令和8年度問71 アクセス状況に応じた認証の例

問題

インターネットバンキングなどのWebサイトで利用されているリスクベース認証の例として，適切なものはどれか。

利用者がいつもログインに使っているPCとは異なるPCからのログインであったので，本人しか知らない秘密の質問による追加の認証を行った。

利用者がログインした後，画面操作が一定時間なかったので，自動的にログアウトして，再度ログインを求めた。

利用者がログインするときにパスワードを連続して複数回間違って入力したので，アカウントをロックした。

利用者がログインに使っているパスワードが長期間変更されていなかったので，パスワードの変更を促した。

先に解説を見る

正解ア

利用者がいつもログインに使っているPCとは異なるPCからのログインであったので，本人しか知らない秘密の質問による追加の認証を行った。

解説

リスクベース認証は、アクセスの危険度に応じて、本人確認の方法や厳しさを変える仕組みです。

アでは、いつもと違うPCからのログインを検知し、追加の確認を求めています。

普段との違いを材料に認証を強めているので、該当します。

イ：セッションタイムアウト
一定時間操作がないと、ログイン状態や接続を終了させる仕組みです。

ウ：アカウントロック
認証に繰り返し失敗したときなどに、ログインを一時的に制限する仕組みです。

エ：パスワードの運用ルール
一定期間で変更を促すという固定のルールで、今回のアクセスの危険度を評価するものではありません。