電子署名Q&Aについて

「規制改革推進に関する答申」で示唆されていたのですが、総務省・法務省・経済産業省の連名で、電子署名Q&Aが公表されました

タイトルについて

でもって、タイトルは、「利用者の指示に基づきサービス提供事業者自身の署名鍵により暗号化等を行う電子契約サービスに関するQ&A」になります。

「利用者の指示に基づきサービス提供事業者自身の署名鍵により暗号化等を行う電子契約サービス」というタイトルがついています。

まずは、これは、立会人型といわれるサービスになります。これについては、何回か、図を出しています。が、しつこくもう一回。

この特徴は、実際の手順にフォーカスすると、一般的には、電子メールでもって、当事者をエンロールして、受信者の電子メール宛に、こういうドキュメントがきています、これで、サインしますか、という表現がなされて、そのサービスプラットフォームにアクセスして、タイプしたり、場合によっては、マウスで、ちょっとサインしたりして、ドキュメントを生成するものです。

そして、そのドキュメントには、プラットフォームのデジタル署名が付されます。

なお、この「デジタル署名」という用語は、公開鍵暗号技術を用いたものを特定して用いています

個人的には、この立会人型のサービスは、

  • (1)当事者が、電子メールアドレスベースでプラットフォームにアクセスすること
  • (2)アクセス当事者は、プラットフォームと、SSL通信でもってセキュアに通信すること
  • (3)当事者がドキュメントにタイプ、マウスでのサインをしたりすること
  • (4)プラットフォームがデジタル署名をすること、

が要素であろうと思います。

この「利用者の指示に基づきサービス提供事業者自身の署名鍵により暗号化等を行う電子契約サービス」というタイトルは、(4)の要素にフォーカスをしているわけです。これは、立会人型のサービス事業者が、自らを「事業者署名型」と読んで、(4)が重要であるというイメージをうえつけたことに影響されているのではないか、と認識しています。(また、利用者指示型ともいわれます。が、事業者署名型も利用者指示型という用語も、ともに、利用者の真正性確認についてのリスクが、ローカルのデジタル署名の場合とは異なることを看過させるので、用語としては、ミスリーティングであるというのが、私のブログの立場です)

セキュリティ的な観点をもっている人からいくと、(1)が、電子メールアドレスでの真正性確認が最弱リンクになること、ただし、アドレス保有者が、プラットフォームとリンクを生成した後は、(2)と(3)で、きわめてセキュアに電磁的措置がなされること、が強調されるべきモデルであることがわかるかと思います。(4)は、真正性とインテグリティの確認という電子署名の二つの機能のうち、後者にのみ関与することというのも一つのポイントになります。

その意味で、この「利用者の指示に基づきサービス提供事業者自身の署名鍵により暗号化等を行う電子契約サービスに関するQ&A」というタイトル自体が、私の考えている方向と周波数が違っていたりします。

ただし、そうはいっても、総務省・法務省・経済産業省は、内閣府の「第10回 成長戦略ワーキング・グループ 議事次第」における資料1-2「論点に対する回答(法務省、総務省、経済産業省提出資料)(PDF形式:185KB) 」において、そのような用語を用いていますので、タイトルとしても、この文脈から離れられないということだったのかと思います。この流れを分析しているエントリとして、「リモート署名は電子署名である&クラウド型電子契約にお墨付き」があります。

このような用語にひきづられて、立会人型について、当事者の「電子署名」がないとして

電子契約事業者が利用者の指示を受けて電子署名を行うサービス」は,電子契約事業者が自ら電子署名を行うサービスであって,当該サービスによる電子署名は,電子契約事業者の電子署名であると整理される。

といってしまった(5月22日 第11回 成長戦略ワーキング・グループ 議事次第 エントリは、「取締役会の議事録承認 クラウドで電子署名 法務省、手続き簡素に」)わけです。

けど、落合先生などから、

三文判の認印でもいいのですよね。認印であれば、なぜ会社法施行規則でこんなに厳しく電子署名について縛っているのかというのも分からないということになります。

と批判されて、ぐだぐだになったわけです。この議事録は、「2条電子署名は認印、3条電子署名は、実印-第11回 成長戦略ワーキング・グループ議事概要を読む」のエントリでどうぞ。

でもって、

法務省は、電磁的記録をもって作成された取締役会の議事録への出席取締役等による「署名又は記名押印に代わる措置」(会社法第 369 条第4項、会社法施行規則(平成 18 年法務省令第 12 号)第 225 条第1項第6号、第2項)について、電子契約事業者が利用者の指示を受けて電子署名を行うサービス等も含まれるものとし、その解釈について周知徹底を図る。

こととなり(この文言は、規制改革推進に関する答申 )、上の資料1-2を事実上、撤回し、立会人型でも、会社法所定の電子署名に該当するという周知をしたわけです。周知については、上の「取締役会の議事録承認 クラウドで電子署名 法務省、手続き簡素に」で、ふれています。

ただし、法務省は、無謬なので、上の資料1-2が誤った解釈をしていたということはできません。そこで、「電子契約事業者が利用者の指示を受けて電子署名を行うサービス等」の中には、総合的に評価したときに、

当該サービスの利用者の意思に基づきサービス提供事業者の判断を交えず機械的に行われることが技術的・機能的に担保されたものがあり得るところであり、このようなサービスに関して、電子署名法第2条第1項第1号の「当該措置を行った者」の解釈において、当該サービスの対象となる電子文書に付された情報の全体を1つの措置として捉え直してみれば

当事者が措置を行ったと評価する、ということができるとします。「総合的評価」によって、当事者の道具となるという「道具理論」で、荒技にでたわけです。

個人的には、2条電子署名の定義を比較法的な見地から究めることなしにグダグタで、総合的評価/道具理論に逃げている、と考えますが、無謬神話のためにはしょうがなかったのだろうと善解してあげたりします。

こような文脈で、Q&Aを読むことになります。(タイトルだけで論文を書いてしまった)。

問1

問1は、

電子署名及び認証業務に関する法律(平成12年法律第102号、以下「電子署名法」という。)における「電子署名」とはどのようなものか。

でもって、回答においては、条文がそのまま引かれています。

学問的には、例えば、この電子署名が米国ESIGN法のような広義のアプローチなのか、UNCITRALの「信頼性ある署名」、eIDASのアドバンスト電子署名のような限定された措置を意味するのか、というのをはっきりすべきものであろうと考えます。

UNCITRALの「信頼性ある署名」の要件は、

(a)署名作成データは、利用されるコンテキスト内で、署名者にリンクされており、他の人物にはリンクされていないこと、
(b)署名作成時のデータは、署名時において、署名者の管理下にあり、他人の管理下にないこと、
(c)署名後において、電子署名に対する変更が検出可能であること、
かつ
(d)署名を法的に必要とすることの目的が、署名に関連する情報のインテグリティに関する保証を提供することである場合、署名後にその情報に加えられた変更が検出可能であること。

の要件が必要になります。

(1)当該情報が当該措置を行った者の作成に係るものであることを示すためのものであること(同項第1号)

ということが、

(a)署名作成データは、利用されるコンテキスト内で、署名者にリンクされており、他の人物にはリンクされていないこと、

と同じであるのか(この場合、わが国は、2条において「信頼性ある署名(UNCITRAL)」のみを電子署名と定義した)、それとも、意図をもって電磁的操作をすれば足りるとするのか(ESIGN法とかのアプローチ)が、明確にしてほしかったところです。

ただし、これは、単なる定義の問題なので、他の実定法でどっちを念頭に作業がなされているのかをみないといけません。このアプローチについては、「制定法における電子署名の概念」で触れているわけです。

議論としては、あまり実益はないですね。

問2

問2をみてみます。

サービス提供事業者が利用者の指示を受けてサービス提供事業者自身の署名鍵による電子署名を行う電子契約サービスは、電子署名法上、どのように位置付けられるのか。

という問に対して

サービス提供事業者が「当該措置を行った者」(電子署名法第2条第1項第1号)と評価されるのか、あるいは、サービスの内容次第では利用者が当該措置を行ったと評価することができるのか、電子署名法上の位置付けが問題となる。

という分析をしています。このあたりから、周波数が、私の見方とずれてきています。提供事業者が、措置を行うのは、そのとおりなのですが、それとともに利用者自らが、措置をなす、ということも両立しうるわけです。上の私の分析の

(3)当事者がドキュメントにタイプ、マウスでのサインをしたりすること

を素直に評価すべきでしょう、ということになります。この点について電子署名Q&Aは、(3)にフォーカスしないで、

物理的に当該措置を自ら行うことが必要となるわけではなく、

といいます。この部分に、「当該措置」とは、デジタル署名をいうのだ、という呪縛が隠れています。そこで、総合評価に流れるわけです。

例えば、物理的にはAが当該措置を行った場合であっても、Bの意思のみに基づき、Aの意思が介在することなく当該措置が行われたものと認められる場合であれば、「当該措置を行った者」はBであると評価することができるものと考えられる。

利用者Bの意思に基づいていて、Aの意思が介在しないので、Aの措置は、Bの措置であると同視しうる というのです(この部分は、私の解釈)。

法律家は、困ったときに、総合評価をするのですが、そこで、どのような情報が失われるか、ということを忘れてはいけないと思います。

上のプロセスで見たときに、真正性の確認の部分

(1)当事者が、電子メールアドレスベースでプラットフォームにアクセスすること

という作業で、表示上の当事者とリンクされていることになります。電子メールアドレスが、それのみで、リンクとしては、もっとも弱いものであることは、実際に利用してみれば、わかることです。

Aの措置は、Aの真正/インテグリティの措置としての評価がなされるにすぎず、Bの措置と評価されるといっても、その措置が、Bの真正/インテグリティ評価がなされるわけではありません。(ただし、インテグリティについては、Aのデジタル署名の効果によって同様でしょう-改ざん検証効果は同レベルでしょう)

その意味で、この「Bであると評価」という意味が、限定された意味しかないということを誤解してはなりません。

Q&Aは、

電子文書の送信を行った利用者やその日時等の情報を付随情報として確認することができるものになっているなど、当該電子文書に付された当該情報を含めての全体を1つの措置と捉え直すことよって、電子文書について行われた当該措置が利用者の意思に基づいていることが明らかになる場合には,これらを全体として1つの措置

として、2条電子署名となると解釈を示しています。

しかしながら、2条電子署名について上のような解釈手法は、UNCITRALの要件を見たあとでは、曖昧な解釈手法であると考えられるものと思われます。

すくなくても、「署名作成データは、利用されるコンテキスト内で、署名者にリンクされており、他の人物にはリンクされていないこと」というのが、デジタル署名レベルでのリンクなのか、一応の合理性レベルのリンクなのか、認定の証拠になりうるレベルなのか、という解釈論の定立をしないで、該当性を論じています。

私のブログでは、90年代に非常に熱心に、デジタル署名法、電子署名法の調査がなされたことにリスペクトを払ってきました。しかしなから、そのような先達の努力の上に、このQ&Aがなされなかったことは極めて残念です。

立法時の努力については、「電子署名法の数奇な運命」で触れています。

あと、このような総合的考察による「道具理論」を用いた場合には、どのような場合が、「電子文書の送信を行った利用者やその日時等の情報を付随情報として確認することができるものになっているなど、当該電子文書に付された当該情報を含めての全体を1つの措置と捉え直す」ことができるのか、という解釈なり、裁量の範囲が広がるわけです。

問題となるのは、本来であれば、利用者との通信のセキュリティ確保、そして、それらのセキュリティ確保の基準と監査のはずです。電子契約サービスプラットフォームが提供しているのは、上の理念型では、本人の実在性確認、本人の真正性の保証は、提供しません。

ハンコであれば、そのハンコをもっていることから、二段の推定がなされることになりますが、電子メールアドレスでは、そこに、ある人の(常用する)電子メールアドレスからアクセスがされていたとしても、電子メールアドレスの性質から、その「ある人」がプラットフォームでの契約操作に携わったことを、それだけでは推測は、できません。

道具理論は、このようなリスク分析を怠らせる可能性があるような気がします。

問3

問3は、

どのような電子契約サービスを選択することが適当か。

という質問があげれらています。

これに対する回答は、

当該サービスを利用して締結する契約等の性質や、利用者間で必要とする本人確認レベルに応じて、適切なサービスを選択することが適当と考えられる。

としています。これは、本人確認レベルが、利用の文脈によって必要とされるものが変わってくるということを意味します。

ここで、利用の文脈といっているのですが、電子署名については、意思表示の真正の確認機能とインテグリティ検証機能があることに注意しましょう。そして、前者は、文脈によっていろいろであるということになります。

ここで、「押印Q&A」でふれていたことがよみがえってきます。押印Q&Aの問6は、

「文書の成立の真正を証明する手段を確保するために、 どのようなものが考えられるか。」

というものでした。そこでは、

一般人が、印鑑が、とか、業界人が、電子署名(それもデジタル署名)が、といいたいところを、継続的な関係ですか、新規取引関係ですか、というのをまず最初の要素としてあげています。

これは、本当にそのとおりです。まあ、新規取引関係の場合は、日本の場合は、まずは、人間関係の構築からということになるでしょうから、その際に構築された関係も大事です。国際的な場合は、メールと、ホームページで確認するとか、あとは、話がきちんと通っているのかということでしょうか。

ということになります。そして、当該サービスを利用して締結する契約等の性質によって、どのようなリスクが生じうるのか、また、その当事者の間の関係は継続してなされているのか、リアルワールドでも関係が構築されているのか、まさ、このような当事者の関係の文脈がわからないと、どのレベルので電子契約プラットフォームを利用するのが妥当なのか、ということがわからないですよ、ということです。

これらの文脈で利用されるサービスにおいて、サービス自体の性質として、電子署名Q&Aは、問3の回答で

電子契約サービスにおける利用者の本人確認の方法やなりす
まし等の防御レベルなどは様々であること

から、といっています。文脈が多様であって、サービスも多様である以上、このようなサービスが妥当ですといえないのは、当然のことです。

押印Q&Aでもふれましたが、結局、それは、具体的な場合におけるリスク評価でしかないのです。それを法律が明確ではないとか、いって、自らのリスク管理を他人のせいにしてしまう態度をよくみます。

それは、自分がリスクをとることができないので、他人任せにしたいという手抜きの態度を、意味もなく正当化しているにすぎない、ということになります。