令和3年度秋期 システム監査技術者 午前Ⅰ 問14

利用場面を見分けるための視点

不正利用対策を考えるときは、誰が、どの時点で、何を確認しようとしているのかを整理し、対策の目的と適用される場面の対応関係に注目し、個別の名称から早合点しないようにしましょう。

この問題で問われていること

この問題では、対策の名称や印象だけで判断せず、取引のどの段階で、どの主体が、どのようなリスクを抑えようとしているかという一つの観点に絞り、各選択肢を同じ基準で見比べてください。

視点

対策を区別するときは、関係者と取引の前後を含む時間的な位置づけを整理し、目的と適用場面の組合せを確認します。

確認ポイント

• その対策が想定する取引上の段階を、問題文の状況と照らし合わせる。
• 確認の主体と、抑えようとしているリスクの対象を整理する。
• 名称の印象ではなく、目的と利用場面の対応だけを比較する。

正解

ア

解説

オンラインショッピングの不正利用対策では，カード番号や有効期限などの券面情報だけでなく，カード利用者本人であることを追加的に確認する仕組みが有効です。3Dセキュアは，オンライン決済時の本人認証に用いられるため，盗難カードの不正利用防止に適している。

理由

3Dセキュアは，オンラインショッピングで決済を行う際に，カード番号や有効期限などとは別に本人認証を行う仕組みです。したがって，盗まれたカード情報だけを使った不正利用を防ぐ対策として有効です。

比較

有効期限やセキュリティコードはカード情報の一部として利用されるが，それを知っていることだけでは利用者本人だと確認できない。また，カードのPINは主にICカード利用時などに使われる暗証番号であり，オンラインショップがカード内のPINと照合する仕組みではありません。

選択肢ア（正解）

これは正解だよ。3Dセキュアはオンラインショッピングの決済時に，カード番号や有効期限などの情報だけでなく，利用者本人であることを追加的に認証する仕組みである。盗難カードの情報を第三者が入手しても，追加認証を通過できなければ不正利用を抑止できる。

選択肢イ

これは不正解だよ。カード内に保持されたPINと照合して本人確認するという方法は，オンラインショッピングで一般的に行われる仕組みではない。PINは主にICカードの利用時やATMなどで使われる暗証番号であり，この選択肢はオンライン決済の本人認証方法として適切ではない。

選択肢ウ

これは不正解だよ。クレジットカードの有効期限を確認すると，期限切れカードの利用は拒否できるが，有効なカードを盗んだ第三者であるかどうかまでは確認できない。有効期限はカード情報の妥当性を確認する項目であり，盗難カードによる本人性の問題を解決する仕組みではない。

選択肢エ

これは不正解だよ。セキュリティコードの入力は，カード番号などと併せて確認する情報の一つだが，盗難カードの券面や保存情報から取得される可能性がある。したがって，セキュリティコードによる券面認証だけでは，入力者が正当な本人であることを十分に確認できない。

学習のポイント

カード情報の確認と，利用者本人の認証を区別して理解する。