放送通信委員会は、オンライン上の本人確認に使われる連携情報「CI」に1年の有効期間を設ける案を検討している。年内に制度改善案を取りまとめ、来年にも情報通信網法の改正を進める方針だ。

26日、国会の科学技術情報放送通信委員会による国政監査の書面質疑に対する回答書で明らかにした。共に民主党のハン・ジュノ議員の質問に対し、同委は「セキュリティとサービス継続性の均衡を確保できる有効期間として、1年案を検討している」と説明した。

ハン議員は、同委が運営するCI制度改善の研究班で、有効期間導入の可否に加え、適切な更新周期や情報漏えい時の再発行手順をどこまで検討しているのかをただしていた。

CIは、オンラインで同一利用者を識別し、複数サービスにまたがる利用者情報を連携するために使われる情報だ。いったん生成されると実質的に変更が難しく、漏えいした場合は、サービスごとに分散した個人情報のひも付けや、名義を盗用した不正融資の申請、スミッシングなどの二次被害に悪用される恐れがある。

これに先立つ12日の国政監査では、CI漏えい被害と現行制度の限界が相次いで指摘された。祖国革新党のキム・ソンミン議員は、2025年にLotte Cardで129万人分、2026年にTvingで1324万件のCIが漏えいしたとし、利用者に更新請求権を認めることや、代替認証手段の整備を求めた。

国民の力のチェ・ヒョンドゥ議員も、CIの有効期間導入に加え、すでに漏えいした情報を更新できる制度的な仕組みが必要だと主張した。

同じく国民の力のソ・チョノ議員は、CI漏えい事故が発生した金融機関に対する管理・監督のあり方を問題視した。Woori BankとShinhan Bankが、同委からCIの生成・処理に関する適合承認を受けた後にも漏えい事故が起きたと指摘した。

これに対し、キム・ジョンチョル委員長は当時、「1〜3年周期の有効期間設定と関連法制の見直しを検討している」と答弁していた。

同委は現在、CI漏えいによる被害を抑えつつ、利用者の不便や事業者のシステム移行負担を最小限に抑える方向で、更新周期と再発行手順を検討している。

認証業界からは、6カ月ごとの更新は実務負担が大きい一方、1年6カ月〜3年ではセキュリティ強化の効果が限定的だとの意見が出ているという。個人通関固有符号で、1年単位の更新制度が導入されている点も検討材料になったとみられる。

同委は、定期的な有効期間の更新に加え、情報漏えい事故が発生した際に既存のCIを新たな値に置き換える案も検討している。すでに漏えいしたCIを含む全CIを対象にテストベッドを構築し、有効期間の適用や再発行手順の技術的な実装可能性を検証する計画だ。

あわせて、CIを利用する事業者側で必要となるサービス改修やデータベース構造の変更に伴う費用、機関ごとの役割分担案も検討対象に含める。

同委は今後、本人確認機関やCI利用事業者などから追加で意見を集め、年内に制度改善案を確定する方針だ。告示改正だけでは制度導入に限界があるとして、来年にも情報通信網法の改正を推進する考えを示した。