問71
頻出度★★★
インターネットバンキングなどの Web サイトで利用されているリスクベース認証の例として, 適切なものはどれか。
令和8年度 ITパスポート試験 問71
这道题的解析和你的作答记录。
解説
問 71
- ア
正解 基于风险的认证是指：分析登录时的状况（所用终端、来源 IP、地区、时间段、操作习惯等），仅对与平时不同、被判定为「风险较高」的访问才要求追加认证的机制。选项ア检测到用户从与平时所用 PC 不同的 PC 进行登录这一「与平时不同的状况＝高风险」，并通过只有本人才知道的安全提示问题进行了追加认证。这正体现了根据状况动态改变认证强度的基于风险的认证思路本身，因此是恰当的示例。
错误イ
因一段时间没有操作就自动登出并要求重新登录，这是「会话超时（自动注销）」的功能。它虽是针对无人看管终端被劫持的防范措施，但并不是通过判定访问风险的高低来改变认证强度，所以不是基于风险的认证的示例。
错误ウ
因连续多次输错口令就锁定账户，这是「账户锁定（封锁）」，是针对暴力破解等攻击的对策。它不是根据状况施加追加认证，而是在失败达到一定次数后机械地将用户拒之门外的机制，所以与基于风险的认证不同。
错误エ
因口令长期未变更就提示更改，这是基于「口令有效期（口令老化）」的运用做法。它是防止长期重复使用旧口令的措施，并不是通过评估登录状况的风险来强化认证，所以不属于基于风险的认证的示例。
ここがポイント
- 基于风险的认证＝分析登录时的状况（终端、IP、地区、时间段等），仅在与平时不同的高风险访问时才施加追加认证的机制。
- 与貌似而实异的机制相区分：自动登出＝会话超时，连续失败就拒之门外＝账户锁定，定期要求变更＝口令有效期。三者都不进行风险的动态判定。
用語