【SC試験 用語解説】リスクベース認証と行動生体認証 — スコアリングとステップアップ認証の仕組み

概要

リスクベース認証（Risk-Based Authentication）は、ログイン時のコンテキスト情報（IPアドレス・端末・地理的位置・時間帯など）からリスクスコアを算出し、スコアに応じて認証の強度を動的に変える方式です。低リスクなら通常のパスワード認証のみで通し、高リスクと判定された場合のみ追加認証（ステップアップ認証）を要求します。近年はログイン時点だけでなく、セッション中の操作パターンを継続的に評価する行動生体認証（Behavioral Biometrics）と組み合わせる実装が増えており、SC試験でもアダプティブ認証の仕組みとして扱われます。

仕組みと動作原理

リスクスコアリングの構成要素

リスクエンジンは複数のシグナルを組み合わせてスコアを算出します。単一の要因ではなく、複数の要因の組み合わせで総合判定する点が重要です。

シグナル分類	具体例	高リスクと判定される典型パターン
ネットワーク	IPアドレス・ASN・Torノード判定	普段と異なる国・匿名化プロキシ経由
端末	デバイスフィンガープリント・Cookie有無	未登録端末・ブラウザ環境が急変
位置情報	GPS・IPジオロケーション	前回ログインから物理的に到達不能な移動（Impossible Travel）
時間帯	ログイン時刻・アクセス頻度	業務時間外・普段と異なる曜日
行動パターン	タイピング速度・マウス移動・操作順序	通常と異なる操作リズム
アカウント状態	直近の失敗回数・パスワード変更履歴	短時間の連続失敗（ブルートフォースの兆候）

ステップアップ認証（アダプティブ認証）のフロー

算出されたスコアが閾値を超えた場合のみ、追加の認証要素を要求します。常に多要素を要求するMFAと異なり、リスクが低い通常時はユーザ体験を損なわない点が特徴です。

1. ユーザがID・パスワードでログイン試行
2. リスクエンジンがコンテキスト情報からスコアを算出
3. スコアが低リスク閾値以下 → 通常どおり認証成功
4. スコアが中リスク → メール/SMSでの追加確認等の軽い追加認証
5. スコアが高リスク閾値以上 → MFA（TOTP/FIDO2等）を強制、または一時的にブロック

行動生体認証（Behavioral Biometrics）の技術的原理

行動生体認証は、指紋や顔のような静的な身体的特徴（Physiological Biometrics）ではなく、ユーザ固有の操作の癖を継続的に測定して本人らしさを評価する技術です。ログイン時の一度きりの認証ではなく、セッション開始後も裏側で継続的に評価を続ける「継続認証（Continuous Authentication）」として機能する点が静的な生体認証との大きな違いです。

測定対象	内容
キーストロークダイナミクス	キー押下時間・キー間の間隔・タイプミスの傾向
マウス/タッチ操作	マウスの移動軌跡・速度・クリック圧力・スワイプの角度
デバイス操作	スマートフォンの持ち方・傾き（ジャイロセンサ）
ナビゲーションパターン	画面遷移の順序・操作の間隔

これらの特徴量からユーザごとのプロファイル（行動テンプレート）を機械学習モデルで構築し、セッション中の実際の操作との類似度を継続的にスコアリングします。類似度が閾値を下回った時点で、なりすまし（セッションハイジャック等）の疑いとして再認証を要求したり、セッションを強制終了したりします。

FAR/FRRのトレードオフ

生体認証・行動生体認証には、判定精度に関する2種類のエラー率のトレードオフが存在します。SC試験・情報処理技術者試験全般で頻出の概念です。

指標	正式名称	意味	閾値を厳しくすると
FAR（False Acceptance Rate）	他人受入率	他人を本人と誤って受け入れる割合	低下する（なりすましを通しにくい）
FRR（False Rejection Rate）	本人拒否率	本人を他人と誤って拒否する割合	上昇する（本人が弾かれやすくなる）
EER（Equal Error Rate）	等価エラー率	FARとFRRが一致する点の値。精度の総合指標	—

FARとFRRはトレードオフの関係にあり、閾値を厳しくするとFARは下がる（安全になる）一方でFRRは上がる（利便性が下がる）ため、両方を同時にゼロにはできません。リスクベース認証はこのトレードオフを緩和する仕組みでもあります。低リスクな状況では閾値を緩めて利便性を優先し、高リスクな状況では閾値を厳しくして安全性を優先するという、状況に応じた動的な調整が可能になるためです。

SC試験での頻出ポイント

• リスクベース認証の目的：セキュリティと利便性のバランスを取ること。常に高い認証強度を要求するのではなく、リスクに応じて動的に変える点が本質
• ステップアップ認証の発動条件：普段と異なるIPアドレス・端末・地理的位置（Impossible Travel）・時間帯などの複合的な評価で決まる
• 行動生体認証と静的な生体認証の違い：指紋・顔認証は登録時の一度きりの照合、行動生体認証はセッション中も継続的に評価する継続認証
• FAR/FRRのトレードオフ：閾値を厳しくするとFARは下がるがFRRは上がる。両方を同時に最小化できないことの理解
• リスクベース認証の限界：シグナルを偽装（IPアドレス偽装・端末情報の詐称等）されるとスコアリングが機能しなくなる可能性がある

よくある誤問・ひっかけパターン

誤り① 「リスクベース認証を導入すればMFAは不要になる」→ 誤。リスクベース認証はMFAを補完し「いつMFAを要求するか」を最適化する仕組みであり、MFA自体を代替するものではありません。高リスク時にはむしろMFAが強制されます。

誤り② 「行動生体認証は指紋認証と同じ分類の生体認証である」→ 一部誤。指紋・顔認証などの身体的特徴（Physiological Biometrics）とは異なり、行動生体認証（Behavioral Biometrics）はタイピングやマウス操作などの「行動の癖」を対象とする点で技術的性質が異なります。ただし広義には生体認証の一種として分類されます。

誤り③ 「認証の閾値は厳しくするほど良い」→ 誤。閾値を厳しくするとFAR（他人受入率）は下がりますが、FRR（本人拒否率）が上がり正規ユーザの利便性を損ないます。用途に応じた適切なバランス（EER等）の設計が必要です。

関連用語

• 多要素認証（MFA）と FIDO2 — ステップアップ認証で要求される追加認証要素の代表例
• FIDO2とパスキー — ステップアップ認証の追加要素として使われるフィッシング耐性の高い認証手段
• フィッシング攻撃 — リスクベース認証が検知を狙う不正ログインの主要な原因

重要キーワード

用語	説明
リスクベース認証	コンテキスト情報からリスクスコアを算出し認証強度を動的に変える方式
ステップアップ認証	リスクが高いと判定された場合のみ追加認証を要求する仕組み
行動生体認証	タイピングやマウス操作等の行動の癖から継続的に本人確認を行う技術
継続認証	ログイン後もセッション中を通じて本人確認を継続する方式
FAR（他人受入率）	他人を本人と誤って受け入れてしまう割合
FRR（本人拒否率）	本人を他人と誤って拒否してしまう割合