📋 この用語の要点（高橋 結衣の視点）
「電子署名」や「タイムスタンプ」という言葉は知っていても、なぜそれが「本物」と信じてよいのかまで説明できる方は多くありません。その信頼を裏で支えているのがPKI（公開鍵基盤）です。この記事では、鍵と証明書と認証局という3つの登場人物で仕組みをほどき、電子契約サービスやe-Taxを使うときにPKIがどこで働いているのかを具体的に整理します。細かい暗号の数式は使わず、ツール選定や運用の判断に効く部分だけを、担当者目線でお伝えします。
📖 約10分で読めます。
PKI（公開鍵基盤）とは何か
PKIは「Public Key Infrastructure」の略で、日本語では公開鍵基盤と訳します。ひとことで言えば、インターネット上でやり取りする相手やデータが「本物である」ことを証明するための、共通ルールと仕組みの集まりです。電子署名やタイムスタンプが「信頼できる」とされる根拠は、突き詰めるとこのPKIにたどり着きます。
まず一言でいうと「本人証明の社会インフラ」
現実の世界では、本人確認に運転免許証やマイナンバーカードを使います。これらは、公的機関という信頼できる第三者が「この人は本人です」と保証しているから通用します。PKIは、これと同じ役割をデジタルの世界で果たす仕組みです。信頼できる第三者が発行した「電子証明書」を軸に、なりすましや文書のすり替えを防ぎます。個々のツール名ではなく、社会全体で共有する土台（インフラ）である点が特徴です。
公開鍵暗号という土台の考え方
PKIの核心には「公開鍵暗号方式」という技術があります。これは、ペアになった2つの鍵を使う方法です。片方を「秘密鍵」、もう片方を「公開鍵」と呼びます。秘密鍵は本人だけが厳重に保管し、公開鍵は誰に見せても構いません。この2つには、片方の鍵で処理したデータは、対になるもう片方の鍵でしか元に戻せない、という数学的な関係があります。
パスワードのように「同じ合言葉を双方が共有する」方式と違い、秘密鍵を相手に渡さずに本人証明ができるのが大きな利点です。この性質があるからこそ、後述する電子署名が成り立ちます。暗号技術の基礎はSSLなど普段目にする仕組みとも共通しています。
公開鍵暗号には、大きく2つの使い道があります。1つは、相手の公開鍵で暗号化し、対応する秘密鍵を持つ本人だけが復号できる「守秘」の使い方です。中身を第三者に見られたくないときに役立ちます。もう1つが、秘密鍵で署名し公開鍵で検証する「本人証明」の使い方です。PKIで電子署名に使うのは主に後者です。同じ鍵ペアでも、向きを変えることで守秘と証明という別々の目的に使い分けられる点が、この技術の要になっています。
なぜ「基盤（インフラ）」と呼ばれるのか
鍵のペアがあるだけでは、その公開鍵が「本当に本人のものか」を確かめる術がありません。ここに、証明書を発行する認証局、失効した証明書を知らせる仕組み、証明書を保管し配布する仕組みなど、複数の役割が組み合わさります。これら全体をまとめた社会的な仕組みだからこそ「基盤」と呼びます。電気や水道のように、意識しなくても裏で動いているイメージが近いでしょう。
PKIが「本物であること」を保証する仕組み
ここからは、PKIがどうやって信頼を作り出すのかを、登場人物ごとに見ていきます。難しく感じる部分ですが、流れをつかめば「なぜ改ざんが検知できるのか」が腑に落ちるはずです。
認証局（CA）と電子証明書の役割
PKIの主役は「認証局（CA：Certificate Authority）」です。認証局は、申請者の身元を審査したうえで「電子証明書」を発行します。電子証明書は、いわばデジタルの身分証明書です。中には、本人の名前や組織名、公開鍵、有効期限、発行元の認証局名などが記載されています。
重要なのは、この証明書自体にも認証局の電子署名が付いている点です。つまり「この公開鍵は確かにこの人のものだと、信頼できる認証局が保証しています」という構造になっています。認証局を頂点にした信頼の連鎖（トラストチェーン）があるからこそ、初対面の相手でも証明書を通じて信用できるのです。
認証局は1つだけではなく、階層構造になっています。最上位にある「ルート認証局」を頂点に、その下の中間認証局が実際の証明書を発行するのが一般的です。パソコンやスマートフォンには、信頼できるルート認証局の情報があらかじめ組み込まれています。この根っこを信頼の起点として、そこから枝分かれする証明書を順にたどって検証する仕組みです。だからこそ、初めてやり取りする相手の証明書でも、その場で有効性を判断できます。
電子署名が信頼される流れ
PKIを使った電子署名は、次の手順で「本人が作り、改ざんされていない」ことを保証します。
- 署名する人は、文書全体から「ハッシュ値」という短い要約データを計算します。文書が1文字でも変われば、この値はまったく別の値になります。
- そのハッシュ値を、本人だけが持つ秘密鍵で処理します。これが電子署名の本体です。
- 受け取った側は、送り主の電子証明書に入っている公開鍵で署名を検証します。
- 同時に、受け取った文書からもハッシュ値を計算し直します。
- 2つのハッシュ値が一致すれば「途中で改ざんされていない」ことが、公開鍵で検証できれば「秘密鍵の持ち主が署名した」ことが証明されます。
この一連の検証が、文書の真実性の確保を支えています。手書きの印鑑や署名よりも、むしろ改ざん検知の面では強力だと言えます。
タイムスタンプが加わると何が変わるか
電子署名は「誰が」「改ざんなく」を証明しますが、「いつ」の証明は別に必要です。そこで組み合わせるのがタイムスタンプです。時刻認証局（TSA）が、その時刻にその文書が存在したことを証明します。契約日や提出日が争点になる文書では、この「存在時刻」の証明が効いてきます。
さらに、証明書の有効期限が切れた後も長期にわたって有効性を保つ長期署名（PAdES）という方式もあります。10年単位で保存が必要な契約書などでは、この長期署名が前提になります。いずれもPKIという同じ土台の上に成り立っている点を押さえておくと、関連用語が一本の線でつながります。
中小企業の実務でPKIに出会う場面
PKIは専門的な言葉ですが、実は多くの担当者が知らないうちに毎日使っています。契約書のやり取りから税務申告、Webサイトの閲覧まで、身近な業務のあちこちに顔を出します。どんな場面で登場するのかを具体的に見ていきましょう。
電子契約サービスを導入するとき
電子契約サービスを検討すると、必ず「当事者型」と「立会人型（事業者署名型）」という言葉に出会います。当事者型は、契約者本人が認証局から取得した証明書で署名する方式で、本人性の証明が強いのが特徴です。立会人型は、サービス事業者が自社の証明書で署名し、メール認証などで本人を確認する方式で、導入の手軽さが利点です。どちらの背後にもPKIがあり、証明書の発行元が誰かという違いだと理解すると選びやすくなります。
e-Tax・電子申請・eシール
法人がe-Taxで申告する際に使う電子証明書も、PKIの一種です。法人代表者の電子証明書や、マイナンバーカードに搭載された証明書は、公的な認証局が発行しています。また、組織としての発信元を証明するeシールもPKIを基盤にしています。請求書や通知文を組織名義で発行する場面で、今後普及が見込まれる仕組みです。
個人がマイナンバーカードで確定申告やオンライン申請をおこなう際に使う公的個人認証サービスも、国が運営するPKIの一種です。カードのICチップに秘密鍵と証明書が格納されており、暗証番号を入力することで本人だけが署名できる仕組みになっています。普段は意識しませんが、行政のオンライン手続きの多くが、この見えない基盤の上で動いています。
SSL/TLSサーバー証明書も同じ仕組み
Webサイトのアドレス欄に付く鍵マーク、あれもPKIの成果です。サーバー証明書によって「このサイトは確かにその企業のものだ」と証明し、通信を暗号化しています。用途は違っても、認証局と証明書という骨格は電子署名とまったく同じです。代表的な使われ方を整理すると次のようになります。
| 使われ方 | 証明する対象 | 身近な場面 |
|---|---|---|
| 電子署名 | 署名者の本人性・文書の非改ざん | 契約書、稟議、社内承認 |
| サーバー証明書 | サイト運営者の実在・通信の暗号化 | Webサイト、フォーム送信 |
| eシール | 発信元の組織 | 請求書、通知書の発行元証明 |
| タイムスタンプ | その時刻に存在したこと | スキャン文書、長期保存書類 |
こうして並べると、日々の業務の意外と多くの場面をPKIが下支えしていることが分かります。情報セキュリティの土台技術として、担当者が概略だけでも理解しておく価値は十分にあります。
導入・運用でつまずかないための注意点
PKIは強力ですが、鍵と証明書を扱う以上、運用面で気をつけるべき点があります。特に自社で証明書を管理する場面では、次の3つを押さえておきましょう。
証明書には有効期限と失効がある
電子証明書には必ず有効期限があります。期限が切れると署名や暗号化が正常に機能しなくなるため、更新漏れは業務停止につながります。サーバー証明書の期限切れでサイトが警告表示になる事故は、実際によく起こります。
また、退職や鍵の漏えいなどで期限前に証明書を無効化することを「失効」と呼びます。失効した証明書の一覧（CRL）や、リアルタイムで有効性を問い合わせる仕組み（OCSP）によって、検証する側は「その証明書が今も有効か」を確認できます。更新と失効の管理が回っているかは、運用体制を評価するうえで欠かせない観点です。
秘密鍵をどう守るか
PKIの信頼は「秘密鍵を本人しか持っていない」という前提で成り立ちます。裏を返せば、秘密鍵が漏れれば、なりすまし署名が可能になり、仕組み全体が崩れます。パスワードを含むファイルとしてPCに置きっぱなしにするのは危険です。ICカードやUSB型のトークン、専用の保管装置に格納する、アクセスに二段階認証をかけるなど、鍵の保管ルールを明文化しておきましょう。誰が鍵を持ち、どこに保管し、退職時にどう回収するかまで決めておくと安心です。
特にクラウドサービスを使う場合は、秘密鍵を自社で持つのか、サービス側が預かるのかを確認しておきましょう。当事者型では自社管理、立会人型では事業者側の管理になるのが一般的です。どちらの場合も、鍵がどこに保管され、誰がアクセスできるのかを把握しておくことが、事故を防ぐ第一歩になります。
サービス選定でみるべきポイント
多くの中小企業は、自前でPKIを構築するのではなく、電子契約や電子署名のクラウドサービスを利用します。その際、次の点を確認しておくと後悔が減ります。
- 証明書の発行元が、信頼された認証局かどうか（国内外の基準に対応しているか）。
- タイムスタンプや長期署名に対応しているか。長期保存が必要な文書を扱うなら必須です。
- 電子帳簿保存法など、自社に関わる制度の要件を満たせるか。制度は改正されるため、最新の公式情報を必ず確認してください。
- 署名の検証結果や監査ログを、後から確認・出力できるか。
- 解約時に、締結済み文書と検証情報を自社側に持ち出せるか（データの持ち出しやすさ）。
仕組みそのものを深く理解する必要はありませんが、「どこの認証局を使い、どう検証でき、いつまで有効か」という3点を確認するだけで、サービス比較の解像度がぐっと上がります。PKIは目に見えにくい技術ですが、電子文書の信頼を最後に支える屋台骨だと捉えておいてください。
よくある質問（FAQ）
PKIと電子署名は何が違うのですか？
電子署名は「本人が改ざんなく署名した」ことを示す仕組みや行為そのものを指します。PKIは、その電子署名が信頼できると証明するための土台となる仕組み全体です。電子署名という道具を、PKIというインフラが下から支えている、という関係だと考えると分かりやすいです。
秘密鍵と公開鍵の違いを簡単に教えてください。
秘密鍵は本人だけが厳重に保管する鍵で、他人に渡してはいけません。公開鍵は誰に見せても構わない鍵で、相手が署名を検証する際に使います。ペアで働き、片方で処理したデータはもう片方でしか元に戻せない関係にあります。この非対称性がPKIの根幹です。
認証局（CA）とは具体的に何をする組織ですか？
認証局は、申請者の身元を審査し、その公開鍵が本人のものであると保証する電子証明書を発行する組織です。いわばデジタル世界の身分証明書の発行機関です。認証局自身の署名が証明書に付くことで、初対面の相手でも証明書を通じて信頼できる仕組みになっています。
中小企業でもPKIの導入は必要ですか？
多くの場合、自社でPKIを一から構築する必要はありません。電子契約やe-Taxなど、PKIを内蔵したサービスを利用すれば十分です。ただし証明書の更新管理や秘密鍵の保管は自社の責任になるため、仕組みの概略を理解しておくと、サービス選定や運用で失敗しにくくなります。
証明書の有効期限が切れるとどうなりますか？
有効期限が切れた証明書では、署名や暗号化が正常に機能しなくなります。サーバー証明書なら閲覧者に警告が表示され、電子署名なら検証が通らなくなります。期限前の更新が原則です。ただし長期署名の仕組みを使えば、期限後も署名の有効性を長期間保つことができます。
Webサイトの鍵マークもPKIと関係がありますか？
はい、関係があります。アドレス欄の鍵マークは、サーバー証明書によってサイト運営者の実在を証明し、通信を暗号化している印です。電子署名とは用途が異なりますが、認証局が証明書を発行するというPKIの骨組みはまったく同じです。身近なPKIの代表例と言えます。
当事者型と立会人型の電子契約はどちらを選ぶべきですか？
本人性の証明を重視し、重要度の高い契約が多いなら、当事者本人の証明書で署名する当事者型が適しています。導入のしやすさや相手方の負担軽減を優先するなら、事業者が署名する立会人型が向いています。取引の重要度と相手方の環境を踏まえて選ぶとよいでしょう。
PKIを理解すると、どんな用語がつながって見えますか？
電子署名、タイムスタンプ、eシール、長期署名（PAdES）、SSL/TLSといった用語は、いずれもPKIという同じ土台の上に立っています。PKIを一度理解しておくと、これらのセキュリティ用語がバラバラの知識ではなく、一本の線でつながって見えるようになります。
✏️ 高橋 結衣より
PKIは、電子文書の世界で最も「縁の下の力持ち」らしい用語だと感じています。私自身、ツールの導入支援で「なぜこの電子署名を信じてよいのか」と聞かれ、答えに詰まった経験があります。仕組みを一段深く知ってから説明できるようになり、お客様の納得感がまったく変わりました。実際、私が支援した現場でも、サーバー証明書の更新をうっかり失念し、取引先から「サイトに警告が出ている」と連絡を受けて慌てた例がありました。証明書の期限をカレンダーに登録し、更新担当を一人決めておくだけで、こうした事故はほとんど防げます。担当者の方に伝えたいのは、細かい暗号技術まで覚える必要はない、ということです。大切なのは「証明書は誰が発行したのか」「有効期限と失効はどう管理されるのか」「秘密鍵は安全に守られているのか」という3つの視点を持つことです。この3点さえ押さえておけば、サービス比較でも運用でも判断を誤りにくくなります。電子契約やe-Taxを使うたびに、その裏で認証局と証明書が静かに働いていると想像してみてください。見えない土台を理解することは、これからのペーパーレス化を安心して進めるための、確かな一歩になるはずです。
