会社のセキュリティ教科書 第3部 3-3
デジタル署名とタイムスタンプとは｜誰がいつ作ったかを証明する
公開：2026年10月15日／最終更新：同／Moshiru 岡﨑 悠太
こんなときに役立ちます
- 電子契約や電子請求書が本物かどうかを確かめたいとき
- 取引先から電子契約サービスで契約書が届き、どこまで信用してよいか迷うとき
- 電子帳簿保存法に合わせて、メールで届くPDFの請求書の保存方法を決めたいとき
読み終えたあと、社内でこう言えます
「電子契約と電子データの改ざん防止を、今の運用で確認しました」
結論：デジタル署名は、作った人が自分の秘密鍵で付ける「電子のハンコ」です。受け取った人は公開鍵で確かめ、誰が作ったかと途中で変わっていないかが分かります。タイムスタンプは、その時刻にデータがあり、それ以降変わっていないことを第三者が証明します。2つを組み合わせると「誰が・いつ・何を」を示せます。電子帳簿保存法では、タイムスタンプは改ざん防止の選択肢の1つで、必須ではありません。
デジタル署名の仕組み：秘密鍵で付けて、公開鍵で確かめる
デジタル署名は、公開鍵暗号とハッシュ関数を組み合わせた仕組みです。流れは次のとおりです。
- 作る人：文書のハッシュ値（データの指紋）を計算する。
- 作る人：そのハッシュ値を自分の秘密鍵で処理し、署名を作って文書に付ける。
- 受け取る人：作った人の公開鍵で署名を確かめ、文書から計算したハッシュ値と合うかを見る。
- 合えば：秘密鍵の持ち主が作り、そのあと1文字も変わっていないと分かる。
秘密を守る暗号化とは、鍵の使い方が逆です。暗号化は「相手の公開鍵で閉めて、相手が秘密鍵で開ける」。署名は「自分の秘密鍵で付けて、誰でも公開鍵で確かめる」です。
| 目的 | 処理に使う鍵 | 確かめる・開ける鍵 |
|---|
| 暗号化（見せない） | 受信者の公開鍵 | 受信者の秘密鍵 |
| デジタル署名（本物と示す） | 作成者の秘密鍵 | 作成者の公開鍵 |
署名で守れるのは、完全性（変わっていない）、真正性（本人が作った）、否認防止（あとで「作っていない」と言わせない）です。中身を秘密にする機能はありません。見られたくない文書は、別に暗号化します。3つの特性の意味は真正性・責任追跡性・否認防止の節で説明しています。
公開鍵が本人のものかは、電子証明書で確かめる
攻撃者が自分の公開鍵を「A社の鍵です」と言って配れば、偽の署名も正しく見えてしまいます。そこで、認証局が「この公開鍵はA社のもの」と証明する電子証明書を使います。PDFの署名を開くと、署名者の名前と証明書の発行元が表示されるのはこのためです。仕組みは電子証明書とPKIの節で扱います。
電子署名法：法律上の「電子署名」と、本人が作ったという推定
日本には電子署名法（電子署名及び認証業務に関する法律、平成12年法律第102号）があります。第2条は、次の2つを満たす措置を「電子署名」としています。
- その情報が、措置を行った者の作成によるものであることを示すためのもの。
- その情報が改変されていないかどうかを確認できるもの。
第3条は、本人による電子署名が行われた電子文書は「真正に成立したものと推定する」と定めています。紙の契約書の押印と同じように、本人が作った文書だと推定されるということです。ただしここでの電子署名は、符号や物件を適切に管理し、本人だけが行えるものに限られます。
電子契約サービスの2つの型
| 型 | 署名の付け方 | 押さえる点 |
|---|
| 当事者型 | 契約する本人が、自分の電子証明書と秘密鍵で署名する。 | 本人確認は強いが、相手にも証明書の用意が必要。 |
| 立会人型（事業者署名型） | 利用者の指示で、サービス事業者が自分の鍵で署名する。メール認証などで本人を確かめる。 | 手軽。国のQ&Aは条件つきで電子署名に当たりうるとする。 |
立会人型について、総務省・法務省・経済産業省は2020年にQ&Aを出しています（2024年1月にデジタル庁と法務省が一部改定）。利用者の意思だけで機械的に署名されることが担保されていれば、第2条の電子署名に当たりうるとしています。
第3条の推定を受けるには、本人だけが行えること（固有性）が十分な水準で求められます。Q&Aは例として、パスワードに加えてSMSなどのワンタイムパスワードを使う2要素認証を挙げています。最終的な判断は裁判所に委ねられるため、金額や重要度に応じてサービスと認証の強さを選ぶのが現実的です。
タイムスタンプ：「いつ」を第三者が証明する
署名は「誰が」を示しますが、「いつ」は自分のパソコンの時計に頼ると信用されません。そこで、信頼できる第三者（時刻認証局）がデータのハッシュ値に時刻を結びつけ、証明します。これがタイムスタンプです。
総務省はタイムスタンプを、ある時刻にその電子データが存在したことと、それ以降改ざんされていないことを証明する技術と説明しています。2つの証明を言い換えると、次のとおりです。
- 存在証明：その時刻より前に、このデータがあった。
- 非改ざん証明：その時刻から今まで、データが変わっていない。
国の制度として、総務大臣が時刻認証業務を認定する仕組みがあります（時刻認証業務の認定に関する規程、令和3年総務省告示第146号）。最初の認定は2023年2月で、認定事業者の一覧は総務省のページで公開されています。
電子帳簿保存法では「4つのうち1つ」を選ぶ
メールで届いたPDFの請求書や、Webからダウンロードした領収書は「電子取引」のデータです。国税庁の一問一答（電子取引関係、2024年6月）では、改ざんを防ぐ（真実性を確保する）ために、次のどれかの措置をとるとしています。
| 措置 | 中身 |
|---|
| 1 タイムスタンプ付きで受け取る | 送る側がタイムスタンプを付けたデータを受け取る。 |
| 2 受け取ってからタイムスタンプを付ける | 受け取ったあと、速やかにタイムスタンプを付ける。 |
| 3 改ざんしにくいシステムを使う | 訂正・削除の記録が残る、または訂正・削除ができないシステムで受け取り、保存する。 |
| 4 事務処理規程を決めて守る | 訂正・削除を防ぐための社内規程を作り、運用して備え付ける。 |
タイムスタンプを使う場合は、総務大臣が認定する時刻認証業務のものが対象です。付ける期限は、国税庁の取扱通達で次のように示されています。
- 速やかに：受け取ってからおおむね7営業日以内なら、速やかに付けたものとして扱う。
- 業務の処理に係る通常の期間を経過した後、速やかに：事務処理規程を定めている場合に限り、最長2か月の業務サイクルのあと、おおむね7営業日以内。
たとえば社員12人の工務店では（架空の例）
仕入先30社のうち20社から、請求書がPDFでメールに届く工務店を考えます。経理は社長の家族1人が兼務しています。この会社は、タイムスタンプのサービスは契約せず、措置4を選びました。
- 国税庁が公開している規程のひな形をもとに、訂正・削除を原則禁止とする事務処理規程を作った。
- PDFは「日付_取引先_金額」のファイル名で、決まったフォルダに保存すると決めた。
- 振込先の変更が書かれた請求書は、メールではなく登録済みの電話番号で確かめる決まりにした。
3つ目は、法律の要件ではなく詐欺への備えです。署名やタイムスタンプは「変わっていない」ことを示しますが、最初から偽物として作られた請求書は防げません。手口は振込先変更の詐欺の手引きにまとめています。
届いた電子契約・電子請求書を確かめる手順
署名付きのPDFを受け取ったら、開く前後に次の点を見ます。PDFの閲覧ソフトの多くは、署名の状態を表示する欄（署名パネル）を持っています。
- 署名があるか：署名パネルに署名が表示されるか。ないなら、ただの画像の印影かもしれない。
- 署名が有効か：「署名は有効」「署名後に変更されていない」と出るか。警告が出たら使わずに相手に確かめる。
- 署名者は誰か：証明書の名前が取引先、または取引先が使う電子契約サービスか。
- いつ署名されたか：タイムスタンプがあれば、その時刻が取引の流れと合っているか。
- 中身はいつもどおりか：金額や振込先が前回と違えば、メール以外の手段で確かめる。
チェックシートではこう聞かれる
| よくある設問 | 答え方の例 |
|---|
| 契約書などの重要な電子文書に、改ざん防止の措置をとっていますか。 | はい。契約は電子契約サービスで締結し、電子署名とタイムスタンプが付いた状態で保管しています。 |
| 電子取引のデータを、電子帳簿保存法の要件に沿って保存していますか。 | はい。訂正・削除の防止に関する事務処理規程を定め、決めたフォルダに日付・取引先・金額で検索できる形で保存しています。 |
| 受け取った電子文書の作成者と改ざんの有無を確認していますか。 | いいえ。現在は手順がありません。〇月までに、署名の有効性と署名者を確かめる手順を経理の手引きに加えます。 |
電子帳簿保存法の要件の細かな判断は、顧問の税理士や国税庁の資料で確認してください。書き方はチェックシートの回答の書き方も参考になります。
試験ではここが問われる
SG・支援士・Security+ 1・CISSP 3
- 鍵の使い方：署名は送信者の秘密鍵で作り、送信者の公開鍵で検証する。暗号化（受信者の公開鍵で暗号化）と取り違えない。
- 署名で守れるもの：完全性・真正性・否認防止。機密性は守らない。
- MACとの違い：MACは共通鍵なので否認防止ができない。署名は秘密鍵を本人だけが持つので否認防止ができる。
- タイムスタンプ：存在証明（その時刻にあった）と非改ざん証明（以後変わっていない）。時刻認証局（TSA）が発行する。
- 電子署名法：第2条の2要件（本人が作ったことを示す・改変を確認できる）と、第3条の推定効。
確認問題
問1 AさんがBさんに、デジタル署名付きの文書を送ります。Bさんが署名を検証するときに使う鍵はどれですか。
- ア Aさんの秘密鍵
- イ Aさんの公開鍵
- ウ Bさんの秘密鍵
- エ Bさんの公開鍵
答えと解説
正解：イ 署名はAさんが自分の秘密鍵で作り、受け取ったBさんはAさんの公開鍵で検証します。アはAさんしか持っていません。ウとエは、BさんあてにAさんが暗号化する場合に関わる鍵です。
問2 社員18人の印刷会社（架空）が、メールで届いたPDFの請求書を電子帳簿保存法に沿って保存します。タイムスタンプのサービスは使いません。真実性を確保する措置として、適切なものはどれですか。
- ア PDFを印刷して紙で保存し、電子データは削除する
- イ 訂正・削除の防止に関する事務処理規程を定め、そのとおりに運用する
- ウ PDFにパスワードを付けて、誰も開けないようにする
- エ PDFのファイル名に受け取った日付を手で書き込む
答えと解説
正解：イ 国税庁の一問一答は、事務処理規程の策定・運用を4つの措置の1つとしています。ファイル名の日付（エ）は検索のための工夫で、改ざん防止の措置にはなりません。誰も開けない状態（ウ）では保存の意味がありません。
問3 タイムスタンプが証明できることの組み合わせとして、最も適切なものはどれですか。
- ア 作成者の本人確認と、文書の内容の正しさ
- イ その時刻にデータが存在したことと、それ以降改ざんされていないこと
- ウ 文書が暗号化されていることと、第三者に読まれていないこと
- エ 送信者が契約の内容に同意したことと、支払い能力があること
答えと解説
正解：イ タイムスタンプは存在証明と非改ざん証明を行います。誰が作ったか（ア）はデジタル署名の役割で、内容が正しいかまでは誰も証明しません。機密性（ウ）は暗号化の役割です。
よくある質問
PDFに印影の画像が貼ってあれば、電子署名になりますか？
画像の印影だけでは、誰が作ったかも、改変されていないかも確かめられません。電子署名法の電子署名は、作成者を示すことと改変を確認できることの両方を満たす措置です。署名パネルで署名の有無を確かめてください。
電子帳簿保存法のために、タイムスタンプのサービスを必ず契約する必要がありますか？
必要ありません。国税庁の一問一答では、タイムスタンプのほか、訂正・削除の記録が残るシステムの利用や、事務処理規程の運用も選べます。自社のやり方に合うものを選び、顧問の税理士にも確認してください。
電子署名の付いた文書は、何年たっても本物だと示せますか？
電子証明書には有効期限があり、署名の方式もいつか古くなります。長く保管する契約書は、署名に加えてタイムスタンプを付け、あとから検証できる状態を保つ方法がとられます。使っている電子契約サービスが、長期の検証にどう対応しているかを確かめておくと安心です。
参考にした資料
- 衆議院「電子署名及び認証業務に関する法律」（平成12年法律第102号）制定時の条文
- デジタル庁「電子署名法」関連ページ（「利用者の指示に基づきサービス提供事業者自身の署名鍵により暗号化等を行う電子契約サービスに関するQ＆A」令和2年7月17日、同「電子署名法第3条関係」令和2年9月4日・令和6年1月9日一部改定）
- 総務省「タイムスタンプについて」（認定事業者一覧は2026年3月現在）
- 国税庁「電子帳簿保存法一問一答【電子取引関係】」（2024年6月）
- 国税庁「電子帳簿保存法取扱通達」（4-17、4-18、7-4、7-5。2023年6月23日最終改正）