応用情報技術者 2016年秋期午前2 問40

問題文

リスクベース認証の特徴はどれか。

選択肢

ア：Webブラウザに格納しているパスワード情報が使用できず、かつ、利用者が認証情報を忘れても、救済することによって、普段どおりにシステムが利用できる。

イ：いかなる環境からの認証の要求においても認証方法を変更せずに、同一の手順によって普段どおりにシステムが利用できるように利便性を高める。

ウ：ハードウェアトークンとパスワードを併用させるなど、認証要求元の環境によらず二つの認証方式を併用することによって、安全性を高める。

エ：普段と異なる環境からのアクセスと判断した場合、追加の本人認証をすることによって、一定の利便性を保ちながら、不正アクセスに対抗し安全性を高める。（正解）

リスクベース認証の特徴とは【午前2 解説】

要点まとめ

結論：リスクベース認証は普段と異なる環境からのアクセス時に追加認証を行い、安全性と利便性を両立します。
根拠：アクセス環境のリスクを評価し、リスクが高い場合のみ追加の本人確認を要求する仕組みだからです。
差がつくポイント：すべてのアクセスに同じ認証を課すのではなく、状況に応じて認証強度を変える点が特徴であり、これが利便性向上とセキュリティ強化の両立に繋がります。

正解の理由

選択肢エは「普段と異なる環境からのアクセスと判断した場合、追加の本人認証をする」と明示しており、リスクベース認証の本質を正確に表現しています。リスク評価に基づき認証強度を変えることで、不正アクセスを防ぎつつ利用者の利便性も確保できるため、最も適切な説明です。

よくある誤解

リスクベース認証はすべてのアクセスに同じ認証を課すわけではなく、状況に応じて認証方法を変える点が重要です。単に二要素認証を常に使う方式とは異なります。

解法ステップ

問題文の「リスクベース認証」の意味を理解する。
各選択肢の認証方法の特徴を確認する。
「リスクに応じて認証強度を変える」点があるかを探す。
追加認証を「普段と異なる環境からのアクセス時」に限定している選択肢を選ぶ。
選択肢エが該当するため正解と判断する。

選択肢別の誤答解説

ア：パスワード忘れ時の救済措置の話であり、リスクベース認証の特徴ではありません。
イ：認証方法を変更せずに同一手順で利用できるとありますが、リスクベース認証は状況に応じて認証強度を変えます。
ウ：二つの認証方式を常に併用する多要素認証の説明であり、リスクベース認証とは異なります。
エ：リスク評価に基づき追加認証を行う点がリスクベース認証の本質であり正解です。

補足コラム

リスクベース認証は、アクセス元のIPアドレス、端末情報、ログイン時間帯など複数の要素を分析し、リスクが高いと判断した場合にのみ追加認証を求める仕組みです。これにより、通常の利用時は手間をかけずにログインできる一方で、不正アクセスのリスクを低減できます。金融機関や大手Webサービスでの導入が進んでいます。