2016年7月1日に、電子IDおよび信頼サービスに関する規制として一般的に知られているeIDASが、17年間にわたり適用されてきたeSignature 指令 1999/93/ECに取って代わり、28のEU加盟国で直接適用されるようになりました。
HSMメーカーであるUtimacoにとって、関連する技術要件の定義は最優先の取り組みであるため、eIDAS要件への準拠も達成しています。
eIDAS – 電子IDおよび信頼サービスに関するEU規制
信頼サービスプロバイダーの信頼のルーツとしてのハードウェアセキュリティモジュール
eIDAS規制は、デジタルの世界や欧州におけるデジタル単一市場での信頼感を高めることで、経済成長を促進することを目的としています。透明性や最高水準のセキュリティ基準が、そうした信頼できる環境を構築するための基盤です。HSMメーカーであるUtimacoにとって、関連するセキュリティ要件の定義は最優先の取り組みです。CryptoServer SeシリーズGen2は、EN 419221-5による共通基準認証を通じてeIDASに準拠しています。
Bank-Verlag社のAlexander Eßer氏が考える信頼サービスプロバイダー(TSP)としてのBank-Verlag社の企業像のほか、eIDASによって定められた規制要件が実現する適格な署名、暗号の役割、Utimaco HSMについてご視聴ください。
2016年7月に採択された電子ID(eID)および信頼サービス(eTS)に関するEU規制N°910/2014は、公共サービスへのアクセスおよびEU内の国境を越えた安全なオンライン取引について定めたことで、大きな節目になりました。いわゆるeIDAS規制の焦点は、市民、企業(特に中小企業)、公的機関の間での電子的なやり取りを簡素化することにありました。この規制が取り組む大きな課題は、主に、これまで国レベルで規制されていた信頼サービスを改めようとしている点にあります。EUで以前適用されていたeSignature指令は、電子署名の証明書にのみ焦点を当てていました。このため、コンプライアンス要件や法的状態、信頼サービスの妥当性という点において、統一性に欠けるシステムが構築されてしまいました。
国境を越えた電子信頼サービスは、以下に示すeIDAS第3条(16)で構成されています。
- 「電子署名、eシールまたは電子タイムスタンプ、電子登録配信サービス、およびこれらのサービスに関連する証明書の作成、検証、または
- ウェブサイト認証のための証明書の作成、検証、または
- これらのサービスに関連する電子署名、eシールまたは証明書の保存。」
将来的には、国境を越えたオンライン取引のための透明で十分に安全な環境を確保するために、共通の技術基準、ならびにデータ保護およびプライバシー基準が鍵となります。
トラストサービスプロバイダーのハードウェアセキュリティモジュールの役割
運用およびサービスの安全な実行のために、トラストサービスプロバイダーは、スマートカードまたはハードウェアセキュリティモジュール(HSM)などの認定された電子署名作成デバイスとして使用される暗号化モジュールに依存できます。「適格な電子署名作成デバイスの[EU]要件への適合性は[…]、加盟国が指定する適切な公的機関または民間機関によって認定されるものとします」( eIDAS第30条および第31条を参照)。
現時点では、詳細な技術要件の定義はまだ進行中です(以下の情報ボックスの現在の要件を参照)。共通基準保護プロファイルEN 419221-5「トラストサービスに対する暗号化モジュール」およびEN 419241-2「サーバー署名用QSCDの保護プロファイル」は、EN 419221-5に認定された暗号化モジュールを必要とし、これらの要件を満たす上で大きな役割を果たします。
HSMメーカーとして、Utimacoは
- ワーキンググループCEN TC 224 WG17に参加することで、これらの技術要件を定義する最前線にあり、
- eIDAS要件への準拠を実現しています。
Utimaco CryptoServer Se Gen2シリーズの共通基準認証(EN 419221-5)は、今後予定されている規制の変更、および関連するパートナーおよび顧客の要件を予測しています。
適格な電子署名作成デバイスの要件[eIDAS付属書IIを参照]
1.適格な電子署名作成デバイスは、適切な技術的および手続き的手段により、少なくとも以下を保証するものとします。
a. 電子署名作成に使用される電子署名作成データの機密性が合理的に保証されていること。
b. 電子署名作成に使用される電子署名作成データは、実際には1回しか発生しません。
c.電子署名作成のために使用される電子署名作成データは、合理的な保証が得られず、電子署名は、現在利用可能な技術を使用して偽造から確実に保護されます。
d.電子署名作成に使用される電子署名作成データは、他者による使用から正当な署名者によって確実に保護されることができます。
2.適格な電子署名作成デバイスは、署名されるデータを変更したり、署名前にそのようなデータが署名者に提示されることを妨げたりしてはなりません。
3.署名者に代わって電子署名作成データを生成または管理することは、資格のある信託サービスプロバイダーのみが行うことができます。
4.ポイント1の(d)に影響を及ぼすことなく、署名者に代わって電子署名作成データを管理する資格のある信託サービスプロバイダは、以下の要件を満たす場合に限り、バックアップのために電子署名作成データを複製することができます。
a. 複製されたデータセットのセキュリティは、元のデータセットと同じレベルでなければなりません。
b. 複製されたデータセットの数は、サービスの継続性を保証するために必要な最小限を超えてはなりません。