令和6年度春期 情報処理安全確保支援士 午前Ⅰ 問12

午前I 問12：3Dセキュア2.0は“怪しさ”に応じて確認を変える仕組みだよ

3Dセキュア2.0では、買い物の状況を見て「これは安全そう」「ちょっと怪しいかも」と判断するリスクベース認証が使われるよ。たとえば、いつもの端末で少額の買い物ならスムーズに通し、見慣れない場所や高額決済などでリスクが高そうなら、追加の本人確認を求めるんだ。

この問題で問われていること

ポイントは、全員に毎回同じ本人確認をさせる仕組みではないということだよ。空港の保安検査で、状況に応じて追加確認が入るイメージで、リスクが低ければfrictionlessに、高ければ認証を強くする点を押さえよう。

3D Secure 2.0

risk-based authentication decides whether extra challenge is needed

transaction/device history\nrisk assessment\nstep-up authentication

確認ポイント

• 常にパスワード＋生体認証ではありません。
• デバイス情報や過去履歴を使う。
• 高リスク時のみ追加認証を行う。

正解

イ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。パスワードを忘れたときに安全に再発行する話は、鍵をなくした人に合鍵を渡す手続きの話だね。リスクベース認証は、合鍵の再発行ではなく、「この来店は怪しいかな？」と状況を見て追加確認する仕組みだよ。

選択肢イ（正解）

これは正解だよ。いつもの買い物履歴や使っているスマホ・PCの情報を見て、「あれ、今日はいつもと違うぞ」と怪しいときだけ追加確認する仕組みだよ。普段の常連客はスムーズに通し、泥棒っぽい動きだけ窓口で詳しく確認するイメージだね。

選択肢ウ

これは不正解だよ。いつでも全員にパスワード＋生体認証を求めるのは、入口で毎回全員の身分証を細かく確認するようなもの。安全ではあるけど、リスクが高いときだけ追加確認する仕組みの説明ではないんだ。

選択肢エ

これは不正解だよ。人間が操作しているかを確認するのは、画像の文字入力などのCAPTCHAに近い話だよ。リスクベース認証の中心は、人間かどうかではなく、取引履歴や端末情報から危険そうかを判断して追加認証することなんだ。