References	General References	一般的な参考文献
8.2. Standards	Standards	標準規格
8.3. NIST Special Publications	NIST Special Publications	NISTのSpecial Publications
8.4. Federal Information Processing Standards	Federal Information Processing Standards	米連邦の情報処理標準

NIST SP 800-63-4のドラフトの項目の変更点

全体像を俯瞰した上で、各項目の中身を見ていきます。全ての項目の変化事項を記載しきれないため、ここでは第4版ドラフトの章立ての中で、主要かつ重要な箇所を取り上げていきます。

第1章（目的）

1.（目的）はガイドライン全体がベース、A、B、Cから構成されており、組織がデジタルアイデンティティのサービスを実装するにあたっての技術的な文書群である旨の一文のみの記載ですが、第3版は「機関（agencies）」という表現だったものが、第4版ドラフトでは「組織（organizations）」に変わったり、「勧告（recommendation）」が「発行物（publication）」に変わったりしました。

前者については、要約などでは本ガイドラインは連邦政府機関（federal agencies）向けという旨の記載のままですが、ガイドラインを通して第3版においては主語が「機関」だった箇所の多くが第4版ドラフトでは「組織」に置き換わっております。この変化からは、各連邦政府機関（省庁など）単位だったものが機関内の部署といった組織単位、さらには連邦政府機関に付随するような公的組織などより細かい単位でガイドラインの内容を活用させる意図が読み取れます。

第2章（イントロダクション）

2.（イントロダクション）は、第3版ではガイドライン全体の概要としてデジタルアイデンティティ、身元確認、デジタルな認証の定義、3つの保証レベルなど具体的な内容の説明がありました。第4版ドラフトでの本項目では定義や保証レベルの説明は無くなり、デジタルアイデンティティの確立はデジタルアイデンティティの持ち主とそれに係る人、組織、システムの間でのトラストを表すものだが、デジタルアイデンティティのなりすましなどのリスクや個人の需要なども踏まえてデジタルサービスをデザインするように、といった抽象的な記述に置き換わりました。

さらに、個人、コミュニティ、その他の組織へのリスクも強固かつ明確に説明し、組織のサイバーセキュリティを優先したデジタルアイデンティティに関する決定事項が、個人によるサービス利用時のプライバシー、公平性、ユーザビリティ、ミッションや成果などに影響するかについても考慮するようにという旨の記載も加わりました。

記述内容の大きな変化の理由としては、第3版ではガイドラインの要件を達成することが目的だと読み手に捉えられてしまっていたことに対して、第4版ドラフトではガイドラインの内容としてのデジタルアイデンティティの考慮事項を踏まえた対策などはあくまで手段で、本来達成したかった組織のミッションなどのサービス提供を目的とすることを求めるようになったことが考えられます。

2.1（対象と適用領域）

2.1（対象と適用領域）では、物理的なアクセスを行う対象のアイデンティティ、デバイスのアイデンティティ、対象の代理としてのAPIへのアクセスの認可については対象外とする旨が追記されています。これはデジタルアイデンティティの概念が社会のより一層のデジタル化によってIoT端末等までにも適用されるようになったため、混同を避けるためにも本ガイドラインでは自然人のアイデンティティを対象にしたいという背景が伺えます。

2.3（エンタープライズでのリスク管理の要件と考慮点）

2.3（エンタープライズ^[8]でのリスク管理の要件と考慮点）では、リスク管理の対象としてセキュリティ、プライバシー、公平性、ユーザビリティや、さらには本ガイドラインに記載されている以外の要素も考慮するようにと新たに記載されました。この記載変更は変化が激しい社会において、将来発生しうる新たなリスクや、サービスの提供局面に応じてのリスクも主体的に考慮することが求められるようになった背景が考えられます。

2.3.1（セキュリティ）

2.3.1（セキュリティ）では、組織は本ガイドラインの案内を参照する際には情報セキュリティのCIA（機密性、完全性、可用性）も考慮することと、さらに連邦政府機関はFISMA（Federal Information Security Modernization Act）に準拠するようにという旨が記載されました。前述の通り連邦政府機関内の組織単位で本ガイドラインが活用されることが想定されており、本項での記述は組織としては情報セキュリティのCIAも考慮、ガイドラインの対象となる組織を一般的に包含する連邦政府機関としてはFISMAに準拠するという構造を明確にしていると考えられます。

2.3.3（公平性）

2.3.3（公平性）は第4版で新たに追加された項目で、バイデン大統領による就任後初めて発令された2021年1月の大統領令13985（”Advancing Racial Equity and Support for Underserved Communities Through the Federal Government”）に基づいて、人種やエスニシティ、少数派の宗教、LGBTQ+、障がい、非都市圏居住、その他の理由での継続的な貧困や不平等、といった要因で不十分なサービスしか受けられないコミュニティに所属する利用者そのものへの配慮を行うことをデジタルアイデンティティのシステムにおいても考慮するようにと記載されました。

皮膚の色によって生体認証の精度が異なる、宗教的理由での衣服によって身元確認が困難になる、見た目で性の属性を判断される、障がいで操作ができない、非都市圏に居住しており役所へ物理的に行くことが困難、貧困でサービスを利用するための端末を持っていないといったケースが想像されます。この記載からは多種多様なバックグラウンドを持つ人の存在が意識されるようになった社会において、組織の本来のミッション達成を目的としながらデジタルの世界でも公平なデジタルアイデンティティ利用の権利を提供する必要性が重視されるようになったことが見受けられます。

2.3.4（ユーザビリティ）

2.3.4（ユーザビリティ）も第4版で同じく新たに追加された項目で、効果的で効率的、かつ目的を達成できるためのユーザビリティを考慮し、利用者の意図しない操作が行われないようにするようにと記載されました。ユーザビリティも考慮した、安全で使いやすいサービスを提供する重要性を伝えたい意図が伝わります。

第3章（定義と略語）

第3章は定義と略語という題目ですが、内容自体は本文書のAppendix Aに記載されているため、本記事での詳細の差分については割愛します。

第4章（デジタルアイデンティティのモデル）

4.2（登録とアイデンティティプルーフィング）

4.2（登録とアイデンティティプルーフィング）では、身元確認としてアイデンティティの検証を行っていない状態のデジタルアイデンティティと身元確認の保証レベル（IAL）をIAL0（ゼロ）として定義した旨と、アイデンティティサービスに登録する際の実行内容について説明されています。第3版ではIALは3つのレベルだったものが、IAL0（ゼロ）も加えられて4つのレベルになったことは第4版ドラフトでの大きな変更点の一つで、文書A（保証レベル）についての記事にて詳細を紹介します。

4.3.1（認証器）

4.3.1（認証器）では、同じ要素が複数使われていても多要素認証では無い旨が明記されました。この記述の変化からは、複数のパスワードでの認証や、分かりやすい例えでは映画に出てくるような顔認証と虹彩認証を組み合わせるだけで多要素認証になるといった誤解を解く意図が伝わってきます。

さらに、生体単体では認証には用いられないという記述は一貫しているものの、第3版では生体は物理的な認証器と強く紐づけられることで認証に用いることができるという記載が、第4版ドラフトでは生体は所持される認証器と組み合わせることで多要素認証の一要素となるという旨に変わりました。このような記述の変化については、生体単体は認証に用いることはできない意図は踏襲されつつ、多要素認証の中で生体を用いることは可能ということを分かりやすくしたい考えが読み取れます。

4.4.1（フェデレーションのメリット）

4.4.1（フェデレーションのメリット）は第4版ドラフトでの新しい項目で、フェデレーション（連携）によるユーザー体験の向上、コスト低減、収集・保有・廃棄データの最小化、露呈するデータの最小化、事業目的への専念が列挙されています。ここでは、OpenID Connectなどを用いたフェデレーションが普及し、実際に多くの組織や利用者が享受できるようになったフェデレーションのメリットを記載することで、より多くの局面においてフェデレーションの活用が望ましい旨を伝えているとうかがえます。

第5章（概要）

5.3（保証レベルの調整）

5.3（保証レベルの調整）は、第3版では特に強く意識されていなかった保証レベルの策定後の継続的な調整を目的としたもので、調整のプロセスや文書化について記載がされています。変化する社会でリスクを継続的に見直すことの重要さと、2.（イントロダクション）についてでも記載したように個人、コミュニティ、その他の組織といった外部に対しても説明責任を果たせるアイデンティティシステムの活用の必要性が強まったことが背景にあると考えられます。

5.4（継続的な評価と改善）

5.4（継続的な評価と改善）も5.3と同様な継続的な活動で、こちらは攻撃者の適応、利用者の期待や要望の変化、ミッションの高度化を踏まえてのリスク評価を目的としています。ここでは継続的な評価の実施に加えて、アイデンティティシステムに係る人々からのフィードバックも取りこむことが求められるようになっており、組織内部だけでデジタルアイデンティティのシステムについて考えるのではなく、幅広い意見を募りながら改善し続けていく必要性がうかがえます。

5.5（サイバー、不正行為、アイデンティティプログラムの完全性）

5.5（サイバー、不正行為、アイデンティティプログラムの完全性）は本文書の最後の項目ですが、アイデンティティソリューションはビジネスやサービスのクリティカルな機能という重要な一文から始まっています。第4版ドラフトでは、アイデンティティ機能がサイバーセキュリティ、脅威インテリジェンス、プログラム完全性などのチームと協力することで、ビジネスの能力を保護しつつアイデンティティソリューションの能力を向上できると記載されています。

他方で、収集、送信、共有されるデータは最小化されることとプライバシー及び法的なアセスメントの対象となることも求められており、デジタルアイデンティティの多面的な保護の重要性を伝えて締めくくられています。日本においても、IPA（独立行政法人情報処理推進機構）による個人の情報セキュリティ10大脅威 2023の1位がフィッシングによる個人情報等の窃取で、9位がインターネット上のサービスへの不正ログインが挙げられているように、とりわけ個人のデジタルアイデンティティを直接的にも狙ったものは相変わらず多い状況で、ビジネスを拡大しつつもサイバー空間上で人や組織をセキュリティとプライバシーの両観点で守る重要性がアメリカの連邦政府機関でもますます高まっていることがうかがえます。

NIST SP 800-63-4のドラフトの変更点を踏まえて

第4版ドラフトへの変化点を読み解くと、組織としての本来達成するべきミッションを重視したデジタルアイデンティティ自体の活用を行いつつ、デジタルアイデンティティを取り巻くリスクも含めて硬直的に捉えるのではなく、セキュリティ、プライバシー、利用者の多様化、ユーザビリティも念頭に置きながら柔軟に対応し続けていくことが求められるようになったことが考えられます。デジタルアイデンティティガイドライン自体も改版されるように、組織としてのデジタルアイデンティティへの対応も常にアップデートが要求され、なおかつ多角的な観点から考慮が必要になっています。

次回以降の記事では、身元確認、当人認証、フェデレーションのそれぞれでのガイドラインの記載としてより詳細な変更点や、具体的にどのような対応が求められうるのかを読み解いていきます。

当社では今回取り上げるような様々なデジタルアイデンティティガイドラインを含む様々なガイドラインや各種標準仕様の内容も踏まえつつ、常にアップデートされていくデジタルアイデンティティやプライバシーの最新動向を踏まえた様々なコンサルテーション、サービスやアプリケーションの設計レビュー、コンシューマ向けID管理製品　Uni-ID Libraのソリューション提供まで一気通貫でビジネスとセキュリティの強化をご支援します。

NIST SP 800-63-4（ドラフト）で強調されたような多角的な観点も踏まえたサービス提供にご協力させていただきますので、お気軽にご相談ください。