リスクベース認証とは？りすくべーすにんしょう
リスクベース認証とは、ログイン時のIPアドレス・地域・端末・時間帯といった状況を普段の傾向と突き合わせ、不審と判定したときだけ追加の本人認証を求める方式。普段どおりの環境なら追加認証を求めないので、利便性を落とさずに、なりすましの疑いが濃い場面だけ防御を厚くできる。
最終更新：2026-10-07
この語が出る過去問を解く →背景
認証を強くすれば安全になるが、全利用者に常時ワンタイムパスワードを課すと離脱と問合せが増え、事業側が導入を拒む。安全性と利便性を両立させるには、一律に強くするのではなく「怪しいときだけ強くする」しかない——リスクの大小に応じて対策の強度を変えるという、リスクマネジメントの基本発想を認証に持ち込んだのがこの方式である。午前I（科目A-1）では平成31年春に「リスクベース認証の特徴はどれか」、令和6年秋に3Dセキュア2.0の本人認証の特徴として、いずれも同じ論点で出題されている。
具体例
クレジットカードのオンライン決済で使われる3Dセキュア2.0（EMV 3-Dセキュア）は、取引履歴や決済端末の情報をカード会社に送り、低リスクと判定した取引は追加認証なしで通し、高リスクの取引だけワンタイムパスワードを求める。Googleアカウントが見慣れない国からのログインで確認を挟むのも同じ考え方である。
試験での引っ掛け
「認証要求元の環境によらず常に2つの認証方式を併用する」という選択肢は多要素認証の説明であり、リスクベース認証ではない。条件付きで追加する点が違いの核心である。逆に「いかなる環境でも手順を変えない」も誤りで、これは従来型の認証。判定材料が取れない環境では効果が落ちるため、単独で多要素認証の代わりにはならない。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：平成31年度 春期 高度試験 午前Ⅰ 問12（IPA）
リスクベース認証の特徴はどれか。
正解：普段と異なる環境からのアクセスと判断した場合、追加の本人認証をすることによって、不正アクセスに対抗し安全性を高める。
要点：リスクベース認証は普段と違うアクセス時だけ追加認証を求める
リスクベース認証は、アクセス元のIPアドレス、端末情報、時間帯、位置などから普段の利用パターンとの差異を評価し、リスクが高いと判断した場合にだけ追加の認証（秘密の質問やワンタイムパスワードなど）を要求する方式である。通常時の利便性を損なわずに、なりすましへの耐性を高められる点が特徴である。
出典：令和6年度 春期 高度試験 午前Ⅰ 問12（IPA）解説で登場
3Dセキュア2.0(EMV 3-Dセキュア)は、オンラインショッピングにおけるクレジットカード決済時に、不正取引を防止するための本人認証サービスである。3Dセキ…
正解：利用者の過去の取引履歴や決済に用いているデバイスの情報から不正利用や高リスクと判断される場合に、カード会社が追加の本人認証を行う。
要点：3Dセキュア2.0はリスクに応じて追加認証を行う
3Dセキュア2.0は、取引履歴や利用端末の情報などをカード会社へ送り、そのリスク評価に基づいて認証方法を変える「リスクベース認証」を採用している。低リスクと判断された取引では追加認証を求めずに決済を通し、高リスクと判断された場合だけワンタイムパスワードなどの追加認証を行う。これにより不正防止と利便性を両立させている。
出典・参考
公式シラバスの3 技術要素 ＞ 1. 情報セキュリティ ＞ (8) 情報セキュリティに関する技術に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。