アクセス元の環境や振る舞いからリスクを判定して追加認証を行うリスクベース認証

リスクベース認証(Risk-Based Authentication)の特徴として「普段と異なる利用条件でのアクセスと判断した場合には,追加の本人認証をすることによって,不正アクセスに対する安全性を高める」が適切です。 リスクベース認証は、利用者のログイン試行時におけるコンテキスト情報(アクセス元のIPアドレス、位置情報、使用端末、OS・Webブラウザのフィンガープリント、アクセス時間帯など)をリアルタイムに評価し、普段と異なる環境からの不審なアクセスやなりすましのリスクが高いと判定された場合にのみ、ワンタイムパスワード(OTP)や生体認証、秘密の質問などの追加認証(ステップアップ認証)を要求する方式です。正規利用者の利便性を保ちつつ、不正アクセスに対する防御力を高めます。 利用条件に関わらず常に2つの認証要素を要求するのは、一般的な「多要素認証(MFA)」の説明です。 アクセス条件に関係なく常に同一の認証手順を適用するのは従来型の単一認証(固定認証)であり、リスクに応じて適応的に変化させるリスクベース認証ではありません。 認証情報を入力せずにシステムを利用させることは重大なセキュリティリスクであり、リスクベース認証の機能ではありません。

リスクベース認証の特徴はどれか。

出典令和3年度 春期 応用情報技術者試験 午前 問39
ア
いかなる利用条件でのアクセスの要求においても,ハードウェアトークンとパスワードを併用するなど,常に二つの認証方式を併用することによって,不正アクセスに対する安全性を高める。
イ
いかなる利用条件でのアクセスの要求においても認証方法を変更せずに,同一の手順によって普段どおりにシステムにアクセスできるようにし,可用性を高める。
ウ
普段と異なる利用条件でのアクセスと判断した場合には,追加の本人認証をすることによって,不正アクセスに対する安全性を高める。
エ
利用者が認証情報を忘れ,かつ,Webブラウザに保存しているパスワード情報も使用できないリスクを想定して,緊急と判断した場合には,認証情報を入力せずに,利用者は普段どおりにシステムを利用できるようにし,可用性を高める。