リスクベース認証とは？りすくべーすにんしょう
リスクベース認証とは、接続元の場所・端末・時間帯・操作内容がふだんと違うときにだけ追加の確認を求める認証方式。全員に毎回ワンタイムコードを求めれば安全だが問い合わせと離脱が増えるため、危険度に応じて手間を配分する。運用の場面では、追加確認の閾値がそのままサービスデスクの入電数に直結するパラメータになる。
最終更新：2026-10-06
ITサービスマネージャを最短で暗記・合格する →背景
認証を強くするほど本人も入りにくくなり、「ログインできない」という問い合わせがサービスデスクへ跳ね返る。逆に緩めれば不正利用が通る。この二律背反を全利用者に一律で決めるのをやめ、ふだんの振る舞いから外れた分だけ確認を足す形にしたのがリスクベース認証である。運用にとっての要点は、これが利便性と安全性のつまみであると同時に、変更すれば入電数と不正検知数の両方が動く設定値だという点で、閾値の変更は変更管理の対象になる。
具体例
Microsoft Entra ID の条件付きアクセスは、普段と違う国からのサインインや、短時間での不可能な移動を検知した場合にのみ多要素認証を追加要求できる。ネット銀行でも、常用端末からの残高照会は追加確認なし、海外からの高額振込は電話確認まで求めるという段階設計が一般的で、この閾値を誰が変更でき、変更履歴が残るかが統制の焦点になる。
試験での引っ掛け
追加確認が出なかった取引を「安全と判定された取引」と読むのは誤りで、条件に当たらなかっただけである。運用でありがちなのは、問い合わせが増えたので閾値を緩め、発動件数が減ったことを改善として月次報告に載せてしまうこと——件数は簡単に動かせるので、不正検知率とセットで見ないと評価にならない。また、追加認証で弾かれた事象はインシデント（サービス停止）ではなく設計どおりの動作なので、インシデント件数に混ぜるとSLA報告が歪む。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。