政府サイバー安全保障対策会議が即座に取り組むべき「法制度」と「技術アーキテクチャ」の根本改革
近年、日本国内で猛威を振るうサイバー攻撃と、それに伴う大規模な個人情報漏洩事件。直近で発生した大手駐車場事業者「タイムズ２４」における利用者情報の漏洩事故は、社会に大きな衝撃を与えました。流出したデータには、氏名や住所だけでなく「運転免許証の画像データ（顔写真含む）」が含まれていたためです。
運転免許証は、日本社会において最も信頼されている本人確認書類の一つです。顔写真、生年月日、住所、顔写真がセットになった高解像度画像がダークウェブや詐欺グループの手に渡れば、オンライン金融口座の不正開設、SIMカードの闇発行、ディープフェイク技術と組み合わせた高度なフィッシング詐欺など、二次被害・三次被害の波及効果は計り知れません。
こうした事態を受け、政府は関係省庁を集めた「サイバー安全保障担当大臣らによる対策会議」を開催し、今後の対応方針について協議を始めました。これは極めてタイムリーであり、評価すべき動きです。
しかし、「また被害企業へのセキュリティ監査を強化する」「ガイドラインの遵守を再徹底する」といった従来の延長線上にある対応でお茶を濁すならば、日本のデジタル社会の安全保障は崩壊します。
本稿では、ITコンサルタントの視点から、今回の政府対策会議に向けて、「法制度のアップデート」と「技術・システムアーキテクチャの刷新」という二本柱による緊急提言をまとめます。
第1章：現状の危機感 — 「守れなかった企業」叩きで終わる日本のサイバーセキュリティの限界
日本のサイバーインシデント報道や社会の反応を見ると、常に焦点が当たるのは「情報を漏洩させた企業」です。
- 「なぜ防げなかったのか」
- 「セキュリティ対策費をケチっていたのではないか」
- 「漏洩した個人への補償はどうするのか」
もちろん、個人データを預かる企業の善管注意義務や安全管理措置は当然追求されるべきです。しかし、どれほど堅牢な要塞を築いても、国家ぐるみのハッカー集団や高度化するランサムウェア攻撃を100%防ぐことは不可能です。「絶対安全」が存在しないサイバー空間において、企業側の管理責任だけに全責任を押し付ける構造には限界が来ています。
最大の問題は、「漏洩したデータを不正に購入し、悪用して利益を得ている攻撃者・詐欺グループ側へのペナルティや捕獲網が法的に極めて脆弱である」という点です。
「守る側の企業」だけに天文学的なリスクとコストを背負わせ、「奪って悪用する側の攻撃者」に対する直接的な処罰法規や追跡体制が不十分であれば、サイバー犯罪の費用対効果（ROI）は攻撃者にとって極めて高いままとなります。政府対策会議が最初に行うべきは、この「守る側 vs 攻める側」の非対称性を解消するための、法制度と技術の抜本的再設計です。
第2章：法制度の緊急アップデート — 「漏洩させた者」から「悪用・不正取得した者」への罰則強化へ
諸外国に目を向けると、漏洩データを悪用・売買・不正所持する側に対する法的なペナルティは、日本よりもはるかに明確かつ強力に整備されています。政府対策会議は、以下の海外法制度を参考に、日本の法体系を即座にアップデートすべきです。
1. アメリカ：独立した重罪「身元盗用罪（Identity Theft）」の導入
アメリカでは、他人の運転免許証、社会保障番号（SSN）、顔写真などの個人識別情報を不正に取得・所持・使用する行為そのものを、連邦法上の重大な犯罪として裁きます。
- 連邦法（18 U.S.C. § 1028）： 他人の識別情報を許可なく所持・譲渡・使用した場合、最大15年の禁錮刑。
- 加重身元盗用罪（18 U.S.C. § 1028A）： 詐欺などの犯罪を犯す際に他人の個人情報を利用・所持していた場合、主罪の刑期に加えて問答無用で2年間の実刑（禁錮刑）が連続して追加される。
2. イギリス：データ保護法（Data Protection Act 2018）による不法取得・売買の刑事罰化
イギリスのデータ保護法第170条では、データ管理者の同意なく個人データを意図的または無謀に取得・開示・保持すること、およびそれらを「売買・転売すること」を明確な刑事犯罪と規定しています。ダークウェブや名簿業者から「漏洩データと知りながら購入して営業活動や詐欺準備に利用した事業者・個人」も直接逮捕・処罰の対象となります。
3. 中国：刑法「侵犯公民個人情報罪」による厳罰化
中国の刑法第253条の1では、不正な手段で国民の個人情報を取得・売買・提供する行為に対し、最大7年の有期懲役および罰金を科しています。大量の個人データ取引に対する法的抑止力として機能しています。
日本が目指すべき法改正の方向性
対策会議への提言として、「不正取得個人情報所持・悪用処罰法（仮称）」の創設、あるいは個人情報保護法・刑法の改正により、「正規の権限なく取得された他人の顔写真付きIDや個人識別情報を、悪用目的で所持・売買・利用する行為そのものを重罪化する」ことを強く求めます。
第3章：技術的・システム的アーキテクチャの根本的刷新 — 「コピー可能データ依存」からの脱却
法制度が「抑止力」であるならば、技術的アーキテクチャは「物理的防御」です。今回のタイムズ２４の事例が突いた最大の弱点は、「コピー可能な画像データ（運転免許証の表裏）をそのまま保存し、それを本人確認の根拠にしていた」というシステム設計の構造的問題にあります。
サイバーセキュリティの観点から、今後の日本社会が目指すべき技術刷新のポイントは以下の通りです。
1. 「静的画像データ」によるeKYCの段階的廃止と「多要素認証（MFA）」の義務化
スマホで免許証の写真を撮影して送信するタイプのeKYCは、利便性が高い一方で、画像データ自体が漏洩した際に「偽造・なりすまし」が極めて容易という致命的な脆弱性を抱えています。物理的なICチップの読み取りと、暗証番号やスマホ端末での生体認証を組み合わせた多要素認証（MFA）への移行を段階的に義務付けるべきです。
2. マイナンバーカード・公的個人認証サービス（JPKI）の正しい技術的評価と普及推進
サイバーセキュリティの観点から見れば、ICチップ内の電子証明書を活用した「公的個人認証サービス（JPKI）」は極めて堅牢なアーキテクチャです。民間企業側に「顔写真画像」などを保存させず、国（JLIS）のインフラを通じて暗号化された認証結果（トークン）だけをやり取りできるからです。万が一企業がハッキングされても、漏洩する生データが存在しません。
3. 「Assume Breach（侵入前提）」と「データ・ミニマイゼーション（情報の最小化）」の徹底
多くの民間企業は、顧客の運転免許証画像を何年も自社サーバーに保管し続けており、これがハッカーにとっての「宝の山」となっています。本人確認完了後、身元確認書類の画像データは速やかに消去・不可逆化することを義務付けるべきです。
第4章：制度と技術を繋ぐ「UX（ユーザー体験）」とリスク分散エコシステム
どれほど強固なセキュリティ技術や法制度を設計しても、エンドユーザーや現場の運用者が「使いづらい」と感じれば、人々は抜け道を探し、ヒューマンエラーが発生します。技術の裏側にある高度なセキュリティを隠し、優れたUX（ユーザー体験）の提供が不可欠です。
| 比較項目 | 従来の免許証画像保存方式 | JPKI・ICチップ認証方式 |
|---|---|---|
| 保管データ | 高解像度の顔写真、住所、氏名、免許証番号 | 暗号化署名、認証判定結果（Yes/No） |
| 漏洩時のリスク | 致命的（他サービスでのなりすまし、詐欺に悪用） | 極めて低い（データ単体では再利用不可） |
| 耐偽造性 | 低い（PhotoshopやAIによる偽造が容易） | 極めて高い（耐タンパー性ICチップ＋電子署名） |
| 企業側のリスク | 巨大な賠償リスク・社会的制裁 | 保持データ最小化によるリスク低減 |
第5章：政府サイバー安全保障対策会議への【5つの緊急提言】まとめ
- 提言1：不正取得個人情報の「所持・売買・利用」を罰する新法の制定
漏洩データを不正に入手・所持・売買・利用した第三者を直接裁く法律の制定。 - 提言2：画像ベタ貼りeKYCの段階的廃止とICチップ/MFA移行ロードマップの提示
高リスクサービスにおける画像アップロードの原則廃止とMFA移行。 - 提言3：公的個人認証サービス（JPKI）の民間開放・利用手数料の抜本的値下げ
民間企業が安全なトークン認証へ移行できるよう、JPKI利用コストの無償化・低価格化。 - 提言4：「データ・ミニマイゼーション（情報非保持）」のガイドライン義務化
本人確認完了後の画像データの長期保存を原則禁止・制限すること。 - 提言5：ディープフェイク・AI悪用型サイバー攻撃への官民合同R&D投資
次世代の攻撃手法に対応するための判定技術や技術検証環境の整備。
今回のタイムズ２４の事例は、一企業のセキュリティ事故という枠組みを超えて、「デジタル社会における日本人の身元証明の信頼性をどう担保するか」という国家的な問いを突きつけています。
情報漏洩が起きた際、企業を罰するだけで終わる時代は過ぎ去りました。「悪用する者を逃さない法制度」という強固な抑止力と、「情報が漏れても致命傷にならない・そもそも無駄な情報を持たない」という洗練された技術アーキテクチャ。この「法」と「技術」の二重の防壁を築くことこそが、デジタル社会における国民の財産とプライバシーを守る唯一の道です。