二要素認証はＩＤ／パスワードのみの認証よりも安全性が高いことから、
二要素認証におけるパスワードについては、同項 a、b の要件（Ｑ－２８参
照）とは異なり、8 文字以上の推定困難な文字列であっても定期的な変更は
求めないこととしています。
パスワード長については、原則として英数字、記号を混在させた 8 文字以
上としていますが、例外として二要素認証のもう片方の認証要素を使う際
に、ＰＩＮなどが設定されているなどの安全管理が施されている場合には、
上記のパスワード長のルールは求めないこととしています。この理由は、IC
カードに格納されている電子証明書等の認証要素（知識以外の要素）を使う
ために設定されている場合のＰＩＮは、ＩＤ／パスワード（知識）における
ＩＤに紐づくものではなく、厳密に言えばパスワードとは異なるためです。
このようなケースでは利用者認証全体を勘案すると、ＩＤ／パスワードのほ
かに、ＩＣカード（所有）や指紋認証（生体）などの知識ではない認証要
素、さらに追加の認証要素（知識）を利用するＰＩＮなどが設定されている
ことになるため、十分な安全性が確保されるものと評価されると考えられま
す。そのため、このような場合には、英数字、記号を混在させた 8 文字以上
というパスワードの要件は求めないこととしています。具体的には下図の通
りなります。

14