身分証明と本人確認と身元確認と身元識別と本人認証の違い

NIST SP800-63および63Aの「Identity proofing」に対応する語として、IPAでは「身元識別*1」、JIPDECでは「本人確認*2」の語をあてている*3。

じゃあ「身分証明」「本人確認」「身元確認」「身元識別」「本人認証」ってどれも同じ意味なの？というと、どうも使われる・使われない場所に特徴があるようなので、ざっと調べてみた。

金融機関等本人確認法（本人確認法）は犯収法に置き換えられた。犯収法における資金情報機関であるJAFICの年次報告書*4では「本人確認」の語を使い、「身分証明」「身元確認」の語は使われていない。
クレジットカードの不正利用を防ぐサービス（3Dセキュアなど）は「本人認証サービス」と呼ばれている。Visa*5、Mastercard*6、JCB *7、American Express*8、Diners Club*9のいずれも「本人認証」の語を用いている。
住民基本台帳法*10では「本人確認情報」の語を用いている。
官公庁の文書においては、Identity proofingを「身分証明」*11、Identity proofingのエビデンスとなる資料を「身分証明書」と呼んでいるようだ*12 *13 *14 *15 *16。
一方、地方自治体における「身分証明書」は本人確認書類のことではなく、本当は「禁治産又は準禁治産の宣告通知を受けていないこと、後見登記の通知を受けていないこと、破産宣告又は破産手続開始決定の通知を受けていないことを証明」をする書類のことを指す*17 *18。杉並区で「身分証明書」の申請に必要な「本人確認資料」として免許証等を挙げている*19。
内閣府・国税庁の資料では、マイナンバー取得の際の「本人確認」を「番号確認」と「身元確認」に分け、「身元確認」を「実在確認」(confirm the existence)の意味で使っている*20 *21。
経産省の資料「オンラインサービスにおける身元確認手法の整理に関する検討報告書（概要版）*22」では、オンラインサービス利用時の「本人確認」を「身元確認」と「当人認証」に分け、「身元確認」を「登録する氏名・住所・生年月日等が正しいことを証明/確認すること」、「当人認証」を「認証の3要素のいずれかの照合で、その人が作業していることを示すこと」という意味で使っている。
一方で、「オンラインサービスにおける身元確認手法の整理に関する検討報告書（概要版）」で参考資料となっている政府CIO「行政手続におけるオンラインによる本人確認の手法に関するガイドライン *23」では本人確認を「手続を行う人が実在する本人であるかを確認すること」、身元確認を「手続の利用者の氏名等を確認するプロセス」、としている。
政府機関の情報セキュリティ対策のための統一技術基準では「主体認証」の語を使っている*24。経済産業省情報セキュリティ対策基準によれば「情報システムが主体から提示された識別コード及び主体認証情報を検証することにより、当該主体が当該識別コードを付与された者か否かを確認すること」とのことだが*25、同じく経産省の別資料で「当人認証」としているものと同じように読める。
主体認証とは別に「個体認証」という語を使っている資料もある。個々の人やモノの識別（identification）を指して個体識別と言っている資料もあるが*26、USB認証キーなど"What you have"による認証を指して個体認証と言っている資料*27 *28や、接続元端末のクライアント認証を指して個体認証と言っている資料*29 *30 *31が見つかった。IEEE802.1Xのことを個体認証と言っている資料もあるが*32、これはよく分からない。
身元確認とは別に、住所を確認する必要のある業務においては、厚労省の教育訓練給付制度では「住居所確認書類」が定められている。他にも税法上には「住所確認書類」が定められており、パスポートが住所確認書類にあたらないという記載が証券会社・信用金庫などで見つかる*33 *34。ただ、e-Govで「住所確認」と検索しても法令は引っかからなかった。