わからないを、その場で。
AI講師トーレス

結論から言うと、それは多要素認証にはなりません。どちらも「知識」という同じ種類の情報だからです。

認証に使う要素は、次の3つに分けられます。

要素	中身	例
知識	本人だけが知っているもの	パスワード、暗証番号、秘密の質問
所持	本人だけが持っているもの	スマートフォン、ICカード、ハードウェアトークン
生体	本人の身体的・行動的な特徴	指紋、顔、静脈

多要素認証とは、この種類の違う要素を2つ以上組み合わせることを指します。パスワードと秘密の質問はどちらも知識なので、これは「多段階（2段階）ではあるが多要素ではない」認証です。

ここがポイント：パスワードが漏れる原因（盗み見、フィッシング、使い回し）は、秘密の質問にもそのまま当てはまります。同じ弱点を持つものを2つ重ねても強くならない、というのが多要素認証の考え方の核心です。パスワード＋スマホのワンタイムコードなら、知識＋所持で多要素になります。

結論：実際の通信では両方を組み合わせて使います。公開鍵暗号は処理が重く、大量のデータをそのまま暗号化するには向かないためです。

2つの違いを整理します。

	共通鍵暗号	公開鍵暗号
鍵	暗号化と復号に同じ鍵	公開鍵で暗号化し、対の秘密鍵で復号
速度	速い	遅い
鍵の配送	相手に安全に渡す必要があり難しい	公開鍵は公開してよいので容易
必要な鍵の数	相手ごとに用意するため増えやすい	1人1組の鍵で足りる

つまり、共通鍵暗号は「速いが鍵を渡すのが難しい」、公開鍵暗号は「鍵は渡しやすいが遅い」という、ちょうど裏返しの長所と短所を持っています。

そこで実際の通信では、本文は共通鍵暗号で暗号化し、その共通鍵だけを公開鍵暗号で相手に届けるという方法をとります。速さと鍵配送のしやすさを両取りする形です。

ここがポイント：「公開鍵暗号＝安全、共通鍵暗号＝危険」ではありません。用途が違うだけだと捉えてください。

結論：定期変更を一律に強制するより、長く推測されにくいパスワードを使い回さずに使い、漏えいの疑いがあればすぐ変えるという考え方が主流になっています。

定期変更を強制すると、利用者は覚えきれず、次のような行動をとりがちです。

• 末尾の数字だけを増やす（Password1 → Password2）
• 紙やファイルに書き出す
• 他のサービスと同じものにする

これでは、むしろ推測されやすく、管理も甘くなります。

代わりに効果が大きいのは次の3つです。

1. 長さを確保する：短くて複雑な文字列より、長い文字列のほうが総当たりに強くなります。
2. 使い回さない：あるサービスから漏れたIDとパスワードで他のサービスを試す攻撃（パスワードリスト攻撃）を防げます。
3. 多要素認証を併用する：パスワードが漏れても、それだけでは侵入されません。

ここがポイント：「漏えいの兆候があれば直ちに変更する」は今も変わりません。定期変更そのものが禁止されるわけではなく、強制することの副作用が大きいという点が論点です。

結論：特定＝洗い出す、分析＝大きさを見積もる、評価＝対応が必要か判断する、という順番の3ステップです。

段階	やること	出てくるもの
リスク特定	守るべき情報資産と、それに対する脅威・脆弱性を洗い出す	リスクの一覧
リスク分析	各リスクの発生しやすさと、起きたときの影響の大きさを見積もる	リスクの大きさ
リスク評価	あらかじめ決めた基準と照らし、対応する順番を決める	対応すべきリスクと優先順位

この3つをまとめて「リスクアセスメント」と呼び、その後のリスク対応（低減・回避・移転・保有から選ぶ）につなげます。

ここがポイント：分析と評価の違いは「ものさしを当てるだけ」か「基準と比べて判断するか」です。分析では大きさを測り、評価では「この大きさなら受け入れられるか」を決めます。基準を先に決めておかないと評価ができない、という順序も一緒に覚えておくと、科目Bのケース問題で迷いません。

結論：その端末をネットワークから切り離し、決められた窓口へ報告することです。原因の調査や復旧はその後で構いません。

インシデント対応は、おおむね次の流れで進みます。

1. 検知・報告：異常に気づいた人が、あらかじめ決められた窓口（情報セキュリティ責任者やCSIRTなど）へ連絡する
2. 初動・封じ込め：被害の拡大を止める。感染が疑われる端末をネットワークから切り離すのがここにあたる
3. 原因の調査：何が起きたか、どこまで影響したかを調べる
4. 復旧：安全を確認したうえで業務を戻す
5. 再発防止：原因に応じて対策と手順を見直す

ここがポイント：試験でよく問われるのは「自分で消そうとしない」「電源を落とすかは手順に従う」という点です。利用者が独自判断で操作すると、証拠が失われたり被害が広がったりします。まず止める、そして決められた相手にすぐ伝えるが正解の形です。

結論：一般的には基本方針・対策基準・実施手順の3階層で整理し、上の2つ（基本方針と対策基準）までを「情報セキュリティポリシー」と呼ぶことが多いです。

階層	中身	性格
基本方針	なぜ情報セキュリティに取り組むのか、経営としての姿勢と目的	経営層が承認する。めったに変えない
対策基準	何を守り、何を守らせるのかというルール	対象や守るべき水準を定める
実施手順	誰が、いつ、どうやるのかという具体的な手続き	現場ごと・システムごとに作る。変更は頻繁

下にいくほど具体的になり、変更の頻度も上がります。だからこそ、変わりやすい実施手順をポリシー本体から切り離しておくのが実務上のコツです。

ここがポイント：基本方針は経営層が承認し、組織の内外に示すものだという点が問われます。担当者が作って終わりではなく、トップが責任を持って表明することで、はじめて組織全体のルールとして機能します。