情報処理安全確保支援士試験 情報処理安全確保支援士試験 平成31年度春期 午前Ⅰ 問12: リスクベース認証の特徴はどれか。

正解

ウ. 普段と異なる環境からのアクセスと判断した場合，追加の本人認証をすることによって，不正アクセスに対抗し安全性を高める。

問題の解説

リスクベース認証は、アクセス元のIPアドレス・端末・場所・時間帯などからリスクを評価し、普段と異なる怪しい状況のときだけ追加認証(合言葉やワンタイムパスワード等)を求める方式。通常時は利便性を保ちつつ、不審時のみ強化する点が特徴でウが正解。インターネットバンキング等で不正ログイン対策として広く使われ、利便性と安全性の両立を図る手法である。

選択肢ごとの解説

• ア環境によらず常に同じ手順とあるが、リスクに応じて認証を変えるのが本方式の特徴で誤り。
• イ環境によらず常に二要素を併用するのは固定的な多要素認証の説明で、リスク連動ではなく誤り。
• ウ普段と異なる環境を検知したときに追加認証を求めて安全性を高める、という定義どおりで正解。
• エ認証情報を忘れた利用者を救済する仕組みの記述で、リスクベース認証とは無関係で誤り。