分野 E｜セキュリティ・倫理
利用者認証（多要素認証・パスキー・ワンタイムパスワード）
今の制度の過去問（3回分）では、利用者認証の用語の説明を選ぶ問題が1問、所有を使った認証の例を選ぶ問題が1問、合わせて2問出ています。
シラバス案 Ver.0.1（2026年8月31日公表）の『6-25-1 利用者認証』
最終更新
よく出る形
- 利用者認証の用語（PIN：暗証番号など）の説明を選ぶ（3回分で1問）
- 認証の要素（記憶、所有、生体）のうち、所有（持っている物）を使う例を選ぶ（3回分で1問）
- 問われるとしたら：事例で、パスキー（端末の秘密鍵で認証する方式）を選ぶ形
- 問われるとしたら：多要素認証（複数の要素を使う認証）の a〜c の組合せの形
- 問われるとしたら：多段階認証（段階を分ける認証）の説明を選ぶ形
- 問われるとしたら：ワンタイムパスワード（使い捨てのパスワード）の記述を選ぶ形
覚えること
- 利用者認証：システムを使う人が、本人かどうかを確かめること
- ログイン：利用者 ID とパスワードなどで認証を行い、システムを使える状態にすること
- アクセス管理：認証した利用者ごとに、使える情報や機能の範囲を決めて制御すること
- 認証の3要素：記憶（知っている物）、所有（持っている物）、生体（本人自身の特徴）
- 多要素認証：3要素のうち、種類の異なる2つ以上を組み合わせて認証する方法
- 所有の例：IC カード、SMS で届くワンタイムパスワード
- 多段階認証：認証を何段階かに分けて行う方法で、使う要素の種類は問わない
- PIN コード：本人確認に使う、数字だけから成る暗証番号
- ワンタイムパスワード：一度だけ、または短い時間だけ有効で、再利用できないパスワード
- パスキー：端末内の秘密鍵で認証し、サーバには公開鍵を登録する、パスワードを使わない方式
- シングルサインオン：一度の認証で、複数のサービスを利用できる仕組み
- eKYC：オンラインで完結する本人確認の方法
- 参考：案の用語例の「PIN コード」「パスキー」「多段階認証」は、今のシラバスの利用者認証の用語例にない
- 参考：今のシラバスの用語例にある「SMS 認証」「パスワードレス認証」「EMV 3-D セキュア」は、案の用語例にない
ひっかけ
- 多要素認証は要素の種類の数、多段階認証は段階の数の話
- ID とパスワードの後に別のパスワードを入れても、どちらも記憶なので多要素認証ではない
想定問題
4問（四肢択一）。選ぶと、その場で正解と解説が開きます。
A 社が導入する認証の方式として、最も適切なものはどれか。
A 社は、会員向けの Web サイトで、パスワードの漏えいによる不正ログインを減らしたいと考えている。サーバにはパスワードを保管せず、利用者の端末に保管した秘密鍵を使って本人確認する方式を探している。
正解：エ パスキーによる認証を導入する。
ポイント
パスワードをサーバに保管せず、端末内の秘密鍵を使う認証方式を選ぶ事例の問題です。
考え方と解き方
条件は、サーバにパスワードを置かないことと、端末の秘密鍵で本人確認することの二つです。名前の似た認証の仕組みでも、この二つを満たすのは一つだけです。
- 端末内の秘密鍵で認証し、サーバには公開鍵を登録する方式は、パスキーです。サーバにパスワードがないので、サーバから漏えいしても、パスワードによる不正ログインは起きません。
- したがって、最も適切なのは エ です。
ほかの選択肢
- ア ワンタイムパスワードは、使い捨てのパスワードを入力する方式で、端末の秘密鍵を使う方式ではありません。
- イ 多段階認証は、認証を何段階かに分ける方法で、それだけでは、端末の秘密鍵で本人確認するという条件に当たりません。
- ウ シングルサインオンは、一度の認証で複数のサービスを使える仕組みで、端末の秘密鍵で本人確認する方式ではありません。
覚えておくこと
- パスキー：端末内の秘密鍵で認証し、サーバには公開鍵を登録する、パスワードを使わない方式
- ワンタイムパスワード：一度だけ、または短い時間だけ有効で、再利用できないパスワード
- シングルサインオン：一度の認証で、複数のサービスを利用できる仕組み
（テーマ・覚えること）
多要素認証に該当するものだけを全て挙げたものはどれか。
A 社は、社内システムのログイン方法を見直している。見直し案には、次の a〜c がある。
- a 利用者 ID とパスワードを入力したあと、別の画面で、もう一つの別のパスワードを入力する。
- b 利用者 ID とパスワードを入力したあと、指紋を読み取らせる。
- c IC カードを読み取り機にかざしたあと、顔を読み取らせる。
正解：ウ b、c
ポイント
多要素認証に当たる組合せを、記憶、所有、生体の要素に分けて判定する問題です。
考え方と解き方
二回認証するから多要素認証、と考えると a も選んでしまいます。何回求めるかでなく、どの種類の要素を使うかを見ます。
- a は、二つとも覚えているパスワードなので、記憶の要素だけです。多要素認証ではありません。
- b は、パスワード（記憶）と指紋（生体）の二つの要素なので、多要素認証です。
- c は、IC カード（所有）と顔（生体）の二つの要素なので、多要素認証です。
- したがって、適切なのは b、c で、ウ です。
ほかの選択肢
- ア a、b としていますが、a は記憶の要素だけなので、多要素認証ではありません。c が抜けています。
- イ a、b、c の全てを挙げていますが、a は記憶の要素だけなので、多要素認証ではありません。
- エ c だけとしていますが、b も、記憶と生体の二つの要素を使うので、多要素認証です。
覚えておくこと
- 認証の3要素：記憶（知っている物）、所有（持っている物）、生体（本人自身の特徴）
- 多要素認証：3要素のうち、種類の異なる2つ以上を組み合わせて認証する方法
- 所有の例：IC カード、SMS で届くワンタイムパスワード
（テーマ・覚えること）
多段階認証に該当するものはどれか。
正解：ア 最初の認証のあとに、続けてもう一度、別の認証を求める方法で、要素の種類は問わない。
ポイント
多段階認証がどんな方法かを、認証に関するほかの用語と区別して問う問題です。
考え方と解き方
多段階認証と多要素認証は名前が似ています。認証を二回に分ければ多要素認証にもなる、と思うと、エを選んでしまいます。
- 多段階認証は、認証を何段階かに分けて行う方法です。段階の数の話で、使う要素の種類は問いません。
- したがって、多段階認証に該当するのは ア です。
ほかの選択肢
- イ 利用者ごとに使える範囲を決めて制御することは、アクセス管理です。認証を重ねる方法ではありません。
- ウ 利用者 ID とパスワードなどで認証を行い、システムを使える状態にすることは、ログインです。段階を分ける方法とは別です。
- エ 種類の異なる要素を二つ以上組み合わせる方法は、多要素認証です。要素の種類を数える言葉で、段階の数の話ではありません。
覚えておくこと
- 多段階認証：認証を何段階かに分けて行う方法で、使う要素の種類は問わない
- 多要素認証：3要素のうち、種類の異なる2つ以上を組み合わせて認証する方法
- ログイン：利用者 ID とパスワードなどで認証を行い、システムを使える状態にすること
（テーマ・覚えること）
利用者認証に関する記述のうち、最も不適切なものはどれか。
正解：イ IC カードは、利用者の身体的特徴を読み取るので、認証の要素では、生体に当たる。
ポイント
IC カード、PIN コード、ワンタイムパスワード、シングルサインオンの記述から、不適切な物を選ぶ問題です。
考え方と解き方
IC カードは、カードの中の情報を読み取る物なので、本人の特徴を読み取る生体と思うと、イが適切に見えます。
- イは、IC カードを、生体の要素としています。IC カードは、利用者が持っている物なので、所有の要素です。
- したがって、最も不適切なのは イ です。正しくは、IC カードは、所有の要素です。
ほかの選択肢
- ア 本人確認に使う、数字だけから成る暗証番号は、PIN コードで、適切です。
- ウ 一度だけ、または短い時間だけ有効なパスワードは、ワンタイムパスワードで、再利用できないので、適切です。
- エ 一度の認証で複数のサービスを利用できる仕組みは、シングルサインオンで、適切です。
覚えておくこと
- 所有の例：IC カード、SMS で届くワンタイムパスワード
- PIN コード：本人確認に使う、数字だけから成る暗証番号
- ワンタイムパスワード：一度だけ、または短い時間だけ有効で、再利用できないパスワード
（テーマ・覚えること）
このテーマの過去問
過去問を解く（2問）同じ分野のテーマ（セキュリティ・倫理）
- 情報セキュリティの脅威（なりすまし・ソーシャルエンジニアリング・シャドーIT）今の制度の過去問（3回分）では、脅威と脆弱性の用語、IoT 機器の脅威と対策、ダークウェブが、合わせて5問出ています。
- マルウェアの種類（ランサムウェア・トロイの木馬・スパイウェア）今の制度の過去問（3回分）では、ランサムウェアの説明が1問出ています。
- SQLインジェクション・XSS・DoS攻撃・パスワードリスト攻撃今の制度の過去問（3回分）では、バッファオーバーフローへの対策と、ゼロデイ攻撃・DDoS 攻撃・ブルートフォース攻撃の区別が、合わせて2問出ています。
- フィッシング・標的型攻撃・中間者攻撃とAIを悪用した攻撃今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 情報セキュリティの考え方とマネジメント（機密性・完全性・可用性・ゼロトラスト）今の制度の過去問（3回分）では、3要素の区別、ゼロトラスト、ISMS の最初の手順、経営者の役割、インシデントの管理が、合わせて7問出ています。
- リスクアセスメント（情報資産台帳・リスク分析・リスク評価）今の制度の過去問（3回分）では、ISMS の活動としての、情報資産の洗い出しとリスクの特定・分析・評価が、1問出ています。
- リスク対応（リスク回避・移転・分散・保有）今の制度の過去問（3回分）では、リスク共有の例と、リスク対応の分類の記述が、合わせて2問出ています。
- 情報セキュリティポリシー・CSIRT・ISMAP・各種ガイドライン今の制度の過去問（3回分）では、情報セキュリティ方針の記述、ポリシーを作る作業の順番、CSIRT の活動の例が、合わせて3問出ています。
- マルウェア対策とランサムウェア対策（パターンマッチング・バックアップ）今の制度の過去問（3回分）では、ランサムウェア対策のバックアップが2問、マルウェア感染を防ぐ対策が1問、合わせて3問出ています。
- 暗号（共通鍵暗号・公開鍵暗号・ハッシュ関数）今の制度の過去問（3回分）では、共通鍵暗号方式と公開鍵暗号方式が2問、ハッシュ関数が1問、ブロックチェーンの適用例が1問、合わせて4問出ています。
- デジタル証明書・デジタル署名・PKI今の制度の過去問（3回分）では、PKI と認証局、CRL、デジタル署名、リスクベース認証が、合わせて5問出ています。
- 生体認証（顔認証・静脈認証・本人拒否率FRR・他人受入率FAR）今の制度の過去問（3回分）では、生体認証の例を選ぶ問題が1問、他人受入率と本人拒否率の関係を選ぶ問題が2問、合わせて3問出ています。
- 脆弱性対策とセキュリティ製品（ファイアウォール・WAF・IDS・IPS・EDR）今の制度の過去問（3回分）では、WAF と IDS の説明が、合わせて2問出ています。
- 情報モラルとネチケット（メール誤送信・BCC・デジタルタトゥー）今の制度の過去問（3回分）では、電子メールの宛先欄（Cc と Bcc）に関する問題が、合わせて2問出ています。
- フェイクニュースとデータの不正（ねつ造・盗用・エコーチェンバー）今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- AI倫理とAIのリスク（ハルシネーション・説明可能なAI・生成AIの利用上の注意）今の制度の過去問（3回分）では、ハルシネーションと、AI を使うときの留意点が、合わせて2問出ています。
- 著作権・特許法・商標法・不正競争防止法（営業秘密）今の制度の過去問（3回分）では、著作権、産業財産権、不正競争防止法（限定提供データ）が、合わせて6問出ています。
- 労働基準法・労働契約法・36協定（労働時間と働き方）今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 労働者派遣法・偽装請負・パワハラ防止法・公益通報者保護法今の制度の過去問（3回分）では、労働者派遣と偽装請負が、合わせて2問出ています。
- 特定商取引法・景品表示法・資金決済法（取引関連法規）今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 民法と契約（請負契約・準委任契約・守秘契約NDA・ライセンス契約）今の制度の過去問（3回分）では、請負契約の注文者と請負業者の権利と義務が、1問出ています。
- AI基本法・デジタル社会形成基本法・リサイクル法（デジタル・環境関連法規）今の制度の過去問（3回分）では、官民データ活用推進基本法で、官民データを所有する組織を問う問題が、1問出ています。
- 個人情報保護法（個人データ・要配慮個人情報・匿名加工情報）今の制度の過去問（3回分）では、匿名加工情報の説明を選ぶ問題が、1問出ています。
- マイナンバー法・GDPR・忘れられる権利今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- オプトイン・オプトアウト・第三者提供・データマスキング（同意の取得）今の制度の過去問（3回分）では、個人データの提供で本人の同意が要らない場合が、1問出ています。
- 不正アクセス禁止法（アクセス制御機能・不正アクセス行為）今の制度の過去問（3回分）では、不正アクセス禁止法で規制される行為を選ぶ問題が、1問出ています。
- ウイルス作成罪・サイバーセキュリティ基本法・特定電子メール法今の制度の過去問（3回分）では、サイバーセキュリティ基本法が2問、特定電子メール法が1問、合わせて3問出ています。