情報セキュリティマネジメント 平成30年度 春期 午前 問25

✓ これが正解ウ 利用者のIPアドレスなどの環境を分析し，いつもと異なるネットワークからのアクセスに対して追加の認証を行う。

解説

いつもと違う状況のときだけ追加の認証を求めます。

リスクベース認証は、アクセスしてきたときの状況から危険の度合いを見積もり、その度合いに応じて認証の厳しさを変える方式です。利用者のIPアドレスなどの環境を分析し、普段と同じ場所や機器からのアクセスならそのまま通し、いつもと違うネットワークからのアクセスであれば追加の認証を求めます。全員に毎回重い手続を課さずに、あやしいときにだけ手間をかけられるところが利点です。だから、環境を分析して、いつもと異なるネットワークからのアクセスに追加の認証を行うという記述が当てはまります。

ほかの選択肢の解説

• ア インターネットからの全てのアクセスに対し，トークンで生成されたワンタイムパスワードを入力させて認証する。：インターネットからのすべてのアクセスにトークンで生成されたワンタイムパスワードの入力を求めるのは、状況によらず一律に強い手続を課すやり方です。危険の度合いで使い分けているわけではありません。
• イ インターネットバンキングでの連続する取引において，取引の都度，乱数表の指定したマス目にある英数字を入力させて認証する。：取引のたびに乱数表の指定されたマス目の英数字を入力させるのは、毎回決まった同じ手順を踏ませる方式です。相手の置かれた状況によって厳しさが変わるわけではないので、当てはまりません。
• エ 利用者の記憶，持ち物，身体の特徴のうち，必ず二つ以上の方式を組み合わせて認証する。：利用者の記憶、持ち物、身体の特徴のうち必ず二つ以上を組み合わせるのは、多要素認証の考え方です。種類の違う要素を重ねて確かめる方式であって、状況を見て追加するかどうかを決める方式とは異なります。