令和3年度春期 応用情報技術者試験 午前 問39

正解：ウ

AI解説

リスクベース認証は、普段と異なるIPアドレスや端末、位置情報など利用状況（コンテキスト）の変化を検知した場合にのみ、追加の本人確認（ワンタイムパスワードや秘密の質問など）を要求する認証方式である。普段どおりのアクセスでは追加認証を求めず利便性を保ちつつ、リスクが高い場合だけ安全性を強化する点が特徴。 ア: 常に二要素認証を併用するのはリスクの大小に関わらず一律に強い認証を課す方式であり、状況に応じて認証を変えるリスクベース認証の考え方とは異なる。 イ: 利用条件に関わらず常に同一手順でアクセスさせるのは、リスクに応じた認証強化を行わないということでありリスクベース認証の特徴ではない。 ウ: 普段と異なる利用条件を検知した場合に追加の本人認証を行うことでセキュリティを高めるのが、リスクベース認証の核心的な特徴であり正解である。 エ: 認証情報なしでシステムを使わせるのは可用性を優先し過ぎてセキュリティを損なう説明であり、リスクベース認証の目的（安全性向上）に反する。 💡 「普段と違う」＝リスクが高いと判定し、その時だけ追加認証を課すのがリスクベース認証のキーワード。常時強化ではない点に注意。