半世紀近くの 国民ID制度運用の 歴史を持つ 韓国の 実情

マイナンバー制度の運用開始が目前に迫る中、年金機構の事故をはじめ 大規模な情報漏えいインシデントが相次ぎ、セキュリティ上の 懸念が にわかにクローズアップされている。 一方、隣国の韓国では「住民登録番号制度」と呼ばれる 国民皆ID制度を、既に半世紀近くも運用し続けている。 その韓国のソウルで 1997年に設立されたペンタセキュリティシステム ( Penta Security Systems Inc. ) は、2004年以降日本においても ビジネスを展開しており、キム氏も 同社日本法人の社員とたびたび話す機会があるという。そんなとき、同氏が驚くことの1つが、 国民IDに対する 両国の認識の差だという。

　「韓国では 住民登録番号制度が 日々の生活に根付いており、18歳以上の全国民に付与された 個人識別番号を使って オンライン上で 役所の各種手続きや 証明書発行、ネットバンキング などを 皆 当たり前に行っている。 そのため、日本に 国民ID制度がないことを知ったときは とても驚いた」（キム氏）
しかし一方で、韓国では 2008年以降、企業サービスや 社会サービスの 急速な IT化・ネット化に 伴い、個人情報の 大規模漏えい事故が 相次いだ。
そして これを受けて、現在政府主導で 個人情報保護のための各種施策や法整備が強力に推し進められている。 一見すると、日本の マイナンバー制度と それに伴うセキュリティリスクを 先取りしているようにも 見えるが、キム氏によれば 「早計には判断できない」という。

2008年以降、個人情報の大規模情報漏えい事故が相次いだ

　「たとえ 住民登録番号制度が 存在しなかったとしても、IT化の進展に伴い 官公庁や 組織、企業が それぞれ持つ 個人情報間の 連携は 進められていたはず。 その際、もし 国民IDが 存在しなかったら、きっと 今以上の 混乱を 招いていただろう。
従って、『国民IDがあるから危ない』といったような 短絡的な結論を 下すべきではないと 考える」

「識別情報」と「認証情報」を 明確に区別する ことが 重要

　では、韓国の制度では 具体的に何が課題として挙がっており、そして それは 日本のマイナンバー制度でも 起こり得るものなのだろうか？  キム氏によれば、これを理解するには 2つの観点から 両国の制度を 比較検討する 必要があるという。
「まずは、『個人識別用ID』『個人情報』『認証情報』の 3つを きちんと区別して考える ことが 重要だ。
IDは 本来、記号の羅列に過ぎず、これに 氏名や 生年月日、メールアドレスなど、個人を特定できる 個人情報を 別途 組み合わせることで、初めて 個人を識別できる ようになる。 しかし 韓国の個人識別番号 には、生年月日や 性別、出身地などを 特定できる 数字が含まれており、ここから 個人情報を類推して 容易に抜き出せる 点が たびたび 問題とされてきた」

韓国における個人識別番号付与の懸念点

　一方で 日本のマイナンバーは、それ自体に 個人情報は 含まないため、「個人情報と マイナンバー情報を きちんと分けて 管理する 限りは、韓国のように 両者の混同に起因する 問題は 起きにくいのではないか」（キム氏）という。

　そして もう1つの 重要ポイントが、「識別（Identification）」と「認証（Authentication）」を 明確に 峻別すること。
韓国では、この両者を混同した 運用が 多く行われていたことも、大規模な 個人情報漏えいを 招いた 原因の1つ だったと キム氏は指摘する。
「識別IDが正しいだけでは、他人がそのIDを使って なりすましている 可能性を 否定できない。 そのため 別途 認証情報として、本人のみが知っている 知識や 所有物、身体的・行為的特徴 などの 提示を 求めるのが 通常だ。
しかし 韓国では かつて、システムに ログインする際の 認証情報として、個人識別番号を用いる システムが 多く存在した。 つまり、本来は 識別にのみ利用できるはずの 情報を、認証に 用いていた。 これにより、不正アクセスの リスクが 多数 放置される事態を 招いてしまった」
こうした 反省から、現在 韓国では 住民登録番号の保有を 厳しく 制限し、個人情報を 保有する際には 暗号化を義務付ける など、個人情報を厳格に 保護するための 各種法制度が 順次 制定・施行されている。

危ないのは マイナンバー自体ではなく「個人情報」と「認証情報」

　キム氏によれば、日本のマイナンバー制度においても、この「識別と認証の混同」は 起こり得るという。
例えば、マイナンバーを 認証に用いるような システムを 作ってしまうと、他人のマイナンバーを取得した 攻撃者による 不正アクセスを 容易に許してしまう 可能性がある。 そのため「韓国の事例に 学び、識別と認証を きちんと 分けて考えることが 最も重要だ」と キム氏は力説する。

　また 前述のように、日本のマイナンバーそれ自体 は 純粋な ID情報であり、その中に 個人情報は含まれないものの、それが 一度個人情報や 認証情報と ひも付けられるようになると、情報漏えいリスク は 一気に高まる。
「重要なのは、マイナンバー自体が 危ないのではなく、それとひも付く 個人情報と 認証情報が 危ないということ。 ここを 混同してはならない。
マイナンバーそのものを守ることも もちろん重要だが、最も大事なのは 関連する個人情報と認証情報を それぞれ きちんと分けた上で、個別に しっかり守っていくことだ」（キム氏）

個人識別用ID、個人情報、認証情報を保護するためのセキュリティ

　外部からの 攻撃を防ぐには、ネットワーク／システム／アプリケーション の 各レイヤーで それぞれ 防御が必要だが、ただやみくもに セキュリティ製品を 導入するだけでは 運用が空回りするばかりで、実効性のある対策を取れない 可能性がある。 そのため、自社の業務で マイナンバーをどう活用しているかを きちんと理解し、業務オペレーションに 合わせた形で 対策の導入と運用の設計を 行うことが重要だと キム氏は指摘する。

　一方、内部犯行を防ぐには データ暗号化が 極めて有効だが、暗号化だけでなく アクセス制御と ログ監査も 組み合わせて 運用することで 初めて有効な対策が 実現すると 同氏は述べる。 ちなみにペンタセキュリティでは、暗号化技術に強みを持つベンダーで、キム氏自身も 暗号化技術の専門家である。
「いくらデータを暗号化しても、それを誰もが復号できてしまうようでは セキュリティ対策として 意味をなさない。 データを暗号化した上で、それを復号するための 鍵のアクセス権 や、復号の権限を きちんと 制御する『セキュア暗号化』を 行ってこそ、 初めて 有効な セキュリティ対策 だといえる」（キム氏）