)の手塚悟氏による講演を『日本データ通信』編集部で取りまとめたものである。手塚会長によるトラストサービスをめぐる状況説明は、単なる状況説明を超え、グローバルと未来とを見据えた大きな構想に及んでいる。この分野の大局観を得るのに格好の講演記録である。1.はじめに本日は「トラストサービスは何故必要になったのだろう?」という疑問に答えるようなかたちでトラストサービスの全体像を語ってみたいと思う。一年前、この場所でトラストサービス推進フォーラム(TSF)の設立総会を行ったが、その頃と比べると、隔世の感があると言ってよいほどトラストサービスという言葉が政府を含めて世の中に広がってきた。常日頃より、トラストサービスについて様々なことを考え、各方面に働きかけを行ってきた。総務省には「トラストサービス検討ワーキンググループ」を設置して頂き、今日に至っている。皆様のご協力でここまで来ていると感じている。2.トラストサービスをめぐる世界と我が国の概況こうした状況をさらに前進させていくためには、データが国にとって重要な資源であることを理解する必要がある。GAFA(Google、Apple、Facebook、Amazon)やBAT(Baidu、Alibaba、Tencent)について考えてみたい。トラストサービスの面から見ると、GAFAのサービスには信頼性が乏しい。皆さんがサービスを使おうとする時、どうやって自分のIDやクレデンシャル情報(サービスを利用するための認証情報)を受け取るかを思い出していただきたいのだが、その登録方法は自己申請によるものである。私はこれを「オレオレ登録」と呼んでいる。公的書類で本人確認をする手続きがないところが、トラストではない所以である。800-63に3つのセキュリティレイヤが規定されているが、これをもっと厳格にすると、そのハイエンドにあるのが「対面での本人確認」である。ハイエンドの次のレベルにはクレデンシャル情報の運用管理がある。Infrastructure:公開鍵基盤)の世界で言えば、鍵管理がこれに当たる。この鍵をしっかり管理領域に入れたうえで、誰にも改ざんすることができないデバイスに入れて管理をする。そこで我々はICカードを活用しており、またサーバ系ではハードウェア・セキュリティ・モジュール(HSM)を使う。してしっかりと運用管理されている環境でこそ、初めてトラストと名乗ることができる。いう点では「Availability」の高さとはトレードオフになるわけだが、すでにトラストというものをしっかりと考えていかなければならない時期に来ている。Trust」について語った。日本がこの方向に舵を切ってきている現在、「Safety」、「Security」、そして「Trust」を分解して考えてみることには意味があり、私は次のように考えている。Safe」という言葉があるように、事故が起きないように制御をしていくという意味である。そこでは攻撃者のことは考えない。これに対し「Security」では、ハッカー、クラッカーなどの攻撃者に対してどのように守っていくかが問われていると捉えるべきではないか。「Trust」とは何か。相手のリスクを許容する、その中で相手を信じるのが「Trust」である。許容する際、相手をどこまで許容できるか、リスクヘッジすべきかは、人によって判断の規準が異なる。その意味で「Trust」は非常にローカライズされた概念だといえる。国家レベルで見れば、日本と米国、EUでは「Trust」への違いが生じてくる。Local」と私はよく言うのだが、ローカルであるがゆえに対応は難しい。国の中でも分野によって「Trust」に関する考え方が違ってくるかもしれないし、国の間では相互認証が必要になる。トラストサービスは、プラットフォームとしてありとあらゆる領域に関わるものだと理解している。ネットワークレイヤーがあり、その上のミドルウェアにトラストサービスが入り、そのトラストサービスのプラットフォーム上で様々なサービスが動いていく。TSFなどが様々な普及活動を行ってきたが、トラストサービスという言葉が閣議決定される政府政策にまで入ってきたのは驚くべきことであり、昨年のTSF設立時の状況から考えると感無量である。米国を見ると、日本とは全く違うところでトラストサービスを追求しているように見える。米国が力を入れるのは安全保障の分野だ。「DFARS」という国防省の調達規則がある。日本では馴染みの薄い世界の話になるが、例えば戦闘機F35を製造するには世界的なサプライチェーンを構築する必要があり、完全にトラストな環境を作り上げている。Information)」という概念があり、様々な情報のやりとりにおいて、その情報を如何に安全な環境にするかを追求している。このことは、NISTのSP800シリーズ(53、61、171など)から読み取れる。(NARA)が指示をして、基準をNISTで作るという流れである。Verification」という標準が使われている。機能としては日本のマイナンバーと同様だが、加えて暗号化技術が採用されている点が一歩進んでいる。漏えいが起こってしまった場合、日本では暗号化されていようがいまいが同じ漏えいとして取り扱われるが、米国では暗号化していることが重要視される。この辺りの考え方が今後非常に重要になってくると思っている。したものに如何に日本が対峙していくかもトラストサービスという点から見ていかなければならない。Signatureをお互いでしっかりやりあう方向で合意している。合意の前提としてEUにはeIDAS規則がある(図表5、6参照)。これに対応して我が国としてどのように対峙していくか、様々な角度から総務省で検討して頂いている。