ITパスポート 2026年 問71

インターネットバンキングのリスクベース認証の例【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題文で「状況に応じて判断」しているかを探す。
   • 「普段と違う」「新しいデバイス」「異常な場所」などがキーワード。
2. 選択肢が「状況に応じて追加認証を行うか」かどうかを見分ける。
   • 条件付きで追加の本人確認を要求していればリスクベース認証の可能性が高い。
3. 定期的・時間的なルールや失敗回数に基づく措置は「ポリシー」や「防御機構」であり、リスクベース認証とは区別する。
4. 最後に選択肢を比べて、動的に判断して追加認証を行っているものを選ぶ。

選択肢別の誤答解説

• ア: 「普段使うPCと異なるPCからのログイン」を検知して、追加の認証を行っています。これはまさにリスクを評価して必要な対策を追加するリスクベース認証の例です。よって正解です。
• イ: 「ログイン後に操作が一定時間なかったので自動ログアウトして再ログインを求めた」
  → これはセッションタイムアウト（セッションの自動切断）という一般的な安全対策です。状況に応じたリスク判定で追加認証をするという意味ではなく、一定の時間経過という固定ルールに基づくため、リスクベース認証ではありません。
• ウ: 「パスワードを連続で複数回間違えたのでアカウントをロックした」
  → これはブルートフォース（総当たり攻撃）対策や不正アクセス防止のための失敗回数制限です。攻撃の兆候に反応する点はありますが、通常は「攻撃検出に対する固定ルール的対応」であり、リスクスコアに基づく動的なステップアップ認証とは区別されます。
• エ: 「パスワードが長期間変更されていなかったので変更を促した」
  → これはパスワード有効期限やポリシーに基づく管理です。時間経過に応じた定期的な措置であり、ログイン時の状況に応じて追加の本人確認を行うリスクベース認証とは異なります。

よくある誤解

1. 「アカウントロックやセッション切断もリスクベース認証だ」
   → これらは重要な防御策ですが、多くは固定ルール（時間や回数）に基づくため、リスクベース認証とは別物です。リスクベースは“状況に応じた動的な判定”が鍵です。
2. 「リスクベース認証＝多要素認証（MFA）」と思う
   → MFAは複数の要素（知識、所持、生体など）を使う認証方式です。リスクベース認証は「いつ追加の要素を求めるか」を決める仕組みで、MFAを必要に応じて使うことが多い、という関係です。
3. 「秘密の質問は強い追加認証だ」
   → 秘密の質問は知識要素ですが、答えが推測されやすかったりSNS情報から導けたりします。利用時は強力な要素（ワンタイムパスワードや生体認証）と組み合わせるのが望ましいです。

補足コラム

• リスク判定で利用される情報例
  • デバイスフィンガープリンティング（端末の種類・ブラウザ情報を組み合わせて判別）
  • IPアドレスや地理的位置（普段と異なる国からのアクセス）
  • 時刻や取引額（深夜の高額振込はリスク大）
  • 操作挙動（マウスやキー入力の特徴）
    これらを組み合わせて「リスクスコア」を算出し、閾値を超えたら追加認証を要求します。
• 実際の銀行での使い方例
  1. 普段使っているスマホからのログイン → そのまま許可（ユーザビリティ重視）
  2. 新しいPCや海外からのログイン → ワンタイムパスワード（SMS/メール）を要求
  3. 高額送金 → 生体認証や追加の本人確認書類提出を要求
     このように「使いやすさ」と「安全性」を両立するために使われます。
• ユーザーとしての対策
  • 普段使う端末を登録（信頼できる端末の登録機能）する
  • OS・ブラウザを最新に保つ
  • 公衆Wi-Fiでの重要操作は避ける
  • 可能なら強固なMFA（認証アプリやハードウェアトークン）を使う

FAQ