評価基準 No.4-1-3-3
認証の強度・実装方法の決定

多要素認証を構成するものとして適当ではないものは、どのようなものが考えられるか？

・パスワードと PIN のように「知識情報」を 2 つ組み合わせても、本評価基準で求める多要素認証とならない点に注意が必要である。

「その他の情報」として、どのような情報を利用することが考えられるか？

・「その他の情報」としては、送信元 IP アドレス等が考えられる。ただし、信用できるネットワークからのアクセスにおける補助手段としての利用に限ることに注意が必要である。例えば、利用者が普段と異なる IP アドレスや国からログインしようとした場合のみ、追加の多要素認証を要求するなどセキュリティと業務効率のバランスに配慮できるというメリットがある。なお、利用する情報は利用者又は端末に固有に紐付くこと、容易に偽装又は共有されないこと、認証サーバ等により検証されること、ID・パスワード等の知識情報とは独立した要素であることを満たすことが望ましい。

使用するルータ等が多要素認証をサポートしていない場合にとり得る有効な施策はあるか？

・アクセス元が固定 IP の場合は、「その他の情報」に該当する送信元 IP アドレスを制限したうえで、ID・パスワードを用いた認証を行うことが考えられる。

・その他、ID 管理・認証サービス（IDaaS）と組み合わせて利用すること等が考えられる。

所有情報として用いる「証明書」には、どのような形態が含まれるか？

・IC カード等の外部媒体に格納された電子証明書のほか、端末（パソコン、スマートデバイス等）にインストールされた電子証明書（クライアント証明書）も含まれる。

・いずれの形態においても、利用者ごとに異なる証明書が発行されていることが必要である。また、秘密鍵が利用者以外に複製・持ち出しできないよう保護されていることが望ましい。

・なお、パスキー認証については、実装方式による差異はあるものの、利用者が所持する端末に格納された資格情報の利用に加え、生体認証又は端末のロック解除用パスワード等により利用者本人であることを確認する構成である場合は、所有情報と生体情報又は知識情報を組み合わせた認証として取り扱うことが考えられる。