リスクベース認証とは何ですか？

認証方法は通常、いくつかの異なる要素に分類されます。

1. 所有権に関する要因

銀行カード、セキュリティトークン、携帯電話。利用者が所持する必要のある物理的な物体。こうした認証方式のリスクは、盗難と複製である。

2. 知識要因

ユーザーが知っていること。パスワード、暗証番号、または「あなたが最初に育った通りはどこですか？」といった質問への回答

3. 固有の要因

これらは、指紋、網膜パターン、署名、顔など、ユーザーが本来持っている特性や行動を利用しようとするものです。

この種のセキュリティソフトウェアのほとんどは、セッション開始時にユーザーにログインを求め、ログイン後はユーザーが自由に操作できるようにする。

リスクベース認証（RBA）では、リスクプロファイルは動的かつ非定常的であり、ユーザーの行動によって決定されます。リスクベース認証は、企業に対し、ユーザーの信頼度に関するスコアを提供する。例えば、ユーザーの信頼度スコアが100点満点中95点だった場合、加盟店はその信頼度スコアで十分かどうか、あるいはそのユーザーをさらに検証するために一段階上の認証手順を追加するかどうかを判断できます。

リスクスコアは、企業のトラフィックの発生源、タイピング速度、異常な行動の有無といった要素を網羅することができます。ベンダーは、行動の挙動とリスクを監視することで、企業が不審な行動パターンを検出するのを支援する。例えば、潜在的なMan-In-The-Browser（MITB）攻撃を検知した場合、企業は電話やSMSなど、インターネットを介さずに送信されるOut Of Band（OOB）認証方法を動的に起動することができます。

行動貫通技術に裏付けられたリスクベース認証は、企業が認証プロセスを動的に、かつその場で変更するための最良の方法です。これにより、最大限のセキュリティを確保しつつ、ユーザーエクスペリエンスへの影響を最小限に抑え、結果としてコンバージョン率を最大化できます。

ほんの少しの間、自分が詐欺師だと想像してみてください。

あなたはボリビアに住んでいて、テキサス州のグレゴリー・アダムスという男から盗まれたばかりの最新の情報を入手したばかりだ。あなたはグレゴリーの口座から自分の口座へ資金を送金するために、彼の銀行口座情報の認証情報を熱心に確認する。ログインして、自分を受取人として追加すると、すべて順調に進むのですが、突然ポップアップが表示され、指紋認証を求められます。認証に失敗すると、彼のアカウントから強制的にログアウトされてしまいます。

しかし、一体どうしてこんなことが起こったのだろうか？

あなたが気づかなかったのは、銀行がセッション全体を通して、リスクベースの認証フレームワークをバックグラウンドで稼働させていたということです。銀行は、あなたがボリビアからログインしていることを確認しました。ボリビアはグレゴリーの通常の活動地域から大きく外れています。彼らはあなたが直接送金手続きを行ったことに気づいた。グレゴリーにしては珍しいことだ。彼らはあなたのタイピング速度、リズム、そしてあなたが携帯電話を使っていたという事実を見ていましたが、グレゴリーは常に彼のコンピューターと、その他数百もの行動パラメータを重視しています。彼らは、あなたがグレゴリーではないことに気づいたのです。

もちろん、あなたは送金を完了できず、アカウントから追い出されてしまいますが、グレゴリーのお金は彼のアカウントに安全に残っています。

今日、多くのセキュリティ企業がリスクベース認証を提供しているが、その違いは、サービスとしてのソフトウェアベンダーがスコアを決定するために使用する技術にある。ラザニアを作るのと似ています。良い材料を使えば、オーブンから出てくるものはゴードン・ラムジーも顔負けの出来上がりになりますが、質の低い材料、賞味期限切れ間近の肉、化学薬品漬けの味のない野菜、そしてスパイスを忘れてしまうと、犬でさえ顔をしかめるようなドロドロの料理になってしまいます。

優れたリスクベース認証ソリューションは、デバイスの情報（デバイス、場所、接続状況）に基づいてスコアを構築するだけでなく、ユーザーの行動パターン、デバイスの属性、ユーザー履歴、その他の要素も利用して、スコアの精度と信頼性を高めます。

リスクベース認証ソリューションでは、様々な微妙な兆候を監視することで、特定のセッションにおけるユーザーのリスクスコアを正確に割り当てることができます。効果的なRBAフレームワークを構築するには、環境に適切なレイヤーを設け、不正行為を適切に識別するためのインテリジェントなルールを設定する必要がある。