利用者認証と多要素認証（MFA）の実務｜パスキー・生体認証・FIDO・パスワード管理

本人確認の組合せでは、認証要素の違いと、認証方式ごとの限界を確認します。用語を覚えるだけでなく、事例の条件に合う対策を選べるように整理しましょう。

科目Aで基本的な意味を確認し、科目Bでは「守る情報・起きた事象・組織のルール・担当者の権限」を読み取ります。本文の確認問題は、考え方を練習するためのオリジナル問題です。

1. 認証の3大要素と多要素認証（MFA）の定義

利用者が本人であることを確認するための根拠は、以下の3つの要素に分類されます。

要素分類	要素の名称	具体例	特徴と固有のリスク
第1の要素	知識要素（Something you know）	パスワード、PINコード、秘密の質問	本人の記憶に基づく。他人に教えたり推測されたり盗まれたりするリスクがある。
第2の要素	所持要素（Something you have）	スマートフォン（SMS/認証アプリ）、ハードウェアトークン、ICカード	物理的・電子的デバイスの所持に基づく。紛失・盗難・SIMスワップのリスクがある。
第3の要素	生体要素（Something you are）	指紋、顔、静脈、虹彩、声紋	身体的特徴に基づく。パスワードのように容易に変更できず、なりすましや誤認識のリスクがある。登録・保管・判定の対策が必要。

「多要素認証」と「多段階認証」の厳密な区別

【最頻出の落とし穴】
「多要素認証」とは、上記3要素のうち
【異なる2つ以上の要素】
を組み合わせて認証することです。例えば、「ID・パスワード（知識）」を入力した後、「秘密の質問（知識）」を答えさせる方式は、2段階のステップを踏んでいますが
同じ知識要素同士の組み合わせであるため「多要素認証」ではなく単なる「多段階認証」
に過ぎません。試験ではこの違いが決定的な正誤判定ポイントとなります。

2. 生体認証の評価指標（FRRとFARのトレードオフ）

生体認証は測定や判定に誤差があり、本人を拒否する誤りと、他人を受け入れる誤りの両方を考慮します。全ての試行で必ず誤りが起きるという意味ではありません。

評価指標	正式名称	発生する事象	しきい値を厳しくした（判定基準を上げた）場合
本人拒否率（FRR）	False Rejection Rate	正規の本人であるにもかかわらず、誤って他人と判定されて拒否される確率	上昇する（本人が入れなくなり、利便性が低下する）
他人受入率（FAR）	False Acceptance Rate	悪意のある他人であるにもかかわらず、誤って本人と判定されて侵入を許す確率	低下する（不正侵入を防ぎ、セキュリティ強度が高まる）

実務においては、FRRとFARが交差する「等誤り率（EER：Equal Error Rate）」を考慮し、重要サーバ室ではFARを極小化し、一般オフィスのPCログオンでは利便性（FRR）とのバランスを取る運用が求められます。

3. FIDO2 / パスキーと公開鍵暗号によるフィッシング耐性

従来のSMS認証やワンタイムパスワード（TOTP）は、攻撃者が偽のログイン画面（中間者攻撃：AiTM）を用意することでリアルタイムに盗み取られるリスクがありました。これに対抗する最新標準が「FIDO2（WebAuthn / CTAP）」および「パスキー（Passkey）」です。

FIDO2・パスキーは、サービスに対応する公開鍵資格情報を使って署名による認証を行う。
端末の本人確認には、生体認証やPINなどを使う。鍵の保管方法や同期の有無は方式による。
正規サービスに結び付いた認証により、偽サイトでの認証情報の悪用を防ぎやすい。端末の乗っ取りや不適切なアカウント復旧まで全て防げるという意味ではない。

4. 科目B形式実戦シナリオ演習

演習1：テレワーク環境における多要素認証の妥当性評価

〔背景〕金融仲介業E社では、全営業社員にノートPCとスマートフォンを貸与し、社外から顧客管理SaaSへのアクセスを許可している。現在、SaaSへのログインは「ID・パスワード」のみで行われており、不正アクセス被害のリスクが懸念されていた。

〔課題と対策案〕セキュリティ担当者は、多要素認証（MFA）を導入するため以下の4つの認証方式案を経営陣に提案した。

案1：ID・パスワード入力後、事前登録した「母親の旧姓」または「出身小学校名」を入力させる方式
案2：ID・パスワード入力後、貸与スマートフォン上の認証アプリに表示されるワンタイムパスワード（TOTP）を入力させる方式
案3：ID・パスワード入力後、PCの画面上に登録済みパスワードのヒントを表示し、追加のPINコードを入力させる方式
案4：パスワードを廃止し、8桁の固定PINコードと予備PINコードの連続入力のみでログインを許可する方式

〔設問〕提案された案のうち、真の「多要素認証（MFA）」として成立しており、フィッシングや推測攻撃に対する耐性を大幅に向上させる方式として最も適切なものはどれか。

【解答と解説】

正解：案2

案2が正解です。知識要素のパスワードと、別に管理されたスマートフォンの認証アプリという所持要素を組み合わせています。パスワードだけが漏れた場合の悪用を防ぎやすくなりますが、ワンタイムパスワードを入力させる偽サイトなどへの注意は必要です。

案1：誤り。パスワードも秘密の質問もどちらも「知識要素」であり、単なる多段階認証に過ぎません。
案3：誤り。パスワードとPINコードはどちらも「知識要素」です。
案4：誤り。PINコードの複数入力は「知識要素」のみであり、多要素認証ではありません。

演習2：生体認証ゲートの誤認識トラブルとチューニング判断

〔背景〕研究開発企業F社では、極秘データを保管するサーバ室への入退室管理として「顔認証ゲート」を新設した。導入初日、登録済みの正規研究員がゲート前で「顔が認識されず扉が開かない」という苦情が続出し、業務に著しい支障が発生した。

〔設問〕この事態を受け、セキュリティリーダーがシステムのしきい値（認証判定基準）を調整する際の判断として、最も適切なものはどれか。

ア：他人受入率（FAR）を下げるようにしきい値を変更し、セキュリティを最優先にする。
イ：本人拒否率（FRR）を下げるようにしきい値を調整し、正規利用者の通過性を改善する。
ウ：生体認証を廃止し、全員に共通の暗証番号（PIN）をドア横に掲示する。
エ：しきい値を最大まで高め、誤認識が発生した場合は警備員がマスターキーで常時開放する。

【解答と解説】

正解：イ

イが正解です。この設問は正規利用者の本人拒否を減らす方向を尋ねています。実際には、照明・撮影条件や登録データも確認します。しきい値の緩和で他人受入が増える場合があり、カード等との併用や許容するリスクを踏まえて調整します。

5. まとめと試験直前チェックリスト

MFAは異なる認証要素を組み合わせる。パスワードと秘密の質問は同じ知識要素。
FRRは本人拒否、FARは他人受入。閾値の調整には利便性と不正受入のトレードオフがある。
パスキーのフィッシング耐性と、端末・復旧手順の管理は別に考える。
パスワードはソルト付きの適切なパスワードハッシュ方式で保存する。

出典と仕様を確認する

IPA：情報セキュリティマネジメント試験シラバス Ver.4.1

NIST：多要素認証