【IPシラバス6.3】(4) 利用者認証

正解
3. 利用者IDはパスワードと同一でも問題ない

解説
利用者IDとパスワードの組み合わせにおいて、利用者IDは一意である必要があります。また、パスワードはセキュリティの観点から定期的に変更することが推奨されます。

しかし、利用者IDとパスワードが同一であることはセキュリティリスクを高めるため避けるべきです。利用者IDは認証のための識別子であり、パスワードはその認証を補強する秘密情報です。両者が同一であるとセキュリティの脆弱性が高まります。

正解
3. 利用者IDとパスワード

解説
システムにログインする際に最も重要な情報は利用者IDとパスワードです。これらはユーザーを一意に識別し、システムへのアクセス権を確認するために必要です。

画面に表示される認証コードやメールアドレスはログインプロセスを補助するために使用されることがありますが、基本的なログイン認証には利用者IDとパスワードが必須です。認証情報はセキュリティを守るために適切に管理される必要があります。

正解
2. 同じパスワードを複数のアカウントで使い回す

解説
セキュリティリスクを低減する上でパスワード管理において重要なことは、長くて複雑なパスワードを使用することと、定期的にパスワードを変更することです。

一方、同じパスワードを複数のアカウントで使い回すことは、1つのアカウントが侵害された場合に他のアカウントも危険にさらされるため避けるべきです。個々のアカウントに固有のパスワードを設定することが、セキュリティを高めるための重要なポイントです。

正解
3. 不正アクセスを防止し、情報の安全を確保すること

解説
アクセス管理の主な目的は不正アクセスを防止し情報の安全を確保することで、システム内のデータやリソースが適切に保護され正当な利用者のみが必要な情報にアクセスできるようにします。

システムの性能向上や個人情報の収集はアクセス管理の目的ではなく、セキュリティ対策の一環としてアクセス管理が重要です。情報資産の保護がアクセス管理の中核的な役割です。

正解

1. 利用者に必要最低限の権限のみを付与すること

解説
最小権限の原則は利用者に必要最低限の権限のみを付与することを指します。不要な権限を持たせることで生じるセキュリティリスクを最小限に抑えることができます。

全ての権限を付与することはセキュリティ上危険であり、権限を毎日変更することも現実的ではありません。必要な権限のみを適切に管理し、利用者の業務に応じたアクセス権を与えることが重要です。

正解
3. 権限を一度設定したら変更しない

解説
アクセス管理において適切な手法は二要素認証を導入し利用者ごとに異なるアクセス権を設定することで、セキュリティが強化され適切なアクセス制御が実現されます。

一方で、権限を一度設定したら変更しないという方法は業務の変化や役割の変更に対応できず、セキュリティリスクを高める可能性があります。定期的にアクセス権を見直し、適切な管理を行うことが重要です。

正解

1. 認証とアクセス制御の強化

解説
ICカードは認証とアクセス制御を強化するために使用されます。特定のシステムや施設へのアクセスを制限し、セキュリティを向上させることが可能です。

コンピュータのハードウェアの向上や通信速度の改善は、ICカードの直接的な目的ではありません。ICカードは個人情報やアクセス権を安全に管理し、必要な人だけが情報にアクセスできるようにするためのツールです。

正解
3. 電子機器の性能を向上させる

解説
ICカードは高度なセキュリティ機能を持ち、多数のデータを格納できるという特性があります。しかし、電子機器の性能を向上させることはICカードの役割ではありません。

ICカードは情報の暗号化やユーザーの認証を行うことで、データの安全性を保護します。電子機器自体の性能を向上させるためのものではないため、その特性とは異なります。ICカードはデータセキュリティを強化するための技術です。

正解
3. ハードウェアの損傷によるデータの消失

解説
ICカードに関連するセキュリティリスクには、カードの偽造や通信の盗聴が含まれます。これらは、ICカードを利用する上で注意が必要なリスクです。

しかし、ハードウェアの損傷によるデータの消失は、ICカードそのもののセキュリティとは直接的な関係がありません。ICカードは情報の安全性を高めるためのツールであり、物理的な損傷よりもデータの暗号化や不正アクセス防止に重点を置いています。

正解

1. 短時間で失効するため使い回しができない

解説
ワンタイムパスワード（OTP）は短時間で失効するため、使い回しができない特徴を持ちます。OTPは認証のたびに新しいパスワードを生成し、セキュリティを強化します。

定期的に変更する必要がある長期的なパスワードや、ユーザーの生体情報を用いた認証とは異なります。OTPは不正アクセスを防ぐために効果的です。

正解
3. 生体認証の精度向上のため

解説
ワンタイムパスワードはセキュリティ強化のために利用されるものであり、ユーザーの利便性をある程度犠牲にしても不正アクセスを防止する目的で導入されます。

生体認証の精度向上は、ワンタイムパスワードとは関連性がありません。OTPは主に固定パスワードのリスクを軽減するための手段として使用されます。

正解
2. サーバーまたは認証アプリで自動的に生成される

解説
ワンタイムパスワードはサーバーや認証アプリで自動的に生成される方法が適切です。

ユーザーが手動で設定するものではなく、生体情報を基に計算されるわけでもありません。この自動生成により毎回異なるパスワードを提供し、セキュリティを強化します。OTPの自動生成はユーザーの負担を減らしながら、高い安全性を提供します。

正解

1. 一つの認証手段に依存するセキュリティリスクを低減すること

解説
多要素認証（MFA）は一つの認証手段に依存するセキュリティリスクを低減するために使用されます。

MFAは複数の異なる要素（例：知識、所有物、生体情報）を組み合わせて認証を行いセキュリティを強化します。パスワードの記憶を簡単にしたり、生体情報のみによる認証とは異なります。多要素認証はより堅牢なセキュリティを提供します。

正解
3. 暗証番号のみの使用

解説
多要素認証はパスワードとPINコード、パスワードと顔認証など複数の認証要素を組み合わせて使用するものです。暗証番号のみの使用は単一要素認証であり、多要素認証には該当しません。

MFAの目的は複数の要素を組み合わせることで、セキュリティを大幅に強化することです。単一の要素だけでは多要素認証の効果は得られません。

正解
3. 年齢（ユーザーの生年月日）

解説
多要素認証では所有物（スマートカードやトークン）、場所（ユーザーの位置情報）などが使用されますが、年齢や生年月日は通常、認証要素として使用されません。

年齢は固定的な情報であり、セキュリティの強化には繋がりません。多要素認証は動的かつ確認可能な要素を用いることで、認証の信頼性を高めます。

正解

1. ユーザーの記憶に依存しないため、セキュリティが向上する

解説
パスワードレス認証はユーザーの記憶に依存しないため、セキュリティが向上します。通常のパスワード認証はユーザーがパスワードを覚える必要があるため、脆弱性が生まれることがあります。

しかし、パスワードレス認証では、メールリンクや生体情報などを利用して認証を行うため、セキュリティが強化され、ユーザーの利便性も向上します。

正解
3. 長期的に記憶する秘密の質問

解説
パスワードレス認証にはワンタイムリンクや短時間で変わる暗号が利用されますが、長期的に記憶する秘密の質問は不適切です。秘密の質問は固定情報でありパスワードレスの利点を損なうことがあります。

パスワードレス認証は動的で安全性の高い認証手段を用いることで、セキュリティと利便性を両立させます。

正解

1. 生体認証に依存する場合、デバイスに制限がある

解説
パスワードレス認証は生体認証やデバイス認証に依存するため、使用するデバイスに制限がある場合があります。

この制限が特定のデバイス以外での利用を難しくすることがあります。認証プロセスが単純すぎることはなく、むしろセキュリティを高める手段です。また、認証にかかる時間は多くの場合、ユーザーにとって効率的です。

正解
2. オンライン取引の不正行為を防止し、セキュリティを強化する

解説
EMV 3-Dセキュア（3Dセキュア 2.0）は、オンライン取引の不正行為を防止し、セキュリティを強化することを目的としたプロトコルです。

これはクレジットカードやデビットカードのオンライン取引において、ユーザー認証を強化し、不正使用を防ぐ仕組みです。

インターネットバンキングの利便性を向上させたり、カードの有効期限を延長する機能はありません。消費者と販売者の双方にとって安心して取引を行える環境を提供します。

正解
2. 追加のハードウェアが必要

解説
3Dセキュア 2.0はスマートフォンアプリによる認証やリスクベースの認証が可能です。

しかし、追加のハードウェアは必要ありません。3Dセキュア 2.0はデジタル決済の際にカード所有者を確認するためのプロトコルで、追加のデバイスを必要としない柔軟な認証方法を提供します。取引の安全性を高めつつ、ユーザー体験を損ないません。

正解
2. 取引のリスクに応じて認証の強度を調整する

解説
3Dセキュア 2.0のリスクベース認証は、取引のリスクに応じて認証の強度を調整します。

低リスクの取引では迅速に承認し、高リスクの場合には追加の確認を求めるなど、柔軟に対応します。

すべての取引で同一の認証ステップを要求することはなく、生体情報の利用も必須ではありません。このアプローチによりセキュリティと利便性のバランスを最適化しています。

正解
2. ユーザーが所有するデバイスに対してリアルタイムでワンタイムパスコードを送信できる

解説
SMS認証の主な利点はユーザーが所有するデバイスにリアルタイムでワンタイムパスコードを送信できることで認証の安全性を向上させます。

パスワードの記憶が不要ということではなく、SMS認証自体もセキュリティを完全に保証するものではないため、他の認証方法と併用することが一般的です。より多層的なセキュリティが提供されます。

正解
3. デバイスを紛失しても認証に影響しない

解説
SMS認証ではユーザーがスマートフォンを持っていることが前提であり、SMSの遅延や不達のリスクもあります。

しかし、デバイスを紛失するとSMS認証ができなくなり、認証に大きな影響を与えます。デバイス紛失時の対策としてバックアップコードや他の認証手段を用意することが重要です。万一の際にもセキュリティを維持できます。

正解

1. 通信事業者のネットワークを利用するため、第三者による傍受が可能である

解説
SMS認証は通信事業者のネットワークを利用するため、第三者による傍受の可能性があるため、セキュリティ上不十分とされることがあります。特に、SMSは暗号化されていないため、攻撃者がメッセージを盗聴するリスクがあります。

スマートフォンの電源がオフの場合認証はできず、メールアドレスとパスワードの漏洩は別のセキュリティ問題です。SMS認証は多要素認証の一部として利用されることが一般的です。

正解
2. 一度のログインで複数のシステムにアクセスできる

解説
シングルサインオン（SSO）は一度のログインで複数のシステムにアクセスできることが主な利点です。

ユーザーは異なるパスワードを覚える必要がなく利便性が大幅に向上します。認証情報の変更が頻繁に必要なわけではなく、SSOはユーザー体験を向上させるために設計されています。業務効率が改善され、セキュリティ管理が簡素化されます。

正解

1. 全てのシステムが一つの認証情報に依存するため、セキュリティのリスクが集中する

解説
シングルサインオンは全てのシステムが一つの認証情報に依存するため、セキュリティのリスクが集中します。もし認証情報が漏洩すると、すべてのシステムへの不正アクセスが可能になる可能性があります。

しかし、各システムへのログインに時間がかかることはなく、ユーザーごとに異なるログイン手順が必要なわけでもありません。SSOのセキュリティには特別な注意が必要です。

正解
3. 複数のパスワードを管理するためのポリシー策定

解説
シングルサインオンの導入には各システム間の認証プロトコルの統一やSSOサーバーの高可用性の確保が必要です。

しかし、複数のパスワードを管理するためのポリシー策定は必要ありません。SSOは複数のパスワードを不要にすることで、セキュリティと利便性を向上させシステム全体の運用がシンプルになります。