LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

認証基盤を1つに寄せるという判断は、たいてい社内の話です。米国の連邦政府は、それを政府全体で行う方針を2026年8月に打ち出しました。

行政管理予算局（OMB）は2026年8月31日、覚書M-26-18「公共サービスの統一サインオンを実現するためのLogin.govの利用の拡大」を発出しました*1。根拠として大統領令14338（より良い設計を通じた国家の改善・2025年8月21日）を引いています*1。

設計と運用の立場から確かめたい点は4つあります。どこまでが対象か、他の手段は残せるのか、何を測るのか、いつまでに何をするのか。原文から順に見ていきます。

対象は「公衆向けで、認証を伴う」サイト

まず、適用の範囲を確認します*1。

覚書は問題設定から始まります*1。デジタルの身元確認は、デジタルによるサービス提供の基礎をなす要素であるとし、政府全体の明確な戦略がないなかで、機関はさまざまに異なる解決策を配備し、デジタルの身元確認の管理について一貫しない手法を取ってきた。これが公衆にとっても政府にとっても不要な負担と非効率を生んでいると述べます*1。

対象の切り方は2段構えです*1。別段の定めがある場合を除き、この覚書はすべての機関に適用されるとしたうえで、この覚書は、利用者の認証を通じて公衆がアクセスするサービスについて、公衆向けの機関のウェブサイトにおけるLogin.govその他のデジタルの身元確認の解決策の利用に適用されるとされました*1。

「公衆向け」も定義されています*1。この覚書の目的における「公衆向け」とは、機関のために行動する連邦政府の職員や請負業者ではなく、公衆の構成員によってアクセスされ利用されることが意図されているものをいう*1。職員向けの社内システムは、この覚書の対象ではありません*1。

逆に外れるものも書かれています*1。この覚書は、次の者のみがアクセスするサービスに係る公衆向けウェブサイトには適用されないとして、組織、または組織のために行動する個人（例：企業、州および地方政府）と他の個人のために行動する個人の2つが挙げられました*1。ただし機関は、これらの他のウェブサイトについても、適切な場合にはLogin.govの利用を拡大し、この覚書の要件に適合することが許され、また推奨されるとされています*1。

ただしLogin.govの利用の有無にかかわらず、機関は、この覚書が対象としないものを含め、すべての公共サービスについて適切な統制を適用する責任を負い続けるとも念を押されています*1。

認証は義務、本人確認は原則

第I節が中心の規定です*1。書き分けに注意が要ります*1。

認証については義務です*1。法により求められるとおり、機関は、一般調達局長官が開発した単一サインオンの身元確認基盤であるLogin.govを、前述のとおり対象となるすべての公衆向けウェブサイトについて、サインオンの選択肢として提供しなければならないとされ、根拠は6 U.S.C. § 1523(b)(1)(D)です*1。

除外も同じ条文にあります*1。脚注はLogin.govの法定の義務および付随する証明の要件は、6 U.S.C. § 1523(c)が定めるとおり、戦争省、国家安全保障システム、または情報コミュニティの構成組織には適用されないとしつつ、戦争省についても実行可能な範囲で、利用者の認証を要する公衆向けウェブサイトについてLogin.govを提供することが推奨されると述べています*1。

個人と組織が混在するサービスの扱いも整理されました*1。機関が、自らのために行動する個人と、組織または第三者の代理人との双方にサービスを提供する場合、機関は、自らのために行動する個人についてはLogin.govを提供しなければならないが、組織または第三者の代理人についてLogin.govを提供するかどうかは選択できる*1。

間に合わない場合の手続も定型化されています*1。機関が附属に示す期限までにこの要件を満たせない場合、当該機関は、要件を満たすことを妨げる運用上の要件を特定する通知を、当該期限までにOMBへ提出しなければならないとされ、当該通知には、6 U.S.C. § 1523(b)(2)の要件を満たす機関の長の個人的な証明を含めなければならず、所定の議会の委員会と共有しなければならないとされました*1。

一方、本人確認のほうは原則と例外の形です*1。認証に加えて本人確認を要する公衆向けウェブサイトについて、機関は、Login.govが、当該サービスまたは取引の利用者層、リスクプロファイルまたは運用に固有の要件を満たさないと判断する場合を除き、Login.govの本人確認サービスを利用しなければならない*1。判断の余地が、認証よりも広く取られています*1。

他の手段を残せるのは、2つの場合だけ

第I.C節が、既存の仕組みの扱いを定めます*1。

併用が認められるのは2つの場合です*1。Login.govが完全には満たせない特定の用途に対応するため（例：特定の利用者層または運用上の要件）と、相当数の利用者に追加の負担を課すことを避けるため（例：既存のサインオンの選択肢に依存している利用者）です*1。

具体例も挙げられました*1。若年層や国外に居住する公衆の構成員といった特定の利用者層は、公的な記録が限られていることがあり、本人確認をより難しくしうるため、他の解決策の利用が正当化される場合がある*1。

そのうえで、4つの縛りが付きます*1。

従来の方針も1つ上書きされました*1。脚注はこの方針は、機関が「公衆に対して身元の保証と認証のサービスを提供するために、利用可能な範囲で、連邦が提供するまたは商用で提供される共有のサービスを利用する」ことを求めていたOMB覚書M-19-17の第V.5節に取って代わるとしています*1。共有サービスを使え、という一般論から、Login.govを既定にする、という具体へ動いた形です*1。

ここは、複数のIdPを併存させている環境の整理と同じ議論です。IDaaSの認証基盤の統合で扱う「どれを既定にし、どれをいつ畳むか」という判断が、政策の側から書かれています。

摩擦を、測る対象として扱う

第II節は、この覚書のもっとも実務的な部分かもしれません*1。

前提として実効的なデジタルの身元確認の管理は、資格情報サービス提供者（CSP）と、依拠当事者（サービスを提供する機関）の双方が、顧客体験、任務の実効性、プライバシーおよび脅威への耐性に関する必要と結果を均衡させることを要すると述べます*1。

そのうえで、NISTの指針に沿った要求が置かれました*1。オンラインのサービスへのアクセスの条件として本人確認を求めるかどうかを決定し、適切な保証レベルおよび補完的な統制を選択するにあたり、機関は、それらの決定が利用者へ与える影響を考慮し、当該サービスまたは取引のリスクプロファイルによって正当化されない摩擦を避けなければならない*1。そして機関は、これらの決定の結果を時間をかけて実効的に評価するため、リスクに基づく決定を適切に文書化しなければならないとされます*1。

監視も義務です*1。恒常的に、機関は、CSPからの指標と、機関が収集する追加の直接関連するデータを活用して、デジタルの身元確認のプログラムの実績と結果を監視し、選択した保証レベルおよび補完的な統制の変更の要否を特定し、その判断に役立てなければならない*1。

例示された指標が具体的です*1。通過率、離脱率、完了までの時間といった実績の指標は、利用者の負担や利用者のアクセスの制約を特定するうえでとくに有用でありうるとされ、これらの利用者に着目した指標は、不正とセキュリティの指標、およびプライバシーの検討と並べて、デジタルの身元確認のプログラムの全体的な実績について、均衡の取れた多面的な見方を得るために考慮されるべきであると続きます*1。

セキュリティを上げれば利用者が落ちる、という関係を指標として並べる設計です*1。

確認のやり直しを減らす仕掛け

第III節と第IV節は、統一の効果をどう取りにいくかの話です*1。

第III節は、検証済みの資格情報の受け入れです*1。本人確認のためのLogin.govの利用が増えるにつれ、機関は、以前に検証された資格情報を再利用できることから便益を得る。これにより、個人の身元を複数回にわたり検証する必要が減るとし、ただし、これらの便益は、所与の保証レベルにおける検証について、機関が共通の基準を受け入れることにかかっていると述べます*1。

そこで第I.B節に従い本人確認にLogin.govを利用する機関は、所与のサービスまたは取引について機関が設定した必要な身元保証レベル（IAL）において、Login.govの適合するすべてのサービス提供を受け入れるべきであるとされました*1。Login.govは、機関へ提供される保証の水準を検証するため、その資格情報の手続とサービス提供について独立した評価を維持すべきであるとも述べています*1。

そして、実装の作法が示されます*1。Login.govのサービス提供が実装する統制の上に、補完的な不正対策の統制が必要だと機関が判断する場合、機関は、Login.govの資格情報をそのまま拒否するのではなく、実務上可能な限り、これらの統制を自らのシステムの境界内で実装すべきである*1。入口で弾くのではなく、自分の側で足す、という書き方です*1。

第IV節は、統合された体験です*1。公衆の多くの構成員は複数の公共サービスと関わるが、サービスをまたぐやり取りはしばしば分断され、繰り返しになっているとし、Login.govの普遍的な利用は、これらの便益を大規模に提供する可能性を開き、利用者が機関やサービスをまたいで同じ情報を提供しなければならない回数を大きく減らすと述べます*1。

具体的な行動も書かれました*1。OMB覚書M-23-22（デジタルを第一とする公共の体験の提供）に整合する形で、機関は、適切な場合には、利用者が以前に提供したデータを活用し、重複するやり取りの負担を減らすべきであるとし、利用者が同意し、適用ある法に整合する場合、機関は、Login.govから機関へ渡された利用者提供の情報を用いて、個人のアカウント情報を投入し更新し、認証された体験の中で完了できる関連するフォームその他の作業を事前に入力すべきである*1。

そのうえで釘も刺しています*1。機関は、利用者データを事前に入力するかどうかを評価する際にプライバシーのリスクを考慮すべきであり、とくに利用者が当該データを別の目的で提供していた場合はそうである。適切なプライバシーの保護措置を組み込むことを確保すべきである*1。同意と目的の限定を、機能の便利さより先に置く書き方です*1。

期限は60日から2年まで、5段階で並ぶ

附属に、行動と期限がまとめられています*1。

周辺の機関にも宿題が出ています*1。GSAは90日以内に、そして恒常的に（少なくとも四半期に1回）、Login.govの製品について意見を集めるため、機関の顧客の集団を招集し、180日以内に、OMBと連携してLogin.govの実装の最良の実務に関する手引を公表し、関連する最良の実務を米国ウェブデザインシステムへ組み込むほか、180日以内に、活用しうる先進的な商用技術について情報を求める産業デーを開催し、同じく180日以内に、検証可能なデジタル資格情報（例：退役軍人の資格）の作成と利用など、顧客体験のさらなる改善の機会を評価する報告をOMBへ提供します*1。

1年以内にはNISTと連携し、商用CSPからの資格情報の継承や取引の相対的なリスクに応じて本人確認を段階的に引き上げる能力など、サービス提供を拡大する機会を探るとされました*1。NISTは120日以内にDIRMの資源を公表します*1。

日本の事業者にとって、この覚書は直接の義務ではありません*1。ただし、方向としては参照する値があります。既存のサインオンを一気に切るのではなく、既定を切り替え、実利用者の量を見ながら畳む、という順番が条文になっている点です*1。豪州のデジタルID救済枠組みが本人の救済から入っているのに対し、こちらは入口の統一と指標から入っています*1。

指標の置き方も移植しやすい部分です*1。通過率、離脱率、完了までの時間を、不正とセキュリティの指標と並べて見る*1。認証の強化を提案する場面で、落ちる利用者の割合を同じ表に載せられるかどうかが、判断の質を分けます。EUデジタルIDウォレットのように資格情報を持ち歩く方向の議論とも、受け入れ側の設計という点でつながります。

まとめ：M-26-18で押さえる3つの視点

米国の行政管理予算局（OMB）は2026年8月31日、覚書M-26-18「公共サービスの統一サインオンを実現するためのLogin.govの利用の拡大」を発出しました。押さえたい視点は三つあります。第一に、範囲と義務の強さ。対象は、利用者の認証を通じて公衆がアクセスするサービスに係る公衆向けウェブサイトです。組織やその代理人のみ、あるいは他の個人の代理人のみが使うサービスは対象外ですが、拡大は推奨されます。認証については、6 U.S.C. § 1523(b)(1)(D)により、対象サイトでLogin.govをサインオンの選択肢として提供することが義務づけられます。戦争省、国家安全保障システム、情報コミュニティの構成組織は同条(c)により除外されます。本人確認については、利用者層、リスクプロファイル、運用に固有の要件をLogin.govが満たさないと機関が判断する場合を除き、Login.govの本人確認サービスを利用します。第二に、他の手段の扱い。併用が認められるのは、Login.govが完全には満たせない特定の用途に対応する場合と、相当数の利用者に追加の負担を課すことを避ける場合の2つです。それ以外の手段は段階的に廃止し、実利用者の量の評価を含めて継続を再評価し、新規のアカウント作成ではLogin.govを既定として提示し、併用時は保証レベルの同等性をできる限り高めます。M-19-17第V.5節は、この方針に取って代わられました。第三に、測定と期限。保証レベルの選択ではリスクに見合わない摩擦を避け、判断を文書化し、CSPの指標を用いて恒常的に監視します。通過率、離脱率、完了までの時間が例示され、不正とセキュリティの指標やプライバシーの検討と並べて見ることが求められます。期限は、60日で棚卸しの報告、240日でNIST SP 800-63-4に沿ったDIRMの実施、1年でGSAの実装指針の採用と高影響サービス提供者への配備、18か月で利用者の量と実績指標の報告、2年で対象となる既存の全サイトへの配備です。

よくある質問

出典

1. *1　参考：米国行政管理予算局（OMB）覚書 M-26-18「Scaling Use of Login.gov to Deliver a Universal Sign-on for Public Services」（2026年8月31日）（https://www.whitehouse.gov/wp-content/uploads/2026/08/M-26-18-Scaling-Use-of-Login.gov-to-Deliver-a-Universal-Sign-on-for-Public-Services.pdf）。本文の一次情報として。発出日と発出者、大統領令14338の引用、適用範囲（公衆向けで認証を伴うサービス、「公衆向け」の定義、組織およびその代理人のみ／他の個人の代理人のみが使うサービスの除外と拡大の推奨、対象外でも統制を適用する責任）、第I.A節の認証の義務（6 U.S.C. § 1523(b)(1)(D)）と除外（同条(c)）、個人と組織が混在する場合の扱い、期限に間に合わない場合の通知と機関の長の個人的な証明（同条(b)(2)）および議会委員会への共有、第I.B節の本人確認の原則と例外、第I.C節の併用が認められる2つの場合と4つの縛りおよびM-19-17第V.5節の上書き、第II節（正当化されない摩擦の回避、決定の文書化、恒常的な監視、通過率・離脱率・完了時間の例示）、第III節（IALの設定、適合するサービス提供の受け入れ、補完的統制は自らのシステム境界内で実装）、第IV節（M-23-22との整合、同意に基づく事前入力、プライバシーの保護措置）、ならびに附属の行動と期限（機関の60日・240日・1年・18か月・2年、GSAの90日・180日・1年、NISTの120日）を確認した。確認日は2026年9月9日。（2026年9月確認）

Tweet