ITパスポートのアクセス管理｜認証・認可・多要素認証の違い

アクセス管理の過去問では、本人かどうかを確認する「認証」と、何をしてよいかを決める「認可」を区別します。多要素認証は、確認方法の数だけでなく、要素の分類に注目しましょう。

1. 認証 vs 認可：似て非なる2つのセキュリティゲート

2. 認証の3大要素と多要素認証（MFA）

【多要素認証（MFA）の絶対ルール】：異なる2つ以上の「要素の分類」を組み合わせること。（例：「パスワード（知識）」＋「スマホSMS認証（所持）」はMFAだが、「パスワード」＋「秘密の質問」はどちらも知識情報であるため多要素認証とは言えない単なる2段階認証）。

3. アクセス制御モデル：最小権限の原則とRBAC

• 【最小権限の原則】：ユーザーやプロセスには、業務を遂行するために「必要最低限の権限」のみを付与し、余分な権限を与えない原則。

• 【ロールベースアクセス制御 (RBAC)】：個々のユーザーに直接権限を割り当てるのではなく、「営業リーダー」「経理担当者」などの役割（ロール）を定義し、ロールに対して権限を付与する方式。

• 【シングルサインオン (SSO)】：1回の認証を行うだけで、連携する複数の業務システムやクラウドサービスにログインできる仕組み。

4. 【実戦演習 問1】認証と認可の区別

【問題】情報セキュリティにおける「認証」と「認可」の役割に関する記述として、最も適切なものはどれか。

• ア：認証は利用者が本人であるかを確認する処理であり、認可は確認された利用者に対して特定リソースの利用権限を与える処理である。

• イ：認証は利用者がアクセスできるファイル権限を設定する処理であり、認可はログイン時のパスワードを照合する処理である。

• ウ：認証と認可は同一の意味であり、JIS規格において名称が統一されている。

• エ：認証は社外の通信暗号化を指し、認可は社内LANの通信制限を指す。

【正解】ア

解説

• ア：正解。本人の身元を確認するのが「認証（AuthN）」、その本人に何ができるかを許可するのが「認可（AuthZ）」です。

• イ：誤り。説明が逆になっています。

• ウ：誤り。明確に異なる概念です。

• エ：誤り。通信の暗号化を認証、社内LANの制限を認可と呼ぶわけではありません。

5. 【実戦演習 問2】多要素認証（MFA）の適切な組み合わせ

【問題】Webサービスへのログインにおいて、「多要素認証（MFA）」に該当する組み合わせとして、最も適切なものはどれか。

• ア：英数字を組み合わせた8文字のパスワード と 母親の旧姓（秘密の質問）

• イ：4桁のPINコード と 6桁の数字による秘密の合言葉

• ウ：事前に登録したパスワード と スマートフォン宛に届くSMSのワンタイム認証コード

• エ：社員証のICカードのタッチ と 所持するセキュリティUSBトークンの挿入

【正解】ウ

解説

• ア：誤り。パスワードも秘密の質問も「知識情報」であり、単一の要素です。

• イ：誤り。PINも合言葉も「知識情報」です。

• ウ：正解。「パスワード（知識情報）」＋「スマホ端末でのSMS（所持情報）」という異なる2つの要素を組み合わせており、多要素認証に該当します。

• エ：誤り。ICカードもUSBトークンも「所持情報」であり、同一要素の重複に過ぎません。

出典と仕様を確認する

IPA：ITパスポート試験シラバス Ver.6.5

NIST：多要素認証