身元確認
アカウントを作る前に、申し込んだ人が名乗るとおりの本人であることを確かめることです（英語では identity proofing）。認証が「登録された本人がまた来たか」を確かめるのに対し、身元確認は「そもそも、登録してよい本人か」を最初に確かめます。
定義
NIST SP 800-63-4（2025年7月）の用語集は、身元確認を「主体（人など）についての情報を集め（collect）、その正しさと本物であることを確かめ（validate）、本人のものであることを確かめて（verify）、名乗った身元への確からしさを得るための過程」としています。
流れ（一般的な例）
SP 800-63-4 の概要と、SP 800-63A-4 が示す遠隔での身元確認の流れの例から整理します。SP 800-63A-4 は、この流れは一般的な例であって、規範として定めた手順ではないと断っています。
- 申込者が、オンラインのサービスなどで身元確認を始める
- 身元の証拠（運転免許証のような物理的なものや、電子的なもの）と属性を出してもらう
- 申込者を一意に区別し（同じ名前の別人と取り違えない）、証拠が本物で正確かを確かめ（validation）、申込者がその証拠の本当の持ち主であることを確かめる（verification）
- 確認が済めば、アカウントを作り、認証器（パスワードやセキュリティキーなど、本人であることを示すために持つもの）を結び付ける
確からしさの段階（IAL）
SP 800-63-4 は、名乗った身元が本当にその人のものだという確からしさを、IAL（identity assurance level）で表します。
| 段階 |
内容 |
| IAL1 |
名乗った身元が実在することを支え、申込者がその身元に結び付くことに一定の確からしさを与える。基本の属性は、証拠から得るか、申込者の自己申告で得る。それらをすべて、権威のある、または信頼できる情報源（証拠の発行元など）で確かめ、身元確認を受ける本人に結び付ける |
| IAL2 |
IAL1 に加えて、より多くの証拠を集め、証拠の確認と本人の確認を、より厳しく行う |
| IAL3 |
IAL2 に加えて、訓練を受けた担当者が、身元確認の提供者の管理する場所で申込者とやり取りし（同じ場所にいるほか、提供者が管理する端末を通じたやり取りもある）、少なくとも1つの生体情報を集める |
なぜ大事か
身元確認が弱いと、最初から他人になりすましたアカウントが作られます。後でどれだけ強い認証を重ねても、そのアカウントは正規のアカウントとして通ってしまいます。同じ考え方は、アカウントの回復（認証器をなくした人の再登録）にも当てはまります。回復の手続きが弱いと、そこから他人のアカウントを乗っ取られえます（
ソーシャルエンジニアリング、
ビッシング）。この節は、上の定義から導いた筆者の整理です。
なお、SP 800-63A-4 は、個人の情報を知っているかどうかで本人を確かめる方法（知識に基づく確認。「秘密の質問」のようなもの）を、申込者が証拠の本当の持ち主かを確かめる段階（verification）に使ってはならない（SHALL NOT）としています。不正対策の一部として使うことは認めています（MAY）。
関連するページ
出典
確認日：2026年10月17日
最終更新：2026年10月17日 17:54
