スリランカの全国デジタルID導入が示す「標準化」と「越境データ」の新たな攻防線

今日の深掘りポイント

• 2026年3月までにスリランカが全国デジタルID（SL-UDI）を導入予定。実装資金はインド政府の助成金により下支えされ、地域標準をめぐる地政学の色合いが濃いです。
• 国民IDがAPI化されると、行政・金融・通信のKYC/本人確認が一挙に高度化する半面、中央集権的なID基盤の単一障害点化、誤用・過剰照会、越境データ流通の統制といった「新リスク」が顕在化します。
• 現時点の信頼性・実現可能性は高く、実行の時間軸も短いレンジです。日本のCISO/SOCは、eKYC連携・同意管理・APIセキュリティ・データガバナンス・サプライヤ審査を今からロードマップ化すべき局面です。

はじめに

スリランカのアヌラ・クマラ・ディッサナイケ大統領が、2026年3月までに初のデジタルIDを導入する方針を明言しました。SL-UDI（Sri Lanka Unique Digital Identity）プロジェクトは、公共サービスへのアクセスを刷新することを目的に掲げ、個人情報の安全性を強調しています。実装資金は約104億スリランカルピーのインド政府助成によると報じられており、地域のデジタル経済インフラをめぐる「標準化」と「供給者選定」の地政学的文脈も避けて通れません。

本件は、発表の確度・実現可能性が高く、短期スパンでの影響が想定されるため、国内事業者も対岸の火事ではありません。KYC・同意管理・API接続・プライバシーバイデザイン・サプライチェーンリスクの再点検という「現場の準備」が、今から問われます。

出典（一次報道）：Biometric Updateの報道

深掘り詳細

事実（一次報道で確認できる点）

• スリランカは2026年3月までに初の全国デジタルIDを導入予定と大統領が表明。
• プロジェクト目的は、公共サービスへのアクセス改善と個人情報の安全性確保。
• SL-UDIはインド政府の助成（約104億スリランカルピー）により実施されると報じられています。
• デジタル経済の発展促進への期待が示されています。
  出典：Biometric Update

編集部のインサイト（仮説を含む）

• 標準化の争点化：インドのAadhaar系エコシステム、EUのeIDAS/eIDウォレットなど、地域・国際標準の分断が進む中、SL-UDIがどの技術・運用フレームを採用するかは、官民の相互運用性（API様式、認証・署名方式、同意UI、監査証跡）に直結します。国内企業は複数標準のブリッジ運用を前提に、抽象化レイヤ（ゲートウェイ/ブローカー）を準備すべきフェーズです。
• 「中央集権 vs. 選択的開示」のバランス：中央レジストリ型は可用性とコントロールが効く一方、単一障害点化・過剰照会の懸念が増します。逆に属性証明・選択的開示（生年月日のみ、居住証明のみ等）に軸足を置けば、プライバシーと最小権限が担保されやすいです。どちらに振れるかで、企業のデータ保持方針・監査ログ要件が大きく変わります。
• 越境データ・支配権の問題：助成国（インド）に紐づく供給者が関与する場合、運用・保守・監視の境界で「どこにデータが流れるか」「鍵の支配権は誰か」という問いが強まります。現地法や契約でデータ所在・鍵管理・副次利用を厳密に規定し、日系企業側はRelying Partyとしても相手先の監査証跡・鍵管理方式（HSM/キーマテリアルの所在）を確認する必要があります。
• 実務インプリケーション：eKYCの高速化は事業側にとって朗報ですが、API呼び出しの濫用、レート制御の欠如、同意のスコープ・有効期限の曖昧さがリスクになります。企業はID基盤を「個人情報の新たな出入口」と認識し、APIセキュリティ、同意ライフサイクル、監査証跡の強化を前倒しで進めるべきです。

脅威シナリオと影響

以下は編集部の仮説に基づく想定シナリオです（MITRE ATT&CK参照）。国民IDは国家レベルのクリティカルインフラに準じるため、攻撃者像はサイバー犯罪集団から国家支援型まで幅広い前提に立ちます。

• シナリオ1：中央IDレジストリの侵害と大規模個人データ流出

  • ベクトル例：有効アカウントの悪用、権限昇格、バックアップ領域やデータレイクからの静穏な抽出、C2経由の漸進的持ち出し。
  • ATT&CK例：Valid Accounts、Privilege Escalation、Data from Information Repositories、Exfiltration Over Web Services。
  • 影響：長期のなりすまし・口座乗っ取り、合成ID詐欺の横行、国家信頼の毀損。Relying Party側のKYCリスクも連鎖します。

• シナリオ2：eKYC APIの悪用（認可サーバ/リライングパーティ間の中間者・トークン窃取）

  • ベクトル例：公開APIの脆弱性突き、mTLS未実装・不適切なスコープ検証、セッション固定化、JWS/JWT検証の不備。
  • ATT&CK例：Exploitation of Public-Facing Application、Adversary-in-the-Middle、Modify Authentication Process、Use of Web Session Cookie。
  • 影響：不正な属性照会、同意なきデータ取得、企業側のアカウント乗っ取り加速。監査と不可否認性が崩れると規制対応コストが跳ね上がります。

• シナリオ3：生体情報のテンプレート窃取とリプレイ/合成攻撃

  • ベクトル例：センサ周りの抗スプーフィング不備、テンプレート保管の暗号化・鍵分離の弱さ、SDKサプライチェーンの改ざん。
  • ATT&CK例：Credential Access、Input Capture、Supply Chain Compromise、Defense Evasion。
  • 影響：一度漏れた生体は取り消せないため、長期の詐欺エコシステムを温存。生体→トークン化→選択的開示の再設計が必要になります。

• シナリオ4：ID連携を狙うサプライチェーン侵害（ライブラリ/署名鍵/運用ベンダ）

  • ベクトル例：署名鍵の掘り起こし、更新配布チャネルの乗っ取り、監視基盤の隠蔽工作。
  • ATT&CK例：Supply Chain Compromise、Trusted Relationship、Subvert Trust Controls、Exfiltration Over Encrypted Channel。
  • 影響：正規署名付きの悪性コンポーネント流通、検証側が偽陽性/偽陰性に陥り、全国的な検証停止・リカバリが発生し得ます。

• シナリオ5：越境データ移転・可観測性の欠落による法的・レピュテーショナル損害

  • ベクトル例：運用委託国/クラウド間のログ不整合、データ所在地・二次利用の契約不備、鍵管理の境界曖昧化。
  • ATT&CK観点：Impact（Data Manipulation）、Command and Control（多地域C2/ログ分断）に紐づくガバナンス崩壊リスク。
  • 影響：規制当局・監査からの是正命令、サービス停止、事業継続に影響。国際提携の継続可能性に影を落とします。

参考（ATT&CK全体像）：MITRE ATT&CK

セキュリティ担当者のアクション

実装の確度が高く、時間軸も短いことを踏まえ、以下を優先度高で設計に織り込むべきです。

• ポリシーとガバナンス

  • 同意管理（スコープ・期限・再同意）の標準運用を確立し、ID基盤から得る属性の「最小化」と「保持期間」を明文化します。
  • 越境データの可視化（データフロー図、所在、処理者、鍵の掌握者）を整備し、契約にデータ所在・二次利用禁止・鍵管理（HSM/鍵分割）条項を必ず入れます。
  • 監査対応のため、不可否認を担保する署名・タイムスタンプ・検証ログの保全ポリシーを策定します。

• アーキテクチャと実装

  • 認証・認可はOIDC/OAuthを実装し、FAPI相当のハードニング（mTLS、PKCE、JARM/JWT適正検証、厳格スコープ、リダイレクトURI固定）を前提化します。
  • APIセキュリティ（レート制御、トラフィック署名、APIファイアウォール、スキーマ検証、継続的ペンテスト）を強化し、eKYC呼び出しはゼロトラスト境界内でのみ許可します。
  • 鍵管理はHSM/クラウドHSMで一元化し、鍵分割・キーローテーション・鍵の所在（管轄）を可視化します。署名鍵のフォレンジック手順を事前に確立します。
  • 生体情報は原本を扱わず、テンプレート/トークン化/選択的開示に限定。抗スプーフィング（liveness）検証の第三者評価を必須化します。

• 運用・検知・レジリエンス

  • ID連携用の専用ユースケース検知（過剰照会、スコープ逸脱、応答フォーマット異常、応答署名不正）をSIEM/UEBAでルール化します。
  • 侵害前提のレッドチーム演習を「IDレジストリ侵害」「eKYC API悪用」「署名鍵漏えい」「ログ分断」などのシナリオで計画。BCPとして「検証停止時のフェイルセーフ運用（紙台帳/暫定属性確認）」も準備します。
  • サプライヤ（IDブローカー、SDK、BPO）に対するSBOM/ペンテストレポート/鍵保護体制/インシデント通知SLAを調達条件に組み込みます。

• 事業サイドの準備

  • KYCのUI/UXに同意の粒度・再同意・撤回を組み込む。顧客に「何を、いつ、誰に、どれだけ共有するか」を可視化します。
  • 属性ベースのアクセス制御（ABAC）を前提に、「生年月日」や「居住属性」など最小属性での与信・本人確認フローを再設計します。
  • 現地法・業監ガイドラインの想定変化（データローカライゼーション、用途制限、罰則強化）を監視し、社内規程の改定頻度を上げます。

• ロードマップ思考（目安）

  • 0～3カ月：データフロー棚卸し、API基盤のFAPI相当化、契約条項のドラフト、ログ・鍵管理の現状評価。
  • 3～9カ月：eKYCサンドボックス連携、レート制御・検知ルール実装、サプライヤ監査、レッドチーム演習。
  • 9～18カ月：選択的開示の本番運用、属性最小化のKPI化、フェイルセーフ運用・年次監査の定常化。

参考情報

• スリランカのデジタルID導入計画（一次報道）: Biometric Update: Sri Lanka digital ID launch by March 2026 – President
• ATT&CK参照（脅威シナリオの枠組み）: MITRE ATT&CK