個人情報保護士認定試験 脅威と対策・組織的人的セキュリティ 練習問題 第32問: 社員証のICカードを読取装置にかざした後、利用者のスマートフォンにショートメッセージで届いたパスコードを入力してログインする方式を検討している。総務省「国民のた

正解: 3. ICカードも、パスコードが届く利用者の手元の機器も所持情報に当たり、使う認証の要素が1種類なので、多要素認証には当たらない

同サイトは、多要素認証を、認証の3要素である知識情報・所持情報・生体情報のうち2つ以上を組み合わせて認証することとし、そのうち2つの要素を使うものを2要素認証と呼んでいます。また、ユーザが持っている機器にショートメッセージで送ったパスコードを所持情報の例とし、用語集はICカードを持ち物による認証としています。この方式は所持情報を2つ重ねただけで要素は1種類なので、多要素認証に当たりません（3が正しい）。 1は、パスコードを知識情報としている点が誤りです。 2は、機器が2つでも要素は1種類なので、2要素認証に当たりません。 4は、パスコードを所持情報の例とする同サイトの説明に反します。なお、同じ要素で2回に分けて認証するものは二段階認証と呼ばれることがあります（用語集）。別添の技術的安全管理措置（2）「アクセス者の識別と認証」に関わる対策です。

根拠・参照資料: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

関連キーワード: 多要素認証・知識情報・所持情報・2要素認証・ICカード