(株)ディー・ディー・エス【3782】の掲示板 2018/06/18〜2018/06/21

【PCIDSSのセミナーでnoknokが講演しますのでPCIDSSの概要を少し投稿】ウタです

PCI DSSの「多要素認証」要件を満たすには、3種類のうち2つ以上を使用することが必要です。この時、例えば「パスワード（記憶情報）」と「暗証番号（記憶情報）」を使用して瞬時に判断する規格。同じ種類のものを2回使っても不適合となります。

「パスワード（記憶情報）」と「指紋（生体情報）」の組み合わせのように、異なる種類の情報を2つ以上採用しなければ、多要素認証とは認められません。

【多要素認証と多段階認証の違い】

多要素認証については、2017年2月に、以下の文書でより詳細な解釈が示されました。

・Information Supplement ”Multi-factor Authentication” （多要素認証に関する参考文献）

この中で、多要素認証を満たすための要件として「すべての認証要素を同時に検証した上で認証を通す必要性」が示されています(DDS EVE/MA)

Multi-step vs. Multi-Factor

例えば「パスワード」と「指紋」を使って多要素認証の要件を満たす場合であれば『パスワードの入力指紋の提示』という両方の要素が同時に入力されなければ、ログイン「成功/失敗」の判定を教えてもらえない仕組みにする必要が出てきます。

多要素認証の要件として、「2つ以上の要素を利用して認証を通す仕組みさえ採用すれば良い」という認識が間違いです(結構勘違いしているシステムは多い)

例えば、「パスワードを入力し、OKだった時に初めて指紋を提示する」という仕様の認証システムを構築したらPCIDSS準拠にはならない。※認証許可は『同時』に行われる必要がある。

DDSはPCIDSSに準拠するEVE/MAを筆頭に時代に必要なプラットフォームを提供出来る企業です。by ウタ