平成28年度 秋期 情報セキュリティマネジメント試験 午前 問1
テクノロジ／セキュリティICカードとPINを用いた利用者認証における適切な運用はどれか。
出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問1
- アICカードによって個々の利用者が識別できるので，管理負荷を軽減するために全利用者に共通のPINを設定する。
- イICカード紛失時には，新たなICカードを発行し，PINを再設定した後で，紛失したICカードの失効処理を行う。
- ウPINには，ICカードの表面に刻印してある数字情報を組み合わせたものを設定する。
- エPINは，ICカードの配送には同封せず，別経路で利用者に知らせる。
正解：エ
解説
ICカードとPINを用いた二要素認証では、ICカードの盗難・紛失時にPINだけで認証を突破されないよう、PINをICカードとは独立した方法で管理・配布する必要があります。カード配送とPIN通知を同一経路にすると、両方が同時に第三者の手に渡るリスクが高まります。
選択肢ごとの解説
- ア誤り。全利用者に共通のPINを設定すると、カードを紛失・盗難された際に容易に不正利用され、個々の利用者を識別する認証の意味がなくなります。
- イ誤り。ICカードを紛失した場合は、まず速やかに紛失したカードを失効させることが優先されるべきであり、失効処理を後回しにすると、その間に第三者に不正利用される危険があります。
- ウ誤り。ICカード表面に刻印された番号などから推測できる情報をPINに用いると、カードを拾得・盗取した第三者に容易に推測されてしまいます。
- エ正しい。PINをICカードとは別経路で利用者に通知することで、配送中にカードとPINが同時に第三者の手に渡ることを防げます。