令和2年度10月 情報処理安全確保支援士 午前Ⅱ 問9

3Dセキュアはネット決済の“本人確認ゲート”だよ

3Dセキュアは、ネットでクレジットカード決済をするときに、カード会社が用意した追加の本人確認を行う仕組みだよ。たとえば、お店のレジでカードを見せるだけじゃなくて、「本当に持ち主さんですか？」と合言葉やワンタイムパスワードで確認されるイメージだね。これによって、カード番号を知っているだけの第三者による不正利用を防ぎやすくしているよ。

この問題で問われていること

この問題では、カード裏面のセキュリティコード、有効期限、店頭で使うPINなどの“カード情報の確認”と、3Dセキュアのような“カード名義人本人かを追加で確かめる本人認証”を区別できるかがポイントだよ。

3D セキュア

カード番号などを知っているだけでは通らず、発行会社側に登録済みの追加認証情報が必要になる。

オンライン決済\n-> 追加本人認証\n-> なりすまし防止

確認ポイント

• PIN は対面利用や ATM での暗証番号の文脈が強い。
• セキュリティコードや有効期限確認だけでは本人認証になりにくい。
• 登録済みパスワードなどで本人確認する説明を選ぶ。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。PINはお店の端末やATMなどで使う暗証番号のイメージで、ネット通販でカード会社が本人確認する仕組みの説明としては合わないよ。窓口で暗証番号を聞く場面と、ネット上で本人確認する場面は別物だと考えよう。

選択肢イ

これは不正解だよ。セキュリティコードは、カードを手元に持っているかを確かめるための番号で、合鍵の番号を確認するようなものだね。でも、カード情報ごと盗まれていたら一緒に知られていることもあるので、本人確認の決め手にはならないよ。

選択肢ウ

これは不正解だよ。有効期限の確認は、カードが期限切れでないかを見るためのものだね。たとえるなら、入場券の日付を確認するだけで、持ってきた人が本人かどうかまでは分からないよ。なりすまし対策としては弱いんだ。

選択肢エ（正解）

これは正解だよ。カード会社に登録したパスワードなどを入力して確認するので、『カード番号を知っている人』ではなく『本人しか知らない合言葉を言える人』かを確かめられるんだ。玄関の鍵だけでなく、家族だけが知っている合言葉も確認するような仕組みだよ。