リスクベース認証とは？りすくべーすにんしょう
リスクベース認証とは、ログイン時の状況（IPアドレスや地理的位置、端末、時間帯、操作の癖）を平常時の傾向と照合し、逸脱が大きいときだけ追加の認証を求める方式。通常時の手間を増やさないまま、なりすましの疑いが濃い場面にだけ防御を厚くできる点が採用の理由になる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
認証を強くするほど利用者の離脱と問合せが増え、弱くすればなりすましが通る。この二律背反は、全利用者に一律の強度をかけている限り解けない。しかもフィッシングで奪われた正しいIDとパスワードは、資格情報だけを見ている限り本人と区別できない。利便性と安全性のどちらを取るかではなく、リスクの大小に応じて強度を変えることで両者を調停する発想が背景にある。
具体例
Googleアカウントは、普段と違う国や初めての端末からのログインでは、パスワードが正しくても本人確認の追加手順を求める。ネット銀行でも、いつもの端末からの少額振込は通す一方、初回の振込先や高額取引ではワンタイムパスワードを要求するという段階付けが行われている。
試験での引っ掛け
多要素認証との混同が狙われる。多要素は常に2種類以上の要素を求めるのに対し、リスクベースは条件を満たしたときだけ要素を追加する適応的な仕組みで、平常時は1要素で通ることもある。したがって単独で多要素認証の代替にはならない。要素の種類を問わず段を重ねる多段階認証とも別概念である。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：平成28年度 秋期 応用情報技術者試験 午前 問40（IPA）
リスクベース認証の特徴はどれか。
正解：普段と異なる環境からのアクセスと判断した場合、追加の本人認証をすることによって、一定の利便性を保ちながら、不正アクセスに対抗し安全性を高める。
要点：リスクベース認証は普段と違うときだけ認証を追加する
リスクベース認証は、アクセス元のIPアドレスや端末、時間帯などの情報から普段と異なる状況かどうかを判断し、通常と違うと判定したときだけ追加の認証を求める方式です。日常的な利用では手間を増やさず、なりすましが疑われる場面でだけ確認を強めるため、利便性と安全性を両立できます。常に2種類の認証を課す多要素認証とは考え方が異なります。
出典：平成31年度 春期 応用情報技術者試験 午前 問37（IPA）
リスクベース認証の特徴はどれか。
正解：普段と異なる環境からのアクセスと判断した場合、追加の本人認証をすることによって、不正アクセスに対抗し安全性を高める。
要点：リスクベース認証は普段と違う環境のときだけ追加認証を求める
リスクベース認証は、アクセス元のIPアドレスや国、端末、時間帯などを普段の利用パターンと比べ、リスクが高いと判定したときだけ追加の認証を求める方式である。普段どおりの環境からは通常の認証で済むため、利便性を保ちながら不正アクセスへの耐性を高められる。
出典：令和3年度 春期 応用情報技術者試験 午前 問39（IPA）
リスクベース認証の特徴はどれか。
正解：普段と異なる利用条件でのアクセスと判断した場合には、追加の本人認証をすることによって、不正アクセスに対する安全性を高める。
要点：リスクベース認証は普段と違うアクセス時だけ追加認証する
リスクベース認証は、アクセス元のIPアドレスや国、端末、時間帯などから普段の利用パターンとの差を評価し、リスクが高いと判断した場合にだけ追加の本人確認を求める方式である。通常時の利便性を保ちながら、なりすましによる不正アクセスを抑止できる。
出典：令和6年度 春期 応用情報技術者試験 午前 問35（IPA）解説で登場
3Dセキュア2.0(EMV 3-Dセキュア)は、オンラインショッピングにおけるクレジットカード決済時に、不正取引を防止するための本人認証サービスである。3Dセキ…
正解：利用者の過去の取引履歴や決済に用いているデバイスの情報から不正利用や高リスクと判断される場合に、カード会社が追加の本人認証を行う。
要点：3Dセキュア2.0はリスクが高い取引だけ追加認証を求める
3Dセキュア2.0の最大の特徴はリスクベース認証を採用した点である。カード会社は取引履歴や端末情報などの多数の属性を受け取ってリスクを評価し、リスクが低いと判断した取引では追加認証を省いて決済を通す。逆に不正の疑いが高い取引に限りワンタイムパスワードなどの追加認証を求めるので、安全性と利便性を両立できる。
出典・参考
公式シラバスの3 技術要素 ＞ 1. 情報セキュリティ ＞ (8) 情報セキュリティに関する技術に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。