MyData Japanカンファレンスに見るアイデンティティのモデル

こんにちは、富士榮です。

一昨日はMyData Japanカンファレンスに行ってきました。

OpenIDファウンデーションジャパンも後援させていただいています。

イベントページ

https://mydatajapan.org/events/mydata-japan-2024/

界隈の人たちはみんないたんじゃないかな？という位、自分がフォローしている人のタイムラインを見ていれば行かなくても済むくらいの盛況でした（謎）。

もちろん午前中のデジタルアイデンティティ関連のセッションを中心に見たわけですが改めてMyDataが整理しているアイデンティティモデルはよくできているな〜と思ったのでその部分だけ。

詳しくは崎村さんのブログで資料も公開されていますので。

https://www.sakimura.org/2024/07/6129/

崎村さんの資料では日本語になっていますが、原典のMyDataの説明では以下の図で解説されています。

https://mydata.org/participate/declaration/

MyDataのページより

これが程よい抽象化レベルで非常にわかりやすいし、汎用的だなぁ、と改めて。

MyDataのページによるとそれぞれのアクターは以下の役割を持つ、と定義されています。

• PERSON
• An individual that manages the use of their own personal data, for their own purposes, and maintains relationships with other individuals, services or organisations.
• DATA SOURCE
• A data source collects and processes personal data which the other roles (including Persons) may wish to access and use.
• DATA USING SERVICE
• A data using service can be authorised to fetch and use personal data from one or more data sources.
• PERSONAL DATA OPERATOR
• A Personal Data Operator enables individuals to securely access, manage and use their personal data, as well as to control the flow of personal data with, and between, data sources and data using services. Individuals can be their own operator. In other cases, operators are not using the information itself, but enabling connectivity and secure sharing of data between the other roles in the ecosystem.

（DeepLで翻訳）

• PERSON
• 自身の個人情報を自身の目的のために管理し、他の個人、サービス、組織との関係維持を行う個人。
• データソース
• データソースは、他の役割（Personを含む）がアクセスし、使用したいと思う可能性のある個人情報を収集し、処理します。
• データ利用サービス
• データ利用サービスは、1つまたは複数のデータソースから個人情報を取得し、使用することを許可される場合があります。
• 個人データオペレーター
• 個人データオペレーターは、個人が自身の個人データに安全にアクセスし、管理し、使用できるようにするとともに、データソースとデータ使用サービスとの間で、またデータソース間での個人データの流れを制御できるようにします。個人が自身のオペレーターになることもできます。その他の場合、オペレーターは情報そのものは使用せず、エコシステム内の他の役割との間でデータの接続と安全な共有を可能にします。

例えばOpenID Connectなどのフェデレーションモデルでは、Personが利用者、データソースがIdentity Provider、データ利用サービスがRelying Party、Verifiable CredentialsのモデルだとデータソースであるIssuerとデータ利用サービスであるVerifierの間にWalletが入るわけです。

そして、最も重要なポイントは個人データオペレーターの存在です。

フェデレーションのモデルにおいてはIdentity Providerが個人データオペレーターを兼ねることになりますし、典型的なVerifiable Credentialsの利用モデルにおいてはWalletプロバイダが個人データオペレーターになったりするわけです。

結局のところ個人データを誰かが扱うことになるので、自己主権型アイデンティティを実現するにはこの個人データオペレーターを個人が完全に制御できる状態を作る必要が出てくるわけです。Walletがあれば自己主権ってわけじゃないぞ、というのがよくわかりますね。結局はWalletプロバイダに頼ってしまうわけです。

だからガバナンスが大事になるわけですね。

この辺りが通常のアイデンティティモデルの図にはあまり出てこないので、改めてこの図を見ると理解が深まるんじゃないかな、と思いました。