年齢に基づくコンテンツ制限の脅威モデリング：EIC2026での知見

ベルリンで開催された「European Identity and Cloud Conference（EIC 2026）」W3Cは、でファシリテーション手法としてLEGO® SERIOUS PLAY®を用いた実践的な脅威モデリングによるワークショップを実施しました。このセッションは以前のW3Cの投稿「LEGO® SERIOUS PLAY®を用いた脅威モデリング」で説明したアプローチを基にしていますが、今回はより具体的な事例として「年齢に基づくコンテンツ制限」を取り上げました。

本テーマの選択は意図的なものでした。EICは、デジタルID市場がまだ形成途上にある中で、その動向を垣間見ることができる場の一つであるからです。EIC 2025では議論の多くがパーソナルウォレットに集中しており、具体的には、その構築方法、配布方法、そして信頼先、政府、ユーザーによる採用を促進する方法などが話題となりました。一方EIC 2026では、議論の焦点はAIが至る所で話題となり、アイデンティティの分野においては、エージェントのアイデンティティ、非人間のアイデンティティ、ワークロードのアイデンティティ、委任、そしてエージェントが関与するシナリオにおける意図の検証などが焦点となりました。

年齢に基づくコンテンツ制限のユースケース

もちろん人間のアイデンティティが議題から消えたわけではありません。むしろより難しい課題が今や具体的な用途と結びついています。年齢に基づくコンテンツ制限は、その一例です。

技術的なアーキテクチャがまだ定まっていないにもかかわらず、規制当局が今すぐ運用上の解決策を求めているため本課題は困難を極めています。アクセス、プライバシー、匿名性、相互運用性に影響を与える設計は、排除、監視、検閲、あるいは同じインフラの他の目的への転用を招く可能性もあります。

この点は、2025年10月にW3CとIABがオンラインコンテンツへのアクセスに関する年齢に基づく制限について合同ワークショップを開催した際にも反映されていました。そのワークショップでは、「正解が存在する」という前提を置かずに、技術的・アーキテクチャ的な選択肢に焦点を当てました。

上記が、私たちがモデル化をしようとした背景です。規制上の圧力により、人々はしばしば「正解」を探そうとします。しかしウェブにおいて、誰がコンテンツにアクセスできるか、人々が属性をどのように証明するか、そして匿名性を維持できるかどうかを変える仕組みは、単なる実装上の詳細にとどまらず、人々がウェブを利用する条件そのものを変えるものです。

そこで私たちは、より限定的な問いから検討を始めました。「私たちは実際にどのようなトレードオフを受け入れているのか？」　そこから、害から脅威へ、そして脅威からシステムが保護すべき特性へと、逆方向から議論を進めていきました。

危害から考える

EICワークショップでは、参加者に「誰が何を攻撃するのか」という視点ではなく、人々、社会、そしてエコシステム内の関係者に生じうる危害から考えるよう求めました。

これにより演習の捉え方が変わります。まず問われるべきは、署名が本人として検証されるかどうか、あるいは認証情報が提示できるかどうか、ではありません。誰が排除されたか、誰がプロファイリングの対象となったか、必要以上の情報の開示を強要されたか、サービスへのアクセスは拒否されたか、あるいは検閲や監視にさらされたりする可能性があるかがまずは問われるべき課題です。

私たちは年齢に基づくコンテンツ制限のための広範なアーキテクチャ上の選択肢の一つとして、「年齢確認」に焦点を当てました。この視点から検討することは非常に有益です。本来なら排除されるべきではない人が排除されてしまう場合、その原因は、不適切に記述された要件、必要な認証プロバイダーへのアクセス不足、誤った分類、あるいは文書化されているものの実際には機能しないフォールバックにある可能性があります。

監視もその一例です。脅威は、年齢属性がどのように要求されるか、誰がその要求を仲介するか、誰が属性を発行するか、2つの依存当事者が同じユーザーを関連付けられるか、あるいは同じ依存当事者がそのユーザーによる異なるやり取りを関連付けられるか、といった点から生じる可能性があります。

このワークショップは、こうした疑問を具体化するのに役立ちました。脅威モデリングにおいて、ある危害が有用となるのは、それをフロー、アクター、仮定、あるいは責任境界のいずれかと結びつけることができた場合に限られます。

危害から技術議論へ

この振り返りセッションで最も有益だった点の一つは、似たような背景を持つ人々であっても、同じ問題に対して異なるモデルを構築してしまうという事実を目の当たりにできたことでした。

これは演習の失敗ではありません。これこそが、この演習の本質だったのです。

デジタルアイデンティティに関する議論では、私たちはしばしば「ユーザー、ウォレット、ブラウザ、発行者、検証者」といった同じメンタルモデルを共有していると想定しがちです。しかし、実際に手作業でモデルを構築してみると、その違いが明らかになります。参加者の中には、信頼の拠り所をウォレットに置いた人もいました。また、依存当事者、ブラウザ、発行者、規制当局、あるいはフォールバックパスに焦点を当てた参加者もいました。

参加者からは、3次元でモデルを構築することで、より少ない言葉で概念を説明できるという指摘もありました。これにより、アーキテクチャの中で信頼、ポリシーの適用、責任がどこに位置するかを議論しやすくなりました。

ここで重要なのは、年齢確認のアーキテクチャがすべて同一ではないということです。信頼をどこに置くか、ポリシーをどこで適用するか、何を公開するか、そして残りの脅威をどの当事者が負うかという点がそれぞれ異なるのです。

脅威の特定はあくまで第一歩にすぎない

このワークショップは、90分で完全な脅威モデルを作成することを目的としたものではありませんし、現実的でもありません。目的は、着手するための実践的な方法を示すことでした。すなわち、仮定を明確にし、危害やそこから派生する社会技術的脅威を特定し、トレードオフについて議論し、その成果を「分散型認証情報のための脅威モデル」に反映させることです。

この最初の段階を経て、次に重要なのは脅威モデリングにおいて核心となる問い、「それに対してどう対処するか」です。

年齢確認に関しては、フローの最後に一度だけチェックを行うだけでは不十分です。対応策の一部は技術的アーキテクチャに組み込む必要があります。具体的には、ユーザーエージェントの役割、属性の最小化、オリジンバインディング、相関防止対策、完全性要件、そして検証が行われる場所などが挙げられます。またその他の対応策はプロトコルの外側に位置するもの：ユーザーの理解、フォールバック、監査、議論の解決、透明性、そして最も侵襲性の高い、導入を奨励しない規制上のインセンティブなどがあります。

このワークショップの有益な成果は、一般的な懸念事項のリストではなく、脅威モデルに追加した実践的な結果でした。特に、危害と脅威が発生するフロー上のポイントとの関連性を、ストーリーとして表現した点です。脅威がアーキテクチャ、経済的インセンティブ、ユーザーインターフェース、規制圧力などの相互作用から生じる場合、単一の技術的緩和策だけでは不十分なことがほとんどです。

同時に、技術的分析は依然として重要です。それがなければ、規制によって脆弱なアーキテクチャが固定化され、後からの変更が困難になってしまう恐れがあります。

だからこそ、このテーマに関するW3Cの取り組みを支援することが重要なのです。変化をもたらす理論は単純です。W3Cは年齢制限ポリシーを決定するわけではありませんが、政策や市場の圧力によって技術的な選択がインフラとして定着してしまう前に、それらの選択を可視化することは可能です。

年齢に基づくコンテンツ制限は、あらゆるアーキテクチャがウェブのモデルを内包しているため、今後も議論の的となり続けるでしょう。EICワークショップは、ある実践的な教訓を裏付けました。それは、危害から議論を始めることで、その結果を背負うことになる人々を視野に入れつつ、アーキテクチャについて議論できるようになるということです。