情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 令和6年度 科目A 公開問題 問5: リスクベース認証の説明として，適切なものはどれか。

正解

イ. 通常とは異なるIPアドレス，Webブラウザなどから認証要求があった場合に，追加の認証を行う。

正答率 63.0%（27人中 17人が正解）

問題の解説

リスクベース認証とは、利用者のアクセス元IPアドレス、地域、使用端末やWebブラウザなどの環境情報を平常時と比較し、普段と異なる（リスクが高い）アクセスを検知した場合にのみ追加の認証を要求する仕組みである。通常時の利便性を保ちつつ、不正アクセスの疑いがあるときだけ認証を強化できる。通常と異なる環境からの要求時に追加認証を行うと述べるイが正解である。

選択肢ごとの解説

• ア点を一筆書きでなぞる認証はパターン（ジェスチャー）認証の説明であり、リスクベース認証ではないため誤り。
• イ普段と異なるIPアドレスやブラウザからの要求時に追加認証を行うという記述はリスクベース認証の定義に一致するため正しい。
• ウ組織のドメイン利用権や実在性を確認するのはEV証明書発行時の認証局の審査の説明であり、リスクベース認証ではないため誤り。
• エゆがんだ文字を入力させる仕組みはCAPTCHA（人間とボットの判別）の説明であり、リスクベース認証ではないため誤り。