令和6年度春期 システムアーキテクト 午前Ⅰ 問12

本人認証方式を考える視点

オンライン決済の本人認証を考えるときは、利用者・事業者・第三者それぞれの立場で、確認の目的と負担、利用場面との関係を整理して比較しましょう。複数の観点を混同せず、条件に沿って読み分けることが大切です。

この問題で問われていること

選択肢を読む際は、認証情報が何を確認するために使われ、どの段階で誰にどのような負担やリスクが生じるかという一点に注目してください。個別の名称や印象ではなく、説明の前提と適用範囲を読み取ることが大切です。

視点

本人認証方式を比較する際は、認証の目的、関係者、利用時の負担、想定されるリスクを同じ観点で整理し、説明がどの条件に依存するかを確認します。

確認ポイント

• 認証で確認しようとしている対象が何かを整理する。
• 利用者と事業者の双方に生じる負担の種類を分けて見る。
• 利用場面や前提条件が変わると評価も変わるかを確かめる。

正解

イ

解説

3Dセキュア2.0では、過去の取引履歴や決済に利用するデバイスなどの情報を用いて取引リスクを評価し、リスクが高いと判断された場合に追加の本人認証を行います。すべての取引で同じ認証を一律に実施する方式ではありません。

理由

3Dセキュア2.0は、取引情報や利用環境などから不正利用の可能性を評価し、低リスクと判断されれば利用者の操作を増やさず、高リスクと判断されれば追加の本人認証を求める仕組みです。この特徴をリスクベース認証といいます。

比較

パスワード再発行の仕組みそのものを説明するものではなく、常にパスワードと生体認証を併用する方式でもありません。また、人間であることの確認だけでは、3Dセキュア2.0の本人認証の特徴を十分に表していません。

選択肢ア

これは不正解だよ。パスワードを忘れた場合の安全な再発行は、認証情報の回復手続に関する説明です。3Dセキュア2.0の特徴である、取引履歴や利用端末などを用いたリスク評価と、その結果に応じた追加の本人認証について述べていないため、設問の主旨と一致しません。

選択肢イ（正解）

これは正解だよ。3Dセキュア2.0では、利用者の過去の取引履歴や決済に使うデバイスの情報などから取引のリスクを評価します。不正利用や高リスクと判断された場合に、カード会社が追加の本人認証を行うという説明は、リスクベース認証の特徴に合っています。

選択肢ウ

これは不正解だよ。過去の取引履歴や決済に用いるデバイスの情報にかかわらず、常にパスワードと生体認証を併用するという説明になっています。3Dセキュア2.0は取引状況に応じて追加認証の要否を判断するため、一律に同じ認証を行う点が異なります。

選択肢エ

これは不正解だよ。取引履歴や利用端末の情報に加えて、人間が操作していることを確認するだけでは、3Dセキュア2.0の本人認証の特徴を正しく表していません。重要なのはリスクが高い場合にカード会社が追加の本人認証を行う点であり、記述の中心が異なります。

学習のポイント

リスクベース認証における追加認証の条件を理解する。