解説
リスクベース認証は、利用者のアクセス状況（接続元IPアドレス、利用端末、地域、時間帯、操作パターンなど）を分析し、普段と異なるリスクの高いアクセスを検知したときにだけ、追加の本人確認（秘密の質問への回答や追加のワンタイムパスワードなど）を求める認証方式です。通常どおりの環境からのアクセスでは追加認証を行わず利便性を保ちつつ、いつもと違う環境からの不審なアクセスにはハードルを上げてなりすましを防ぐ、という利便性とセキュリティの両立を狙った仕組みです。選択肢cは「普段と異なる環境からのアクセスと判断した場合、追加の本人認証をすることによって、不正アクセスに対抗し安全性を高める」とあり、リスクベース認証の特徴を的確に述べているため正解です。リスクの度合いに応じて認証強度を動的に変えることから「適応型認証（アダプティブ認証）」とも呼ばれ、ネットバンキングやクラウドサービスのログインで広く採用されている点も押さえておきましょう。
なぜ他の選択肢は違うのか
- 選択肢 ア
- 「いかなる環境でも認証方法を変更せず、同一の手順で利用できる」はリスクベース認証と正反対の説明です。リスクベース認証は環境のリスクに応じて認証手順を動的に変える点が本質であり、常に同一手順で済ませるという記述は、その動的な変化という最大の特徴を真っ向から否定しています。環境のリスクに応じて手順を変えるという最大の特徴を否定しており、リスクベース認証の説明としては正反対の内容になっています。
- 選択肢 イ
- 「環境によらず常に二つの認証方式を併用する」は多要素認証（常時2要素）の説明に近く、リスクベース認証ではありません。リスクベース認証は、通常時は追加認証を省いて利便性を確保し、リスクが高いと判断したときにだけ要素を増やす点に特徴があります。常に2方式を併用する固定的な方式とは考え方が異なります。通常時は追加認証を省いて利便性を保ち、高リスク時だけ要素を増やすという動的な振る舞いが欠けており、固定的な多要素認証の説明です。
- 選択肢 エ
- 「認証情報を忘れた利用者を救済する」はパスワードリセットやアカウント回復の仕組みの説明です。これは正規利用者が認証できなくなった際の救済手段であり、アクセスのリスクを評価して不正を防ぐリスクベース認証とは目的がまったく異なります。リスク評価という観点が含まれていません。正規利用者が認証できなくなった際の救済手段であり、アクセスのリスクを評価して不正を防ぐリスクベース認証とは目的が大きく異なります。