多要素認証とリスクベース認証とは？たようそにんしょうとりすくべーすにんしょう
多要素認証は、知識（パスワード）・所持（ICカード、スマートフォン）・生体（指紋）という種類の違う要素を2つ以上、常に使わせる方式。リスクベース認証は、普段と違う場所や端末からの接続など不審な兆候が出たときだけ追加の確認を挟む方式で、常時求めるか条件つきかが分かれ目になる。
最終更新：2026-10-06
情報セキュリティマネジメントを最短で暗記・合格する →背景
パスワード1つに頼る運用は、使い回しと漏えいによって破られることが前提になった。しかし全員に常時2要素を課すと、現場からは手間が増えたという反発が出て、問い合わせも増え、規程そのものが守られなくなる。安全と業務の速さの綱引きを、資産の重要度と接続の状況で調停するために、常に求める方式と危ないときだけ足す方式が並び立っている。部門では、どの資産にどちらを当てるかの線引きが判断になる。
具体例
Microsoft 365 の条件付きアクセスでは、社内ネットワークからはパスワードのみ、社外の未登録端末からは Microsoft Authenticator での承認を追加、といった切り分けができる。部門のリーダーは、人事や給与のデータを扱う担当者だけは常時多要素にする、というように情報資産台帳の重要度と対応づけて要求事項をまとめる。
試験での引っ掛け
パスワードと秘密の質問はどちらも知識の要素で、2つ使っても多要素にはならない（多段階認証ではあるが多要素ではない）。要素の分類も問われ、パスワード・暗証番号が知識、ICカード・トークンが所持、指紋・虹彩・静脈が生体。リスクベース認証は多要素認証の一種ではなく、追加の認証をいつ発動させるかを決める仕組みである点も取り違えやすい。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。