第3回：働き方編——履歴書のない社会は実現するのか？【『真に自由な』プロフェッショナリズムシリーズ】

監視社会からの脱却——ゼロ知識証明が実現する『真に自由な』プロフェッショナリズム
第3回：働き方編——履歴書のない社会は実現するのか？

私たちは長い間、「履歴書」という紙の上で評価されてきました。

どこの大学を卒業したのか。
どの企業で働いたのか。
どの肩書きを持っているのか。

現代の採用市場は、一見すると能力主義のように見えます。
しかし実際には、多くの場合「所属歴」や「ブランド」によって判断されています。

有名大学。
大企業勤務。
著名プラットフォームでの高評価。

それらは確かに能力を推測する材料になります。
しかし本当に重要なのは、その人自身の知識や技術、人格や実績ではないでしょうか。

Web3時代に登場した Verifiable Credentials（VC：検証可能な資格証明）は、この問題に対する新しい解決策を提示しています。

それは「履歴書を不要にする技術」ではありません。

むしろ、

「組織ではなく個人を証明する技術」

なのです。

構成

前回のDID編から、「DID → VC → ZKP → 信用経済」という流れになっています。

クレデンシャルとは何か

本人確認（認証）や権限の証明に用いられる
「資格情報」や「証明書」「経歴」のこと

「Credential（クレデンシャル）」とは、もともと資格情報や証明書を意味する言葉です。

IT分野ではログイン認証に用いるIDやパスワードなどを指します。

• クレデンシャルの日本語
  「認証情報」「資格情報」
• 具体例
  IDとパスワードの組み合わせ・PIN（暗証番号）・デジタル証明書・指紋や顔などの生体認証データ

一方でビジネスや教育分野では、

• 学位
• 資格
• 職務経歴
• 在籍証明
• 推薦状

外交
（大使・公使などに授ける）信任状

などを意味します。

つまりクレデンシャルとは、

「その人が何者であるかを証明する情報」

なのです。

しかし従来のクレデンシャルには大きな問題があります。

それは、

証明の主体が常に組織側にある

ということです。

大学が証明する。
企業が証明する。
プラットフォームが証明する。

個人は常に「証明される側」に留まっていました。

クレデンシャル攻撃（ハッキング）の関連ワード

クレデンシャルスタッフィング（パスワードリスト攻撃）
他サイトから漏洩したIDとパスワードのリストを使い、自動化ボットで別サイトへのログインを連続試行する手法。

クレデンシャルハーベスティング（認証情報窃取）
フィッシングサイトやマルウェアを通じて、ユーザーから直接ログイン情報を騙し取る行為。

パス・ザ・ハッシュ（PtH）／パス・ザ・チケット（PtT）
PtH攻撃はWindowsドメイン以外を標的、PtT攻撃はWindowsドメイン環境に特化した攻撃。
PtHはNTLM認証の暗号化されたパスワードハッシュを、PtTはKerberos認証チケットを盗み、パスワードを解読することなく別サーバーへの認証を突破する高度な手口。

パス・ザ・ハッシュ（Pass-the-Hash）

仕組み
パスワードそのものではなく、WindowsのメモリやデータベースにNTLMハッシュとして保存された「パスワードハッシュ（暗号化された文字列）」を盗み出し、それをそのまま認証に使ってシステムへログインします。

特徴
攻撃者は元のパスワードを解読（クラック）する必要がありません。
ハッシュ値さえ入手すれば、パスワードを知らなくてもそのユーザーになりすますことができます。

パス・ザ・チケット（Pass-the-Ticket）

仕組み
Active Directory（AD）環境で使われるKerberos認証において、認証サーバーから発行された「TGT（Ticket Granting Ticket）」やサービスチケットを盗み出し、そのまま再利用します。

特徴
Windowsのメモリ内から正規のチケットを抽出し、別の端末に送り込むことで本人になりすまし、ネットワーク内の他システムへ次々と侵害を広げる横展開（ラテラルムーブメント）に多用される手口です。

ブルートフォースアタック（Brute force attack 総当たり攻撃）
特定のアカウントに対し、数字や文字の組み合わせを片っ端から試してパスワードを割り出す古典的な手法

さらに詳しい定義や技術的な仕組みについては、以下の公式情報をご確認ください。

•  SOMPO CYBER SECURITY（2019）の解説で、認証情報の重要性やサイバー攻撃の概要がわかります。
  
  クレデンシャルとは【用語集詳細】

  SOMPO CYBER SECURITY サービスサイトです。SOMPO CYBER SECURITYは企業リスクのプロとした培った経営リスク対策の経験と実績に加え、豊富な実績のパートナーのソリューシ...

  www.sompocybersecurity.com

対策

• 多要素認証の導入など
• 攻撃の検知（ログ監視など）の手法

認証の強化

• 多要素認証（MFA）の導入
• 特権アカウントの最小権限化（Least Privilege）
• ローカル管理者アカウントの共通パスワード廃止（LAPS導入）

攻撃手法ごとの技術的対策

• クレデンシャルスタッフィング対策：レートリミット（悪意のあるボット・当たり攻撃などをブロック）、CAPTCHA（スパムや不正アクセスからサイトを守る）の導入
• PtH対策：Windows Defender Credential Guard の有効化、NTLM認証の制限
• PtT対策：Kerberosチケットの有効期限短縮、異常なチケット使用の監視

検知・監視

• ログ監視（Security Information and Event Management, SIEM等）による異常なログイン試行の検出
• EDR（Endpoint Detection and Response）の導入
• ラテラルムーブメントの兆候をリアルタイム検知

Verifiable Credentialsとは何か

偽造できないデジタル証明

近年、ITの世界では「Verifiable Credentials（VC：検証可能な資格証明）」という技術が急速に普及しています。

Verifiable Credentials（VC）は、

暗号技術によって真正性を保証されたデジタル証明書

です。

データや事実が正しいかどうかを、第三者が客観的に確認・チェックできる状態を指します。

• [vérəfὰɪəbl] 形容詞
  証明できる・立証（検証）できる
• Verifiable -ビジネスや学術での意味
  証拠に基づく発言
  会議や論文での主張が、データや統計といった「検証可能な事実」に裏付けられている状態。
  明確な目標設定
  プロジェクトの目標が、達成の可否を数値で確認できる状態。

第三者による検証

たとえば大学が卒業証明書を発行するとします。
従来なら企業は、

「本当に卒業したのですか？」

と大学へ問い合わせる必要がありました。

しかしVCでは違います。
企業は暗号署名を検証するだけで、

• 改ざんされていない
• 正規発行された
• 本人が所有している

ことを即座に確認できます。

つまり、

証明書の真偽確認コストがほぼゼロになる

のです。

例
学校の卒業証明書・会社の在籍証明書・デジタル免許証など

履歴書の問題

現在の履歴書は極めて非効率です。

転職のたびに作り直す。
応募のたびに提出する。
証明書を添付する。

採用担当者はそれを読み、
場合によっては確認作業を行う。

さらに問題なのは、
履歴書の多くが「自己申告」であることです。

本当にそのスキルを持っているのか。
本当にそのプロジェクトを担当したのか。
本当にその資格を保有しているのか。

確認には時間も費用もかかります。

そのため企業は結局、
大学名や企業名といった「ブランド」を判断材料にしてしまいます。

スキルそのものを証明する時代

• 個人認証や手続きの利便性が飛躍的に向上する
• 偽造や改ざんが困難になり、社会の信頼担保の仕組みが変わる

VCが普及すると状況は変わります。

例えば、

• プログラミング技能
• 語学能力
• デザインスキル
• プロジェクト実績

これらが検証可能な形で発行されるようになります。

企業は履歴書を見るのではなく、
実際に証明された能力を見るようになります。

学歴よりも技能。
所属よりも成果。
肩書きよりも実力。

評価の重心が移動するのです。

Web3時代の採用

現在の採用市場は巨大プラットフォームに依存しています。

求人サイト。
転職エージェント。
SNS。

そこでは企業も個人も、
プラットフォームのルールの中で活動しなければなりません。

しかしVCとDIDが組み合わさると、
個人は自身の資格証明を直接保有できます。

どのサービスが消えても、
どの企業を辞めても、

証明は失われません。

これはキャリアにおける「ポータビリティ」の革命です。

履歴書ではなく、
検証可能な実績ポートフォリオを持ち歩く世界。

それがWeb3採用の本質です。

ゼロ知識証明が加わると何が起きるか

さらに重要なのがゼロ知識証明です。

たとえば企業が知りたいのは、

「東京大学卒かどうか」
ではなく、

「一定以上の専門知識を持つか」
かもしれません。

また、

「何歳か」
ではなく、

「18歳以上か」
だけを知りたい場合もあります。

ゼロ知識証明を使えば、
余計な個人情報を公開せず、
必要条件だけを証明できます。

つまり、

• 学歴差別
• 年齢差別
• 性別バイアス
• 出身地バイアス

を大幅に減らせる可能性があります。

能力だけを証明する社会。
これは採用の公平性を大きく変えるかもしれません。

信用経済の再構築

現代社会では信用もまた中央集権化されています。

企業ブランド。
プラットフォーム評価。
フォロワー数。
レビューサイト。

しかし本来の信用とは、
個人が積み重ねた行動の履歴です。

VCによって、

• 契約履行履歴
• 学習履歴
• プロジェクト実績
• ボランティア活動
• 研究成果

などを検証可能な形で保有できるようになります。

すると信用は企業が与えるものではなく、
個人が持ち運ぶものになります。

これは「信用の民主化」と呼べる変化です。

良識ある個人が正当に評価される社会へ

歴史を振り返ると、
権力は常に情報を独占することで支配を維持してきました。

学歴証明も、
職歴証明も、
身分証明も、

その多くは組織側が管理してきました。

しかしDIDとVC、そしてゼロ知識証明は、
その構造を反転させます。

個人が情報の所有者となり、
必要なときだけ必要な証明を行う。

しかも改ざんはできない。

これは単なる採用技術ではありません。

「誰が個人を証明・評価する権限を持つのか」

という社会設計そのものの変化です。

終わりに

履歴書のない社会は、すぐには実現しないでしょう。

しかし履歴書だけで評価される社会は、確実に終わりへ向かっています。

これから重要になるのは、
どこに所属していたかではなく、

何を証明できるか。

誰に評価されたかではなく、
どのような実績を積み重ねたか。

Verifiable Credentialsとゼロ知識証明は、
監視社会への対抗技術であると同時に、
個人の自由を回復する技術でもあります。

組織のしがらみを超えて。
肩書きの壁を超えて。

良識ある個人が正当に評価される社会へ。

その第一歩が、検証可能な資格証明という新しい仕組みなのです。

企業とプロフェッショナルをつなぐマッチングプラットフォーム

フリーコンサルエージェント
企業とプロフェッショナルをつなぐマッチングサービス

New Ace（ニューエース）

PR：VANES株式会社

概要: 特設ページ

 

最後まで読んでくださいまして、ありがとうございます。