中小企業診断士 第1次試験 システム開発・プロジェクト管理・情報セキュリティ 練習問題 第10問: IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版が多要素認証の説明で示す認証情報の例に照らして、本人を確かめる方式に関する記述として、最も適切なも

「指紋を読み取り、続けて顔を撮影して照合する方式は、多要素認証にあたらない」が適切です。多要素認証は、知っているもの（知識）、持っているもの（所持）、本人自身に関するもの（生体）の3つの要素のうち、2つ以上の要素を使う認証です。

ガイドラインの図は、知識情報の例にパスワード・秘密の質問・PINナンバー、所持情報の例にICカード・SMS、生体認証の例に顔・指紋・虹彩を挙げています。指紋と顔はどちらも生体の要素なので、2回照合しても要素は1種類のままです。

「パスワードと秘密の質問の答え」は知識どうしなので、多要素認証にあたりません。「ICカードとPINナンバー」は所持と知識なので、多要素認証にあたります。

「PINナンバーとSMSで届く確認コード」は、どちらも数字を入力しますが、SMSのコードはそのスマートフォンを持っていることを示す所持の要素なので、知識と所持の2要素になり、多要素認証にあたります。「ICカードとSMSで届く確認コード」は、カードとスマートフォンという別の物を使っても、どちらも所持の要素なので多要素認証にあたりません。

入力のしかたや物の数ではなく、知識・所持・生体の種類の数で数えると覚えます。