平成31年度春期 データベーススペシャリスト 午前Ⅰ 問12

認証判断を整理する視点

認証方式の名称や印象だけで判断せず、利用状況に応じて何を確認し、得られた情報をどのような判断につなげるのかという観点で、各記述の意味と用語の関係を丁寧に整理しましょう。

この問題で問われていること

個別の仕組みを暗記するよりも、説明が「評価する情報」「判断の目的」「利用者への対応」のどこを述べているかを切り分け、記述全体の射程が一致しているか確認することに集中します。

視点

認証に関する説明を読むときは、入力される情報、判断が行われる場面、判断後に想定される扱いを分けて捉え、それぞれの関係が無理なく説明されているかを確認します。

確認ポイント

• 説明が扱う情報の範囲を確認する
• 判断の目的と対象を区別して読む
• 記述の前提と結論のつながりを確認する

正解

ウ

解説

リスクベース認証は、アクセス元の環境や利用状況などから認証に伴うリスクを評価し、必要に応じて本人確認を強化する仕組みです。

理由

リスクベース認証では、アクセス元の場所、端末、時間帯などの状況を基に、通常とは異なるリスクがあるかを判断します。リスクが高いと判断した場合には、追加の本人確認を求めることで、不正アクセスへの対策を強化します。

比較

常に同じ認証手順を使う方式や、環境に関係なく複数の認証方式を固定的に併用する方式とは異なります。また、認証情報を忘れた利用者を救済する仕組みそのものを指す概念でもありません。

選択肢ア

これは不正解だよ。いかなる環境でも認証方法を変えず、同一手順で利用できるという説明は、利用状況に応じてリスクを評価し認証の扱いを調整するリスクベース認証の特徴と一致しません。

選択肢イ

これは不正解だよ。ハードウェアトークンとパスワードを常に併用する説明は、環境によらず認証方式を固定する多要素認証の考え方です。状況に応じて認証の強度を変える特徴を表していません。

選択肢ウ（正解）

これは正解だよ。普段と異なる環境からのアクセスをリスクが高いと判断した場合に、追加の本人認証を行って安全性を高める説明です。利用状況に応じて認証を強化する点が、リスクベース認証の特徴です。

選択肢エ

これは不正解だよ。認証情報を忘れた利用者を救済し、通常どおり利用できるようにする説明は、パスワード再設定やアカウント復旧に関する機能です。アクセス時のリスク評価に応じて認証を変える仕組みではありません。

学習のポイント

固定的な認証と、状況に応じて強度を変える認証の違いを理解する。