オンタリオ州とブリティッシュコロンビア州がデジタル身分証明を模索する中、ある馴染みのある疑問が新たな緊急性を帯びています。財布の中のカードがスマートフォンに移ったらどうなるのか、という問いです。利便性は容易に想像できます。カナダの住民が直面するかもしれないデジタルIDのプライバシーリスクは、それを見つけるのが難しく、普及が日常化する前に、より注意深く検討する価値があります。

この記事はThe White Hatterのレポートに基づいており、プライバシー、サイバーセキュリティ、監視、個人情報窃取、個人の自由に関する疑問を提起しています。元の資料は完全な技術仕様を提示するのではなく、問いを投げかけるものなので、どの州のシステムがどう機能するかについての主張ではなく、何を問い、確認する価値があるかに焦点を当てます。

オンタリオ州とブリティッシュコロンビア州が提案していること

資料によると、両州は住民がスマートフォンでIDを携帯できるデジタル身分証明を模索しています。中心的な問題は、州政府が物理的な身分証明を、デバイスに保存された資格情報で置き換える、あるいは少なくとも併存させることができるという点です。

資料は技術設計、展開時期、資格情報が任意かどうかを詳述していません。これらの欠落は重要です。いくつかのサービスに使う任意の資格情報は、店舗やオンライン、政府の窓口で自分が誰であるかを証明する既定の方法になるものとは異なるリスクプロファイルを持ちます。

デジタルIDがプライバシーとセキュリティのリスクを生む場面

資料はいくつかの懸念カテゴリーを指摘しています。これらが実際にどのように現れるかを以下に示します。

監視。 物理的なカードは提示してしまえばしまいます。デジタル資格情報は、その設計によっては、使用するたびに記録を生成する可能性があります。それらの記録が記録され、リンクされ、保持されると、いつどこで身元を確認したかの全体像が構築される可能性があります。良い設計はこれを制限します。悪い設計はこれを招きます。

個人情報窃取。 資格情報をスマートフォンに移すことは攻撃対象領域を変えます。財布を失くすことは一人に影響します。アプリ、バックエンドシステム、またはスマートフォンのアカウント復旧プロセスの弱点は、一度に多くの人に影響する可能性があります。スマートフォンの盗難、マルウェア、ソーシャルエンジニアリングはすべて、連絡先や写真だけでなく、あなたの身元にも関係してきます。

集中化。 身元データを集中させるシステムは魅力的な標的を生み出します。デジタルIDが中央データベースに依存するか、資格情報を主にデバイスに保持するかは最も重要な設計上の選択肢の一つであり、国民はそれについて明確な答えを期待すべきです。

個人の自由とアクセス。 資料は個人の自由に関するより広い疑問も指摘しています。最近のスマートフォンを持たない人、信頼できるサービスがない人、アプリに不慣れな人は、物理的な選択肢が消えれば取り残される可能性があります。物理的なIDを置き換える計画は、それらの住民がどのようにして自分が誰であるかを証明できるかを説明すべきです。

年齢確認に結びついたデジタルIDからの教訓

デジタルIDはしばしば他の目標と並べて売り込まれ、年齢確認は一般的なものです。その組み合わせは、IDシステムが当初の目的をはるかに超えて何に使われるかを拡大する可能性があります。

最近のケーススタディはインドのカルナータカ州で、草案政策は学生がソーシャルメディアに登録する際にAadhaar身元資格情報を使用することを要求するものです。この提案はカルナータカ州のAadhaarソーシャルメディア計画が監視への懸念を高めるで取り上げました。それは年齢確認措置として位置づけられましたが、政府の身元をオンライン活動に結びつけることへの懸念を引き起こしました。

カナダの状況は同じではなく、資料はオンタリオ州やブリティッシュコロンビア州が同様のことを計画しているとは述べていません。教訓はより限定的です。信頼された政府の資格情報が一旦存在すれば、より多くの場所でより多くの確認にそれを使うよう圧力が高まる可能性があります。住民が早い段階で境界がどこにあるのか、そして政策だけでなく法律がそれを執行するのかを問うのは正しいことです。

これがあなたにとって意味すること

資料の中に、今日行動しなければならないと示唆するものは何もありません。オンタリオ州とブリティッシュコロンビア州のデジタルIDは模索されており、詳細はまだ変わり得ます。しかし準備はできます。

  • 物理的なIDを保持しましょう。 デジタルの選択肢が始まったとしても、その仕組みに納得するまでは追加のものとして扱いましょう。
  • まずスマートフォンを安全にしましょう。 強力なパスコード、最新のソフトウェア、慎重なアカウント復旧設定は、スマートフォンがあなたの身元を保持する場合により重要になります。
  • 何が要求されるかに注意しましょう。 事業者がIDのスキャンを求めたら、完全な記録が必要なのか、年齢証明のような単純なはいかいいえだけが必要なのかを尋ねましょう。
  • 意見聴取に注意を払いましょう。 この種の州プログラムは通常、市民の意見、プライバシーレビュー、立法を伴います。それらは設計上の選択肢が形作られる瞬間です。

デジタルIDを採用する前に尋ねるべき質問

短いチェックリストは、いつ届いても、あらゆる州のデジタルIDを判断するのに役立ちます。

  1. どのようなデータを、どこに保存するのか？ デバイス上か、政府のサーバー上か、それとも両方か？
  2. 使用時に何が共有されるのか？ 確認者は必要なものだけを見るのか、カード上のすべてを見るのか？
  3. 使用は記録されるのか？ 記録される場合、誰がログを見られ、どのくらいの期間保持されるのか？
  4. 本当に任意なのか？ 物理的なIDはどこでも受け入れられ続けるのか？
  5. スマートフォンを失くした、盗まれた、侵害された場合はどうなるのか？ 資格情報はどのくらい迅速に失効・復元できるのか？
  6. 誰がそれを要求できるのか？ 民間企業やオンラインプラットフォームに対する法的制限はあるのか？
  7. 独立したプライバシーレビューは公表されているのか？

要点

カナダが直面するデジタルIDのプライバシーリスクに関する議論は、実に設計と限界についての議論です。適切に構築されたシステムは過剰な共有を減らせます。適切に統治されていないものは、追跡とデータ侵害を容易にします。

  • 登録する前に、州のデジタルIDが何を保存し共有するかを尋ねましょう。
  • 詳細が不確定な間は、物理的なIDをバックアップとして保持しましょう。
  • 提案が進展するにつれて、オンタリオ州とブリティッシュコロンビア州が年齢確認とID規則をどう扱うかを追跡しましょう。
  • IDに紐づくシステムがどのように監視上の懸念を引き起こし得るかの例として、Aadhaar監視の報道でカルナータカ州の事例をお読みください。

利便性とプライバシーは相反するものではありませんが、それは人々が早い段階で適切な質問をする場合に限ります。