情報セキュリティマネジメント 令和元年度 秋期 午前 問24

✓ これが正解ウ 利用者のIPアドレスなどの環境を分析し，いつもと異なるネットワークからのアクセスに対して追加の認証を行う。

解説

いつもと違う状況のときだけ追加の認証を求める方式です。

リスクベース認証は、アクセスしてきた状況を見て危険の度合いを判断し、その度合いに応じて認証の厳しさを変える方式です。普段と同じ場所や機器からのアクセスならそのまま通し、いつもと違うネットワークや見慣れない機器からのアクセスなら、追加の認証を求めます。利用者のIPアドレスなどの環境を分析して、普段と異なるアクセスに追加の認証を行うというのが、まさにこの方式です。全員に毎回同じ手間をかけずに安全性を上げられる点が要です。

ほかの選択肢の解説

• ア インターネットバンキングでの取引において，取引の都度，乱数表の指定したマス目にある英数字を入力させて認証する。：取引の都度、乱数表の指定された位置の英数字を入力させるのは、毎回同じやり方で確かめる方式です。状況に応じて厳しさを変えるわけではないので、リスクベース認証には当たりません。
• イ 全てのアクセスに対し，トークンで生成されたワンタイムパスワードを入力させて認証する。：全てのアクセスに対してワンタイムパスワードを求めるのは、状況によらず一律に強い認証を課すやり方です。危険の度合いで使い分けるリスクベース認証とは考え方が異なります。
• エ 利用者の記憶，持ち物，身体の特徴のうち，必ず二つ以上の方式を組み合わせて認証する。：記憶・持ち物・身体の特徴のうち必ず二つ以上を組み合わせるのは、多要素認証の説明です。要素を重ねて確かめる方式であって、状況に応じて追加するかを決める方式ではありません。