リスクベース認証とは？リスクベースにんしょう
リスクベース認証とは、ログインの状況を普段の利用と比べ、いつもと違う兆候があるときにだけ追加の認証を求める仕組み。判断材料は接続元のIPアドレスや地域、端末、時間帯など。通常どおりの利用では手間が増えないため、利便性を落とさずに不正ログインを抑える方法として使われる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
安全側に倒すなら、毎回ワンタイムパスワードを求めればよい。しかし手間が増えるほど利用者は回避策を探し、業務の効率も落ちる。逆に緩めれば、流出した認証情報でそのまま入られる。この対立を、全員一律ではなく状況ごとに強度を変えることで調停するのがリスクベース認証である。パスワードの使い回しによる不正ログインが常態化したことが、普及を後押しした。
具体例
普段は国内の決まった端末から使っている口座へ、海外の未登録端末からログインが試みられると、パスワードに加えて登録メールアドレス宛の確認コードを求められる。銀行やクラウドサービスの管理者ログインで広く採用されている形である。
試験での引っ掛け
多要素認証と同じものではない。多要素認証は常に複数の要素を要求するが、リスクベース認証は普段どおりの状況なら追加を求めない。「常に」か「条件付きか」が分岐点になる。裏を返せば、いつもの端末や地域を装われた場合や、正規の利用者が出張先から使う場合には判定を誤りうる。単独で十分と考えず、重要な操作には別途認証を置く。
関連用語
出た過去問
出典：平成30年度 春期 情報セキュリティマネジメント試験 午前 問25（IPA）
リスクベース認証に該当するものはどれか。
正解：利用者のIPアドレスなどの環境を分析し，いつもと異なるネットワークからのアクセスに対して追加の認証を行う。
要点：リスクベース認証は普段と違うときだけ認証を強める
リスクベース認証は、アクセス元のIPアドレスや端末、時間帯、操作の傾向などから普段と異なる状況を検知したときにだけ、追加の認証を求める方式である。通常の利用では利便性を保ちつつ、疑わしいアクセスに限って認証を強化できる点が特徴となる。
出典：令和元年度 秋期 情報セキュリティマネジメント試験 午前 問24（IPA）
リスクベース認証に該当するものはどれか。
正解：利用者のIPアドレスなどの環境を分析し、いつもと異なるネットワークからのアクセスに対して追加の認証を行う。
要点：リスクベース認証は普段と違う状況でだけ追加認証する
リスクベース認証は、アクセス元のIPアドレスや端末、時間帯、操作の傾向などが普段と異なるかを評価し、リスクが高いと判定したときだけ追加の認証を求める方式である。通常利用時の手間を増やさずに、なりすましの疑いがある場合の防御を強められる点が特徴である。
出典：令和4年度 公開問題 情報セキュリティマネジメント試験 科目A・B 問24（IPA）
リスクベース認証に該当するものはどれか。
正解：利用者のIPアドレスなどの環境を分析し、いつもと異なるネットワークからのアクセスに対して追加の認証を行う。
要点：リスクベース認証は普段と違う状況だけ認証を強める
リスクベース認証は、アクセス元のIPアドレスや端末、時間帯などの状況を普段の利用傾向と比較し、リスクが高いと判断したときにだけ追加の認証を求める方式である。通常時の利用者の手間を増やさずに、不正ログインの疑いがある場合だけ守りを固められる点が利点となる。常に同じ強度の認証を課す方式とはこの点で異なる。
出典：令和6年度 公開問題 情報セキュリティマネジメント試験 科目A・B 問5（IPA）
リスクベース認証の説明として，適切なものはどれか。
正解：通常とは異なるIPアドレス，Webブラウザなどから認証要求があった場合に，追加の認証を行う。
要点：リスクベース認証は普段と違うアクセスにだけ追加認証を課す
リスクベース認証は、普段と異なるIPアドレスや端末、時間帯からのアクセスなど、リスクが高いと判断される状況のときにだけ追加の認証を求める方式です。通常の利用では手間を増やさず、なりすましが疑われる場面だけ確認を強めるため、利便性と安全性を両立できます。
出典・参考
公式シラバスの1 技術要素 ＞ 1 情報セキュリティ ＞ 情報セキュリティ技術（認証技術）に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。