境界型防御とゼロトラストの違い：信頼の前提・認証の頻度・リモートアクセスを比較

正解：A. パスワードを入力した後に、本人のスマートフォンのアプリに表示されたワンタイムパスワードを入力する

多要素認証は、知識・所持・生体のうち、異なる2つ以上の要素を組み合わせる認証です。パスワード(知識)と、本人のスマートフォンで作られるワンタイムパスワード(所持)の組み合わせは、異なる2つの要素を使うので多要素認証です。パスワードが漏れても、攻撃者は本人のスマートフォンを持っていなければログインできません。パスワードと秘密の質問は、どちらも知識の要素なので、2段階で確かめていても多要素認証ではありません(二段階認証と呼ばれることはあります)。同じ種類の要素を重ねても、同じ方法(例えば、フィッシングでだまして聞き出す)でまとめて盗まれるおそれがあります。なお、ワンタイムパスワードも、偽のサイトにその場で入力させて使われる攻撃があるため、2020年代半ばの時点で、偽のサイトでは認証が成り立たない方式(FIDO2のパスキーなど)の利用が広がっています。

正解：A. 1回の認証で、連携している複数のサービスを改めてログインせずに使えるようにする仕組みで、利便性が上がる一方、その認証が破られると多くのサービスに影響するので、多要素認証と組み合わせることが望ましい

シングルサインオン(SSO)では、利用者が認証を行う仕組み(IdP、IDプロバイダ)に一度ログインすると、その結果が連携する各サービスに安全な形で伝えられ、サービスごとにログインし直さずに使えます。代表的な方式に、SAMLやOpenID Connectがあります。各サービスにパスワードを渡さないので、管理するパスワードが減り、退職者のアカウントを1か所で止められるなど管理の面でも利点があります。ただし、IdPのアカウントが乗っ取られると連携するすべてのサービスに入られてしまうため、IdPでの多要素認証が特に重要です。パスワードの使い回しは、1つのサービスから漏れたパスワードでほかのサービスにも入られる(パスワードリスト攻撃)原因になるもので、SSOとは別のものです。

正解：C. 利用者やプログラムには、業務に必要な最小限の権限だけを与え、普段の作業は管理者ではないアカウントで行う

最小権限の原則は、利用者、プログラム、サービスのアカウントに、役割を果たすのに必要な最小限の権限だけを与えるという考え方です。権限を絞っておけば、アカウントが乗っ取られたり、マルウェアが動いたり、操作を誤ったりしたときでも、被害が及ぶ範囲を小さくできます。例えば、普段のメールやWebの閲覧は一般の権限のアカウントで行い、管理者の権限は必要な作業のときだけ使います。情報についても、業務で知る必要がある人だけがアクセスできるようにする「必要な人だけに知らせる(ニードトゥノウ)」の考え方があります。異動や退職のときに不要になった権限をすぐに取り消すことも大切です。