---
title: "リスクベース認証とは？いつもと違うアクセスだけ追加確認する仕組み【SG試験】"
description: "リスクベース認証は、IPアドレスや端末などの利用環境からリスクを判断し、必要な場合だけ追加認証を行う仕組みです。ワンタイムパスワード、マトリクスコード認証、多要素認証との違いを整理します。 選択肢で問われる目的・対象・責任範囲を押さえ、似た用語や対策との違いを判断できるようにします。"
last_modified_at: "2026-06-11"
canonical_url: "https://stemtazoo.github.io/sg/risk-based-authentication/"
section: "sg"
---

## まず結論
リスクベース認証は、ログイン時の利用環境を見てリスクを判断し、**いつもと違うアクセスに対して追加認証を行う仕組み**です。

SG試験では、単に「認証を強くする」ではなく、**状況に応じて認証の強さを変えるか**で判断します。

---

## 直感的な説明
リスクベース認証は、銀行やクラウドサービスでよくある、

> いつもと違う場所・端末からログインしたときだけ、追加確認される

という仕組みです。

例えば：

- いつものスマホからログイン  
  → 通常どおりログイン
- 初めて使うPCからログイン  
  → 追加の本人確認
- 普段と違う国や地域からログイン  
  → ワンタイムパスワードなどを要求

👉 ポイントは、  
**すべてのアクセスを厳しくするのではなく、怪しいときだけ厳しくすること**です。

---

## 定義・仕組み
リスクベース認証（Risk-Based Authentication）は、ログイン時の状況を分析し、リスクが高いと判断した場合に、通常の認証に加えて追加の本人確認を行う方式です。

IPAの「情報セキュリティ10大脅威 知っておきたい用語や仕組み」でも、リスクベース認証は、不正ログインを防ぐために、第三者が正規利用者になりすましている可能性を考慮し、必要に応じて追加認証を行う方式として説明されています。  
参考：[IPA 情報セキュリティ10大脅威 知っておきたい用語や仕組み 2025](https://www.ipa.go.jp/security/10threats/eid2eo0000005231-att/yougoyashikumi_2025.pdf)

### ■ 判断に使われる情報
代表的には、次のような情報を見ます。

- IPアドレス
- 接続元の地域
- 利用している端末
- OSやWebブラウザ
- 通信環境
- アクセス時間帯
- 過去の利用パターン

これらをもとに、

> いつもの本人らしいアクセスか？  
> いつもと違う怪しいアクセスか？

を判断します。

---

### ■ 基本の流れ
1. 利用者がID・パスワードなどでログインする
2. システムがアクセス環境を確認する
3. いつもと同じ環境なら通常どおり認証する
4. いつもと違う環境なら追加認証を求める

追加認証には、ワンタイムパスワード、メール確認、SMS確認、認証アプリなどが使われることがあります。

👉 つまり、リスクベース認証は、  
**追加認証そのものではなく、追加認証を行うかどうかを判断する仕組み**です。

---

### ■ 試験での切り分け
SG試験では、次のように見分けると選択肢を切りやすくなります。

| 選択肢の内容 | 該当するもの |
|---|---|
| すべてのアクセスにワンタイムパスワードを使う | ワンタイムパスワード認証 |
| 乱数表の指定されたマス目を入力する | マトリクスコード認証 |
| IPアドレスや端末などを分析し、いつもと違うアクセスに追加認証する | リスクベース認証 |
| 記憶・持ち物・身体的特徴のうち二つ以上を組み合わせる | 多要素認証 |

👉 リスクベース認証を選ぶときは、  
**「利用環境を分析する」「いつもと異なる」「追加認証」**という言葉に注目します。

---

## どんな場面で使う？
リスクベース認証は、利便性と安全性のバランスを取りたい場面で使われます。

### ■ 使う場面
- インターネットバンキング
- クラウドサービスへのログイン
- 社内システムへのリモートアクセス
- ECサイトや会員サービス
- 管理者アカウントの保護

毎回厳しい認証を求めると、利用者の負担が大きくなります。そこで、普段と同じ使い方なら負担を減らし、怪しいアクセスだけ追加確認することで、使いやすさと安全性を両立します。

---

### ■ 使うと誤解しやすい場面
リスクベース認証は、追加認証を必ず行う仕組みではありません。

例えば、

- すべてのログインでワンタイムパスワードを要求する
- 常に二つ以上の認証要素を使う
- 乱数表の指定された文字を入力する

これらは、リスクベース認証そのものではありません。

もちろん、リスクが高いと判断されたあとに、追加認証としてワンタイムパスワードや多要素認証を使うことはあります。

👉 大事なのは、  
**「追加認証の手段」ではなく「追加認証を出す判断」がリスクベース認証**という点です。

---

## よくある誤解・混同
SG試験では、リスクベース認証と似た認証方式を混同させる選択肢が出やすいです。

### ❌ ワンタイムパスワード認証と同じ
→ ⭕ 違います。

ワンタイムパスワードは、一定時間だけ有効な使い捨てパスワードで認証する方式です。

一方、リスクベース認証は、状況を見て追加認証を行うか判断する仕組みです。

- OTP：何で認証するか
- RBA：いつ追加認証するか

---

### ❌ マトリクスコード認証と同じ
→ ⭕ 違います。

マトリクスコード認証は、乱数表の指定された位置にある文字を入力させる方式です。

「乱数表」「指定されたマス目」「英数字を入力」とあれば、リスクベース認証ではなくマトリクスコード認証を疑います。

---

### ❌ 多要素認証と同じ
→ ⭕ 違います。

多要素認証は、次のような複数の要素を組み合わせる考え方です。

- 知識情報：パスワードなど
- 所持情報：スマホ、ICカードなど
- 生体情報：指紋、顔、虹彩など

一方、リスクベース認証は、アクセスのリスクに応じて追加認証を求める仕組みです。

多要素認証は、リスクベース認証で使われる追加認証の手段になることがあります。

---

### ❌ 常に強い認証をすればリスクベース認証
→ ⭕ 違います。

常に強い認証を行うだけなら、「状況に応じて変える」という特徴がありません。

リスクベース認証では、普段と同じアクセスなら通常認証で済ませ、普段と違うアクセスに対して追加認証を行います。

👉 選択肢では、  
**「全てのアクセスに対して」**と書かれていたら注意です。

---

## まとめ（試験直前用）
- リスクベース認証＝いつもと違うアクセスに追加認証
- IPアドレス、端末、地域、OS、ブラウザなどを分析する
- ワンタイムパスワードは追加認証の手段
- マトリクスコード認証は乱数表を使う方式
- SG試験では「利用環境を分析するか」で選択肢を切る