平成30年度 春期 情報セキュリティマネジメント試験 午前 問25
テクノロジ／セキュリティリスクベース認証に該当するものはどれか。
出典：平成30年度 春期 情報セキュリティマネジメント試験 午前 問25
- アインターネットからの全てのアクセスに対し，トークンで生成されたワンタイムパスワードを入力させて認証する。
- イインターネットバンキングでの連続する取引において，取引の都度，乱数表の指定したマス目にある英数字を入力させて認証する。
- ウ利用者のIPアドレスなどの環境を分析し，いつもと異なるネットワークからのアクセスに対して追加の認証を行う。
- エ利用者の記憶，持ち物，身体の特徴のうち，必ず二つ以上の方式を組み合わせて認証する。
正解：ウ
解説
リスクベース認証とは、普段と異なるIPアドレスやネットワーク環境からのアクセスなど、認証時の状況を分析してリスクが高いと判断した場合にのみ追加の認証を要求する方式です。
選択肢ごとの解説
- ア誤り。全てのアクセスに一律でワンタイムパスワードを要求するのは，リスクの高低にかかわらない認証強化です。
- イ誤り。取引の都度，乱数表による認証を求めるのはリスクの状況に応じたものではなく，トランザクション認証の一種です。
- ウ正しい。アクセス環境を分析し，いつもと異なる場合に追加認証を行うのがリスクベース認証です。
- エ誤り。複数の認証方式を必ず組み合わせるのは多要素認証の説明です。