問71
頻出度★★★
インターネットバンキングなどの Web サイトで利用されているリスクベース認証の例として, 適切なものはどれか。
令和8年度 ITパスポート試験 問71
この問題の解説と、これまでの解答の記録です。
解説
問 71
- ア
正解 リスクベース認証とは、ログイン時の状況(利用端末・接続元 IP・地域・時間帯・操作の癖など)を分析し、普段と異なる「リスクが高い」と判断したアクセスに対してだけ追加の認証を求める仕組みです。選択肢アは、利用者がいつも使う PC とは違う PC からログインしたという「いつもと異なる状況=高リスク」を検知し、本人しか知らない秘密の質問で追加認証を行っています。状況に応じて認証の強さを動的に変える、というリスクベース認証の考え方そのものなので、これが適切な例です。
不正解イ
一定時間操作がなかったので自動ログアウトして再ログインを求めるのは「セッションタイムアウト(自動ログオフ)」の機能です。放置端末の乗っ取り対策ではありますが、アクセスのリスクの高低を判定して認証の強さを変えているわけではないので、リスクベース認証の例ではありません。
不正解ウ
パスワードを連続して複数回間違えたのでアカウントをロックするのは「アカウントロック(ロックアウト)」で、総当たり攻撃などへの対策です。状況に応じて追加認証を課すのではなく、一定回数の失敗で機械的に締め出す仕組みなので、リスクベース認証とは異なります。
不正解エ
パスワードが長期間変更されていないので変更を促すのは「パスワードの有効期限(パスワードエイジング)」に基づく運用です。古いパスワードの使い回しを防ぐ施策であって、ログイン状況のリスクを評価して認証を強化するものではないため、リスクベース認証の例にはあたりません。
ここがポイント
- リスクベース認証=ログイン時の状況(端末・IP・地域・時間帯など)を分析し、普段と異なる高リスクなアクセスのときだけ追加認証を課す仕組み。
- 似て非なる仕組みとの区別: 自動ログアウト=セッションタイムアウト、連続失敗で締め出し=アカウントロック、定期的な変更要求=パスワード有効期限。いずれもリスクの動的判定はしない。
用語