平成31年度春期 情報処理安全確保支援士 午前Ⅰ 問12

午前I 問12：リスクに合わせて本人確認の厳しさを変える認証

リスクベース認証は、いつも同じ厳しさで本人確認するのではなく、「普段のスマホから昼間にログインしているなら軽め」「見知らぬ端末や海外から深夜にログインしているなら追加確認」といった感じで、状況の怪しさに応じて認証の強さを変える仕組みだよ。

この問題で問われていること

ポイントは、「常に二要素認証をする仕組み」や「パスワードを忘れたときのアカウント救済」と混同しないことだよ。リスクベース認証は、アクセス元端末・場所・時間帯などを見て、怪しそうなときだけ認証を強める考え方だと押さえよう。

Risk-based Authentication

risk-based authentication asks for extra verification only when access context is unusual

usual context -> normal auth\nunusual context -> extra auth

確認ポイント

• いつでも同じ手順ではありません。
• 常時二要素併用とも限らない。
• 異常なアクセス環境時の追加認証を見る。

正解

ウ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは間違いだよ。リスクベース認証は、いつもと違う場所や端末から来たら『ちょっと怪しいかも』と見て確認を増やす仕組みなんだ。たとえば、家の玄関でいつもの家族なら普通に入れるけど、深夜に知らない場所から合鍵を使われたら追加確認する感じだね。いつでも同じ手順のまま、という説明は合っていないよ。

選択肢イ

これは間違いだよ。常に二つの認証方式を使うのは多要素認証の説明に近いんだ。リスクベース認証は、毎回必ず二重チェックするのではなく、『普段と違うから追加確認しよう』のように状況に応じて強さを変える仕組みだよ。駅の改札で全員を毎回窓口確認するのではなく、怪しい通り方をした人だけ呼び止めるイメージだね。

選択肢ウ（正解）

これが正解だよ。普段と違う端末、場所、時間帯などからアクセスされたときに、『本人かな？』と追加認証を求めるのがリスクベース認証なんだ。たとえば、いつも近所のATMを使う人が急に海外からログインしようとしたら、銀行が追加確認する感じだね。不正アクセスへの対策として自然な考え方だよ。

選択肢エ

これは間違いだよ。認証情報を忘れた人を救済する仕組みは、パスワード再設定やアカウント復旧の話だね。リスクベース認証は『アクセスしてきた状況が普段と違うか』を見て追加確認する仕組みで、忘れ物対応の窓口ではないんだ。鍵をなくした人に新しい鍵を渡す話と、怪しい来訪者を追加確認する話は別物だよ。