電子署名とデジタル署名の違い
「電子署名」と「デジタル署名」——この二つの言葉は、日常業務の中でしばしば混同されて使われている。しかし、規制対応や品質管理の文脈においては、両者は明確に区別されるべき概念である。特に 21 CFR Part 11 やGxPに関わる医薬品・医療機器業界では、この違いを正確に理解しておくことが、適切なシステム設計やバリデーション対応の前提となる。本稿では、「電子署名」と「デジタル署名」それぞれの定義と仕組みを整理し、両者がどのように異なるのかを、条文の原文にさかのぼりながら初学者にも分かりやすく解説する。
先に結論――3行で押さえる
- デジタル署名は電子署名の一種である。両者は「別物」ではなく「包含関係」にある。
- 21 CFR Part 11 は デジタル署名の使用を義務付けていない。ID＋パスワードによる電子署名も、要件を満たせば適法である。
- 日本の電子署名法は、本人性と非改ざん性の両方を満たす措置を「電子署名」と定義しており、技術方式を限定していない。
「電子署名」とは何か
広義の定義：手書き署名を電子化したもの
電子署名（Electronic Signature）とは、紙への手書きサインに相当する「意思表示の証跡」を、電子的な手段によって記録したものの総称である。その具体的な形式は多様であり、次のようなものが含まれる。
- スキャンした手書きサイン：紙にサインしたものをスキャンし、電子書類に貼り付けたもの
- タイプ入力による氏名：フォームに自分の氏名をキーボードで入力して「署名」とするもの
- タッチパネル上の手書き：タブレット端末の画面に指やペンで直接サインしたもの
- チェックボックスのクリック：「同意する」ボタンを押すことで署名に代える方式
これらに共通するのは、「本人がそこに意思を持って記録した」という事実を電子的に残すことであり、必ずしも暗号技術を用いているわけではない。
法的な文脈における電子署名
日本の「電子署名及び認証業務に関する法律」（電子署名法、平成12年法律第102号・2001年4月1日施行）は、電子署名を「電磁的記録に記録することができる情報について行われる措置であって、次の要件のいずれにも該当するもの」と定義しており、以下の二要件を同時に満たすことを求めている（第2条第1項）。
第二号（非改ざん性）：当該情報について改変が行われていないかどうかを確認することができるものであること。
――電子署名及び認証業務に関する法律 第2条第1項（e-Gov法令検索）
この定義は技術的な手段を問わず広く電子署名を認めているが、本人性に加えて非改ざん性の確認可能性も要件として明示されている点に注意が必要である。すなわち日本法における「電子署名」は、Part 11 が定義する電子署名よりもやや狭く、単に氏名をタイプしただけの措置は同法の要件を満たさない可能性がある。
「デジタル署名」とは何か
暗号技術を用いたシステム的な仕組み
デジタル署名（Digital Signature）は、電子署名の一形態ではあるが、その本質は公開鍵暗号技術（PKI：Public Key Infrastructure）に基づいた数学的・技術的な保証の仕組みである。単に「サインを電子化する」のではなく、署名者の同一性とデータの完全性を暗号学的に証明するものである。
デジタル署名の仕組み（概要）
- 署名の生成①：ハッシュ値の算出署名者は、署名すべき文書のデータから「ハッシュ値」（文書内容を固定長の数値に変換したもの）を生成する。
- 署名の生成②：秘密鍵による暗号化そのハッシュ値を、署名者固有の「秘密鍵（Private Key）」で暗号化する。
- 署名の生成③：文書への付与暗号化されたハッシュ値が「デジタル署名」として文書に付与される。
- 署名の検証①：公開鍵による復号受信者は、署名者の「公開鍵（Public Key）」を使って署名を復号し、ハッシュ値を取り出す。
- 署名の検証②：ハッシュ値の再計算受信した文書から独自にハッシュ値を計算する。
- 署名の検証③：照合二つのハッシュ値が一致すれば、文書が改ざんされておらず、かつ正当な署名者によるものであることが証明される。
この仕組みにより、デジタル署名は「なりすまし」「改ざん」「否認（あとで署名していないと主張すること）」の三つに対する技術的な防御を提供する。
認証局（CA）の役割
デジタル署名の信頼性は、「その公開鍵が本当に本人のものであるか」を第三者が証明することで担保される。この役割を担うのが認証局（CA：Certificate Authority）である。認証局は署名者の身元を確認した上で「デジタル証明書（電子証明書）」を発行し、公開鍵が確かに本人に帰属することを保証する。
▲【動画】株式会社イーコンプライアンス YouTube公式チャンネルより
両者の違いを整理する
| 比較項目 | 電子署名（広義） | デジタル署名 |
|---|---|---|
| 定義の広さ | 電子的な署名手段の総称（広義） | 公開鍵暗号技術を用いた特定の方式 |
| 技術的基盤 | 必ずしも暗号化を伴わない | PKI（公開鍵基盤）が必須 |
| 本人確認の強度 | 方式によって大きく異なる | 認証局による証明書で担保 |
| 改ざん検知 | 方式によっては不可 | ハッシュ値の一致検証により可能 |
| 否認防止 | 保証されない場合が多い | 技術的に否認防止が担保される |
| 導入の容易さ | 比較的容易 | PKIインフラの整備が必要 |
| 法的効力 | 方式・国・契約内容による | 多くの国で高い法的効力が認められる |
この表が示すように、デジタル署名は電子署名の「部分集合」、すなわちより強固な要件を満たす特定の電子署名方式であると位置づけることができる。
規制文書における用語の扱い
21 CFR Part 11 の定義を原文で確認する
FDA（米国食品医薬品局）の 21 CFR Part 11（電子記録・電子署名規則）は、§11.3(b) の定義規定において、電子署名とデジタル署名の双方を定義している。両者の関係は、この二つの条文を並べて読めば一目瞭然である。
（訳：電子署名とは、ある個人の手書き署名と法的に等価となるべきものとして、当該個人によって実行・採用または承認された、任意のシンボルまたは一連のシンボルのコンピュータデータの編集物をいう。）
――21 CFR §11.3(b)(7)（eCFR 原文）
（訳：デジタル署名とは、発信者認証の暗号学的手法に基づく電子署名であって、署名者の同一性およびデータの完全性を検証できるように、一組の規則と一組のパラメータを用いて計算されるものをいう。）
――21 CFR §11.3(b)(5)（eCFR 原文）
条文が明示している包含関係
- §11.3(b)(5) の定義は “means an electronic signature based upon cryptographic methods” で始まる。つまり FDA 自身が、デジタル署名を電子署名のサブセットとして明示的に位置づけている。
- §11.3(b)(7) の電子署名の定義には、暗号技術への言及が一切ない。符号の編集物であることと、手書き署名と法的に等価であることを本人が意図していることが要件である。
- 電子署名を「バイオメトリクスに基づくもの／基づかないもの」に区別しているのは定義規定（§11.3）ではなく、要件規定である §11.200 である。定義と要件を混同しないこと。
Part 11 はデジタル署名を要求しているか
結論から言えば、Part 11 はデジタル署名の使用を義務付けていない。Part 11 が求めているのは、電子署名が真正性・完全性・否認防止を確保できる形で運用されることであって、その実現手段としてPKIを指定してはいない。
まず §11.100（一般要件）は次を求めている。
| 条項 | 要求事項の要旨 |
|---|---|
| §11.100(a) | 各電子署名は一個人に固有のものとし、他者に再使用または再割当てしてはならない。 |
| §11.100(b) | 組織が個人の電子署名（またはその構成要素）を確立・割当て・認証・承認する前に、当該個人の身元を確認しなければならない。 |
| §11.100(c) | 電子署名を使用する者は、その使用前または使用時に、自社システムの電子署名が従来の手書き署名と法的に等価であることを意図している旨を FDA に証明（certify）しなければならない。証明書は手書き署名を付して電子的または紙で提出する。また FDA の求めに応じ、特定の電子署名についての追加の証明・証言を提供しなければならない。 |
次に §11.200（電子署名の構成要素と管理）である。ここは(a)項と(b)項で対象が分かれている点が肝要である。
| 条項 | 対象 | 要求事項の要旨 |
|---|---|---|
| §11.200(a)(1) | バイオメトリクスに基づかない電子署名 | 識別コードとパスワードのような、2つ以上の独立した識別要素を用いること。(i) 管理されたシステムアクセスの単一・連続した期間中に連続して署名する場合、最初の署名は全要素で、以後の署名は少なくとも1つの要素（本人のみが実行でき、本人のみが使用するよう設計された要素）で実行する。(ii) 単一・連続した期間中に行われない署名は、その都度すべての要素で実行する。 |
| §11.200(a)(2) | 真正な所有者本人のみが使用すること。 | |
| §11.200(a)(3) | 本人以外の者が電子署名を使おうとすれば、2人以上の共謀（collaboration）を要するように管理・運用すること。 | |
| §11.200(b) | バイオメトリクスに基づく電子署名 | その真正な所有者以外の者が使用できないように設計されていること。 |
共謀要件については Part 11 が求める「共謀」要件とは何か、バイオメトリクスの実務上の課題については バイオメトリクスの問題点 をあわせて参照されたい。
さらに §11.70（Signature/record linking）では、電子署名および電子記録に対して行われた手書き署名はそれぞれの電子記録にリンクされなければならず、通常の手段では署名を切り出し・複製・他の電子記録へ転用して電子記録を偽造できないようにすることが求められている。また §11.50 は、署名者の氏名・署名日時・署名の意味（レビュー／承認／責任／作成）を記録に含めることを求めている（電子署名の表示（Signature Manifestations）とは）。
なお、そもそも Part 11 がどのような場合に適用されるのかという前提については、プレディケートルールとは で解説している。Part 11 は、基礎となる規則が記録の作成・保存を要求している場合に初めて適用される規則である。
「電子署名法」と「デジタル署名」の関係
日本の電子署名法において、法的効力が認められる電子署名の中でも特に高い信頼性を持つものとして「特定認証業務」が定められている。同法第2条第3項は特定認証業務を「電子署名のうち、その方式に応じて本人だけが行うことができるものとして主務省令で定める基準に適合するものについて行われる認証業務」と定義しており、これは実質的にPKIベースのデジタル署名に相当する。
また同法第3条は、電磁的記録に本人による電子署名が行われているときは、その記録が真正に成立したものと推定するという推定効を定めている。これが電子署名法の実務上の中核である。特定認証業務の認定制度は法務省・総務省の所管であり、法務省「電子署名法の概要と認定制度について」に制度の全体像がまとめられている。
| 観点 | 21 CFR Part 11（米国） | 電子署名法（日本） |
|---|---|---|
| 電子署名の定義 | 手書き署名と法的に等価となるべく個人が実行・採用・承認したシンボルの編集物（§11.3(b)(7)） | 本人性と非改ざん性の両方を満たす措置（第2条第1項） |
| デジタル署名の扱い | 電子署名の一種として明示的に定義（§11.3(b)(5)）。使用義務はない | 条文上「デジタル署名」の語はない。特定認証業務が実質的に相当（第2条第3項） |
| 技術方式の指定 | なし（オープンシステムでは §11.30 が暗号化・デジタル署名標準を例示） | なし（技術中立。ただし非改ざん性の確認可能性が必要） |
| 主たる効果 | 手書き署名と等価とみなされる（§11.1(c)） | 真正に成立したものと推定される（第3条） |
法律は「電子署名」という上位概念を用いているが、強い法的効力を求める場合は技術的にデジタル署名の要件を満たすことが求められる、というのが両制度に共通する構図である。
実務上のポイント
電子署名とデジタル署名の違いを理解した上で、実務での判断に役立てるために、次の点を押さえておくとよい。
1. 何を保証したいかによってシステムを選ぶ
単に「承認した記録を残す」だけであれば、簡易な電子署名（ID＋パスワードによる承認など）でも要件を満たし得る。しかし、「誰がいつ何に署名したかを後から証明する」「署名後のデータ改ざんを検知する」という目的のためには、デジタル署名の仕組みが必要となる。
2. 規制当局は「技術ではなくリスク」で判断する
FDA査察においては、使用している技術の名称よりも、「その仕組みが署名の真正性・完全性・否認防止を実際に担保しているか」が問われる。名称にとらわれず、保証の実態で評価することが重要である。FDA が2003年8月に発出した「Part 11, Electronic Records; Electronic Signatures — Scope and Application」ガイダンスも、リスクベースドアプローチによる判断を明確に打ち出している。
3. ベンダー選定時の確認事項
電子署名システムを外部ベンダーから調達する際は、以下を確認することを推奨する。
- PKI（デジタル署名）を採用しているか、それとも別の方式か
- 認証局（CA）の信頼性と証明書の有効期間管理
- Part 11 および EU GMP Annex 11 への適合状況
- 監査証跡（Audit Trail）の保持と改ざん防止の仕組み（データインテグリティにおけるメタデータとは何か）
- §11.100(c) の非否認合意書（Letter of Non-Repudiation Agreement）を FDA へ提出済みか
まとめ――3つのポイント
- デジタル署名は電子署名の一種である§11.3(b)(5) は デジタル署名を “an electronic signature based upon cryptographic methods…” と定義しており、FDA 自身が包含関係を明示している。「電子署名 対 デジタル署名」という対立図式は誤りである。
- Part 11 はデジタル署名を要求していない条文が求めるのは真正性・完全性・否認防止であって、PKI の採用ではない。デジタル署名が明示的に例示されるのは、オープンシステムの追加措置を定める §11.30 のみである。
- 日本法は「本人性＋非改ざん性」を要件とする電子署名法第2条第1項は二要件を同時に満たすことを求め、第3条が真正成立の推定効を与える。技術方式は限定されていないが、非改ざん性を確認できない措置は同法上の電子署名とはならない。
電子署名とデジタル署名は、日常的な会話では混用されることが多いが、技術的・規制的文脈においては明確に異なる概念である。電子署名は電子的な意思表示の記録手段の総称であり、技術的な強度は方式によって大きく異なる。デジタル署名は、PKIと暗号技術を用いた特定の方式であり、本人確認・改ざん検知・否認防止を技術的に保証する。
GxPやPart 11が求める電子署名の「真正性・信頼性・本人帰属性」を確実に担保しようとすれば、自ずとデジタル署名の仕組みが中心的な選択肢となってくる。用語の違いを正確に把握することは、適切なシステム選定・バリデーション戦略・規制対応の出発点である。「電子署名を使っています」という一言の背後に、どのような技術的保証が実装されているかを問い続ける姿勢が、品質管理の現場では不可欠である。
参考・出典（一次情報源）
- eCFR「21 CFR Part 11 – Electronic Records; Electronic Signatures」
- eCFR「21 CFR §11.3 Definitions」（(b)(5) Digital signature／(b)(7) Electronic signature）
- eCFR「21 CFR §11.30 Controls for open systems」
- eCFR「21 CFR §11.50 Signature manifestations」
- eCFR「21 CFR §11.70 Signature/record linking」
- eCFR「21 CFR §11.100 General requirements」
- eCFR「21 CFR §11.200 Electronic signature components and controls」
- FDA「Part 11, Electronic Records; Electronic Signatures — Scope and Application」（2003年8月）
- FDA「Letters of Non-Repudiation Agreement」
- e-Gov法令検索「電子署名及び認証業務に関する法律」（第2条・第3条）
- 法務省「電子署名法の概要と認定制度について」
- 厚生労働省「医薬品等の承認又は許可等に係る申請等における電磁的記録及び電子署名の利用について」（平成17年4月1日 薬食発第0401022号）
