解説

リスクベース認証（Risk-Based Authentication：RBA）は、ログイン時の状況（IPアドレス・デバイス情報・場所・時刻など）を分析し、「通常と異なるリスク」が検出された場合に追加認証を要求するアダプティブ認証手法です。選択肢bの「通常とは異なるIPアドレス・Webブラウザなど通常と異なる環境からのアクセス時に追加認証を要求する」がリスクベース認証の説明として最も適切です。例えば：普段は日本からアクセスするユーザーが突然海外IPからアクセスした場合、普段と異なるデバイス（新しいブラウザ）からアクセスした場合などに、SMS認証・秘密の質問などの追加認証ステップが発動します。リスクの低い通常アクセスでは追加認証なしでスムーズにログインでき、ユーザビリティとセキュリティを両立します。

なぜ他の選択肢は違うのか

選択肢 ア

「機器の画面に表示された点を正しい順序に一筆書きでなぞる」はパターン認証（グラフィックパスワード・パターンロック）の説明です。スマートフォンのロック画面によく使われる認証方式で、リスクベース認証とは異なります。

選択肢 ウ

「認証局がWebサイトへのサーバ証明書発行においてドメインの所有者確認に加え組織の実在確認も行う」はOV証明書（Organization Validation）またはEV証明書（Extended Validation）の説明です。TLS/SSL証明書の検証レベルに関する記述であり、リスクベース認証とは関係ありません。

選択肢 エ

「ゆがんだ文字を含む画像を表示し、その文字が正しく入力できた場合にアクセスを許可する」はCAPTCHA（Completely Automated Public Turing test to tell Computers and Humans Apart）の説明です。ボット対策のチャレンジ・レスポンス方式であり、リスクベース認証ではありません。

解くときのポイント

リスクベース認証＝「通常とは異なる状況（IP・デバイス・場所・時刻）を検知したときのみ追加認証を要求」。低リスク時はスムーズログイン、高リスク時は追加認証でセキュリティとUXを両立。CAPTCHA（ボット対策）とは別概念。