奈及利亞國民身分管理委員會(NIMC)表示,其全國身分資料庫完全託管於國內,並由自有員工管理;此一聲明發布之際,數位身分驗證在公共服務中正變得日益重要。

NIMC策略計畫辦公室主任Alvan Ikoku在週三的記者簡報會上透露相關細節。他回應了關於奈及利亞民眾身分資料儲存地點、基礎設施由誰掌控,以及委員會如何防止資料外洩等疑慮。

「資料是由奈及利亞人管理,不是奈及利亞的供應商,而是NIMC的員工。」Ikoku表示。他強調,委員會從未將身分資料託管於奈及利亞境外,核心資料庫不使用雲端託管,並備有災難復原系統,以在故障發生時維持服務運作。

這番言論出現之時,資料在地化正日益主導奈及利亞關於公民個人資料控制權的討論。將資料保留在國境之內解決了儲存地點的問題,但保護資料還需要有效控管誰能存取,以及在遭到濫用時的問責機制。

據NIMC表示,截至2026年9月,已有1.42億奈及利亞人註冊國民身分號碼(National Identification Numbers),即分配給每位註冊者的唯一識別碼。資料外洩可能使數百萬人的個人資料暴露,而系統停擺則可能干擾基本服務。僅靠境內管並不能保證安全;嚴格的存取控制、監控以及對濫用行為的問責仍然至關重要。

Ikoku表示,NIMC在內部維護其核心資料庫,並讓員工——特別是負責資料庫管理者——持續接受安全機關的審查。他補充,員工若有不當行為可能面臨法律後果。

中央資料庫由內部控管,並不代表NIMC監管身分資料被存取的每一個環節。特許合作夥伴與連線的政府機關也參與提供驗證服務,形成更多必須管理並保護個人資料存取的節點。

過往的資安疑慮集中在透過驗證渠道的存取,而非中央資料庫遭確認入侵。2024年3月,關於XpressVerify——一個提供奈及利亞民眾身分資訊的網站——的報導,引發了該平台如何取得存取權的質疑。NIMC當時表示XpressVerify並非特許合作夥伴,並下令調查獲授權的驗證代理人或其轉授權對象是否違反特許協議。奈及利亞資料保護委員會隨後表示,NIMC已暫停資料庫存取,之後才恢復提供基本公共服務機構的有限存取。

此事件凸顯了資料所在地與存取治理之間的重要區別。將身分紀錄儲存在奈及利亞境內的基礎設施上,本身並無法防止經由獲授權請求驗證的機構造成資料暴露——隨著越來越多機構接入身分系統,此風險也隨之增加。

Ikoku表示,約有63個政府機關已與NIMC整合,包括涉及考試、學生貸款、消費信貸與健康保險的機構。

「機關準備好整合是一回事,」Ikoku說。「我們要做的只是提供應用程式介面供他們使用。但我在這個整合計畫工作中也發現,有些機關尚未達到——該怎麼說呢——成熟度,也就是數位成熟度,甚至無法完成整合上的對接。」

Ikoku表示,對系統已就緒的機關而言,透過NIMC的應用程式介面(API)進行串接大約需要72小時。不過,整合紀錄與系統則需要更多客製化工作。

Ikoku也表示,2026年NIMC法要求遵守奈及利亞資料保護法,並為揭露已註冊者的資訊設定條件,包括同意、法定義務、公共利益職能、刑事調查與法院程序。

他表示,NIMC的角色是驗證身分,而非保留其他機構提出驗證請求背後的原因。

「委員會的職責是協調身分驗證與查驗,但委員會需要進行的驗證可能來自另一個實體,」Ikoku說。「保留該請求或該驗證的原因不是委員會的業務。委員會不會這麼做,其或受任人也不會以任何方式這麼做。」

Ikoku表示,使用者可透過NIMC的驗證應用程式管理並撤回同意,但須遵守法定例外情況。不過,這場簡報會並未提供使用數據,也未示範公民如何查閱存取紀錄、對濫用行為提出異議或申訴。

Ikoku表示,NIMC在現代化身分基礎設施的同時,也在開發數位憑證、證書與簽章的框架,但相關技術標準、治理安排與實施法規仍在制定中。

將敏感資料保留在奈及利亞境內的推動,不僅限於身分管理。2026年6月,奈及利亞中央銀行指示銀行與支付公司,在2027年1月1日前將國內產生的支付交易資料於本地儲存與管理。政府於8月正式化的「國家主權雲端倡議」(National Sovereign Cloud Initiative),同樣旨在擴大本地雲端基礎設施。這些待定的法規,加上央行的期限,為該國的在地化推動能否從資料儲存地點延伸至存取治理,提供了具體的檢視指標。