電話認証・SMS認証と法規制の基本的な関係
電話認証やSMS認証は「その電話番号を現在使用している人物であること」を確認する手段です。しかし、法令が求める「本人確認」や「年齢確認」とは必ずしも一致しません。どの業種でも共通する前提として、規制上の要件と技術的な認証機能の違いを理解しておく必要があります。
「電話番号確認」と「法的な本人確認」の違い
SMS認証が確認できるのは、「登録した電話番号に現在アクセスできる人物であること」です。法令上の本人確認義務（犯罪収益移転防止法に基づく確認などが代表的）は、氏名・住所・生年月日・本人確認書類との一致が求められるため、SMS認証単体では満たせません。電話番号は第三者への譲渡、レンタル、SIM再発行による変更が可能であり、本人に紐づいた固定識別子とはみなされません。
規制対応を設計する際は、SMS認証を「追加の認証要素（セカンドファクター）」として位置づけ、法令上の本人確認はeKYC（電子的な本人確認）や対面審査と組み合わせる構成が基本です。この前提を業種ごとの規制要件と照らし合わせることが、コンプライアンス設計の出発点です。
この記事をご覧の方には、以下の記事もおすすめです。あわせて参考にしてください。
監督官庁・ガイドラインの種類と確認の手順
電話認証・SMS認証に関係するガイドラインや法令は、業種横断的なものと業種固有のものがあります。業種横断的なものとしては、個人情報保護法（個人情報の取扱い・漏えい防止）、不正アクセス禁止法（不正アクセス対策）、電子署名法（電磁的記録への署名要件）などが挙げられます。これらは業種を問わず関係します。
一方、金融・保険・証券・資金移動・コンテンツ配信・人材紹介などの業種には、それぞれ所管する監督官庁と固有の規制が存在します。導入前の確認手順は、（1）自社の事業ライセンスを確認する、（2）所管監督官庁と根拠法令を特定する、（3）ガイドラインや監督指針を取得する、（4）認証方式の設計が規制要件を充足するか法務担当者と照合する、という流れが基本です。
金融機関が確認すべきFISC安全対策基準と金融庁ガイドライン
銀行・証券・保険・クレジットカード事業者など金融機関は、認証方式に関して最も厳格な規制環境に置かれています。SMS認証の利用に際しては、FISC（公益財団法人金融情報システムセンター）の安全対策基準と金融庁のガイドラインを照合することが不可欠です。
FISC安全対策基準における認証要件
FISCの「金融機関等コンピュータシステムの安全対策基準・解説書」は、金融機関のシステムセキュリティ対策の事実上の標準として広く参照されます。同基準では、インターネットバンキング等のオンラインサービスに対して多要素認証の採用を推奨しており、認証要素の「知識・所有・生体」のうち少なくとも二種類の組み合わせが求められます。SMS認証は「所有」要素（電話番号を持つSIMを所有していること）に分類されますが、SIMスワップ攻撃（電話番号の不正移転）への脆弱性から、SIMスワップ攻撃などのリスクを踏まえ、高リスク取引ではSMS認証以外の認証手段との組み合わせも検討が必要です。
金融機関がSMS認証を継続使用する場合、高額送金・住所変更・パスワードリセットなどリスクの高い操作にはハードウェアトークンや認証アプリ（TOTP）との組み合わせが必要です。FISCへの準拠確認は法務・情報セキュリティ部門が毎年改訂版を精査する体制を整えることが求められます。
この記事をご覧の方には、以下の記事もおすすめです。あわせて参考にしてください。
金融庁ガイドラインと電子決済等代行業への対応
金融庁が策定した「電子決済等代行業者に係る監督指針」や「マネー・ローンダリング及びテロ資金供与対策に関するガイドライン」は、SMS認証の位置づけに直接影響します。マネロン・テロ資金供与対策ガイドラインでは、取引の実態に応じたリスクベースアプローチが求められており、リスクの高い顧客や取引にはより強固な本人確認・認証手段が必要とされます。SMS認証は低～中リスクの取引には認められる場合がありますが、高リスク取引（大口送金・新規顧客の高額取引など）には追加の確認措置が必要です。
犯罪収益移転防止法（犯収法）に基づく「本人確認義務」は本人確認書類の確認を義務づけており、SMS認証での代替は認められていません。FATF勧告への対応を踏まえた金融庁検査においても、認証方式とリスク管理体制の整合性が確認されます。
資金決済法・前払式支払手段への対応チェックリスト
電子マネー、ポイント、プリペイドサービスなど前払式支払手段を発行する事業者は、資金決済法の適用を受けます。SMS認証の導入にあたっては、利用者保護の観点から規制内容を確認する必要があります。
資金決済法が求める利用者確認の範囲
資金決済法は、前払式支払手段発行者（自家型・第三者型）に対し、利用者情報の管理と不正利用防止措置を求めています。同法の解釈上、SMS認証は「利用者の本人確認」ではなく「アカウントへのアクセス制御の一手段」と位置づけられます。資金移動業や暗号資産交換業など、犯収法上の本人確認義務が関係する場合は、別途本人確認書類の確認やeKYCとの組み合わせが必要です。
前払式支払手段に関するコンプライアンスチェックリストの主要項目は、（1）SMS認証をeKYCや本人確認書類と組み合わせているか、（2）不正利用発生時のアカウント停止・調査手順を整備しているか、（3）SMS認証の実装において番号の種別フィルタリング（IP電話番号除外等）を行っているか、（4）認証ログを一定期間保存し監査に対応できるか、の四点です。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料を取り寄せて機能や特徴をさまざまな製品で比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）で電話認証・SMS認証の一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
暗号資産交換業・資金移動業における認証強度の要件
暗号資産交換業（改正資金決済法）や資金移動業者は、金融庁への登録が義務づけられており、利用者保護措置の一環として認証方式の管理が求められます。暗号資産取引においては、取引金額・出金操作のリスクに応じた段階的な認証設計が推奨されており、SMS認証単独での高額出金許可は、内部統制や監査において指摘事項となりやすい構成です。資金移動業者においても、同様に累積送金額が増大する利用者に対してはSMS認証以上の認証手段の追加が検討対象です。
年齢確認法・インターネット異性紹介事業者の規制
出会い系サイト規制法は、インターネット異性紹介事業者に対し18歳未満の児童の利用排除を義務づけています。SMS認証はこの規制との関係で特有の論点を持ちます。
出会い系サイト規制法が求める年齢確認の方法
出会い系サイト規制法は、インターネット異性紹介事業者に対し、利用者が児童でないことの確認等を義務づけています。法令上、認められる確認方法は「書面による申告・身分証の提示・その他の方法であって有効に18歳以上であることを確認できるもの」とされており、SMS認証単体は法定の年齢確認手段として明示的に認められていません。SMS認証は「その電話番号を持つ人物であること」を確認するのみで、年齢を証明する情報を含まないためです。
規制への対応として、年齢確認書類（運転免許証・健康保険証・マイナンバーカードなど）のアップロードとAIによる照合、または公的個人認証サービス（マイナンバーカードのICチップ読み取り）との組み合わせが求められます。SMS認証はアカウント保護の二段階認証として位置づけ、年齢確認のステップとは明確に分離することが法令対応の基本です。
この記事をご覧の方には、以下の記事もおすすめです。あわせて参考にしてください。
コンテンツ配信事業者・SNS運営者の年齢確認義務
出会い系サイト規制法の直接対象でなくても、成人向けコンテンツを提供する事業者には、青少年インターネット環境整備法や業界自主規制ガイドラインに基づく年齢確認が求められる場合があります。2023年以降、改正電気通信事業法や経済産業省の検討会による「年齢確認の実効性確保」議論が進んでおり、今後の法令改正への備えが必要です。SMS認証の契約者年齢と実際の使用者年齢は一致しない場合があるため、SMS認証を年齢証明の代替とすることは規制リスクを伴います。
医療・ヘルスケア分野の個人情報・プライバシー規制
医療機関・薬局・健康管理アプリ・遠隔診療事業者は高感度の医療情報を扱うため、認証方式に関して特別な配慮が求められます。
医療情報の取扱いガイドラインとアクセス管理要件
厚生労働省が策定した「医療情報システムの安全管理に関するガイドライン（第6.0版）」は、電子カルテや医療情報データベースへのアクセス管理として多要素認証の導入を推奨しています。SMS認証を利用できるかは、システムの用途やリスク評価に応じて判断が必要です。患者情報への直接アクセスやオーダリングシステムへの書き込み操作には生体認証や職員ICカードとの組み合わせが望ましいとされています。患者向け医療ポータルや電子お薬手帳でも、処方情報など高感度データへのアクセスには追加の認証を要求する設計が推奨されます。
調剤・薬局・処方箋サービスにおける本人確認要件
オンライン服薬指導や処方箋サービスは、医師法・薬機法・調剤薬局等における遵守事項に加え、厚生労働省の「オンライン服薬指導の実施要領」に準拠する必要があります。同要領では、患者の本人確認について「薬剤師が映像及び音声の送受信により相手の状態を相互に認識しながら実施する」ことが原則とされており、SMS認証は本人確認の代替にはなりません。一方、服薬指導後の処方内容の確認や調剤待ち状況の通知にSMS認証済みアカウントを活用することは、患者利便性の向上手段として合理的です。SMS認証を「アクセス管理ツール」として位置づけ、法令上の本人確認義務とは分離して設計することが医療DXのコンプライアンス確保につながります。
この記事をご覧の方には、以下の記事もおすすめです。あわせて参考にしてください。
電話認証・SMS認証の規制対応に関するよくある質問
法規制対応の観点から、導入前に多く寄せられる疑問点をまとめました。
- ■Q1：SMS認証は犯収法上の本人確認義務を満たしますか？
- 満たしません。犯罪収益移転防止法が求める本人確認は、氏名・住所・生年月日と本人確認書類の照合が必要です。SMS認証は「その電話番号を現在使用している人物であること」を確認するものに過ぎず、本人確認書類の代替にはなりません。金融機関や資金移動業者では、SMS認証をeKYCや対面確認と組み合わせて使用することが求められます。
- ■Q2：FISC安全対策基準への準拠はSMS認証導入の必須条件ですか？
- FISCへの準拠が法的義務として直接定められているわけではありませんが、金融機関では実務上の標準として参照されます。金融庁の立入検査や自己査定において、FISC基準に沿ったセキュリティ対策の有無が確認されるため、事実上の対応義務として捉えることが現実的です。SMS認証単独での高リスク取引への適用はFISC基準の観点から問題となりやすいため、認証方式の設計段階でFISCを参照することが重要です。
- ■Q3：出会い系サイト規制法の対象でなければ年齢確認にSMS認証を使えますか？
- 法令上の義務がなくても、SMS認証のみでは年齢確認の実効性が限定されます。未成年者が保護者名義のSIMを利用している場合、SMS認証では排除できません。青少年保護の観点から業界自主規制や利用規約上の義務がある事業者は、生年月日申告とSMS認証の組み合わせにとどまらず、身分証確認や公的個人認証の活用を検討する必要があります。
まとめ
電話認証・SMS認証は認証セキュリティの強化手段として有効ですが、法規制上の「本人確認」や「年齢確認」の代替にはなりません。金融機関ではFISC安全対策基準や金融庁ガイドラインへの準拠、資金決済法の適用を受ける事業者ではリスクベースの認証設計、出会い系サイト規制法の対象事業者では年齢確認書類との組み合わせ、医療分野では厚生労働省ガイドラインへの対応が求められます。各業種の法令・ガイドラインを確認したうえで、SMS認証を適切な役割に位置づけ、eKYCや多要素認証と組み合わせた設計を行うことが、コンプライアンスリスクの低減につながります。
