BiometricsMar 28, 2026

インドネシアの生体認証SIM義務化：開発者とデジタルサービスへの影響

Engineering Team

インドネシアの生体認証SIM義務化：概要

2026年7月1日より、インドネシアにおけるすべての新規SIMカード登録には生体顔認証が必須となります。これは、KOMDIGI（通信デジタル省）2026年第7号規則により義務付けられたもので、従来のNIK（国民識別番号）のみの認証システムに代わるものです。この規則では、プリペイドSIMの所有上限を1人3枚に設定し、通信事業者にインドネシアの**デジタル人口ID（IKD）**プラットフォームとの統合を要求しています。

開発者やデジタルサービス提供者にとって、これはインドネシアのデジタルエコシステムにおける本人確認の実装方法の根本的な変化を意味します。モバイルアプリのオンボーディングからeKYCフローまで、あらゆる側面に影響を及ぼします。

タイムラインと主要マイルストーン

展開は段階的に行われ、開発者はこれに合わせて計画を立てる必要があります：

日付	マイルストーン
2026年3月15日	KOMDIGI規則第7/2026号が公式に公布
2026年4月1日	事業者向け技術仕様書の公開
2026年5月1日	統合パートナー向けサンドボックステスト環境の開放
2026年6月1日	生体認証SDKプロバイダーの認定期限
2026年7月1日	施行開始 — すべての新規SIM登録に生体認証が必要
2027年1月1日	ハイリスクアカウントの既存SIM再認証期限
2027年7月1日	すべての既存プリペイドSIMの完全再認証期限

コンプライアンス違反の事業者は、違反1件につき最大**500億ルピア（290万ドル）**の罰金を課され、繰り返しの違反にはライセンス取消の可能性があります。

技術要件

この規則は、生体認証システムが満たすべき正確な技術基準を規定しています：

顔認証精度

誤受入率（FAR）： 0.001%（10万分の1）以下
誤拒否率（FRR）： 5%以下
全体精度： 標準条件下で95%以上
処理時間： キャプチャから認証結果まで最大3秒
ライブネス検出： 必須 — 印刷写真、画面リプレイ、3Dマスクを含むプレゼンテーション攻撃を検出すること

IKDプラットフォームとの統合

**デジタル人口ID（Identitas Kependudukan Digital / IKD）**プラットフォームは、**人口市民登録総局（Dukcapil）**が管理する権威ある本人確認データベースです。すべての生体認証はIKDレコードとの照合が必要です。

統合フローは以下の通りです：

キャプチャ：事業者のアプリまたはキオスクでユーザーの顔を撮影
ライブネス検出：リアルタイムのライブネス検出で生身の人間であることを確認
特徴抽出：顔の特徴を抽出し、生体テンプレートにエンコード
IKDクエリ：テンプレートをIKDプラットフォームに送信し、NIKに紐づけられた生体レコードと1:1照合
結果：IKDが一致/不一致の応答と信頼度スコアを返す
監査ログ：取引全体が規制コンプライアンスのために記録される

データ保護要件

すべての生体データの取り扱いは、2022年に制定されたインドネシアの個人データ保護法である**UU PDP（個人データ保護法）**に準拠する必要があります：

生体テンプレートは静止時にAES-256で暗号化すること
すべての通信はTLS 1.3以上を使用すること
テンプレート抽出後、生の生体データ（顔画像）を保存しないこと
データ保持：認証ログは5年間保持後、安全に削除
ユーザーは生体データの削除を要求する権利を有する
KOMDIGIの明示的な承認なしに生体データの国外移転は禁止

アプリ開発者とデジタルサービスへの影響

モバイルアプリ開発者

アプリがSIMベースの認証（OTP認証、SMSベースのログイン）を使用している場合、ユーザーがSIMレベルで生体認証を受けていることを理解する必要があります。これは機会を生み出します：

より高い信頼ベースライン：SIM認証済みユーザーは生体認証で本人確認済み
不正行為の減少：使い捨てSIMを使った偽アカウントの作成が大幅に困難に
KYCの合理化：フィンテックやECアプリでは、SIM生体認証がeKYCフローの第一要素として機能

通信事業者の統合パートナー

通信事業者に本人確認サービスを提供する企業は以下が必要です：

2026年6月1日までに生体認証SDKのKOMDIGI認定を取得
ISO/IEC 30107-3プレゼンテーション攻撃検出（PAD）レベル2以上のテストに合格
サンドボックステストでIKDプラットフォームとの相互運用性を実証
オンプレミスデプロイオプションの提供 — 一部の事業者はインドネシアのデータセンター内での生体処理を要求

フィンテックとデジタルバンキング

インドネシアの**OJK（金融サービス庁）**は、KOMDIGI準拠の生体SIM認証を有効な本人確認要素として認定する意向を示しており、以下に適用されます：

基本預金口座の開設（残高上限2000万ルピア）
P2Pレンディングの借り手認証
デジタルウォレット登録（GoPay、OVO、Dana、ShopeePay）
保険契約のオンボーディング

これは金融包摂の取り組みにおける摩擦を軽減し、特にインドネシアの9200万人の銀行口座を持たない成人に恩恵をもたらします。

企業向けコンプライアンスチェックリスト

このチェックリストを使用して、組織の準備状況を評価してください：

技術的準備

生体認証SDKを選定・統合済み（最低精度95%、ライブネス検出対応）
IKDプラットフォームのサンドボックスアクセスを取得しテスト完了
生体テンプレート保存にAES-256暗号化を実装
すべての生体データ通信にTLS 1.3を設定
監査ログシステムがすべての認証取引をキャプチャ
IKDプラットフォームダウンタイム時のフォールバック機構を設計
予想認証ボリュームの負荷テストを完了

規制コンプライアンス

UU PDPデータ保護影響評価（DPIA）を完了
プライバシーポリシーに生体データ処理の開示を追加
ユーザー同意フロー（生体収集への明示的オプトイン）を実装
データ保持ポリシーを文書化（5年間のログ保持、安全な削除）
インシデント対応計画を生体データ漏洩に対応して更新
KOMDIGI認定申請を提出（期限：2026年6月1日）

運用準備

スタッフに生体認証手順のトレーニングを実施
カスタマーサポートスクリプトを生体関連の問い合わせに対応して更新
顔認証を完了できないユーザーのためのアクセシビリティ対応を計画
認証成功/失敗率のモニタリングダッシュボードを設定

開発者向けアーキテクチャ概要

典型的な統合アーキテクチャは以下の通りです：

モバイルアプリ / キオスク
       |
       v
[生体認証SDK] -- キャプチャ + ライブネス検出
       |
       v
[事業者バックエンド] -- テンプレート抽出
       |
       v
[IKDゲートウェイ] -- 1:1照合
       |
       v
[監査とロギング] -- コンプライアンス記録

Rust開発者向けの生体パイプラインの構成：

// 簡略化された生体認証パイプライン
async fn verify_identity(
    State(state): State<AppState>,
    Json(request): Json<BiometricRequest>,
) -> Result<Json<VerificationResult>, AppError> {
    // 1. ライブネス検出結果を検証
    let liveness = state.liveness_service
        .check(&request.capture_data)
        .await?;

    if liveness.score < 0.95 {
        return Err(AppError::LivenessCheckFailed);
    }

    // 2. 生体テンプレートを抽出
    let template = state.biometric_engine
        .extract_template(&request.facial_image)
        .await?;

    // 3. IKDプラットフォームと照合
    let ikd_result = state.ikd_client
        .verify_1to1(&request.nik, &template)
        .await?;

    // 4. 監査ログを記録
    state.audit_logger.log_verification(
        &request.nik,
        &ikd_result,
        &liveness,
    ).await?;

    Ok(Json(VerificationResult {
        verified: ikd_result.match_score >= 0.95,
        confidence: ikd_result.match_score,
        transaction_id: ikd_result.transaction_id,
    }))
}

市場背景：インドネシアが今このタイミングで実施する理由

インドネシアの生体認証SIM義務化は、複数の要因が収束して推進されています：

サイバー犯罪による損失：インドネシアは2025年に推定**7兆ルピア（4億700万ドル）**のサイバー犯罪被害を受け、SIMスワップ詐欺とID窃盗が主な手口
重複SIM：推定3000万〜4000万枚のSIMカードが偽の、または重複したIDで登録
デジタル経済の成長：インドネシアのデジタル経済は2025年にGMV820億ドルに到達（Google-Temasek-Bainレポート）、より強力なID基盤が必要
人口規模：2億7000万人以上の人口と3億4500万枚以上のアクティブSIMカードを擁し、世界最大級のモバイル市場
ASEAN連携：この規則はASEANデジタル経済枠組み協定（DEFA）のデジタルアイデンティティに関する規定に準拠

よくある質問

顔認証ができないユーザーはどうなりますか？

この規則には、障がいや医療上の理由で顔認証ができないユーザー向けの代替認証方法が含まれています。事業者は実店舗のサービスセンターでのアシスタント付き認証を提供し、訓練されたスタッフが補助書類を使用して手動のID確認を行う必要があります。これは人口の約2〜3%をカバーします。

既存のSIMカードにも影響しますか？

当初は、2026年7月1日以降の新規SIM登録のみが生体認証を必要とします。ただし、既存のプリペイドSIM保有者は2027年7月1日までに生体再認証を完了する必要があります。後払い契約者は、すでにより厳格なID確認を受けているため、当面は免除されます。

外国人や観光客もSIMカードを登録できますか？

はい。外国人は販売時点でパスポートと顔の生体キャプチャを使用して登録できます。システムはIKDデータベースではなく、パスポート写真に対して1:1照合を行います。観光客のSIM登録はパスポート1冊につき1枚のSIMに制限され、最大有効期間は90日です。

どの生体認証SDKプロバイダーがKOMDIGI認定を受けていますか？

2026年初頭の時点で、KOMDIGIは国際プロバイダー（NIST FRVTベンチマーク準拠のプロバイダーなど）とインドネシア国内企業の両方を含む複数のベンダーのサンドボックステストを承認しています。最終認定ベンダーリストは2026年6月1日に公開予定です。ベンダーはISO/IEC 30107-3レベル2への準拠とIKD相互運用性テストの合格を実証する必要があります。

インドネシアの個人データ保護法（UU PDP）との関係は？

生体認証SIM義務化はUU PDP（2022年第27号法律）の枠組みの中で運用されます。UU PDP第4条に基づき、生体データは特定個人データに分類され、明示的な同意、目的の制限、強化されたセキュリティ対策が要求されます。事業者は**データ保護責任者（DPO）**を任命し、生体データ処理前にデータ保護影響評価（DPIA）を実施する必要があります。

コンプライアンス違反の罰則は？

通信事業者は違反1件につき最大500億ルピア（290万ドル）の罰金を課されます。認定に不合格の生体認証SDKプロバイダーはインドネシア市場からブラックリストに登録される可能性があります。UU PDPに基づき、生体データ漏洩の責任を負う個人は、最大6年の懲役と最大**60億ルピア（35万ドル）**の罰金を含む刑事罰を受ける可能性があります。

生体認証を完全にデバイス上で完了できますか？

ライブネス検出コンポーネントはデバイス上で実行できますが、1:1本人確認はサーバー側でIKDデータベースに対して行う必要があります。これは、権威あるIDレコードが常に参照ポイントとなることを保証するための規制要件です。キャプチャとライブネス検出段階ではデバイス上処理が推奨され、レイテンシーと帯域幅の要件を削減します。

タグ

AI Biometrics Security