情報セキュリティマネジメント 2024年科目A 問05

問題文

リスクベース認証の説明として、適切なものはどれか。

🖊️ 解答を隠して解いてみる

選択肢

ア：機器の画面に表示された点を正しい順序に一筆書きでなぞった場合、認証が成功し、機器のロックが解除される。

イ：通常とは異なるIPアドレス、Webブラウザなどから認証要求があった場合に、追加の認証を行う。（正解）

ウ：認証局が、Webサイトへのサーバ証明書発行において、サーバ証明書に記載される組織のドメイン利用権、法的及び物理的実在性を確認する。

エ：ゆがんだ文字を含む画像を表示し、その文字が正しく入力された場合に認証が成功する。

🔒 解説は解答すると表示されます

リスクベース認証【情報セキュリティマネジメント解説】

正解の理由

選択肢の中ではイが正しいです。リスクベース認証とは、利用状況や環境（たとえばIPアドレスや使っているWebブラウザ）をもとに「今回の認証要求はいつもと同じか」を判定し、通常と異なる（リスクが高い）場合に追加の認証を求める方式です。ここでいう「IPアドレス」は端末やネットワークを識別する住所のような情報、「Webブラウザ」はインターネット閲覧用のソフト（例：ChromeやEdge）です。普段と違う環境からのアクセスが疑わしいときにステップアップ（追加認証）を行うのが、まさにリスクベース認証の特徴です。

解法ステップ

問題文のキーワードを探す：「IPアドレス」「Webブラウザ」「追加の認証」など、環境の違いを条件にしているか確認する。
用語の意味を思い出す：リスクベース＝状況に応じてリスクを評価して対応を変える方式。
選択肢を照合する：環境差に応じて動的に追加認証をする説明と一致するものを選ぶ。
他の選択肢が別の技術（端末ロック、CAPTCHA、認証局の手続き）を表していないかを除外する。

選択肢別の誤答解説

ア: 機器の画面に表示された点を順に一筆書きでなぞる方式は、スマートフォンなどの「画面ロック（パターンロック）」であり、リスク評価に基づく動的な認証ではありません。端末のロック解除方法の一種です。
イ: 通常とは異なるIPアドレス、Webブラウザなどからの認証要求に対して追加認証を行う、つまり状況に応じて認証強度を変えるのがリスクベース認証の本質です。
ウ: 認証局（CA：Certificate Authority、サーバ証明書を発行する機関）が組織の実在性やドメインの利用権を確認するのは、SSL/TLSのサーバ証明書発行時の「実在性確認」であり、ユーザー認証の仕組みではありません。
エ: ゆがんだ文字を入力させる方式は「CAPTCHA（キャプチャ）」。人間かボットかを区別するための手法で、個人の本人確認（認証）とは目的が異なります。

よくある誤解

リスクベース認証は「常に多要素認証（MFA）」と同義だと思われがちですが違います。MFA（Multi-Factor Authentication：複数要素で本人確認する仕組み）は常時追加要素を要求することが多いのに対し、リスクベース認証は状況に応じて追加要素を要求します。
「IPアドレスが違う＝必ず不正」というわけではありません。出張やVPN利用、モバイル回線切替など正当な理由で変わる場合もあり、誤判定（誤検知）を抑える工夫が必要です。
CAPTCHAは「本人確認になる」と考えるのは誤りです。CAPTCHAは自動化された攻撃（ボット）対策であり、本人の身元を確認するものではありません。

補足コラム

職場での運用イメージ：社内システムにログインするとき、普段使っている社内PCからならID/パスワードでログインを許可する。一方、海外のIPや初めて使うブラウザからのログインなら、追加でスマホに送ったワンタイムコードを入力させる。これにより利便性を損なわず高リスク時には強い確認を行えます。導入時はログの確認、誤検知対策、ヘルプデスクの対応フロー整備、プライバシー（どの情報を使うか）の社内説明が重要です。

FAQ

Q: リスク基準は何を使って判断しますか？
A: IPアドレス、端末の種類、ブラウザ、ログイン時間、位置情報、過去の利用履歴など複数の信号（シグナル）を組み合わせてリスクスコアを算出します。

Q: ユーザーは追加認証に不満を持ちませんか？
A: 通常時は追加を求めない設計にすることで不満を減らせます。高リスク時のみ追加する点がリスクベースの利点です。

Q: 導入にあたっての注意点は？
A: 誤判定の対策（正当な利用者がロックされない仕組み）、プライバシーへの配慮（収集する情報の範囲明示）、ヘルプデスク対応の準備が必要です。

関連キーワード: リスクベース認証、リスクスコア、ステップアップ認証、多要素認証（MFA）、CAPTCHA、認証局（CA）、IPアドレス、Webブラウザ、誤検知、ログ管理

← 前の問題へこの年度をクイズで解く次の問題へ →

\ せっかくなら /

情報セキュリティマネジメントを
クイズ形式で学習しませんか？

クイズ画面へ遷移する→

すぐに利用可能！