平成28年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問6

✓ これが正解ウ利用者の IP アドレスなどの環境を分析し，いつもと異なるネットワークからのアクセスに対して追加の認証を行う。

解説

いつもと異なる環境からのアクセスにだけ、追加の認証を求めます。

リスクベース認証は、アクセスの状況からリスクの高さを見積もり、高いときだけ認証を強める方式です。利用者の IP アドレス、使っている端末、アクセスする時間帯などを、普段の利用のしかたと比べます。いつもと同じであれば通常の認証で通し、いつもと異なるネットワークからのアクセスなど怪しい点があれば、秘密の質問などの追加の認証を求めます。普段の利用者には手間を増やさず、なりすましの可能性があるときだけ確認を厚くできる点が利点です。見分けの軸は、状況に応じて認証の強さを変えているかどうかです。

ほかの選択肢はなぜ違うのか

• アインターネットからの全てのアクセスに対し…：全てのアクセスに対して、トークンが作るワンタイムパスワードを一律に求める方式です。パスワードの使い回しには強くなりますが、アクセスの状況を分析して手順を変えてはいないので、この方式には当たりません。
• イインターネットバンキングでの連続する取引…：取引のたびに乱数表のマス目の文字を入力させる方式で、どの取引にも同じ確認を課しています。都度という言葉は状況に応じるという意味ではなく、アクセスの状況によって手順を変える要素がありません。
• エ利用者の記憶，持ち物，身体の特徴のうち，…：記憶、持ち物、身体の特徴のうち二つ以上を組み合わせるのは、異なる種類の要素を重ねて本人を確かめる方式の説明です。組み合わせる数を決めているだけで、普段と違うかどうかを見る仕組みは含まれていません。