スマートフォンを操作するイメージ。マイナンバーカードの公的個人認証サービス（JPKI）は民間での利用が広がっている
今回のニュースのポイント
政府はマイナンバーカードの公的個人認証サービス（JPKI）の民間利用を進めており、2026年7月末時点で利用する民間事業者は1355社に広がっています。さらに犯収法などに基づく非対面本人確認は原則JPKIへ一本化する方針です。一方、利用先が急速に広がることで、個人情報やセキュリティに不安を感じる人もいるでしょう。制度を確認すると、JPKIには電子証明書や失効確認の仕組みがあり、認定事業者にはシステムや組織、運用面でセキュリティ基準が設けられています。ただ、1355社すべてが直接大臣認定を受けているわけではなく、認定PF事業者を利用する企業も多数あります。JPKIそのものだけでなく、サービスを利用する民間企業を含めた運用・管理が今後さらに重要になります。
■ なぜ今、セキュリティを確認するのか
マイナンバーカードを活用した「公的個人認証サービス（JPKI）」の民間利用が拡大しています。デジタル庁の資料によると、JPKIを利用する民間事業者は2026年7月末時点で1355社に達しました。金融機関の口座開設やクレジットカードの発行、携帯電話の契約、さらにはマッチングアプリの本人確認まで、幅広い分野で導入が進んでいます。
こうした拡大の背景には政府の方針があります。政府は犯罪収益移転防止法（犯収法）などに基づくオンライン上の非対面本人確認について、運転免許証などの画像を送信する方式を順次廃止し、2027年4月に向けて原則JPKIへ一本化する方針を示しています。今後、日常生活のあらゆる場面でJPKIによる本人確認の機会が増えることから、その安全性の仕組みを確認することが重要になっています。
■ 12桁のマイナンバーが企業に渡るわけではない
JPKIのセキュリティを理解するうえで、まず確認しておきたいのは、個人番号（12桁のマイナンバー）そのものの扱いです。
JPKIによる本人確認は、12桁のマイナンバーそのものを使って本人を認証する仕組みではありません。ICチップ内に格納された「電子証明書」を利用して、オンライン上で安全に本人確認や電子署名を行います。暗証番号による保護に加え、ICチップには不正な情報の読み出しを防ぐための耐タンパー性が備えられており、電子証明書を利用した本人確認が行われます。
従来の本人確認書類の画像などを使う方式に対し、JPKIではICチップと電子証明書を利用して本人確認を行います。公開鍵基盤（PKI）の仕組みによって、なりすましの防止やデータの改ざん検知が可能です。政府も、オンラインで安全・確実な本人確認を行うための公的サービスと位置づけています。
■ 主務大臣の認定基準と「PF事業者」の役割
民間企業がJPKIに接続してサービスを提供するためには、定められたセキュリティ基準を満たす必要があります。
JPKIで電子証明書の有効性（失効情報）を確認する事業者に対しては、主務大臣（内閣総理大臣および総務大臣）による認定制度が設けられています。認定にあたっては、不正アクセスを防ぐファイアウォールの設置などのシステム要件だけでなく、業務手順書や情報管理規程の整備、外部委託先の管理、アクセス権限の制限、入退室管理、さらには事故発生時の迅速な報告ルートの確保まで、多層的な基準が総合的に審査されます。
ただし、「1355社」のすべてが国から直接大臣認定を受けているわけではありません。1355社のうち大臣認定事業者は28社で、残る1327社は認定事業者またはデジタル認証アプリサービスを利用する事業者です。JPKIには、認定を受けたプラットフォーム（PF）事業者に電子証明書の受付や有効性確認を委託し、サービスプロバイダ（SP）事業者として利用する仕組みもあります。
国の認定を受けたPF事業者へ検証業務を委託することで、自社でシステムを直接保持したり大臣認定を受けたりすることなく、JPKIを導入できます。1355社すべてがJ-LISへ直接接続しているわけではなく、PF事業者を介して利用する仕組みも設けられています。
■ 住所変更の取得も「本人同意」が前提
引越しなどで住所が変わった際、銀行や保険会社などに最新の基本4情報（氏名・住所・生年月日・性別）を提供する「最新4情報提供サービス」も利用が進む機能の一つです。
これについても「企業が自由に住民情報を照会できる」わけではありません。あらかじめ利用者がマイナポータルなどを通じて明示的に行った同意に基づいてのみ、機構から最新情報が提供されます。一度行った同意も、利用者の意思で取り消すことが可能であり、任意性と透明性が確保されています。
■ 民間サービス側を含めた運用管理が今後の焦点に
制度を確認すると、JPKIには電子証明書や失効確認の仕組みがあり、認定事業者についてもシステム、組織体制、運用規程などの基準が設けられていることが分かります。
一方、利用企業が増えれば、JPKIの認証基盤そのものだけでなく、PF・SP事業者における取得情報の管理や委託先管理など、民間サービス側を含めた運用も重要になります。ガイドラインでも運用規程の整備や監査、漏えい防止措置が求められている通り、インフラを支える企業側がルールに沿った管理・運用を徹底し続けられるかが、今後の普及に向けた焦点となります。（編集担当：エコノミックニュース編集部／Editorial Desk: Economic News Japan）
