香港のデジタル納税申告プラットフォームにおけるセキュリティ機能の理解

トップへ戻る

はじめに

サイバーセキュリティの脅威がますます高度化する現代において、香港税務局（IRD）は、同局のデジタル納税申告プラットフォームである「eTAX」に包括的なセキュリティフレームワークを確立しました。香港がデジタルトランスフォーメーションを推進する中で、納税者データの保護は最重要課題となっています。eTAXシステムは香港のデジタル行政サービスの要として機能し、毎年何百万人もの納税者の機密性の高い財務情報を処理しています。

本記事では、香港のデジタル税務申告エコシステムを保護するセキュリティ機能、プロトコル、コンプライアンス対策について詳細に検証します。認証メカニズムからデータ暗号化標準に至るまで、税務申告プロセス全体を通じて納税者情報の機密性、正確性、安全性をIRD（税務局）がどのように確保している求を探ります。

トップへ戻る

香港のデジタル税務プラットフォームの進化

eTAXプラットフォームは、その開設以来、大幅な変革を遂げてきました。2024年末から2025年初頭にかけて導入された最新のアップデートにより、プラットフォームはより使いやすく、安全で、包括的なものになりました。2025年版ポータルは完全にモバイル対応となっており、「iAM Smart/iAM Smart+」経由のログインをサポートしているため、納税者は強固なセキュリティ基準を維持しながらモバイル端末で便利に申告書を提出できます。

重要なマイルストーンとなったのは2025年7月21日で、個人税務ポータル（ITP）が従来のeTAXアカウントシステムに取って代わりました。この移行は、香港の納税者がデジタル税務サービスにアクセスする方法の根本的な転換を表しており、プラットフォーム全体に強化されたセキュリティ機能が統合されています。この日付より前にeTAXアカウントを保持していた個人は、納税者番号（TIN）とパスワードを使用して引き続きITPにログインすることができ、既存ユーザーに混乱を与えることなくシームレスな移行が保証されます。

トップへ戻る

認証とアクセス制御

iAM SmartおよびiAM Smart+の統合

2020年12月にローンチされたiAM Smartプラットフォームは、政府のワンストップ・パーソナライズ・デジタルサービスプラットフォームとして機能しています。2024年12月時点で、同プラットフォームの登録者数は310万人を超え、約460の政府、公共、民間のオンラインサービスへのアクセスを提供しています。iAM SmartとeTAXシステムの統合は、納税者の認証セキュリティにおける大きな進歩を表しています。

同プラットフォームには2つの異なるバージョンがあり、それぞれ提供される機能レベルが異なります。

iAM Smart+で利用可能な電子署名機能は、税務コンプライアンスにおいて特に重要です。税務局（IRD）は、法的拘束力のある認証を維持しながら直筆署名の必要性をなくすため、納税者がiAM Smartを利用してログインし、税務申告書に電子署名することを積極的に推奨しています。この電子署名機能には否認防止を保証する暗号化技術が採用されており、納税者が後から申告書の提出を否認することはできません。

複数の認証オプション

ユーザーによってIT技術の利用状況や好みが異なることを踏まえ、eTAXプラットフォームでは3種類の異なる認証方法を提供しています。

• iAM Smart/iAM Smart+: ユーザーはTINやパスワードを入力することなく、モバイルデバイスを使用した生体認証またはPIN認証によってシームレスにログインできます
• TIN + パスワード: 納税者番号（TIN）とユーザーが作成したパスワードを使用する従来のログイン方法
• デジタル証明書: 認可された認証局によって発行された個人用デジタル証明書で、PKIベースの認証を提供します

このマルチモーダルなアプローチにより、各認証方法本来の強度に応じたセキュリティ基準を維持しながら、アクセシビリティを確保しています。

iAM Smart 4.0の機能強化（2024年12月）

2024年12月、政府はiAM Smart 4.0をリリースし、ユーザーエクスペリエンスとアクセシビリティの大幅な改善を導入しました。刷新されたインターフェースにはテーマ別ページやおすすめサービス（Featured Services）ページが用意され、eTAX、Contactless e-Channel（非接触型e-道）、SmartPLAYなどのよく利用されるサービスが直接アクセスできるようにわかりやすく表示されています。

特に注目すべき追加機能は「ライト」モードであり、高齢者やアクセシビリティ上の配慮が必要なユーザーがアプリケーションをより便利に利用できるように特別に設計されています。このインクルーシブデザインのアプローチにより、ITリテラシーや身体的な制約にかかわらず、香港のすべての住民層がデジタル税務サービスにアクセスできるよう維持されています。

トップへ戻る

データ暗号化と通信セキュリティ

TLS/SSL暗号化規格

ユーザーとeTAXプラットフォーム間で送信されるすべてのデータは、従来のSSL（Secure Sockets Layer）プロトコルの後継であるTLS（Transport Layer Security）暗号化を使用して保護されています。TLSは前身の規格と比較してセキュリティと暗号化機能が強化されており、現代のサイバー脅威に対してより高度な保護を提供します。

公式のeTAXプラットフォームへは確認済みの正規チャネルを通じてのみアクセス可能であり、ユーザーはGovHKやIRD（税務局）の公式ウェブサイト経由、またはブラウザのアドレスバーにURL（https://www.gov.hk/etax）を直接入力してアクセスすることが強く推奨されます。このガイダンスはフィッシング攻撃を防止し、ユーザーが確実に正規のプラットフォームに接続できるようにするものです。

データ交換のための高度な暗号化

2024年11月、IRDは自動的情報交換（AEOI）ポータル上の暗号化ツールのアップデート版をリリースしました。報告金融機関はデータファイルを暗号化する際、この機能強化版を使用することが義務付けられており、暗号化のベストプラクティスを常に最新に保つというIRDの取り組みが示されています。

暗号化プロトコルにより、機密性の高い財務データは、最初の送信から保管、最終的なアーカイブに至るまでのライフサイクル全体を通じて保護されます。送信中にデータが傍受された場合でも、暗号化によって権限のない第三者が読み取ることはできません。

セッションセキュリティとタイムアウトプロトコル

eTAXプラットフォームには、ユーザーがデバイスから離れた際の不正アクセスから保護するため、自動セッションタイムアウト機能が実装されています。セキュリティ上の理由から具体的なタイムアウト時間は公開されていませんが、システムはユーザーの利便性とセキュリティ要件のバランスを取るよう設計されています。

セッションが期限切れになると、ユーザーがログアウトを忘れた場合の潜在的な不正アクセスを防ぐため、アクティビティを継続するには再認証が必要となります。この機能は、公共の端末や共有コンピュータからプラットフォームにアクセスする場合に特に重要ですが、IRDはそうした場所から税務取引を行わないよう明確に推奨しています。

トップへ戻る

法令および規制コンプライアンス

個人データ（プライバシー）条例（PDPO）の遵守

1995年に制定され、1996年12月に施行された個人データ（プライバシー）条例（PDPO）は、アジアで最も歴史のある包括的なデータ保護法の1つです。eTAXプラットフォームは、民間部門と公共部門の双方に適用され、技術中立的かつ原則ベースであるPDPOを完全に遵守して運用されています。

PDPOは、税務局（IRD）による納税者情報の取り扱いを規定する6つの主要なデータ保護原則を中心に構成されています。

税法に基づく免除

PDPO（個人データ（プライバシー）条例）は、税務執行に関連する具体的な免除規定を設けています。個人データの使用が法律や裁判所の命令により義務付けられているか許可されている場合、または香港における法的権利の行使もしくは抗弁に必要な場合、特定のコンプライアンス要件が免除されることがあります。これにより、IRDはプライバシー権を最大限に尊重しつつ、内国歳入条例（Inland Revenue Ordinance）に基づく法定の義務を果たすことが可能になります。

今後の規制動向

2024年2月19日に開催された立法会政制事務委員会において、プライバシーコミッショナーは、個人データプライバシーコミッショナー公署が香港における個人データ保護を強化するため、政府と連携してPDPOの見直しを進めていることを報告しました。提案されている改正案には、データ侵害の義務的通知メカニズムの導入、企業に対するデータ保持ポリシー策定の義務付け、行政罰の導入などが含まれています。

しかしながら、これらの改正案は、小規模企業や極小企業に及ぼす経済的負担への懸念から保留となっています。政府は、地元企業への影響を軽減するため、段階的なアプローチによる改正導入を検討しています。これらが施行されれば、eTAXユーザーに対するプライバシー保護はさらに強化されることになります。

トップへ戻る

組織的なセキュリティフレームワーク

多層型セキュリティガバナンス

税務局（IRD）は、単なる技術的統制にとどまらない包括的なセキュリティ・ガバナンス・フレームワークを確立しています。当局は、政府が定めたセキュリティ規則やガイドライン、ならびにデータ保護における国際的なベストプラクティスを完全に遵守しています。基本的なコンプライアンスにとどまらず、税務局は強固な自己監視メカニズムとITセキュリティ管理の継続的な改善プロセスを導入し、絶えず進化するサイバーセキュリティ環境への適応性を確保しています。

独立したセキュリティ評価および監査

税務局のシステムは、包括的なセキュリティ保証を確保するため、複数のステークホルダーによる定期的かつ厳格なレビューを受けています：

• デジタル政策弁公室（DPO）： デジタルガバナンスおよびセキュリティポリシーの遵守状況を監督
• サイバーセキュリティ・技術犯罪調査科（CSTCB）： 香港警務処（警察）の一部門であるCSTCBは、税務局システムに対する潜在的なサイバーセキュリティ脅威に関する情報を定期的に提供し、リスクを軽減するための十分な保護措置の導入を支援
• 審計署（Audit Commission）： システムの堅牢性とセキュリティ統制の有効性を確認するため、独立したレビューを実施
• 独立したセキュリティ専門家： 外部のセキュリティ評価および監査の専門家を起用し、客観的な視点から脆弱性を特定し、改善策を提言

政府機関と独立した専門家によるこの協力体制により、税務局は常に警戒を怠らず、新たなリスクに先回りして対応することができます。特にDPOとCSTCBは、脅威動向を定期的に監視し、政府システム特有の潜在的な脆弱性に関する早期警告を提供するという極めて重要な役割を果たしています。

国際基準への準拠

国際社会の一員として、また国際金融センターとして、香港は経済協力開発機構（OECD）などの影響力のある組織が定めた国際基準を遵守しています。税務局（IRD）は、特にデータセキュリティや法域間の情報交換などの分野において、その方針と実務がこれら国際的な枠組みに整合するよう努めています。この整合性により、IRDの信頼性が強化され、相互接続が進む世界経済におけるクロスボーダーのデータ保護の課題に対処するための万全な体制が確保されます。

トップへ戻る

監査証跡とトランザクションログ記録

包括的なアクティビティ追跡

eTAXプラットフォームは、すべての提出物およびトランザクションに対して完全な監査証跡を保持しています。システム内で実行されたすべてのアクションは、タイムスタンプ、ユーザー識別情報、IPアドレス、トランザクションの詳細などの関連メタデータとともにログに記録されます。この包括的なログ記録には、以下のような複数の目的があります。

• 説明責任（アカウンタビリティ）： すべてのアクションを特定のユーザーまで追跡できるようにすることで、不正な改ざんを防止し、あらゆる不正行為の調査を支援します
• 否認防止： ユーザーが特定のアクションを実行したことや特定の申告書を提出したことを後から否認できないよう、反論の余地のない記録を作成します
• 不正検出： 不正行為を示唆する可能性のある異常なパターンや不審なアクティビティの特定を可能にします
• コンプライアンス検証： IRDおよび納税者が内国歳入条例に基づくそれぞれの義務を履行した証拠を提供します
• 紛争解決： 提出のタイミング、内容、または真正性に関する紛争を解決できる決定的な記録を提供します

トランザクション承認のためのMyGovHK連携

MyGovHKアカウントをeTAXサービスと連携させたユーザーは、税務局長（Commissioner of Inland Revenue）の承認に基づき、MyGovHKアカウントのパスワードをeTAXを通じて提出された取引の承認および署名の手段として使用できます。この統合により、統合政府サービスプラットフォームの利便性を維持しながら、追加の認証レイヤーが提供されます。

トップへ戻る

記録の保管およびデータ管理

7年間の保管要件

内国歳入条例（IRO）第51C条では、香港で事業を営むすべての者は、収入および支出に関する記録を7年以上にわたり保管しなければならないと規定されています。この要件は、物理的または電子的形式を問わず、すべての税務関連文書および記録に適用されます。

IROは、香港で商業、専門職、または事業を営むすべての者に対し、課税対象利得を容易に算定できるようにするため、それらの記録に関連する取引、行為、または業務の完了後7年以上の期間、十分な記録を保管することを義務付けています。この包括的な保管要件により、税務局（IRD）は税務調査を実施する際に必要な情報を取得し、正確な課税査定を行うことができます。

繰越欠損金に伴う保管期間の延長

この7年ルールは、税務上の損失（欠損金）がある企業にとって重要な意味を持ちます。香港の税制では、企業の損失は無期限で将来の年度の利益と相殺することができます。企業がある賦課年度において課税対象利得を得ていたとしても、前年度からの繰越欠損金を控除した後に依然として全体として損失の状態にある場合、その損失が完全に相殺されるまで、その特定の年度の税金を支払う必要はありません。

したがって、納税者はそれらの関連する賦課年度の事業記録を、損失が完全に相殺された年度の終了後7年が経過するまで保管する必要があります。そのため、記録の保管期間が基本的な7年間の要件よりも大幅に長期にわたる場合があります。

電子記録の保存

現代のデジタルビジネス運営の実態を反映し、企業による電子記録保存システムの使用が認められています。ただし、収入および支出を立証するために、小切手の控え、請求書、銀行預金伝票、明細書などの原始証憑は引き続き保存する必要があります。

電子記録は、所定の保存期間にわたり可読性、検索・取得性、完全性を維持しなければなりません。そのため、PDFやXMLなどの安定した形式で保存し、税務調査や検査の際に必要に応じて完全な写しを取得できるプラットフォームを使用することが求められます。可読性および検索・取得性の要件を満たしている限り、現物の文書を保管する代替えとして、原本文書の画像をCD-ROM、DVD-ROM、またはUSBドライブに保存することも認められています。

不服従に対する罰則

正当な理由なく記録保存要件を遵守しなかった場合、最高100,000香港ドルの罰金が科される可能性があります。さらに、税務調査や税務査察の際に文書を提示できない場合、IRD（税務局）は特定の控除を否認したり、税額を再査定したりすることがあり、税負担の増加につながる可能性があります。

十分な記録がない場合、IRDはそれらの記録の代替手段に基づいて課税を行うことがあります。これらの代替手段は、例えば、納税者の資産価値の変動、銀行預金残高、あるいは同業他社のデータなどに基づく場合があります。このような代替査定は納税者にとって不利になることが多いため、適切な記録保存は単なる法的義務にとどまらず、財務上の必須事項でもあります。

トップへ戻る

ユーザーセキュリティのベストプラクティス

IRD推奨のセキュリティ対策

eTAXプラットフォームでは広範なセキュリティ対策が講じられていますが、ユーザーの行動は依然としてセキュリティ全体における極めて重要な要素です。IRDは、ユーザーが自身のアカウントとデータを保護できるよう、包括的なガイダンスを提供しています。

• パスワードのセキュリティ：生年月日や香港身分証番号など推測しやすい文字列をパスワードとして使用せず、定期的にパスワードを変更してください
• アクセスポイントのセキュリティ：キーロギングやショルダーサーフィン（覗き見）による攻撃を防ぐため、公共端末からの取引・手続きは避けてください
• エンドポイント保護：お使いのコンピュータに適切なファイアウォール、ウイルス対策ソフトウェア、スパイウェア対策ソフトウェアを導入し、定期的に更新してください
• 機密性の保持：税務局（IRD）の職員を名乗る人物を含め、パスワードは誰にも開示しないでください（正規のIRD職員がパスワードを尋ねることは絶対にありません）
• 公式アクセスのみ利用：GovHKまたはIRDの公式ウェブサイト経由でのみeTAXシステムにアクセスするか、ブラウザのアドレスバーにURL https://www.gov.hk/etax を直接入力してください

システムの互換性とセキュリティ

eTAXシステムの円滑な運用および手続きの高い安全性を確保するため、「GovHKオンラインサービスのシステム要件」ウェブページに記載されている動作確認済みのOSおよびブラウザの組み合わせを使用することをお勧めします。本システムは市場で普及しているOSおよびブラウザで動作するように設計されていますが、検証済みの環境を使用することで最適なセキュリティと機能が保証されます。

詐欺的な連絡への注意喚起

IRDは、当局から発信されたと称する詐欺メールについて市民へ積極的に注意を呼びかけています。2024年11月、IRDは税務監査が実施される旨を通知し、記載されたハイパーリンクを通じてウイルスを含む文書をダウンロードさせようとする詐欺メールについて警告を行いました。当局は、これらの詐欺メールとは一切関係がないことを強調しています。

納税者の皆様は、IRDを名乗る心当たりのない連絡、特に以下のような特徴を持つものに対して厳重に警戒してください：

• 即時の対応を要求したり、罰則を科すと脅したりするもの
• パスワード、クレジットカード情報、銀行口座情報を要求するもの
• 不審なリンクや添付ファイルが含まれているもの
• IRDの公式ドメインと一致しないメールアドレスから送信されているもの
• 文法的な誤りや不自然な書式が含まれている

疑わしい場合は、不審な連絡に応答するのではなく、税務局（IRD）のウェブサイトに記載されている公式窓口を通じて直接IRDにお問い合わせください。

トップへ戻る

今後のセキュリティ強化

人工知能とデータ保護

2024年6月11日、個人情報保護コミッショナー事務局（PCPD）は「人工知能：個人データ保護モデルフレームワーク（Artificial Intelligence: Model Personal Data Protection Framework）」を発表しました。これは、PDPO（個人データ（プライバシー）条例）の遵守において人工知能システムを調達、導入、使用する組織を対象とした、PCPDによる初のガイダンス文書となります。

IRDがシステムの近代化を進めるにあたり、不正検出、リスク評価、サービス向上のためのAI技術の統合は、プライバシー保護の要件とのバランスを取る必要があります。このフレームワークは、イノベーションを推進しながら納税者のデータを保護する、責任あるAI実装のロードマップを提供しています。

重要インフラの保護

香港政府は2024年12月に「重要インフラ（コンピュータシステム）保護法案（Protection of Critical Infrastructures (Computer Systems) Bill）」を公表しました。この法案は、データ漏洩が発生した際に香港の重要な社会的または経済的活動の維持に重大な影響を与えるインフラを含む、重要インフラを保護することを目的としています。

この法案の下では、重要インフラの運用者はサイバーセキュリティ管理計画を実施し、セキュリティリスク評価を行うことが義務付けられます。政府財政および経済の安定性において徴税が果たす重要な役割を考慮すると、eTAXプラットフォームはこの法律に基づく強化されたセキュリティ要件の対象となる可能性があり、サイバー脅威に対する耐性が一層強化されます。

セキュリティの継続的な進化

税務局（IRD）は、定期的なプラットフォームの更新や新たなベストプラクティスの導入を通じて、セキュリティ強化への継続的な取り組みを実証してきました。同局のセキュリティへのアプローチは固定的なものではなく、変化する脅威環境、技術の進歩、およびユーザーのニーズに応じて進化し続けています。

今後は、以下のような分野での継続的な改善が期待されます。

• 現在の「iAM Smart」の機能を超えた、強化された生体認証オプション
• 機械学習と行動分析を活用した高度な脅威検知
• セキュリティと利便性のバランスが取れたユーザーエクスペリエンスの向上
• データ保護を維持しつつ、国際的な税務情報交換システムとの統合を強化
• 暗号化技術の進歩に伴う新たな暗号化規格の採用

トップへ戻る

結論

香港のeTAXプラットフォームは、アクセシビリティ、機能性、セキュリティのバランスが取れた安全なデジタル税務行政への包括的なアプローチを体現しています。iAM Smart/iAM Smart+のような高度な認証メカニズムの統合、堅牢な暗号化プロトコル、個人データ（プライバシー）条例（Personal Data (Privacy) Ordinance）の厳格な遵守、包括的な監査証跡を通じて、IRDは何百万人もの納税者が納税義務を果たすための信頼できる環境を構築しました。

同プラットフォームのセキュリティフレームワークは技術の枠を超え、組織ガバナンス、定期的な第三者監査、国際標準への準拠、継続的なユーザー教育にまで及んでいます。7年間の記録保持要件により、プライバシーの原則を尊重しながら、過去のデータが正当な目的のために確実に利用可能な状態に保たれます。

香港がデジタルトランスフォーメーションを推進し続ける中、eTAXプラットフォームは、データ保護とセキュリティの最高水準を維持しながら、政府サービスがテクノロジーを活用して効率性と利便性を向上させる方法の模範となっています。新たな脅威やベストプラクティスに基づいたセキュリティ対策の継続的な進化により、ますます複雑化するサイバーセキュリティ環境においても納税者のデータは確実に保護され続けます。

納税者にとって、これらのセキュリティ機能を理解することはデジタルプラットフォームの利用に対する安心感につながり、ベストプラクティスを遵守することによってセキュリティを維持する上での自らの役割の重要性を再認識させるものとなります。税務局（IRD）の技術的統制とユーザーのセキュリティ意識の高い行動との連携により、香港の税務行政インフラとそこで処理される機密情報を保護する強靭なエコシステムが構築されます。