【情報セキュリティ】誰・何を確認する？「個人・端末・アプリ認証」の違い｜情報処理問題1000本ノック

システムやネットワークへのアクセスを制御する際、セキュリティを確保するためには「誰が」「何のデバイスで」「どのプログラムを使って」アクセスしているかを正しく識別する必要があります。試験でも頻出となる「認証の3つの対象」について整理して攻略しましょう。

「認証の対象が何か（誰・端末・アプリ）」という視点で、それぞれの特徴を整理します。

種類	特徴と確認内容	主な認証方法・技術
個人の認証 (ユーザー認証)	アクセスしてきている「人物」が許可された本人であるかを確認する方式。なりすましを防ぐ基本となる。	パスワード（知識）、指紋・顔（生体）、ワンタイムパスワード（所持）など。
端末の認証 (デバイス認証)	接続してきているPCやスマホなどの「端末」が許可された正規のものかを確認する方式。私有端末や未許可デバイスの接続を防ぐ。	クライアント証明書、MACアドレス制限、デバイスIDなど。
アプリケーションの認証	実行・接続しようとしている「プログラム（アプリ）」が正規のものかを確認する方式。マルウェアや偽アプリからの通信を防ぐ。	コード署名（デジタル署名）、APIキー、OAuthなど。

多要素認証（MFA）：個人認証において、「知識情報」「所持情報」「生体情報」の3つの要素のうち、2つ以上を組み合わせて安全性を高める手法です。
クライアント証明書：端末認証の代表格。サーバーがクライアント（端末）側にインストールされたデジタル証明書を検証することで、許可された端末のみアクセスを許容します。
コード署名（デジタル署名）：アプリの開発元が信頼できるか、またアプリが途中で改ざんされていないかを検証するための技術です。

※個人認証は「社員証で本人確認」、端末認証は「社用PCかどうか確認」、アプリケーション認証は「怪しい偽ソフトではなく正規の社内ツールか確認」というイメージを持つと、それぞれの役割が分かりやすくなります。