平成31年度 春期 応用情報技術者 問37

正解 ウ

リスクベース認証は、普段と異なる環境からのアクセスと判断したときだけ、追加の本人認証を求める方式です。

リスクベース認証は、利用者のIPアドレス、端末、Webブラウザ、アクセスする時間帯などを普段の利用状況と比べます。普段と異なる環境からのアクセスを不正の危険が高いと判断します。その場合に、秘密の質問やワンタイムパスワードなどの追加の本人認証を求めます。普段どおりの環境からは通常の手順で利用できるので、利便性を保ったまま不正アクセスに対抗できます。決め手は「普段と異なる環境」と「追加の本人認証」という言葉です。

ア：リスクベース認証は、アクセス元の環境によって認証方法を変えます。どの環境でも同一の手順にするものではありません。

イ：環境によらず常に二つの認証方式を併用するのは、二要素認証です。リスクベース認証は、危険が高いと判断したときだけ認証を追加します。

エ：認証情報を忘れた利用者を救済するのは、パスワードリセットなどの仕組みです。アクセス元の環境から危険度を判断するリスクベース認証の特徴ではありません。

出典：平成31年度 春期 応用情報技術者試験 問37