次世代 KYC に関する検討状況 - OpenID BizDay #15

1
Copyright © 2023, OpenIDファウンデーションジャパン, All Rights Reserved

レポートが公開されました
2
https://www.openid.or.jp/news/2022/12/kycwg.html

次世代KYC？
3
https://www.openid.or.jp/news/oidfj_kycwg_report_20200123.pdf

4
理想のKYCモデル（仮定）
4
RP
サービス
事業者
KP
KYC プロバイダ
(アグリゲータ)
KYC事業者
CP
属性プロバイダ
KYC情報をコントロールする主体
・複数のプロバイダから属性を集約して返却
・サービス事業者に画一的なIF提供
本人確認を実施した主体
銀行、通信キャリア等

もっと使いやすく
5

OpenID Connect for Identity Assurance (IDA)
6
RP
提供先
IDP
提供元

verified claims
7
trust_framework : 適用される根拠法・枠組み等
（例 : 犯収法）
check_method : どのようにエビデンスを確認したか
（例 : 対面で物理的に）
document_details : 確認した書類の詳細
（例 : 免許証、免許証の発行日、免許証の有効期限）
claims : 本人確認されたユーザ情報
（例 : 名前、生年月日等）

claims parameter
8
RP IDP
※認可リクエストから読みやすくして一部抜粋

IDA仕様の少しハードルが高いところ
9
RP
サービス
事業者
IDP A
KYC実施済
事業者
IDP B
KYC実施済
事業者
②IDPによって返却できる値が異なる
IDPごとに要求するKYC情報を精査する必要がある
①複数のIDPからKYC情報を取得する場合、
RPが取得したいKYC情報の基準が必要
③要求された項目単位で同意の取得・管理
（OIDCはScope単位のことがほとんど）

IDA仕様の改善ポイント
10
• RP視点
• IDPごとにKYC情報を要求の仕方を変える必要がある
• 要求の基準が明確でなければならない
• 一方でサービスや業界によっては本人確認に関する法制度・ガイドラインがない
RP が何を基準として本人確認済みの属性情報を取得・利用すべきかを判断できない
• IDP視点
• 返却する項目をそれぞれ要求ごとに管理する必要がある
• 同意画面、AccessTokenに紐づく情報の管理が煩雑になる

IDAの国内向けミニマムSpecの検討
11
RP
サービス
事業者
IDP A
KYC実施済
事業者
IDP B
KYC実施済
事業者
IDP側の返却項目が明確化
必要なKYC情報を含むプリセッ
ト（scope）を選択
IDPごとに要求する項目を精査
する必要がない
scope単位でKYC情報の同意の取得・管理が可能

scope利用イメージ
12
RP IDP
例えば犯収法に対応するような
scopeを定義
※認可リクエストから一部抜粋

scopeを使うメリット
13
• KYC情報のセットをscopeで表現できる
⇒ RPは自身のサービスに必要なscopeを選択
• KYC情報の管理が項目単位からscope単位に
⇒ IDPからすると既存のOIDCと同様の管理方法
• 課金APIを想定する場合、scopeで課金対象を判別可能

scopeの単位
14
scope レベル依拠元の確認内容依拠元の本人確認手法依拠元のエビデンスの有効期限証跡属性情報
jp_oidf_ida_2022_high_unexpired
_with_attachments
AA 犯収法レベル相当対面・非対面期限内必須
文書画像
確認プロセス
確認者
確認日（エビデンスの確認日＋全体プロセスの完了日）
氏名
住所
生年月日
jp_oidf_ida_2022_high_unexpired A 犯収法レベル相当対面・非対面期限内必須
確認プロセス
確認者
氏名
住所
生年月日
jp_oidf_ida_2022_high B 犯収法レベル相当対面・非対面特になし
確認プロセス
確認者
氏名
住所
生年月日
jp_oidf_ida_2022_medium C
適度に簡易で信頼性の
ある KYC
対面・非対面特になし特になし
氏名
住所
生年月日
jp_oidf_ida_2022_medium_age_o
ver_18
D
適度に簡易で信頼性の
ある KYC
対面・非対面特になし特になし
匿名情報
18歳以上か未満か
• 本人確認の度合い（確認内容、証跡の有無）でscopeを分ける
• 提供する属性情報は、基本4情報のうち性別を除いた値

15
サンプルリクエスト/レスポンス
IDAの国内向けミニマムSpecというトラ
ストフレームワーク内においてやり取
りしていることを示す値を定義
どの程度の本人確認情報を求められるか
scopeで要求される値
本人確認されたユーザ情報
名前、生年月日、住所
http://xxxxx.com/xxx?...
scope=openid jp_oidf_ida_2022_high
…
RP IDP

scopeの単位の経緯
16

残課題
17
項目残内容
scopeの種類 • 内容の精査
• 他のバリエーションの検討
evidenceタイプの種類 type=document以外の表現についての整理
electronic_record / electronic_signature / vouch
マイナンバーカードでの本人確認マイナンバーカード利用（公的個人認証）時のIDAの表現の仕方

IDA仕様へのフィードバック
18

まとめ
19
• 活動レポートを公開しました
• これまでの次世代KYC検討を踏まえ、利用しやすい環境を作るための検討を実施
• IDAをベースに利便性を向上した形で表現できる国内向けミニマムSpecの検討
• scopeでKYC情報のプリセットを要求できる
• 今後はミニマムSpecをベースにKYC情報の活用の煩わしさや導入の敷居を下げ、
日本国内のより様々な業界で活用できる土台を整理していく

20

次世代 KYC に関する検討状況 - OpenID BizDay #15

Recommended

Recommended

More Related Content

What's hot

What's hot (20)

Similar to 次世代 KYC に関する検討状況 - OpenID BizDay #15

Similar to 次世代 KYC に関する検討状況 - OpenID BizDay #15 (20)

More from OpenID Foundation Japan

More from OpenID Foundation Japan (20)

Recently uploaded

Recently uploaded (7)

次世代 KYC に関する検討状況 - OpenID BizDay #15