Question sécurité!

Je développe un site web pour une unif en php sql server
ils veulent en plus du login et du mot de passe que le user s'identifie via une question-réponse.

le login et le mot de passe -> sont ceux du système
je me demande où mettre ma question réponse
j'ai pensé le mettre dans la base. ma question est :
y a t il une autre solution?

je sais pas si j'ai été clair mais bon si vous connaissez des sites, ... qui peuvent m'en apprendre plus sur la sécurité
je vous écoute