高度情報処理技術者試験・情報処理安全確保支援士試験 令和6年度 春期 午前I 問12

【正解】イ

3Dセキュア2.0では、カード利用者の過去の取引履歴、利用端末、接続環境、購入金額などの情報を基に、取引の危険度を判定するリスクベース認証が用いられます。危険度が低い取引では追加操作なしで認証を進め、高リスクと判断された場合には、ワンタイムパスワードや生体認証などによる追加の本人認証を求めます。このように、安全性を確保しながら利用者の負担を抑えられるため、イが正解です。

アのパスワードを安全に再発行できるという説明は誤りです。これはパスワード管理や本人確認を伴う再設定手続の説明であり、3Dセキュア2.0の本人認証方式を特徴付けるものではありません。

ウの取引情報にかかわらず、常にパスワードと生体認証を併用するという説明は誤りです。3Dセキュア2.0は全取引に一律の認証を課す方式ではなく、リスクに応じて追加認証の要否を決めます。また、必ず二つの認証手段を併用するわけでもありません。

エの人間による操作であることを確認するという説明は誤りです。これはCAPTCHAなどのボット対策に関する考え方です。3Dセキュア2.0の追加認証は、取引のリスク判定に応じてカード利用者本人であることを確認するものです。

【ポイント】 低リスクの取引を追加操作なしで処理する流れをフリクションレスフロー、高リスク時に追加認証を求める流れをチャレンジフローといいます。 「全取引で一律に認証」ではなく、「リスクに応じて認証」が重要です。