分野 S｜セキュリティ 重点分野
生体認証とパスワードレス認証（FRR・FAR・パスキー）
今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
シラバス案 Ver.0.1（2026年9月30日公表）の『4 技術的管理策に関する技術・手法（情報アクセスの管理）／生体認証』『4 技術的管理策に関する技術・手法（情報アクセスの管理）／パスワードレス認証』
最終更新
問われ方
- 問われるとしたら：本人拒否率（FRR）と他人受入率（FAR）の説明を選ぶ形
- 問われるとしたら：しきい値を変えた時の、FRR と FAR の変化を選ぶ形
- 問われるとしたら：場面と立場から、生体認証やパスキーの扱いを選ぶ形
覚えること
- 生体認証：本人の身体や行動の特徴で、本人かどうかを確かめる認証
- 身体的特徴：静脈パターン認証、虹彩認証、顔認証など
- 行動的特徴：身体の形ではなく、動作のくせに表れる特徴
- 判定は、登録した特徴との照合の結果が、しきい値を超えるかで決まる
- 本人拒否率（FRR）：本人なのに、誤って拒否される割合
- 他人受入率（FAR）：他人なのに、誤って受け入れられる割合
- しきい値を厳しくすると、FAR は下がり、FRR は上がる
- しきい値をゆるめると、FAR は上がり、FRR は下がる
- 他人に使われる被害を重く見る場面では、FAR を低くする設定を検討する
- 本人が拒否された時に備え、再試行や別の手段を用意しておく
- 生体情報は、パスワードのように取り替えることができない
- パスワードレス認証：パスワードを入力せずに、本人を確かめる方式
- パスキー：利用者側の秘密鍵で署名し、サーバーは公開鍵で検証する
- パスキーはパスワードを入力せず、サーバーにも盗む物がないので、盗まれにくい
- 端末の生体認証や PIN は、秘密鍵を使うための本人の確認に使う
- ワンタイムコード：使い捨ての確認用コード
ひっかけ
- FRR（本人を拒否）と FAR（他人を受入）の取りちがえ
- パスキーでも、端末を使う本人の確認は必要
想定問題
4問（科目A（四択））。選ぶと、その場で正解と解説が開きます。
H さんが行う設定として、最も適切なものはどれか。
A 社の情報セキュリティ管理者の H さんは、機密性の高い設計資料の保管室の入室に、静脈認証装置を導入する。装置は、判定の厳しさ（しきい値）を段階で設定できる。この部屋では、権限のない者の入室を防ぐことを最優先する。本人が拒否されたときは、やり直しても構わない。
正解：エ しきい値を厳しい段階に設定し、拒否された本人には別の手段を用意する。
ポイント
生体認証の設定を、目的に合わせて選ぶ問題です。
考え方と解き方
しきい値を厳しくすると他人は入りにくくなる代わりに、本人も拒否されやすくなります。管理者の立場なら、守りたい物に対して、どちらの誤りを小さくするかを先に考えます。
- 権限のない者の入室を防ぐのが最優先なので、他人受入率を低くします。そのために、しきい値を厳しくします。
- 厳しくすると本人拒否率が上がるので、拒否されたときの再度の照合や別の手段を用意します。したがって、最も適切なのは エ です。
ほかの選択肢
- ア しきい値をゆるくすると、他人受入率が上がります。最優先の目的に合いません。
- イ 本人拒否率と他人受入率を同程度にしても、他人受入率が十分に低いとは限りません。目的に合いません。
- ウ 再試行を制限なく認めると、他人が何度も試みて受け入れられるおそれがあります。
覚えておくこと
- 他人に使われる被害を重く見る場面では、FAR を低くする設定を検討する
- しきい値を厳しくすると、FAR は下がり、FRR は上がる
- 本人が拒否された時に備え、再試行や別の手段を用意しておく
（テーマ・覚えること）
I さんが選ぶ装置と理由の組合せとして、最も適切なものはどれか。
A 社の利用部門の責任者の I さんは、顧客の個人情報を扱う端末に、顔認証装置を導入する。他人が本人になりすまして使うことを防ぐのを優先する。本人が拒否されたときは、パスワードで代替できる。装置 P は、本人拒否率が 4％、他人受入率が 0.1％である。装置 Q は、本人拒否率が 1％、他人受入率が 1％である。
正解：イ 装置 P を選ぶ。他人受入率が低く、他人に使われる危険を抑えられる。
ポイント
本人拒否率と他人受入率を、目的に合わせて比べる問題です。
考え方と解き方
本人拒否率は使いやすさ、他人受入率は安全性に関わります。どちらが小さいほど良いかを取りちがえやすい所です。この立場なら、なりすましを防ぐ側の率を先に見ます。
- なりすましを防ぐのが優先なので、他人受入率の低い装置を選びます。他人受入率は、P が 0.1％、Q が 1％で、P の方が低いです。
- P は本人拒否率が高いですが、拒否されたときはパスワードで代替できます。したがって、最も適切なのは イ です。
ほかの選択肢
- ア 装置 Q は、本人拒否率が低くても、他人受入率が P より高く、他人に使われる危険が大きくなります。
- ウ 2 つの率の合計では、目的に合う比べ方になりません。優先するのは他人受入率で、Q は P より高いです。
- エ 本人拒否率は、本人が誤って拒否される割合で、他人の使いにくさとは関係しません。
覚えておくこと
- 本人拒否率（FRR）：本人なのに、誤って拒否される割合
- 他人受入率（FAR）：他人なのに、誤って受け入れられる割合
- 他人に使われる被害を重く見る場面では、FAR を低くする設定を検討する
（テーマ・覚えること）
生体認証とパスキーについて、適切なものだけを全て挙げたものはどれか。
A 社の情報セキュリティ管理者の J さんは、従業員向けの認証の資料に、次の a〜c を書いた。
- a パスキーは、パスワードを入力しないので、偽サイトに入力して盗まれる危険が小さい。
- b パスキーでは、サーバーに秘密鍵を預け、端末に公開鍵を置く。
- c 生体情報は、パスワードのように取り替えることができない。
正解：ウ a、c
ポイント
パスキーの仕組みと、しきい値の影響を問う問題です。
考え方と解き方
パスキーの鍵の置き場を取りちがえやすい所です。秘密鍵は利用者側に置き、サーバーは公開鍵で検証します。
- a は適切です。パスワードを入力しないので、偽サイトで盗まれにくくなります。b は不適切です。秘密鍵は利用者側に置き、サーバーが持つのは公開鍵です。c は適切です。生体情報は、漏えいしても取り替えられません。
- したがって、適切なのは a、c の全てで、ウ です。
ほかの選択肢
- ア b は不適切なので、a、b とはなりません。また、c も適切なので、含まれていないと合いません。
- イ b は不適切なので、a、b、c の全てとはなりません。
- エ a も適切なので、b、c だけでは組合せが合いません。また、b は不適切です。
覚えておくこと
- パスキー：利用者側の秘密鍵で署名し、サーバーは公開鍵で検証する
- パスキーはパスワードを入力せず、サーバーにも盗む物がないので、盗まれにくい
- 生体情報は、パスワードのように取り替えることができない
（テーマ・覚えること）
N さんが行う対応として、最も適切なものはどれか。
A 社の利用部門の責任者の N さんは、従業員が取引先を装った偽サイトにパスワードを入力し、社外サービスの認証情報を盗まれた事故を受け、ログイン方法を見直すことにした。偽サイトに入力しても盗まれにくい方法にしたい。サービスはパスキーに対応している。
正解：ア パスキーでのログインを設定し、端末での PIN や生体認証で、使う人を確認させる。
ポイント
フィッシングで認証情報を盗まれた後の見直しで、パスキーを選ぶ問題です。
考え方と解き方
偽サイトに入力させられる物は、盗まれるおそれがあります。パスワードを長くしても、変えても、入力する限り同じです。この立場なら、入力させられる物をなくす方法を先に考えます。
- パスキーは、パスワードを入力せず、利用者側の秘密鍵で署名します。偽サイトに入力する物がなく、サーバーにも盗む物がありません。
- 端末での PIN や生体認証は、秘密鍵を使うための本人の確認です。したがって、最も適切なのは ア です。
ほかの選択肢
- イ パスワードを長く、定期的に変えても、偽サイトに入力すれば盗まれます。
- ウ メールで届くコードも、偽サイトに入力させられるおそれがあります。パスワードの入力もなくなりません。
- エ 別のパスワードにしても、偽サイトに入力させられれば、そのサービスのパスワードは盗まれます。
覚えておくこと
- パスキー：利用者側の秘密鍵で署名し、サーバーは公開鍵で検証する
- パスキーはパスワードを入力せず、サーバーにも盗む物がないので、盗まれにくい
- 端末の生体認証や PIN は、秘密鍵を使うための本人の確認に使う
（テーマ・覚えること）
同じ分野のテーマ（セキュリティ）
- 脅威の種類・脆弱性・不正の動機今の制度の過去問（6回分）では、不正のトライアングル、ソーシャルエンジニアリング、ビジネスメール詐欺（BEC）の説明が、合わせて3問出ています。
- マルウェアの種類（ランサムウェア・ボット・トロイの木馬）今の制度の過去問（6回分）では、ルートキットの特徴とボットネットの C&C サーバの役割が、1問ずつ、合わせて2問出ています。
- 攻撃の流れと認証情報を狙う攻撃（総当たり・リプレイ）今の制度の過去問（6回分）では、サイバーキルチェーンの説明とパスワードリスト攻撃の説明が、1問ずつ、合わせて2問出ています。
- アプリの不備を狙う攻撃とDoS攻撃今の制度の過去問（6回分）では、ランダムサブドメイン攻撃で起きることが1問出ています。
- 信頼を悪用する攻撃（フィッシング・標的型・中間者）今の制度の過去問（6回分）では、DNS キャッシュポイズニングが2問、SEO ポイズニングが1問、合わせて3問出ています。
- AIを使う攻撃・AIへの攻撃・サプライチェーン攻撃・ゼロデイ攻撃今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 情報セキュリティの考え方（CIA・ゼロトラスト・責任共有）今の制度の過去問（6回分）では、ゼロトラストの説明を選ぶ問題が1問出ています。
- 情報資産とリスクアセスメント（台帳・リスクレベル）今の制度の過去問（6回分）では、リスクアセスメントのプロセスやリスクレベルの定義が3問出ています。
- リスク対応（回避・低減・移転・保有）今の制度の過去問（6回分）では、残留リスクとリスク受容の承認を選ぶ問題が2問出ています。
- 情報セキュリティ方針と諸規程今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- セキュリティ関連の組織・機関（CSIRT・SOC・JPCERT/CC）今の制度の過去問（6回分）では、組織内 CSIRT の構築を支援する資料の選択と、CRYPTREC の役割が、1問ずつ、合わせて2問出ています。
- 届出制度・評価制度・ガイドライン（ISMAP・CSF）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 情報セキュリティマネジメントシステム（ISMS・JIS Q 27001）今の制度の過去問（6回分）では、是正処置の定義を選ぶ問題が1問出ています。
- 組織的管理策（ISMSの管理策の区分。資産管理・供給者管理・インシデント管理）今の制度の過去問（6回分）では、デジタルフォレンジックスの説明を選ぶ問題が1問出ています。
- 人的・物理的・技術的管理策の分類（ISMSの管理策の区分）今の制度の過去問（6回分）では、サポートユーティリティの例を選ぶ問題が1問出ています。
- 脅威インテリジェンスとインシデント管理今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 人的対策（内部不正防止・訓練・守秘）今の制度の過去問（6回分）では、内部不正防止ガイドラインに照らした、退職者に関する対策を選ぶ問題が1問出ています。
- 物理的対策とモバイル機器の管理今の制度の過去問（6回分）では、アンチパスバックの仕組みを選ぶ問題が1問出ています。
- アクセス制限と暗号化（最小特権・ストレージ暗号化）今の制度の過去問（6回分）では、セキュア OS のアクセス制御と管理者権限の問題、ストレージの抜き取りへの対策の問題が 2 問出ています。
- 利用者認証（多要素認証・SSO・ID連携）今の制度の過去問（6回分）では、認証の方式を選ぶ問題が3問出ています。
- マルウェア対策とランサムウェア対策（検出手法・バックアップ）今の制度の過去問（6回分）では、マルウェアの検出方法を選ぶ問題が2問出ています。
- 脆弱性管理とログ管理（パッチ・SIEM・EDR）今の制度の過去問（6回分）では、SIEM 製品の効果とデータベースの監査ログの目的が2問出ています。
- ネットワークの防御（FW・IDS/IPS・VPN・WAF）今の制度の過去問（6回分）では、DMZ の説明、DMZ 上の仮想デスクトップの効果、CAPTCHA の説明が3問出ています。
- 通信の保護規格（TLS・IPsec・WPA3・SPF/DKIM）今の制度の過去問（6回分）では、TLS のサーバー証明書や HTTPS、SPF、SMTP-AUTH を選ぶ問題が 5 問出ています。
- 暗号方式（共通鍵・公開鍵・ハイブリッド・鍵管理）今の制度の過去問（6回分）では、共通鍵暗号方式と公開鍵暗号方式の特徴、同じ鍵を使う暗号方式、ハイブリッド暗号の特徴が3問出ています。
- ハッシュ関数とデジタル署名（改ざん検知）今の制度の過去問（6回分）では、ハッシュ値の性質や使う目的、デジタル署名の鍵、メッセージ認証符号の問題が 4 問出ています。
- AIで守る技術とAIを守る対策（RAG・プロンプトインジェクション対策）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- セキュア開発・IoT・脆弱性評価（CVSS・CVE・診断）今の制度の過去問（6回分）では、SQLインジェクションの対策、CVSS の評価基準、ホワイトボックステスト、ポートスキャナの利用目的が4問出ています。