情報セキュリティマネジメント 2018年 春期 午前（科目A） 問25

リスクベース認証【情報セキュリティマネジメント解説】

正解の理由

• IPアドレス（ネットワーク上の機器を識別する番号）
• 多要素認証（MFA: Multi-Factor Authentication：記憶・所持・生体など異なる種類の認証要素を組み合わせる方法）
• ワンタイムパスワード（OTP: One-Time Password：一度だけ有効な使い捨てのパスワード）

解法ステップ

1. 問題文のキーワードを把握する：「リスクベース（リスクに応じて）」という語から「条件に応じて処理を変える仕組み」を想起する。
2. 各選択肢を「常に追加認証するもの」「取引ごとに認証するもの」「条件付きで追加認証するもの」に分類する。
3. 「条件付きで追加認証する」ものがリスクベース認証に該当するため、それに一致する選択肢を選ぶ。
4. 一致するのが ウ であることを確認する。

選択肢別の誤答解説

• ア: 「インターネットからの全てのアクセスに対し、トークンで生成されたワンタイムパスワードを入力させる」は常時ワンタイムパスワード（OTP）を要求する方式です。リスク評価の有無にかかわらず全アクセスに適用されるため、リスクベースではありません。
• イ: 「取引の都度、乱数表の指定したマス目にある英数字を入力させる」はトランザクション認証や使い捨てコードの一種で、取引ごとに確実性を上げる方法です。リスクに応じて動的に要求を変えるわけではないためリスクベースではありません。
• ウ: 利用者のIPアドレスなどの環境を分析し、いつもと異なるネットワークからのアクセスに対して追加の認証を行う — これはアクセスの「リスク」を評価して条件付で強化を行うため、リスクベース認証に該当します。
• エ: 「記憶・持ち物・身体の特徴のうち、必ず二つ以上の方式を組み合わせる」は多要素認証（MFA）です。常に複数要素を要求する点でリスクベースとは異なり、リスク可変に応じた柔軟性がありません。

よくある誤解

1. 「リスクベース認証＝多要素認証（MFA）」と考える誤り
   • 両者は補完関係です。MFAは常に複数要素を要求する仕組みで、リスクベース認証は状況に応じてMFAを追加で課すことがあります（例えば普段はID/パスワードだけ、異常時はMFA要求）。
2. 「IPアドレスだけを見ればよい」と思う誤り
   • IPは重要な指標ですが、端末の指紋（ブラウザ情報など）、位置情報、ログイン時間帯、操作の挙動（マウス・入力パターン）など複数の情報を総合して判断するのが一般的です。
3. 「必ず機械学習が必要」と思う誤り
   • シンプルなルール（国コードが変わったら追加認証）でもリスクベースは実現できます。機械学習は精度向上や異常検知のための手段であって必須ではありません。

補足コラム

• ログと監査：どの条件で追加認証を行ったか記録しておく（後で説明や対応が必要になった場合に重要）。
• ユーザー体験（UX）：過剰な誤検知は業務妨害になるため、閾値調整やホワイトリスト（よく使う端末）を用意する。
• プライバシー配慮：位置情報や行動データを利用する際は、必要最小限の利用と社内ルールの整備を行う。

FAQ