アイデンティティに関して、ほとんどの銀行サービスは、インターネットが周囲の世界を変えたにもかかわらず、石器時代に足を踏み入れたままのように見える。口座を開設するだけでも、本人であることを証明するために、複数の異なる身分証明書を持って実店舗の支店に出向く必要があった。口座開設後は、利用者は取引にキャッシュカードとパスワードに頼る。これらの物理的な物に基づく本人確認の仕組みは、紛失、詐欺、人為的ミスに弱い。以前はそれで十分だったが、人々が本人であることを証明する方法や場所は変化しつつある。利用者を安全に守るためには、本人確認の仕組みもまた変わらなければならない。
今日の世界はデジタルである。米国の平均的なインターネット利用者は 月に32時間オンラインで過ごしている。1日あたり、インターネット利用者は 2,000億通のメールを送信し、 Googleでの検索を 30億回行っている。オンラインショッピングは現在、 米国における4兆5,000億ドル規模の小売売上市場の 7.2%を占めている。必須サービスもデジタル化が進んでおり、2014年に政府給付について知った、または申請した米国成人の54%が オンラインでそうした手続きを行い、過半数以上が オンラインで銀行取引を行っている。オンラインのアイデンティティに関しては利害が大きいが、これまでのところデジタル世界は利用者を守ることに十分成功していない。
サービス提供者がオンラインプラットフォームへ移行し始めると、彼らは本人確認モデルを改変し、物理的なカードと暗証番号（PIN）をユーザー名とパスワードに置き換えた。本人確認は完全に情報ベースとなり、本来の利用者だけが知っているはずの事柄に依拠するようになった。これはデジタル世界が拡大するにつれて機能しなくなった。2007年までに、米国の平均的なユーザーは パスワードで保護された25件のアカウントを持つようになっていた。今日では、問題はさらに深刻になっている。
1つのメールアドレスに登録されているアカウントの平均数
出典：Dashlane
現在ユーザーに課せられている要求は、極めて非現実的だ。すべてのアカウントに固有のパスワードが必要で、おそらく10文字以上の大文字・小文字の組み合わせに記号を加えたものでなければならず、頻繁に変更されるべきであり、もちろん決して記録してはならない。紙と鉛筆では安全ではなく、パスワード管理ソフトウェアも主要な ハッキングの標的である。
その結果、正当な利用者は頻繁に「パスワードのリセット」ボタンを押している。組織にとってのコストは大きく、ヘルプデスクへの問い合わせの10%から30%は忘れたパスワードに関するもので、人件費は 1件あたり51ドルから147ドル に及ぶ。ただし、これは最も深刻な問題とは程遠い。
不満を抱いたユーザーは、システムを脆弱にする回避策を取る。覚えやすいパスワードを選ぶため、総当たりの計算力によって解読されやすい。アカウント間でパスワードを使い回しており、2007年の時点で平均的なパスワードは 4つのオンラインアカウントに紐づいていたため、一つのアカウントが侵害されるとドミノ倒しのような事態を招く。セキュリティの質問も、調査やソーシャルエンジニアリングによって解読されうる。2008年に大統領候補サラ・ペイリンのメールに侵入したハッカーは、経歴情報を使って単にセキュリティの質問に答えた。その情報は オンラインで容易に入手可能だった。
個人情報であれ、ユーザー名やパスワードであれ、クレジットカード番号であれ、Statistaの推計によると、2014年にハッカーは、8,500万件を超える アカウントの情報を 米国内で流出させた。驚くべき数字である。
出典：Statista
有名人のTwitterに馬鹿げたツイートを投稿することは深刻に思えないかもしれないが、災害に関するツイートを New York Postのフィードに載せることは、それほど軽いものではない。ハッカーは甚大な被害を与えうる。ハッカーは銀行口座を空にし、虚偽の政府給付を申請し、個人情報や写真を拡散し、 評判を傷つける ことができ、それも世界各地から行われる。国際的なサイバー犯罪への対応の枠組みが欠けていることを考えると、ハッカーが一切の責任を問われないこともありうる。これにより個人は、被害の修復に苦労することになる。
パスワードに基づく認証を再考せよという呼びかけは明確であり、その声が届いている兆しもある。事業者は多要素認証へ移行しており、利用中の 特定のデバイス などの文脈的要素を認証の一部として用いている。生体認証は急速に普及しており、MicrosoftのWindows 10オペレーティングシステムでは、ユーザーが 指紋認証または顔認証でログインできる。一方、カナダのスタートアップNymiが独自に開発した技術は、ユーザーを 心拍に基づいて認証する。米国は長く遅れをとってきたが、 ついに切り替えを進めており 、磁気ストライプ式クレジットカードから、より安全なICチップとPINを用いるEMVカードへと移行している。さらに安全性の高い 生体認証カード の登場も視野に入っている。まだ道のりは長いが、デジタル世界はユーザーをより手厚く守り始めている。
効果的なアイデンティティ・ソリューションには、一つの共通点がある。ユーザーへの負担を軽減することだ。優れた認証は堅牢でありながら容易でもあり、ユーザーが個人情報を管理・保護しやすくする。金融機関、政府、サービス事業者は協力し、ユーザーがデジタルな生活を危険にさらすことなく、オンライン世界の恩恵を享受できるようにしなければならない。
こちらもお読みになりましたか？
新シルクロードはグローバル貿易に何をもたらすのか？
貧困層に金融サービスが必要な5つの理由
執筆者：Christine Robson、金融サービス・プロジェクトマネジャー、世界経済フォーラム。フォーラムの「金融サービスにおける破壊的イノベーション」プロジェクトの一環として、デジタルアイデンティティの取り組みを主導している。Christineはデロイトカナダから当フォーラムに出向しており、同社ではMonitor Deloitteの企業戦略グループに所属している。
画像：ローマで2012年9月20日に撮影された写真イラストで、バーに座りiPadタブレットを手にポーズをとる男性。REUTERS/Tony Gentile
