リスクベース認証とは？

リスクベース認証の意味

普段と異なるIPアドレスや端末、地域からのログインなど、通常と異なる兆候が見られた場合にだけ追加の認証（秘密の質問やワンタイムパスワードなど）を要求する仕組み。利便性を保ちながら不正アクセスのリスクを下げる。

リスクベース認証の具体例

海外からいつもと違う端末で銀行口座にログインしようとすると、通常のパスワードに加えて登録メールアドレスへの確認コード入力を追加で求められる。

リスクベース認証は試験でどう引っ掛けられる？

多要素認証と同じものではない。多要素認証は常に複数の要素を要求するが、リスクベース認証は普段どおりの状況なら追加認証を求めない（条件によって挙動が変わる）。利便性を保つ代わり、いつもの端末・地域を装った攻撃は素通りしうる。

リスクベース認証と関連する用語

• 多要素認証・二要素認証
• ワンタイムパスワード

リスクベース認証が出た過去問

• リスクベース認証に該当するものはどれか。

  正解：利用者のIPアドレスなどの環境を分析し，いつもと異なるネットワークからのアクセスに対して追加の認証を行う。

  要点：リスクベース認証は普段と違うときだけ認証を強める

  リスクベース認証は、アクセス元のIPアドレスや端末、時間帯、操作の傾向などから普段と異なる状況を検知したときにだけ、追加の認証を求める方式である。通常の利用では利便性を保ちつつ、疑わしいアクセスに限って認証を強化できる点が特徴となる。

  出典：平成30年度 春期 情報セキュリティマネジメント試験 午前 問25（IPA）

• リスクベース認証に該当するものはどれか。

  正解：利用者のIPアドレスなどの環境を分析し、いつもと異なるネットワークからのアクセスに対して追加の認証を行う。

  要点：リスクベース認証は普段と違う状況でだけ追加認証する

  リスクベース認証は、アクセス元のIPアドレスや端末、時間帯、操作の傾向などが普段と異なるかを評価し、リスクが高いと判定したときだけ追加の認証を求める方式である。通常利用時の手間を増やさずに、なりすましの疑いがある場合の防御を強められる点が特徴である。

  出典：令和1年度 秋期 情報セキュリティマネジメント試験 午前 問24（IPA）

• リスクベース認証に該当するものはどれか。

  正解：利用者のIPアドレスなどの環境を分析し、いつもと異なるネットワークからのアクセスに対して追加の認証を行う。

  要点：リスクベース認証は普段と違う状況だけ認証を強める

  リスクベース認証は、アクセス元のIPアドレスや端末、時間帯などの状況を普段の利用傾向と比較し、リスクが高いと判断したときにだけ追加の認証を求める方式である。通常時の利用者の手間を増やさずに、不正ログインの疑いがある場合だけ守りを固められる点が利点となる。常に同じ強度の認証を課す方式とはこの点で異なる。

  出典：令和4年度 s 情報セキュリティマネジメント試験 kamokuAB 問24（IPA）

• リスクベース認証の説明として，適切なものはどれか。

  正解：通常とは異なるIPアドレス，Webブラウザなどから認証要求があった場合に，追加の認証を行う。

  要点：リスクベース認証は普段と違うアクセスにだけ追加認証を課す

  リスクベース認証は、普段と異なるIPアドレスや端末、時間帯からのアクセスなど、リスクが高いと判断される状況のときにだけ追加の認証を求める方式です。通常の利用では手間を増やさず、なりすましが疑われる場面だけ確認を強めるため、利便性と安全性を両立できます。

  出典：令和6年度 （公開問題） 情報セキュリティマネジメント試験 kamokuAB 問5（IPA）