IT用語入門：リスクベース認証【状況のリスクに応じて追加認証を求める】

リスクベース認証とは

リスクベース認証は、ユーザーのログインなどの操作にひそむ危険度を評価し、必要なときだけ追加の確認を行う認証方式です。IDとパスワードだけに頼るより、不正アクセスの可能性に応じて強度を自動で調整します。

たとえば、いつもと違う国からの接続、未登録の端末や新しいブラウザ、深夜帯のアクセス、パスワードの連続ミス、匿名プロキシ経由、過去に不正があったアカウントの挙動などは、通常よりリスクが高い兆候と見なされます。

システムはログイン時に接続元IPや端末情報、時刻、行動履歴をリアルタイムに分析し、リスクスコアを算出します。スコアが閾値を超えた場合のみ、ワンタイムパスワードや多要素認証の提示を求め、問題がなければそのまま通します。

これにより、ふだんはスムーズに使え、怪しいときだけ防御を厚くできます。パスワード漏えい時の被害を抑えつつ、ユーザー体験を損ないにくいのが利点です。

まとめると、利用状況に合わせて求める証拠を出し分けることで、利便性と安全性を両立する、現代的な不正アクセス対策の要となる仕組みです。