リスクベース認証とは？りすくべーすにんしょう
リスクベース認証とは、ログインしようとしている状況を分析し、いつもと違う不審な兆候があるときにだけ追加の本人確認を求める認証方式。判断の材料は、アクセス元の地域や回線、使っている端末、時間帯、直前の行動などで、普段どおりならIDとパスワードだけで通し、怪しければワンタイムパスワードや秘密の質問を追加する。安全性と使いやすさを両立させるねらいがあり、ITパスポートではインターネットバンキングの例として問われる。
最終更新：2026-10-10
この語が出る過去問を解く →背景
本人確認を厳しくすれば安全になるが、毎回スマートフォンを取り出して数字を打つ手間を全利用者に強いると、利用が減り、問い合わせも増える。かといって緩くすれば乗っ取られる。そこで「危険度に応じて手間を変える」という考え方が出てきた。ふだんの利用の型を記録しておけば、そこから外れたときだけ確かめればよく、大多数の正しい利用者は余分な手間なしで済む。
具体例
いつも自宅のパソコンから平日の夜に利用している人が、深夜に海外のIPアドレス（インターネット上の住所にあたる番号）から、初めて使う端末でログインしようとすると、銀行の画面が「ご本人確認のため、登録の携帯電話に送った番号を入力してください」と追加の確認を求める。同じ人が翌日にいつもの自宅から入るときは、追加の確認は出ない。
試験での引っ掛け
二段階認証との違いが出題点。二段階認証は誰に対しても常に同じ手順を求めるのに対し、リスクベース認証は状況によって求める強さを変える。したがって「リスクベース認証は常に追加の認証を要求する」という選択肢は誤り。また判断に使うのは利用の状況であって、指紋や顔などの身体的特徴ではない（それは生体認証）。
関連用語
出た過去問
出典：令和8年度 秋期 ITパスポート試験 問71（IPA）
インターネットバンキングなどのWebサイトで利用されているリスクベース認証の例として、適切なものはどれか。
正解：利用者がいつもログインに使っているPCとは異なるPCからのログインであったので、本人しか知らない秘密の質問による追加の認証を行った。
要点：リスクベース認証は普段と違う状況のときだけ認証を追加する
リスクベース認証は、普段と異なる端末・場所・時間帯といった状況の変化を検知したときにだけ追加の認証を求める仕組みである。いつもの環境なら通常のIDとパスワードで通し、怪しい状況では秘密の質問やワンタイムパスワードを追加することで、安全性と利便性を両立させる。判断の材料が「利用状況のリスク」である点が特徴である。
出典・参考
公式シラバスの9 技術要素 ＞ 63. 情報セキュリティ対策・情報セキュリティ実装技術 ＞ (3) 認証技術に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。