分野 S｜セキュリティ 重点分野
利用者認証（多要素認証・SSO・ID連携）
今の制度の過去問（6回分）では、認証の方式を選ぶ問題が3問出ています。
シラバス案 Ver.0.1（2026年9月30日公表）の『4 技術的管理策に関する技術・手法（情報アクセスの管理）／利用者の認証・認可・ID連携』
最終更新
問われ方
- リスクベース認証の説明を選ぶ形
- チャレンジレスポンス認証の仕組みを選ぶ形
- 問われるとしたら：多要素認証と多段階認証のちがいを選ぶ形
- 問われるとしたら：場面と立場から、認証の方式を選ぶ形
覚えること
- ログイン：利用者 ID（名乗る）とパスワード（確かめる）の組
- アクセス管理：認証した利用者に、権限の範囲で情報資産を使わせる
- 認証の3要素：知識（パスワード、PIN コード）、所持、生体
- PIN コード：数字の暗証番号。知識による認証
- 所持の例：使うたびに数字が変わるトークン、IC カード
- 多要素認証：3要素のうち、異なる2つ以上を組み合わせる
- 多段階認証：認証を2回以上に分ける。同じ要素なら多要素認証ではない
- ワンタイムパスワード：使うたびに変わり、1回だけ有効なパスワード
- チャレンジレスポンス認証：サーバーの乱数とパスワードを演算し、結果を送る
- チャレンジレスポンス認証では、パスワードそのものは送らない
- リスクベース認証：いつもと異なる IP アドレスなどのとき、追加の認証を行う
- シングルサインオン：1回の認証で、複数のサービスを使える
- ID 連携：認証した結果を、ほかのサービスとの間で受け渡す
- SSO の認証が破られると、つながる複数のサービスを使われるおそれ
- 用語名：eKYC、EMV 3-D セキュア（3D セキュア 2.0）
ひっかけ
- 多段階（認証の回数）と多要素（要素の種類）の取りちがえ
- リスクベース認証（状況で追加）と、全アクセスでの追加認証の取りちがえ
想定問題
4問（科目A（四択））。選ぶと、その場で正解と解説が開きます。
E さんが、パスワードに追加する認証として、最も適切なものはどれか。
経理部の部長の E さんは、部門で使うクラウドの会計サービスで、パスワードが漏えいしても、不正にログインされにくくしたい。サービスでは、パスワードに追加する認証を、次のア〜エから選んで設定できる。
正解：イ 登録済みのスマートフォンに表示される、一定時間ごとに変わる数字を入力させる。
ポイント
パスワードに追加する認証を、要素の種類から選ぶ問題です。
考え方と解き方
パスワードが漏れた時に守りを足すには、パスワードと別の要素が要ります。同じ要素を重ねても多要素認証にはならず、パスワードと同じ経路で漏れるおそれがあります。利用部門の責任者の立場なら、追加する認証がどの要素かを先に考えます。
- パスワードは知識の要素です。ペットの名前、PIN コード、合言葉は、いずれも知識の要素です。
- スマートフォンに表示される数字は、持っている物に表示される所持の要素です。知識と所持を組み合わせると多要素認証になります。したがって、最も適切なのは イ です。
ほかの選択肢
- ア ペットの名前も知識の要素なので、パスワードと同じ要素の重ね掛けです。多要素認証にはなりません。
- ウ PIN コードも知識の要素なので、パスワードと同じ要素です。多要素認証にはなりません。
- エ 合言葉も知識の要素です。部門で共通なので、漏れた時の影響も広くなります。
覚えておくこと
- 多要素認証：3要素のうち、異なる2つ以上を組み合わせる
- 認証の3要素：知識（パスワード、PIN コード）、所持、生体
- ワンタイムパスワード：使うたびに変わり、1回だけ有効なパスワード
（テーマ・覚えること）
F さんが SSO の導入に合わせて行う対応として、最も適切なものはどれか。
A 社の情報セキュリティ管理者の F さんは、従業員が使う 8 つの業務システムのログインを、シングルサインオンにまとめることにした。利用者の手間を減らしつつ、安全性も保ちたい。
正解：エ SSO の窓口の認証を、パスワードに追加の要素を組み合わせる多要素認証にする。
ポイント
シングルサインオンの導入で、窓口の守りをどうするかを問う問題です。
考え方と解き方
SSO は窓口が1つなので、破られると複数のサービスを使われるおそれがあります。管理者の立場なら、手間の削減と引き換えに、窓口の守りを強くすることを先に考えます。
- SSO では、1回の認証でつながる複数のサービスを使えます。窓口の認証が破られると、同じ範囲を使われるおそれがあります。
- 窓口の認証を多要素認証にすると、パスワードが漏れても守れます。したがって、最も適切なのは エ です。
ほかの選択肢
- ア PIN コードだけにすると、窓口の守りが弱くなります。破られた時の影響は、つながる全サービスに及ぶおそれがあります。
- イ 認証と、使える範囲を決めるアクセス管理は別です。窓口を1つにしても、権限の設定は必要です。
- ウ システムごとに個別のパスワードを使い続けると、SSO にまとめる目的の、利用者の手間の削減に合いません。
覚えておくこと
- SSO の認証が破られると、つながる複数のサービスを使われるおそれ
- アクセス管理：認証した利用者に、権限の範囲で情報資産を使わせる
- 多要素認証：3要素のうち、異なる2つ以上を組み合わせる
（テーマ・覚えること）
認証について、適切なものだけを全て挙げたものはどれか。
A 社の情報セキュリティ管理者の G さんは、従業員向けの認証の資料に、次の a〜c を書いた。
- a ワンタイムパスワードは、使うたびに変わる、1回だけ有効なパスワードである。
- b リスクベース認証は、普段と違う国からのログインのとき、追加の認証を行う。
- c 多段階認証は、認証を2回に分けるので、2回とも知識の要素でも多要素認証になる。
正解：ア a、b
ポイント
認証の用語を、取りちがえずに選ぶ問題です。
考え方と解き方
多段階認証は回数、多要素認証は要素の種類で決まります。回数が2回でも、同じ要素なら多要素認証ではありません。
- a は適切です。使うたびに変わり、1回だけ有効です。b は適切です。通常と異なる状況の時に追加の認証を行います。c は不適切です。2回とも知識の要素なら、要素は1種類で、多要素認証ではありません。
- したがって、適切なのは a、b の全てで、ア です。
ほかの選択肢
- イ c は不適切なので、a、b、c の全てとはなりません。
- ウ c は不適切なので、a、c とはなりません。また、b も適切なので、含まれていないと合いません。
- エ a も適切なので、b、c だけでは組合せが合いません。また、c は不適切です。
覚えておくこと
- ワンタイムパスワード：使うたびに変わり、1回だけ有効なパスワード
- リスクベース認証：いつもと異なる IP アドレスなどのとき、追加の認証を行う
- 多段階認証：認証を2回以上に分ける。同じ要素なら多要素認証ではない
（テーマ・覚えること）
ID 連携の説明として、最も適切なものはどれか。
正解：ウ 認証した結果を、ほかのサービスとの間で受け渡し、そのサービスでの認証に使えるようにすること。
ポイント
ID 連携を、似た仕組みと区別して選ぶ問題です。
考え方と解き方
似た用語は、何をするものかで区別します。認証した結果を受け渡すのが ID 連携、認証した後に権限の範囲で使わせるのがアクセス管理です。ID やパスワードを統一する話とも、別です。
- ID 連携は、認証した結果を、ほかのサービスとの間で受け渡す仕組みです。受け取ったサービスは、その結果を認証に使えます。
- ほかの説明は、別の仕組みです。したがって、最も適切なのは ウ です。
ほかの選択肢
- ア ID とパスワードを同じ値にそろえると、1つが漏れた時にほかのサービスも使われるおそれがあります。認証した結果を受け渡す ID 連携とは別です。
- イ 認証した利用者に、権限の範囲で使わせるのは、アクセス管理の説明です。
- エ 使うたびに変わる、1回だけ有効なパスワードは、ワンタイムパスワードの説明です。
覚えておくこと
- ID 連携：認証した結果を、ほかのサービスとの間で受け渡す
- アクセス管理：認証した利用者に、権限の範囲で情報資産を使わせる
- ワンタイムパスワード：使うたびに変わり、1回だけ有効なパスワード
（テーマ・覚えること）
このテーマの過去問
- 令和8年度 問4チャレンジレスポンス認証方式に該当するものは…科目A（四択）
- 令和6年度 問5リスクベース認証の説明として，適切なものはど…科目A（四択）・まずこの1問
- サンプル問題（2022年12月） 問24リスクベース認証に該当するものはどれか。科目A（四択）
同じ分野のテーマ（セキュリティ）
- 脅威の種類・脆弱性・不正の動機今の制度の過去問（6回分）では、不正のトライアングル、ソーシャルエンジニアリング、ビジネスメール詐欺（BEC）の説明が、合わせて3問出ています。
- マルウェアの種類（ランサムウェア・ボット・トロイの木馬）今の制度の過去問（6回分）では、ルートキットの特徴とボットネットの C&C サーバの役割が、1問ずつ、合わせて2問出ています。
- 攻撃の流れと認証情報を狙う攻撃（総当たり・リプレイ）今の制度の過去問（6回分）では、サイバーキルチェーンの説明とパスワードリスト攻撃の説明が、1問ずつ、合わせて2問出ています。
- アプリの不備を狙う攻撃とDoS攻撃今の制度の過去問（6回分）では、ランダムサブドメイン攻撃で起きることが1問出ています。
- 信頼を悪用する攻撃（フィッシング・標的型・中間者）今の制度の過去問（6回分）では、DNS キャッシュポイズニングが2問、SEO ポイズニングが1問、合わせて3問出ています。
- AIを使う攻撃・AIへの攻撃・サプライチェーン攻撃・ゼロデイ攻撃今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 情報セキュリティの考え方（CIA・ゼロトラスト・責任共有）今の制度の過去問（6回分）では、ゼロトラストの説明を選ぶ問題が1問出ています。
- 情報資産とリスクアセスメント（台帳・リスクレベル）今の制度の過去問（6回分）では、リスクアセスメントのプロセスやリスクレベルの定義が3問出ています。
- リスク対応（回避・低減・移転・保有）今の制度の過去問（6回分）では、残留リスクとリスク受容の承認を選ぶ問題が2問出ています。
- 情報セキュリティ方針と諸規程今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- セキュリティ関連の組織・機関（CSIRT・SOC・JPCERT/CC）今の制度の過去問（6回分）では、組織内 CSIRT の構築を支援する資料の選択と、CRYPTREC の役割が、1問ずつ、合わせて2問出ています。
- 届出制度・評価制度・ガイドライン（ISMAP・CSF）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 情報セキュリティマネジメントシステム（ISMS・JIS Q 27001）今の制度の過去問（6回分）では、是正処置の定義を選ぶ問題が1問出ています。
- 組織的管理策（ISMSの管理策の区分。資産管理・供給者管理・インシデント管理）今の制度の過去問（6回分）では、デジタルフォレンジックスの説明を選ぶ問題が1問出ています。
- 人的・物理的・技術的管理策の分類（ISMSの管理策の区分）今の制度の過去問（6回分）では、サポートユーティリティの例を選ぶ問題が1問出ています。
- 脅威インテリジェンスとインシデント管理今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 人的対策（内部不正防止・訓練・守秘）今の制度の過去問（6回分）では、内部不正防止ガイドラインに照らした、退職者に関する対策を選ぶ問題が1問出ています。
- 物理的対策とモバイル機器の管理今の制度の過去問（6回分）では、アンチパスバックの仕組みを選ぶ問題が1問出ています。
- アクセス制限と暗号化（最小特権・ストレージ暗号化）今の制度の過去問（6回分）では、セキュア OS のアクセス制御と管理者権限の問題、ストレージの抜き取りへの対策の問題が 2 問出ています。
- 生体認証とパスワードレス認証（FRR・FAR・パスキー）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- マルウェア対策とランサムウェア対策（検出手法・バックアップ）今の制度の過去問（6回分）では、マルウェアの検出方法を選ぶ問題が2問出ています。
- 脆弱性管理とログ管理（パッチ・SIEM・EDR）今の制度の過去問（6回分）では、SIEM 製品の効果とデータベースの監査ログの目的が2問出ています。
- ネットワークの防御（FW・IDS/IPS・VPN・WAF）今の制度の過去問（6回分）では、DMZ の説明、DMZ 上の仮想デスクトップの効果、CAPTCHA の説明が3問出ています。
- 通信の保護規格（TLS・IPsec・WPA3・SPF/DKIM）今の制度の過去問（6回分）では、TLS のサーバー証明書や HTTPS、SPF、SMTP-AUTH を選ぶ問題が 5 問出ています。
- 暗号方式（共通鍵・公開鍵・ハイブリッド・鍵管理）今の制度の過去問（6回分）では、共通鍵暗号方式と公開鍵暗号方式の特徴、同じ鍵を使う暗号方式、ハイブリッド暗号の特徴が3問出ています。
- ハッシュ関数とデジタル署名（改ざん検知）今の制度の過去問（6回分）では、ハッシュ値の性質や使う目的、デジタル署名の鍵、メッセージ認証符号の問題が 4 問出ています。
- AIで守る技術とAIを守る対策（RAG・プロンプトインジェクション対策）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- セキュア開発・IoT・脆弱性評価（CVSS・CVE・診断）今の制度の過去問（6回分）では、SQLインジェクションの対策、CVSS の評価基準、ホワイトボックステスト、ポートスキャナの利用目的が4問出ています。