なぜ電子署名するときにパスワードを入れるだけでよいのか？

注）本稿はPart 11[1]の条文についての解説です。厚労省のER/ES指針[2]ではここまで詳細に定めていません。

皆さんのシステムで電子署名はどのようにしていますか？
ユーザIDとパスワードを使っていない？
それなら本稿は読み飛ばしていただいて結構です。
ユーザIDとパスワードを使って電子署名をするときに、どのような情報を入れますか？
ユーザIDとパスワードを毎回入れている？
パスワードしか入れてない？
どちらが正解なのでしょう？
結論から言えば、パスワードだけでも大丈夫です。

Part 11条文

Part 11では、バイオメトリクスによらない電子署名については「2つ以上の要素を用いること」としています。電子署名Part 11.200(a)(1)で

「 IDコードとパスワード等、2つ以上の別個の識別要素を使用する。
(i) 管理されたシステムアクセスが継続している間に連続して署名を行う場合、最初の署名には全ての電子署名要素を使用しなければならないが、それ以降の署名は電子署名要素を1つ以上使用すれば良い。但し、その場合の電子署名要素は、署名者のみが行使でき、また署名者のみが使用できるように設計する。
(ii) 複数の署名を1回の管理されたシステムアクセスが継続した間では行わない場合、それぞれの署名は全ての電子署名要素を使用して行われなければならない。」

経緯と解釈

Preamble #124 において、この条文ができた経緯が記載されています。Part 11草案では毎回ユーザIDとパスワードを要求していました。これに対するコメントでパスワードだけでもいいのでは？という意見が寄せられましたが、FDAとしては「人々が、ユニークとは限らない、しかも往々にして容易に個人を連想し得るパスワードを使用するのではないかと懸念して」いるため、パスワードだけとはしたくない。

そこで、妥協案（？）として、セッションの最初のみユーザIDを入れるという、現在の条文となりました。

その中で、「ある個人が電子署名の全構成要素（通常、IDコードとパスワードの両方）を用いることで、事実上最初の署名となる最初のシステムアクセス、つまりログオンを行う。」と記載されています。そうです。最初のログインを電子署名と見なせば、ログインした後で行う全ての電子署名は2つ目以降の電子署名となりますので、パスワードしか用いなくてもPart 11を満たすことになります。

FDAの期待に応えているか？

Preamble#124では、続けて最初のログオンをユーザIDとパスワードを用いて行った後、「他者が正当な署名者になりすますことを防止する管理が行われている状況で、電子署名の構成要素のうち最低1つを用いて署名する。」としています。FDAの懸念は、「ワークステーションから離席している間に、何者かがそのワークステーションで正当な署名者になりすます可能性」を懸念しており、そのために、署名を行っているときにワークステーションの傍から離れないようにし、入力やアクションが何もない場合自動的にログオフする等の手段を講じることを期待しています。

これを踏まえて、皆さんの電子署名の運用を振り返ってみてください。形の上では条文を満たしているかもしれませんが、本当の意味で、当局の懸念に応えているでしょうか？

もちろん、技術進歩や利用環境も踏まえたうえで適切であると説明できるならば、その根拠を文書に残しておくことをお勧めします。

ログインするときに、ユーザIDとパスワードの両方を入れていますか？
ユーザIDもパスワードも記憶されていてログインするときはログインボタンを押すだけになっていませんか？
離席したときにスクリーンセーバが起動するが、再度利用するとき、ログインは求められない？

―　参考文献　―

[1] United States Code of Federal Regulations Title 21, Part 11 “Electronic Records; Electronic Signatures”, 1997【和訳】(A)

[2] 医薬品等の承認又は許可等に係る申請等における電磁的記録及び電子署名の利用について, 平成17年4月1日, 薬食発第0401022号【英訳】(A)

【注】
(A) : アズビル株式会社様が翻訳したものです。
アズビル株式会社様には、本サイトで掲載することをご承諾いただいております。