「パスワードだけじゃダメなの?」
「二段階認証と、何が違うの?」
パスワードだけの守りは、1つ漏れれば突破されます。だから認証に「もう1つの鍵」を足すのが当たり前になりました。
多要素認証（MFA）とは、種類の違う本人確認を2つ以上重ねる認証方式です。片方が破られても、もう片方が残る。この「種類を違えて重ねる」ところに、強さの理由があります。MFAは Multi-Factor Authentication の略です。
この記事では、まず認証の3要素を押さえ、なぜ「同じ種類を増やす」のではダメなのかを図で示し、二段階認証との違いを整理します。最後に、クラウドでの使いどころと試験での問われ方まで踏み込みます。SG・技術要素の対策に効きます。
1. 認証の3要素 — 知識・所持・生体
MFAを理解する土台が、本人確認の3要素です。あなたが本人だと示す手段は、性質でこの3つに分かれます。MFAは、この中から種類の違うものを組み合わせます。
| 要素 | 意味 | 例 |
|---|---|---|
| 知識 | 本人だけが知っている情報 | パスワード・暗証番号 |
| 所持 | 本人だけが持っている物 | スマホ・ICカード・トークン |
| 生体 | 本人の身体的な特徴 | 指紋・顔・虹彩 |
あなたが普段ふれる場面に当てはめると分かりやすいはずです。スマホのロック解除で指紋や顔を使うのは生体、銀行アプリで送られてくるワンタイムコードは所持、最初に入れるパスワードは知識。1つのサービスの中でも、複数の要素が場面ごとに使い分けられています。
「本人を確かめる」という認証の役割を、もう一段整理したいなら、認証と認可の違いとは で「誰かを確かめる」と「何を許すか」の切り分けも押さえておくと、全体像がはっきりします。1つの認証情報を使い回す危うさを避ける発想は、シングルサインオンとは とあわせて考えると理解が深まります。
2. なぜ「同じ種類」ではダメなのか
ここがMFAの核心です。要素は「数」ではなく「種類」で効く。パスワードを2つ覚えても、どちらも知識なので守りはほとんど増えません。次の図で、その違いを見てください。
攻撃者がパスワード一覧を盗んでも、あなたのスマホまでは手元にありません。「知る」と「持つ」を両方そろえるハードルの高さが、MFAの守りの正体です。だから、パスワード（知識）とワンタイムコード（所持）の組み合わせが、実務の定番になっています。
3. 二段階認証との違い — 段階の数か、要素の種類か
あなたが混同しやすいのが、二段階認証との違いです。似て見えて、着目している点がずれています。
- 二段階認証: 認証を「2つの段階」に分ける。要素の種類が同じでも成立する
- 多要素認証: 「種類の違う要素」を組み合わせる。要素の質に着目する
「パスワードの後に秘密の質問」は、段階は2つでも、どちらも知識なので多要素ではありません。「パスワードの後にスマホのコード」なら、段階も2つ、種類も2つで、両方を満たします。二段階認証は多要素認証を含むこともあれば、含まないこともある——この関係を掴んでおくと、試験の引っかけに強くなります。
あなたが実際に設定する場面では、この違いを意識しすぎる必要はありません。大事なのは「足す1つを、いま使っている要素と別の種類にする」こと。パスワード（知識）を使っているなら、次はスマホ（所持）か指紋（生体）を足す。同じ知識を重ねない、という一点さえ守れば、呼び名がどちらでも守りは実際に強くなります。
4. クラウドでの使いどころと、試験での問われ方
クラウドを使い始めると、MFAは標準の守りとして登場します。当社の在籍エンジニア（SE歴15年以上）がクラウドの初期設定を任されたとき、最初にやるのも管理者アカウントへのMFA設定です。
理由は、権限の大きいアカウントほど、破られたときの被害が桁違いだからです。一般ユーザーより先に、課金や権限を握る管理者を固める。あなたが守りの順番に迷ったら、「壊れたら一番痛いところ」から鍵を重ねる、と考えれば外しません。クラウド側の権限管理そのものは AWS IAMとは や Microsoft Entra IDとは でつながります。
MFAは万能の盾ではありません。偽サイトへ誘導してコードごと入力させる手口など、すり抜ける攻撃も存在します。それでも、パスワード1本の状態と比べれば、突破のハードルは大きく上がります。あなたが「完璧でないなら意味がない」と考える必要はなく、まず1つ別の要素を足すだけで、守りは現実的に強くなる——ここを押さえておけば十分です。
使い分けを一覧で持っておきましょう。重ねるのは「知識×所持」「知識×生体」のように種類をまたぐ組み合わせ、避けたいのは「知識×知識」の同種重ね。守る対象は、影響の大きい管理者から先に。この3点を握れば、MFAの設問も現場の設計も、同じ物差しで判断できます。細かい方式の名前を覚える前に、まずこの組み合わせの原則を身体で覚えておくのが、いちばん応用が利きます。
次のステップ
セキュリティが試験全体でどう問われるかを俯瞰したいなら、情報セキュリティマネジメント試験の試験範囲と勉強法ガイド で学習の優先順位を立てるのがおすすめです。
得点力に変えるなら、SG 技術要素の問題集 で、認証まわりの設問に手を動かして慣れておくのが近道です。