リスクベース認証とは？
リスクベース認証とは、ログイン時の状況（IPアドレス、地域、端末、時間帯、行動の癖など）を普段の傾向と比べ、不審と判断したときだけ追加の認証を求める方式。利用者の手間を増やさずに、なりすましのリスクが高い場面だけ防御を厚くできるのが狙いである。
応用情報技術者試験の過去問では4回出題されています（2016年度〜2024年度）。
りすくべーすにんしょう
リスクベース認証の意味
ログイン時の状況（IPアドレス、地域、端末、時間帯、行動の癖など）を普段の傾向と比べ、不審と判断したときだけ追加の認証を求める方式。利用者の手間を増やさずに、なりすましのリスクが高い場面だけ防御を厚くできるのが狙いである。
リスクベース認証の具体例
いつもの自宅PCからのログインはID・パスワードだけで通す一方、海外のIPアドレスや初めての端末からの接続では、メールに送った確認コードの入力や秘密の質問を追加で要求する、といった制御を行う。
リスクベース認証は試験でどう引っ掛けられる？
常に複数要素を求める多要素認証とは別物で、リスクベース認証は「条件付きで追加する」点が特徴。また判定材料が使えない環境では効果が落ち、単独で多要素認証の代わりになるわけではない。
リスクベース認証と関連する用語
リスクベース認証が出た過去問
リスクベース認証の特徴はどれか。
正解：普段と異なる環境からのアクセスと判断した場合、追加の本人認証をすることによって、一定の利便性を保ちながら、不正アクセスに対抗し安全性を高める。
要点：リスクベース認証は普段と違うときだけ認証を追加する
リスクベース認証は、アクセス元のIPアドレスや端末、時間帯などの情報から普段と異なる状況かどうかを判断し、通常と違うと判定したときだけ追加の認証を求める方式です。日常的な利用では手間を増やさず、なりすましが疑われる場面でだけ確認を強めるため、利便性と安全性を両立できます。常に2種類の認証を課す多要素認証とは考え方が異なります。
出典：平成28年度 秋期 応用情報技術者試験 午前 問40（IPA）リスクベース認証の特徴はどれか。
正解：普段と異なる環境からのアクセスと判断した場合、追加の本人認証をすることによって、不正アクセスに対抗し安全性を高める。
要点：リスクベース認証は普段と違う環境のときだけ追加認証を求める
リスクベース認証は、アクセス元のIPアドレスや国、端末、時間帯などを普段の利用パターンと比べ、リスクが高いと判定したときだけ追加の認証を求める方式である。普段どおりの環境からは通常の認証で済むため、利便性を保ちながら不正アクセスへの耐性を高められる。
出典：令和1年度 春期 応用情報技術者試験 午前 問37（IPA）リスクベース認証の特徴はどれか。
正解：普段と異なる利用条件でのアクセスと判断した場合には、追加の本人認証をすることによって、不正アクセスに対する安全性を高める。
要点：リスクベース認証は普段と違うアクセス時だけ追加認証する
リスクベース認証は、アクセス元のIPアドレスや国、端末、時間帯などから普段の利用パターンとの差を評価し、リスクが高いと判断した場合にだけ追加の本人確認を求める方式である。通常時の利便性を保ちながら、なりすましによる不正アクセスを抑止できる。
出典：令和3年度 春期 応用情報技術者試験 午前 問39（IPA）3Dセキュア2.0(EMV 3-Dセキュア)は、オンラインショッピングにおけるクレジットカード決済時に、不正取引を防止するための本人認証サービスである。3Dセキ…
正解：利用者の過去の取引履歴や決済に用いているデバイスの情報から不正利用や高リスクと判断される場合に、カード会社が追加の本人認証を行う。
要点：3Dセキュア2.0はリスクが高い取引だけ追加認証を求める
3Dセキュア2.0の最大の特徴はリスクベース認証を採用した点である。カード会社は取引履歴や端末情報などの多数の属性を受け取ってリスクを評価し、リスクが低いと判断した取引では追加認証を省いて決済を通す。逆に不正の疑いが高い取引に限りワンタイムパスワードなどの追加認証を求めるので、安全性と利便性を両立できる。
出典：令和6年度 春期 応用情報技術者試験 午前 問35（IPA）
最終更新：2026-08-25／解説は資格暗記が独自に作成しています。 過去問の出典は各問題に記載のとおりです。