情報セキュリティマネジメント 令和6年度 科目A 問5

✓ これが正解イ 通常とは異なるIPアドレス，Webブラウザなどから認証要求があった場合に，追加の認証を行う。

解説

普段と違う状況のときだけ追加の認証を求める方式です。

リスクベース認証は、アクセスしてきた状況から危険の度合いを判断し、その度合いに応じて認証の厳しさを変える方式です。普段と同じ環境からのアクセスならそのまま通し、いつもと違うIPアドレスやWebブラウザからの要求であれば、追加の認証を求めます。利用者全員に毎回重い手続を課さずに、あやしいときだけ手間をかけられるのが利点です。だから、通常とは異なる環境からの認証要求に追加の認証を行うという説明が適切です。

ほかの選択肢の解説

• ア 機器の画面に表示された点を正しい順序に一筆書きでなぞった場合，認証が成功し，機器のロックが解除される。：画面に表示された点を正しい順序で一筆書きになぞって解除するのは、覚えた形を入力させる認証のやり方です。状況に応じて厳しさを変える仕組みではないので、当てはまりません。
• ウ 認証局が，Webサイトへのサーバ証明書発行において，サーバ証明書に記載される組織のドメイン利用権，法的及び物理的実在性を確認する。：認証局がサーバ証明書の発行時に組織のドメイン利用権や実在性を確認するのは、証明書を出す側の審査手続です。利用者の認証の場面で危険度に応じて変える話ではありません。
• エ ゆがんだ文字を含む画像を表示し，その文字が正しく入力された場合に認証が成功する。：ゆがんだ文字の画像を表示して正しく入力できたら通すのは、CAPTCHAの仕組みです。人か自動プログラムかを見分けるものであって、状況に応じた追加認証ではありません。