リスクベース認証の例｜ITパスポート 令和8年 公開問題 問71
出典：令和8年 公開問題 問71
分野：技術要素 ／ セキュリティ
インターネットバンキングなどのWebサイトで利用されているリスクベース認証の例として，適切なものはどれか。
- ア：利用者がいつもログインに使っているPCとは異なるPCからのログインであったので，本人しか知らない秘密の質問による追加の認証を行った。
- イ：利用者がログインした後，画面操作が一定時間なかったので，自動的にログアウトして，再度ログインを求めた。
- ウ：利用者がログインするときにパスワードを連続して複数回間違って入力したので，アカウントをロックした。
- エ：利用者がログインに使っているパスワードが長期間変更されていなかったので，パスワードの変更を促した。
TSUNAGARU-ADVICE
まず押さえたいこと
リスクベース認証とは、利用者の端末や場所・時間などの状況からリスクを評価し、通常より強い認証を追加することで不正利用を防ぐ仕組みです。
迷ったときの判断軸
固定ルールで動作するものか、状況に応じて動的に認証強度を変えているかを判断軸にするとよいです。
次の学習につなげるために
リスクベース認証は多要素認証と組み合わせることで効果的に不正アクセスを防止できます。セキュリティ全般の知識として押さえておくとよいでしょう。
リスクベース認証は、利用状況や環境などに応じて認証レベルを変動させる仕組みです。普段と異なる状況が検出された場合に追加の本人確認を行い、セキュリティ強化を図ります。
設問はインターネットバンキングの例で、特にリスクベース認証の適切な事例を問うています。選択肢アは、普段使っているPCとは異なるPCからのアクセスを検出し、本人しか知らない秘密の質問を追加で求めるため、典型的なリスクベース認証の運用例です。
したがって、アが適切です。
❌他選択肢が誤りの理由
イ：利用者がログインした後，画面操作が一定時間なかったので，自動的にログアウトして，再度ログインを求めた。
⇒リスク判定に基づく動的な認証ではありません。
ウ：利用者がログインするときにパスワードを連続して複数回間違って入力したので，アカウントをロックした。
⇒条件がリスクに応じて変動しません。
エ：利用者がログインに使っているパスワードが長期間変更されていなかったので，パスワードの変更を促した。
⇒利用状況に基づく認証レベルの調整ではありません。