令和4年度 春期 情報処理安全確保支援士試験 午後Ⅰ 問3 QRコード決済におけるオンライン本人確認と当人認証の設計

問3 スマートフォン向けQRコード決済サービスの開発に関する次の記述を読んで，設問1〜3に答えよ。

L社は，様々なWebサービスを提供している従業員8,000名の企業である。市場環境の変化に合わせ，L社は，QRコードを利用した実店舗向けの決済サービス（以下，Qサービスという）を提供することを決め，Qサービス用のサーバプログラムと，Qサービスを利用するためのスマートフォン向けアプリケーションプログラム（以下，Qアプリという）を開発することになった。

システム開発部門のBさんは，Qサービス用のサーバプログラム及びQアプリの開発責任者に任命された。

〔Qサービス用のサーバプログラム及びQアプリの概要〕

Qサービス用のサーバプログラム及びQアプリの機能ごとの概要を表1に示す。

〔本人確認〕

Bさんは，上司である情報処理安全確保支援士（登録セキスペ）のC課長に表1をレビューしてもらった。C課長は，Qサービス及びQアプリが他人名義で利用されたり，他人のアカウントで不正にログインされたりすることを防ぐためには，表1のアカウント作成とQサービスへのログインの方法では本人確認が不十分であると指摘した。

C課長は，経済産業省が2020年に公表した“オンラインサービスにおける身元確認手法の整理に関する検討報告書”を確認するように指示した。当該報告書では，本人確認の構成要素は，身元確認と当人認証であると整理されている。身元確認は，“登録する氏名・住所・生年月日等が正しいことを証明／確認すること”と定義されている。また，当人認証は，“認証の3要素のいずれかの照合で，その人が作業していることを示すこと”と定義されている。したがって，Qサービスにおいては，表1のa時に身元確認を，表1のb時に当人認証を実施することになる。

〔身元確認〕

Bさんは，身元確認についてどのような方法があるのかを調査したところ，“犯罪による収益の移転防止に関する法律施行規則”（以下，犯収法規則という）に規定があることが分かった。犯収法規則の規定を参考にすると，銀行側が利用者の身元確認を行い，かつ，銀行がその記録を保存していることをL社が確認すれば，Qサービスのa時の身元確認を実施したとみなせるとBさんは考え，C課長に相談した。

C課長は，表1の銀行口座とのひも付けでは，キャッシュカードの所持が確認されず，暗証番号で照合されるだけなので，攻撃者が他人の氏名でアカウント作成を行い，①他人の銀行口座とのひも付けを行うリスクを低減するためには，L社が表1の a 時に身元確認を実施する必要があると指摘した。

L社には対面で身元確認できる店舗がなく，身元確認の手続を郵送で行うことになると，利用者がQサービスを利用するまでに時間が掛かる。Bさんは，身元確認をオンラインで行う方法をC課長に相談した。

C課長は，将来，Qサービスには利用者間の送金機能などが追加されることを考慮し，金融庁が公表している“犯罪収益移転防止法におけるオンラインで完結可能な本人確認方法の概要”の個人顧客向けの本人確認方法が採用できると考えた。そこで，表2のように整理してBさんに説明した。

次は，表2についてのBさん及びC課長の会話である。

Bさん：項番5のセキュリティが強固だと思うので，項番5をQサービスに導入する場合の本人確認方法について詳しく教えてください。

C課長：マイナンバーカードには，地方公共団体情報システム機構が発行した署名用電子証明書などが格納されている。Qサービスの利用者は，NFC機能のあるスマートフォンを利用して，マイナンバーカードを読み取り，署名用電子証明書のパスワードを Qアプリに入力する。入力されたパスワードが正しい場合，マイナンバーカード内の d で Qサービスの申込用のデータにデジタル署名し，当該デジタル署名，当該データ本体，署名用電子証明書を Qサービスに送付する。Qサービス側で，デジタル署名が利用者本人のものであり，改ざんされていないことを Qサービスの利用者の e を用いて確認した後，地方公共団体情報システム機構に f を確認する。

Bさん：項番5の方法では，利用者が NFC機能のあるスマートフォンとマイナンバーカードを用意する必要があるのですね。それならば，項番1の方が，利用者にとっては利用しやすい方法と言えそうです。項番1では，注意点はありますか。

C課長：項番1では事前に準備した他人の画像を用いられないようにする必要がある。

Bさん：どうすればよいでしょうか。

C課長：完全な対策はないが，政府が犯収法規則の改正において意見公募を実施した際の“警察庁及び共管各省庁の考え方”に記載されている方法を採用すると，“Qアプリが毎回ランダムな数字を表示し，利用者が g して，直ちに送信することによって，L社では提出された画像が事前に準備されたものではないことを確認する”という方法が考えられる。この方法で身元確認しよう。

Bさん：分かりました。

〔当人認証〕

Bさんは，Qサービスの当人認証を強化する方法を検討し，利用者IDとパスワードによる認証後に SMSで認証コードを利用者に送り，入力させる方法を実装することを考えた。

一方，利便性を向上させるために，ログインが成功した場合は，1か月間，ログイン状態を保持することを考えた。しかし，②Qサービスにログインした状態で，スマートフォンの画面ロックを設定していないと，Qサービスが不正利用されることがある。そこで，Qサービスにログインした状態を保持することにした上で，③Qアプリに不正利用を防ぐための機能を追加することにした。

これまでの検討を踏まえ，Bさんは，Qサービス用のサーバプログラムとQアプリの開発を進めた。