リスクベース認証の例はどれ？似たログイン対策と見分ける
ITパスポート試験 令和8年度 問71 ／ セキュリティ › 情報セキュリティ対策・実装技術
過去問にチャレンジ
インターネットバンキングなどのWebサイトで利用されているリスクベース認証の例として，適切なものはどれか。
- ア
利用者がいつもログインに使っているPCとは異なるPCからのログインであったので，本人しか知らない秘密の質問による追加の認証を行った。
- イ
利用者がログインした後，画面操作が一定時間なかったので，自動的にログアウトして，再度ログインを求めた。
- ウ
利用者がログインするときにパスワードを連続して複数回間違って入力したので，アカウントをロックした。
- エ
利用者がログインに使っているパスワードが長期間変更されていなかったので，パスワードの変更を促した。
会話形式の解説
講師今回はリスクベース認証の例を選ぶ問題です。選択肢はどれもログインまわりのセキュリティ対策なので、それぞれの対策の名前と仕組みを区別できるかがポイントになります。
受験者どれも安全のための対策に見えて、迷ってしまいました。「リスクベース」という言葉から、危険に応じて何かをする仕組みだとは思うのですが。
講師その方向で合っています。リスクベース認証は、端末や場所、時刻などの利用状況を普段と比べて、不正ログインの危険度を判定する方式です。危険度が高いと判断したときに追加の認証を求めます。
受験者そうすると、いつもと違うPCからログインしたので秘密の質問をした、という選択肢が当てはまりそうです。
講師そのとおりです。普段と異なるPCからのログインという、不正アクセスの危険度が高い状況を見て、秘密の質問で追加の認証を求めています。「状況からリスクを判定している」と「その結果として追加認証をしている」の二つがそろっているので、これが正解です。
受験者一定時間操作がないと自動でログアウトする選択肢も、再度ログインを求めているので追加の認証に近い気がしました。
講師そこは紛らわしいところですね。これはセッションタイムアウトと呼ばれる対策です。放置された画面を他人に使われないようにするためのもので、時間という決まったルールで働きます。利用状況から危険度を判定しているわけではありません。
受験者パスワードを何回も間違えたらアカウントをロックする選択肢も、危険を察知しているように思えますが、違うのですか。
講師それはアカウントロックアウトです。総当たり攻撃や辞書攻撃、つまりパスワードを次々に試す攻撃への対策で、失敗した回数という決まったルールで働きます。普段との違いから危険度を判定する仕組みではないので、リスクベース認証とは区別します。
受験者長期間変わっていないパスワードの変更を促す選択肢は、ログインのときの状況とは関係がなさそうです。
講師はい。パスワードの有効期限やパスワードポリシー、つまりパスワードの運用ルールに関する管理策です。ログイン時の状況に応じて追加の認証をしているわけではありません。
受験者整理すると、時間や回数で一律に働くものは別の対策で、普段と違う状況を見て追加で確認するものがリスクベース認証、ということですね。
講師よく整理できています。追加認証の手段には、秘密の質問のほかにワンタイムパスワードやSMSで届くコードなども使われます。危険度が高いときに追加認証を求める仕組みなので、利便性と安全性を両立しやすいのが特徴です。時間や回数の決まりで働く対策を選ばないように気をつけましょう。
まとめ
リスクベース認証は、端末・場所・時刻などの利用状況を普段と比べて不正ログインの危険度を判定し、危険度が高いときに追加の認証を求める方式です。いつもと違うPCからのログインで秘密の質問を求める例が、これに当てはまります。一定時間の無操作で自動ログアウトするのはセッションタイムアウト、連続した誤入力でアカウントを止めるのはアカウントロックアウトで、どちらも時間や回数といった決まったルールで働く対策です。長期間変更されていないパスワードの変更を促すのは、パスワードポリシーに関する管理策です。「状況からリスクを判定しているか」と「その結果として追加認証をしているか」の二点で見分けると判断しやすくなります。
解答・解説
正解はアです
この問題のテーマ
リスクベース認証とはどのような仕組みかを理解しているかを問う問題です。ログインまわりの似たセキュリティ対策と見分けられるかが試されています。
解き方の考え方
まず、リスクベース認証の特徴を確認します。利用状況を普段と比べて危険度を判定し、危険度が高いときにだけ追加の認証を求める仕組みです。次に、各選択肢が「状況からリスクを判定しているか」と「その結果として追加認証をしているか」の2点を満たすかを見ていきます。時間や回数などの決まったルールで一律に働く対策は、別の名前を持つ施策なので除外できます。
選択肢ごとの解説
- ○ア 利用者がいつもログインに使っているPCとは異なるPCからのログインであったので，本人しか知らない秘密の質問による追加の認証を行った。いつもと異なるPCからのログインという普段との違いを見て、不正アクセスの危険度が高いと判断しています。そのときにだけ秘密の質問で追加の認証を求めているので、リスクベース認証の典型的な例です。
- ×イ 利用者がログインした後，画面操作が一定時間なかったので，自動的にログアウトして，再度ログインを求めた。一定時間操作がないと自動でログアウトする仕組みは、セッションタイムアウトです。放置された画面を他人に使われないようにする対策であり、利用状況から危険度を判定して追加認証を求めるものではありません。
- ×ウ 利用者がログインするときにパスワードを連続して複数回間違って入力したので，アカウントをロックした。パスワードを続けて間違えたときにアカウントを止める措置は、アカウントロックアウトです。総当たり攻撃や辞書攻撃への対策で、失敗した回数という決まったルールで働くため、リスクベース認証とは区別されます。
- ×エ 利用者がログインに使っているパスワードが長期間変更されていなかったので，パスワードの変更を促した。長い間変更されていないパスワードの変更を促すのは、パスワードの有効期限やパスワードポリシーに関する管理策です。ログインするときの状況に応じて追加の認証をしているわけではありません。
補足
追加認証の手段としては、秘密の質問のほかに、ワンタイムパスワードやSMSで届くコードなどが使われます。この問題では「普段と違う状況を見て、そのときだけ追加で確認する」という組み合わせが見分けるポイントです。時間や回数で一律に働く対策を選ばないように注意しましょう。
POINT
- リスクベース認証は、端末・場所・時刻などが普段と違うかを見て、不正ログインの危険度を判定する方式です。
- 危険度が高いと判断したときにだけ追加認証を求めるので、利便性と安全性を両立しやすいのが特徴です。
- 無操作が続いたときの自動ログアウトは、セッションタイムアウトです。
- 連続した誤入力でアカウントを止める措置は、アカウントロックアウトと呼ばれ、総当たり攻撃への対策になります。