取引前にIPリスクスコアを監査すべき理由

IPリスクスコアは、企業がどのような場合に追加の確認を求めるべきかを判断する助けになります。ただし、スコアだけで、その人が誰なのか、取引が不正なのか、接続を遮断すべきなのかが分かるわけではありません。

この区別は不可欠です。IPアドレスは共有されることもあれば、動的に割り当てられたり、再割り当てされたり、VPNやプロキシを介して使われたりすることもあります。提供事業者が算出する数値は、いくつかの兆候をまとめたものです。その数値によって、兆候が事実の全体像に変わるわけではありません。

IPリスクスコアは実際に何を測っているのか

提供事業者によっては、IPアドレスのレピュテーション、推定される所在地、ネットワーク情報、匿名化の痕跡、過去の観測結果などを組み合わせてスコアを算出します。そのため、同じアドレスでも、二つのサービスが異なるスコアを付けることがあります。

取引の判断に組み込む前に、どのようなデータを計算に使うのか、どの程度の頻度で更新するのか、どのくらいの期間保存するのか、どのような場合に提供事業者が誤りを認めるのかを確認する必要があります。0から100までの尺度も、その算出方法としきい値を理解できてこそ意味を持ちます。

判断の前になぜ監査するのか

スコアは、追加確認を行うきっかけにしたり、通常と異なる操作の進行を遅らせたり、調査の優先順位を付けたりするうえで役立ちます。しかし、身元を示すものや自動的に許可を与える根拠として扱うと、危険になります。

したがって、監査では、スコアが示す兆候を、実態が分かっている事例と照合しなければなりません。共有アドレスからの正当な接続、モバイル利用者、企業ネットワーク、利用が許可されたVPN、確認済みのインシデントなどがその対象です。検知した不正だけでなく、誤検知も同様に測定してください。正当な顧客を遮断するシステムは、リスクを減らすどころか、別のところへ移しているだけかもしれません。

シンプルな進め方

判断の範囲を定める：スコアをどのような判断に役立てるのか、また、スコアだけでは何を判断できないのかを明確にします。

情報源を確認する：データ、更新日、しきい値、サービスの利用条件を文書に残します。

実際の事例で検証する：相関を証拠と混同せず、スコアの結果を、実態が確認された取引と照合します。

行き詰まったときの手段を用意する：誤検知を訂正する方法、提供事業者を変更する方法、スコア算出サービスが利用できなくなっても業務を継続する方法を、担当チームが使えるようにします。

スコアはその人自身ではない

この限界は、「Lu Hengのノート」の中心的な問いにもつながります。識別子や登録簿は活動の調整に役立ちますが、だからといって、その管理者に、そこに紐づく人や企業の実態を定義する権利が自動的に与えられるわけではありません。

企業にとって、この考え方は一つの運用原則になります。スコアを検証可能な情報として使い、状況を評価する手段を複数確保し、不透明な数値だけで自社サービスを利用できるかどうかが決まる状態にしないことです。

企業が答えられなければならない問い

監査を終えたら、なぜスコアを判断に用いるのか、どのような誤りが起こり得るのか、誰が判断に異議を申し立てられるのか、データはどのように訂正されるのか、情報源が利用できなくなった場合にどう業務を継続するのかを説明できるはずです。これらの答えは、確かなものとして提示される一つの数字よりも価値があります。