最終更新日：2026年5月6日
sg sg-security-measures crypto_auth access_control it_security_operations
まず結論
リスクベース認証は、ログイン時の利用環境を見てリスクを判断し、いつもと違うアクセスに対して追加認証を行う仕組みです。
SG試験では、単に「認証を強くする」ではなく、状況に応じて認証の強さを変えるかで判断します。
直感的な説明
リスクベース認証は、銀行やクラウドサービスでよくある、
いつもと違う場所・端末からログインしたときだけ、追加確認される
という仕組みです。
例えば：
- いつものスマホからログイン
→ 通常どおりログイン - 初めて使うPCからログイン
→ 追加の本人確認 - 普段と違う国や地域からログイン
→ ワンタイムパスワードなどを要求
👉 ポイントは、
すべてのアクセスを厳しくするのではなく、怪しいときだけ厳しくすることです。
定義・仕組み
リスクベース認証（Risk-Based Authentication）は、ログイン時の状況を分析し、リスクが高いと判断した場合に、通常の認証に加えて追加の本人確認を行う方式です。
IPAの「情報セキュリティ10大脅威 知っておきたい用語や仕組み」でも、リスクベース認証は、不正ログインを防ぐために、第三者が正規利用者になりすましている可能性を考慮し、必要に応じて追加認証を行う方式として説明されています。
参考：IPA 情報セキュリティ10大脅威 知っておきたい用語や仕組み 2025
■ 判断に使われる情報
代表的には、次のような情報を見ます。
- IPアドレス
- 接続元の地域
- 利用している端末
- OSやWebブラウザ
- 通信環境
- アクセス時間帯
- 過去の利用パターン
これらをもとに、
いつもの本人らしいアクセスか？
いつもと違う怪しいアクセスか？
を判断します。
■ 基本の流れ
- 利用者がID・パスワードなどでログインする
- システムがアクセス環境を確認する
- いつもと同じ環境なら通常どおり認証する
- いつもと違う環境なら追加認証を求める
追加認証には、ワンタイムパスワード、メール確認、SMS確認、認証アプリなどが使われることがあります。
👉 つまり、リスクベース認証は、
追加認証そのものではなく、追加認証を行うかどうかを判断する仕組みです。
■ 試験での切り分け
SG試験では、次のように見分けると選択肢を切りやすくなります。
| 選択肢の内容 | 該当するもの |
|---|---|
| すべてのアクセスにワンタイムパスワードを使う | ワンタイムパスワード認証 |
| 乱数表の指定されたマス目を入力する | マトリクスコード認証 |
| IPアドレスや端末などを分析し、いつもと違うアクセスに追加認証する | リスクベース認証 |
| 記憶・持ち物・身体的特徴のうち二つ以上を組み合わせる | 多要素認証 |
👉 リスクベース認証を選ぶときは、
「利用環境を分析する」「いつもと異なる」「追加認証」という言葉に注目します。
どんな場面で使う？
リスクベース認証は、利便性と安全性のバランスを取りたい場面で使われます。
■ 使う場面
- インターネットバンキング
- クラウドサービスへのログイン
- 社内システムへのリモートアクセス
- ECサイトや会員サービス
- 管理者アカウントの保護
毎回厳しい認証を求めると、利用者の負担が大きくなります。そこで、普段と同じ使い方なら負担を減らし、怪しいアクセスだけ追加確認することで、使いやすさと安全性を両立します。
■ 使うと誤解しやすい場面
リスクベース認証は、追加認証を必ず行う仕組みではありません。
例えば、
- すべてのログインでワンタイムパスワードを要求する
- 常に二つ以上の認証要素を使う
- 乱数表の指定された文字を入力する
これらは、リスクベース認証そのものではありません。
もちろん、リスクが高いと判断されたあとに、追加認証としてワンタイムパスワードや多要素認証を使うことはあります。
👉 大事なのは、
「追加認証の手段」ではなく「追加認証を出す判断」がリスクベース認証という点です。
よくある誤解・混同
SG試験では、リスクベース認証と似た認証方式を混同させる選択肢が出やすいです。
❌ ワンタイムパスワード認証と同じ
→ ⭕ 違います。
ワンタイムパスワードは、一定時間だけ有効な使い捨てパスワードで認証する方式です。
一方、リスクベース認証は、状況を見て追加認証を行うか判断する仕組みです。
- OTP：何で認証するか
- RBA：いつ追加認証するか
❌ マトリクスコード認証と同じ
→ ⭕ 違います。
マトリクスコード認証は、乱数表の指定された位置にある文字を入力させる方式です。
「乱数表」「指定されたマス目」「英数字を入力」とあれば、リスクベース認証ではなくマトリクスコード認証を疑います。
❌ 多要素認証と同じ
→ ⭕ 違います。
多要素認証は、次のような複数の要素を組み合わせる考え方です。
- 知識情報：パスワードなど
- 所持情報：スマホ、ICカードなど
- 生体情報：指紋、顔、虹彩など
一方、リスクベース認証は、アクセスのリスクに応じて追加認証を求める仕組みです。
多要素認証は、リスクベース認証で使われる追加認証の手段になることがあります。
❌ 常に強い認証をすればリスクベース認証
→ ⭕ 違います。
常に強い認証を行うだけなら、「状況に応じて変える」という特徴がありません。
リスクベース認証では、普段と同じアクセスなら通常認証で済ませ、普段と違うアクセスに対して追加認証を行います。
👉 選択肢では、
「全てのアクセスに対して」と書かれていたら注意です。
まとめ（試験直前用）
- リスクベース認証＝いつもと違うアクセスに追加認証
- IPアドレス、端末、地域、OS、ブラウザなどを分析する
- ワンタイムパスワードは追加認証の手段
- マトリクスコード認証は乱数表を使う方式
- SG試験では「利用環境を分析するか」で選択肢を切る