多要素認証とは？たようそにんしょう
多要素認証とは、知識（パスワード）・所持（トークンや証明書）・生体（指紋や顔）という性質の異なる要素を二つ以上組み合わせて本人を確認する方式で、一つが漏れても不正利用を防げる。運用の場面では、まず適用すべき対象が特権作業と外部からの保守接続で、ここが単要素のまま残っていると、他をどれだけ固めても最も強い権限が最も弱い認証で守られていることになる。
最終更新：2026-10-06
ITサービスマネージャを最短で暗記・合格する →背景
パスワードは、使い回しと漏えいが前提の世界になった。フィッシングや流出リストによって、正しいパスワードを持った他人がログインしてくる以上、知識だけで本人を判定する仕組みは限界にきている。要素の種類を変えて重ねるのは、攻撃者が同時に二つの異なる手口を成立させなければならなくする、という考え方である。運用にとっての課題は強度ではなく、認証を強くした結果として増える問い合わせと、緊急時に入れなくなる事態への備えの設計にある。
具体例
リモート保守を監査する場面では、社員番号とパスワードに加えて社給端末の証明書とワンタイムコードを求める設計を確認する。Microsoft Authenticator のようなアプリ方式や、YubiKey などのFIDO2セキュリティキーは、フィッシングされた偽サイトでは成立しないため、SMSによるコード送付より強い。あわせて、災害時に管理者が入れなくなる事態に備えた緊急用アカウントが、単要素のまま放置されていないかを点検する。
試験での引っ掛け
パスワードと秘密の質問の組合せは、どちらも知識なので多要素ではなく多段階にすぎない。運用で実際に破られる形として多いのは、すべての要素が同じ端末上で完結している構成で、その端末が乗っ取られれば一度に突破される。SMSによるワンタイムコードも、携帯番号を乗っ取る手口があるため所持要素としては弱い。そして最大の穴は、業務停止を恐れて残した例外の単要素経路で、これは統制の抜け道として真っ先に問われる。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。