情報セキュリティマネジメント 2019年 秋期 午前（科目A） 問24

リスクベース認証【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題文から「条件付きで追加認証をするか、常に追加認証をするか」を見分ける。
2. 「環境を分析」「異なるネットワークからのアクセス」などの文言があれば、リスクに基づく判断を示すと判断する。
3. 選択肢を比較して、条件的に認証を強化するものを選ぶ（この問題ではウ）。

選択肢別の誤答解説

• ア: インターネットバンキングでの乱数表の指定マス入力
  • 乱数表はあらかじめ配布された紙や表から特定の位置の値を入力する方式で、いわば固定のチャレンジ／レスポンスです。毎回ランダムなマスを要求する点はあるものの、アクセス環境のリスク評価に基づいて条件的に動作するものではありません。したがってリスクベースではありません。
• イ: 全てのアクセスに対しトークンで生成されたワンタイムパスワード（OTP）を入力させる
  • トークン（ハードウェアまたはソフトウェアの生成器）で作るOTP（One-Time Password：一度だけ使えるパスワード）は強力な認証手段ですが、これは「常に」要求する方式です。条件付きで強度を変えるわけではないためリスクベース認証ではありません。
• ウ: 利用者のIPアドレスなど環境を分析し、いつもと異なるネットワークからのアクセスに対して追加の認証を行う
  • 正解。IPアドレスやデバイス情報などのシグナルを用いてリスクを評価し、必要な場合のみステップアップ（追加認証）する典型的なリスクベース認証の説明です。
• エ: 記憶・持ち物・身体の特徴のうち必ず二つ以上を組み合わせて認証する
  • これは多要素認証（MFA：Multi-Factor Authentication：複数の異なる要素を組み合わせる認証）です。高セキュリティですが「常に二要素を要求する」ため、リスクに応じて変えるリスクベース認証とは異なります。

よくある誤解

1. 「リスクベース認証＝多要素認証」ではない
   • 多要素認証（MFA）は複数要素を常時要求する設計です。リスクベースは条件に応じて「要する時だけ」多要素を要求する運用が多い点が違います。
2. 「IPアドレスが違えば必ず攻撃」と考える誤り
   • 出張やVPN、モバイル回線切替など正当な理由でIPが変わることがあります。しきい値やホワイトリストで誤検知を減らす運用が必要です。
3. 「リスクベースは侵害の完全防止になる」との過信
   • 利便性と安全性のバランスを取る手法であり、単体で万能ではありません。ログ監視や脆弱性対応など他の対策と組み合わせる必要があります。

補足コラム

• IPアドレスやその地理的位置（新しい国や遠隔地からのアクセス）
• デバイス識別（ブラウザや端末情報の指紋＝デバイスフィンガープリント）
• ログインの時間帯や頻度の異常（いつもと違う時間帯）
• 取引の金額や振込先が通常と異なる場合（トランザクションリスク）
• 端末のOSやブラウザの脆弱性の有無

• 通常はID・パスワードでログイン。
• システムがリスクを判定（低リスクならそのまま許可）。
• 高リスクと判定されたらメールのワンタイムコードやスマホ通知での承認を要求（ステップアップ認証）。
• 誤判定を減らすため、事前に社内のIPレンジや業務用デバイスをホワイトリスト化することが多いです。

• IPアドレス：ネットワーク上の機器を識別する番号。例えば自宅・社内・外出先で変わることがある。
• ワンタイムパスワード（OTP：One-Time Password）：一度だけ使える使い捨てのパスワード。トークン（認証器）で生成する場合が多い。
• トークン：ワンタイムパスワードを生成する機器やアプリ。ハードトークンとソフトトークンがある。

FAQ