NIST SP 1800-42A、OpenID身元確認拡張仕様、そしてFinCENのFAQ

著者: Juliana Cafik(Identity Standards & Solutions Architect。OpenID Foundation eKYC & IDAワーキンググループに参加中の独立専門家)

National Cybersecurity Center of Excellence(NCCoE)のフェーズ1の成果に続き、NIST(米国国立標準技術研究所)はSP 1800-42Aのドラフトを公開しました。これは、金融口座の開設時にモバイル運転免許証(mDL)を受け入れるための、テスト済みのアーキテクチャを文書化したプラクティスガイドです。OpenID FoundationのeKYC & IDAワーキンググループは、身元確認拡張仕様(identity proofing extension)を策定しています。この仕様は、資格情報が発行される前に、その人物の身元確認がどのように、どの保証レベルで行われたかを、金融機関などのリライング・パーティに伝えるものです。2026年9月8日、FinCEN(金融犯罪取締ネットワーク)、連邦準備制度理事会(FRB)、FDIC(連邦預金保険公社)、NCUA(全米信用組合管理機構)、OCC(通貨監督庁)は、政府発行の検証可能なデジタル資格情報が、顧客識別プログラム(CIP)規則における書類による本人確認手段(documentary identification)として認められ得ることを確認するFAQを公開しました。

これらを併せて読むと、実装への一つの道筋が見えてきます。すなわち、リファレンスアーキテクチャ、資格情報の背後にある保証を表現する手段、そしてそれを利用するためのコンプライアンス上の立場です。3つのいずれも、単独では十分ではありません。アーキテクチャは、保有者の身元確認がどのように行われたかを示しません。身元確認に関するクレームは、それ自体ではCIP規則を満たしません。FAQは、金融機関が発行者をどのように検証すべきか、またどのプロトコルで提示を受けるべきかを示していません。

これこそが、OpenID Foundationが2026年9月1日〜3日にジュネーブで開催されたGlobal Digital Collaborationカンファレンスに持ち込んだギャップです。「Closing the Assurance Gap: Securing Financial Account Opening with Verifiable Digital Credentials(保証のギャップを埋める:検証可能なデジタル資格情報による金融口座開設の安全確保)」と題したセッションでは、OpenID FoundationのリエゾンであるJuliana Cafik氏が、Ryan Galluzzo氏(NIST)、Loffie Jordaan氏(AAMVA)、Mark Verstege氏(Austroads)とともに登壇しました。このパネルは、これら3つの動きが浮き彫りにする依存関係を軸に構成されました。すなわち、資格情報が発行されなければならず、身元確認の厳格さが表現されなければならず、その結果が金融機関の規制上の義務に対応付けられなければならない、ということです。いずれか一つが欠けても、その連鎖は金融機関の要件を満たすところまで届きません。

OpenID Foundationは、Defakto Securityを新たなSustaining Corporate Memberとして迎えることを嬉しく思います。

Defaktoは、次世代のクラウド、自動化、AIを駆動する非人間IDを保護しています。グローバル企業はDefaktoを活用して、長期間有効なシークレットを排除し、短期間のみ有効で暗号学的に検証可能なIDへと置き換えています。

クラウド、自動化、AIの導入が拡大するにつれ、ワークロードやエージェントは、新たなIDのサイロや長期間有効なクレデンシャルを生むことなく、分散した環境をまたいで安全かつ相互運用可能な形で認証を行わなければなりません。Defaktoは、それを可能にするオープンな業界標準の開発を主導する一翼を担っており、SPIFFE、WIMSE、MCP、OAuth、そして最近ではOpenID FoundationのWISEにおいて、リーダーシップの発揮と貢献を行っています。

知識ベース認証が不十分である理由と、その代替策

2026年10月5日、デンマーク政府は、同国の国民登録簿であるCentral Person Register(CPR)において、権限のない第三者が約880万人分のデータにアクセスしたと発表しました。このデータには、居住者、国外在住者、死亡者の氏名、住所、CPR番号が含まれています。この攻撃は、ある企業が持つ登録簿への正当なアクセス権を悪用したものです。現在、警察が捜査を進めています。

今回の侵害は、既存の助言の正しさを改めて裏付けています。すなわち、組織はユーザーの認証に個人データを用いるべきではない、ということです。

学術研究に参加しているのが誰なのか、そしてその人と機関との結び付きが現在も有効なのかについて、機関はどのようにして確信を持てるのでしょうか。オーストラリアには現在、この問いに答えるための全国共通のベースラインがありません。

これは、Australian Digital Trustコミュニティグループ(ADT CG)が回答の中で取り上げた主要な課題の1つです。この回答は、Higher Education Standards Committee(HESC)の研究セキュリティに関する意見募集に対して提出されたものです。

OpenID Foundationの下で活動するADT CGは、研究セキュリティと開放性は両立し得ると主張しています。回答では、正当な共同研究を妨げることなく、オープン標準によって研究セキュリティを強化できることを示したうえで、HESCに対して次の分野に注力するよう求めています。

• ID保証に関する全国的なベースライン。職員や学生から客員研究者、共同研究者に至るまで、研究に関わるすべての人を対象とすべきです。
• 既存の仕組みの活用。任務が重複する新たな組織を設けるのではなく、National Identity Proofing Guidelines、信頼できる海外のID証拠、そして分野内の既存の能力を活用すべきです。
• 国境を越えた信頼のためのオープン標準。OpenID Federation、OpenID for Verifiable Credentials、OpenID for Verifiable Presentations、FAPI 2.0、Shared Signalsはいずれも、その一翼を担うことができます。
• 研究にAIが入り込む中でも人間が責任を負い続けること。責任ある研究者へと遡れる明確な経路が常に確保されるべきです。
• 比例原則に基づくルール。変更は成果ベースかつ技術中立であり、不要な負担を伴わないものであるべきです。

OpenID Foundationは、Biometric Updateを、近日開催のOpenID Well-Known Conferenceの公式メディアパートナーとすることを発表いたします。

2027年2月2日~4日にロンドンで開催される本カンファレンスは、OpenID Foundationにとって初のグローバルカンファレンスです。その目的は、デジタルアイデンティティおよび資格情報のエコシステムが、実装から広範な普及へと移行するのを支援することです。本カンファレンスでは、エコシステムのリーダー、実務者、標準規格の専門家が一堂に会し、普及とスケールを実現する方法についての教訓を共有します。

組織は、AIエージェントを識別し、その許可された行動を制御するために必要なシステムを構築するよりも速いペースで、AIエージェントを導入しています。

これが問題となる重要な局面の1つが、エージェントがセキュリティ境界を越えるときです。たとえば、あるプロバイダーでホストされているエージェントが、別のプロバイダーでホストされているツールやサービスを呼び出す必要がある場合があります。それぞれの側が、アイデンティティ、信頼、権限について独自のルールを持っています。

ここにギャップが生じ、エンジニアが近道をとる可能性があります。そして、その近道の中でセキュリティが破綻し得るのです。

この問題への対応を支援するため、OpenID FoundationのArtificial Intelligence Identity Managementコミュニティグループ(AIIM CG)は、新たな論文A Protocol-Agnostic Threat Classification for Cross-Boundary AI Agent Authorizationを公開しました。

SemperisのDirector of Product Managementであり、AI Threat Modeling Group(AIIM CGのサブグループ)の議長を務めるSarah Cecchetti氏は、次のように述べています。「組織は今後も常に、プラットフォームをまたいでAIエージェントを接続する必要があります。本論文は、エージェントがあるプラットフォームから別のプラットフォームへ越境する際に何が問題になり得るかを示しています。これは脅威モデルであり、解決策ではありません。私たちは、アーキテクト、セキュリティチーム、プラットフォームプロバイダー、標準化団体に共通の出発点を提供したいと考えました。これらの脅威を明確に名指しすることで、業界が相互運用性に向けて取り組む共通の理由を提供できればと考えています。本論文はベースラインであり、今後、認証、認可、緩和策のガイダンスに関する取り組みを通じて、これを発展させていく予定です。」

OpenID Foundationは、Australian Digital Trustコミュニティグループ(ADT CG)を通じて、Exposure Draft Privacy Amendment (Personal Data Protection) Bill 2026に関するオーストラリア政府の意見募集に回答しました。この意見募集は、オーストラリアのプライバシー法の現代化と強化を目的としています。

回答はこちらからご覧いただけます。回答では、オーストラリアのトラストスキームの下で事業を行うIDプロバイダー、ウォレットプロバイダー、資格情報の発行者、検証者、ブローカーにとって、本法案が実際にどのように機能するのかを取り上げています。

ダイレクトマーケティング、研究、大規模デジタルプラットフォームに関する規定は対象としていません。

OpenID Foundationは、EMVCoのEMV® Agentic Payments - Framework for Specifications v1.0 DRAFTに対するコメントを提出しました。

AIエージェントが消費者に代わって行動する場面が増えるにつれ、あらゆる決済にアイデンティティに関する問いが生じます。そのエージェントは誰なのか、そして消費者はそのエージェントに何をすることを認可したのか、という問いです。決済とアイデンティティの境界は曖昧になりつつあります。

ここで、決済標準のグローバルリーダーであるEMVCoと、アイデンティティ標準のグローバルリーダーであるOpenID Foundationが、互いに補完し合う役割を果たすことになります。

両組織は2025年からリエゾン関係にあり、委任の系譜(delegation lineage)、検証可能な意図(verifiable intent)、役割に基づく開示、エージェントの識別といったアプローチについて共通の認識を持っています。

OpenID Foundationの仕様は、エージェント型決済を大規模に実現する助けとなり得ます。今回の回答においてOIDFは、EMVCoに対して3つの支援を申し出ました。EMVCoの仕様に関するデューデリジェンスの支援、用語の比較、そして相互に関心のあるユースケースについての合同の相互運用性イベントと適合性テストです。

第1回OpenID Well-Known Conferenceのスポンサー募集を開始しました。本カンファレンスは2027年2月2日~4日、ロンドンの歴史的なランドマークであるCounty Hallで開催されます。スポンサーの皆さまは、世界各地の成熟したエコシステムと新興エコシステムから集まる意思決定者、エコシステムリーダー、技術者という、焦点を絞った参加者層にリーチできます。こうした参加者こそが、今後何年にもわたってアイデンティティ基盤を形作るアーキテクチャや調達の意思決定を担う人々です。