平成31年度 春期 応用情報技術者試験 午前 問37

• ア: いかなる環境からの認証の要求においても認証方法を変更せずに，同一の手順によって普段どおりにシステムが利用できる。
  誤り。これはリスクベース認証ではなく、通常の静的な認証の説明です。リスクベース認証は、環境に応じて認証手順が変わります。

• イ: ハードウェアトークンとパスワードを併用させるなど，認証要求元の環境によらず常に二つの認証方式を併用することによって，安全性を高める。
  誤り。これは「多要素認証（MFA）」の説明です。リスクベース認証は、環境によって追加認証を求める点が特徴です。

• ウ: 普段と異なる環境からのアクセスと判断した場合，追加の本人認証をすることによって，不正アクセスに対抗し安全性を高める。
  正しい。リスクベース認証は、普段と異なるIPアドレスやデバイス、時間帯からのアクセスを検知し、追加の本人確認（例：ワンタイムパスワードやSMS認証）を求める仕組みです。通常のアクセス時は追加認証が不要です。

• エ: 利用者が認証情報を忘れ，かつ，Webブラウザに保存しているパスワード情報も使用できない場合でも，救済することによって，利用者は普段どおりにシステムを利用できる。
  誤り。これはパスワードリセットやアカウント復旧の説明であり、リスクベース認証の説明ではありません。

答え

ウ: 普段と異なる環境からのアクセスと判断した場合，追加の本人認証をすることによって，不正アクセスに対抗し安全性を高める。