リスクベース認証とは何？ 仕組み・種類や導入のメリット・デメリットを解説

リスクベース認証とは？

リスクベース認証とは、システムやサービスにログインしたユーザーの行動を分析し、不審な行動をとっていると判断した場合に追加で認証を行うセキュリティ手法です。本人確認をより厳密に行い、不正アクセスやなりすましを防ぐことを目的としています。

同じく不正アクセスやなりすましへの対策として活用されているのが、「知識情報」「生体情報」「所持情報」のうち2つの認証要素を組み合わせることでセキュリティを強化する「多要素認証」です。多要素認証は、IDとパスワードのみの認証に比べて強固なセキュリティを実現することができますが、常に複数の認証が必要になるため、ユーザーにとって手間のかかる手法といえます。

それに対しリスクベース認証は、リスクがあると判断された場合にのみ追加で認証を行うため、ユーザーにほとんど負担がかかりません。このため、以前から存在している認証方式ではあるものの、利便性とセキュリティ強化を兼ね備えた手法として再注目されています。

リスクベース認証の仕組みについて

リスクベース認証は、ユーザーの普段の行動パターンとは異なる認証行為を検知することで、リスク判定を行います。行動パターンとして主に使われるのは、アクセスしたOSの情報やIPアドレス、デバイス情報、位置情報などです。これらの情報は、システムのアクセスログに記載されており、システム側が取得して内容を判断することができます。

例えば、普段は日本からアクセスしているユーザーが中国からアクセスした場合、リスクがあると判断し、追加で秘密の質問に答えさせたり、メールから認証のURLをクリックさせるなどして本人確認を行うといった仕組みです。リスクがあると判断された場合以外は、ユーザーに追加の操作を要求することもないため、ユーザーへの負担を掛けずにセキュリティを強化することができます。

リスクベース認証に用いられる認証の種類

リスクベース認証には、「アクティブ認証」と「パッシブ認証」の2種類があります。ここでは、それぞれの認証方式について詳しくご紹介します。

アクティブ認証

アクティブ認証とは、追加の認証時にユーザーの操作を必要とする方式です。例えば、ワンタイムパスワードの入力や、秘密の質問への回答を要求する手法が該当します。この方式の最大のメリットは、本人確認を確実に行えることであり、仮に第三者にIDやパスワードが漏洩してしまったとしても、不正アクセスを防止できる可能性が高くなります。インターネットバンキングでの送金手続きなど、高度なセキュリティが求められる場面で活用されます。

パッシブ認証

パッシブ認証とは、追加の認証時にユーザーの操作を必要としない方式です。アクセスしたデバイスの種類やIPアドレス、普段のユーザーの行動履歴などの情報を基に本人確認を行います。アクティブ認証に比べてユーザーの負担は少なくなりますが、セキュリティ強度は低くなります。そのため、社内ネットワークや社内システムといった利用者が限定される環境下での使用や、アクティブ認証との併用が推奨されます。

リスクベース認証のメリットとは？

リスクベース認証にはさまざまなメリットがあります。ここでは、主なメリットを2つご紹介します。

セキュリティ強化が可能

IDとパスワードのみの認証では、それらが第三者に盗まれたり漏洩してしまった場合に、不正アクセスやなりすましの被害を防ぐことは困難です。認証プロセスにおいてさまざまな要素を総合的に評価するリスクベース認証を導入することで、より強固なセキュリティ対策を実現することができます。

ユーザーへの負担が少ない

リスクベース認証は、不審な行動やリスクを検知した場合にのみ、追加で認証を行います。そのため、ユーザーが普段使用している端末から、普段と同じような場所でアクセスしようとした場合には、追加の認証は発生しません。多要素認証のような、常に複数の認証を求める手法に比べて、ユーザーの手間や負担が少ないのもリスクベース認証のメリットです。

リスクベース認証のデメリット・注意点

リスクベース認証には先述したようなメリットがありますが、デメリットや注意点があることにも留意しなければいけません。ここでは、主なデメリットや注意点について詳しくご紹介します。

導入・運用にコストがかかる

リスクベース認証を行うためには、ユーザーのアクセス状況や行動履歴などを把握しなければならないため、多くの情報を収集して保存・管理する必要があります。そのため、リスクベース認証に対応した専用のソリューションを導入・運用することになり、単純な認証よりもコストが多くかかってしまう傾向にあります。

導入に向かないケースがある

リスクベース認証の導入に向かないケースもあります。例えば、リスクベース認証を導入するためには、ユーザーのアクセスログを収集・分析する必要がありますが、組織のシステムや機器のスペックが低いと容量が不足してしまい、大量のログを扱うのは困難です。また、システムの導入・運用が可能な専門スキルを持つ人材が不足している組織も、リスクベース認証の導入には向いていません。

追加認証に必要な情報を失うとログイン不可になる

リスクベース認証では、追加の認証に必要な情報をなくさないように注意しなければなりません。例えば、秘密の質問への回答を忘れてしまったり、ワンタイムパスワードを受け取るスマートフォンが故障してしまった場合などは、正規のユーザーであってもログインできなくなってしまう可能性があります。

不正、なりすましによるアクセスをブロックするものではない

リスクベース認証によるリスク分析では、不正アクセスやなりすましを完全に防ぐことはできません。例えば、盗難されたデバイスを利用されたり、アクセスログの端末情報や位置情報などを偽装された場合は、正当なアクセスと判断され、追加での認証は行われない可能性があります。また、追加の認証が生体認証であれば第三者が突破することは困難かもしれませんが、秘密の質問への回答などであれば突破されてしまう危険性があります。

まとめ

ここまでリスクベース認証の概要や仕組み、メリット・デメリットなどについてご紹介しました。リスクベース認証は、ユーザーに負担を掛けずにセキュリティを強化できるというメリットがある一方で、不正アクセスやなりすましを完全に防ぐことはできないというデメリットもあります。組織のセキュリティをより強固にするためには、リスクベース認証だけでなく、さまざまな手法を取り入れながら多層的な防御を実現することが大切です。