リスクベース認証｜情報セキュリティマネジメント 令和元年 秋期午前試験 問24
出典：令和元年秋期 午前 問24
分野：セキュリティ ／ 情報セキュリティ
リスクベース認証に該当するものはどれか。
- ア：インターネットバンキングでの取引において，取引の都度，乱数表の指定したマス目にある英数字を入力させて認証する。
- イ：全てのアクセスに対し，トークンで生成されたワンタイムパスワードで認証する。
- ウ：利用者のIPアドレスなどの環境を分析し，いつもと異なるネットワークからのアクセスに対して追加の認証を行う。
- エ：利用者の記憶，持ち物，身体の特徴のうち，必ず二つ以上の方式を組み合わせて認証する。
TSUNAGARU-ADVICE
まず押さえたいこと
リスクベース認証は、利用者のアクセス状況を分析し、普段と異なるアクセスなど、リスクが高いと判断した場合に追加認証を要求する方式です。IPアドレス、端末、地域、時間帯などを手掛かりにして認証の強さを変えます。
迷ったときの判断軸
ポイントは、全てのアクセスに同じ認証を要求するのではなく、アクセスごとの危険度に応じて認証方法を変えることです。毎回ワンタイムパスワードを要求する方式や、常に2種類以上の認証要素を使う多要素認証とは区別しましょう。
科目Bにつなげるために
科目Bでは、普段と異なるIPアドレスや端末、海外からのログインなどを検知して、追加認証を求める事例につながります。通常時の利用状況との差をリスクとして評価し、必要なときだけ認証を強化するという考え方を押さえておきましょう。
リスクベース認証は、アクセス時の状況を分析し、通常とは異なるアクセスなど、リスクが高いと判断した場合に追加の認証を要求する方式です。IPアドレス・利用端末・アクセス元の地域・時間帯などを判断材料として利用します。
本問では、「利用者のIPアドレスなどの環境を分析し」「いつもと異なるネットワークからのアクセスに対して追加の認証を行う」という部分が判断のポイントです。アクセスごとのリスクに応じて認証方法を変えているため、ウが適切です。
❌他選択肢が誤りの理由ア：インターネットバンキングでの取引において，取引の都度，乱数表の指定したマス目にある英数字を入力させて認証する。
⇒乱数表を利用した認証の説明です。アクセス時の環境やリスクを分析して、必要な場合だけ追加認証を行う仕組みではありません。
イ：全てのアクセスに対し，トークンで生成されたワンタイムパスワードで認証する。
⇒ワンタイムパスワードによる認証の説明です。全てのアクセスで同じ認証を要求しており、アクセスごとのリスクに応じて認証方法を変えていません。
エ：利用者の記憶，持ち物，身体の特徴のうち，必ず二つ以上の方式を組み合わせて認証する。
⇒多要素認証の説明です。知識・所持・生体など異なる認証要素を組み合わせる方式であり、アクセス時の状況を評価して認証を追加するリスクベース認証とは異なります。