令和8年度 ITパスポート試験 公開問題 問71
インターネットバンキングなどのWebサイトで利用されているリスクベース認証の例として，適切なものはどれか。
解答・解説
正解: ア. 利用者がいつもログインに使っているPCとは異なるPCからのログインであったので，本人しか知らない秘密の質問による追加の認証を行った。
リスクベース認証とは、利用者がログインしようとする際の環境（接続元のIPアドレス、端末、ブラウザの種類、アクセス時間帯など）を分析し、普段と異なる環境からのアクセスなど、不正アクセスのリスクが高いと判断された場合にのみ、追加の認証（秘密の質問、ワンタイムパスワードなど）を求める仕組みです。
普段と同じ環境ではIDとパスワードのみでログインでき、利用者の利便性を損なわずにセキュリティを高めることができます。
各選択肢の解説
- ア：適切。普段と異なるPCからのログインに対して追加認証を行っており、リスクベース認証の例です。
- イ：不適切。一定時間操作がない場合に自動的にログアウトする仕組みはセッションタイムアウトと呼ばれます。
- ウ：不適切。連続してパスワードを間違えた際にアカウントを停止する仕組みはアカウントロックと呼ばれます。ブルートフォース攻撃や辞書攻撃などを防ぐのに有効です。
- エ：不適切。長期間パスワードが変更されていない場合に変更を促すのは、パスワードの定期変更に関する運用ルールです。