多要素認証を社内に広げる進め方

多要素認証を社内に広げるときは、守る入り口を決め、使う手段を選び、例外の扱いと困ったときの窓口を決めてから、小さな範囲で試して全体に広げる、という順で進めると、混乱が少なくなります。いきなり全員・全部のシステムで始めると、ログインできない人が続出し、仕事が止まってしまうことがあります。

多要素認証とは

多要素認証とは、ログインのときに、性質の違う2つ以上の要素を組み合わせて本人を確かめる方式です。IPAは、記憶情報（パスワードなど）、所持情報（スマートフォンなど）、生体情報（指紋や顔など）のうち2つ以上を用いた方式を「多要素認証」と呼ぶことがあると説明しています。

IPAは、多要素認証を設定しておけば、仮にIDと1つ目のパスワードを不正に使われてもログインはできないため、不正ログインの防止に効果があるとしています。

出典：不正ログイン対策特集ページ（IPA）

同じ「パスワード」を2回入れるような仕組みは、要素が1種類のままのため、多要素認証にはあたりません。認証そのものの考え方は、用語集の認証と認可でも説明しています。

どこから始めればよいですか

社外からつなげる入り口と、権限の強いアカウントから始めるのがおすすめです。狙われやすく、破られたときの影響が大きいためです。

警察庁は、2025年のランサムウェアの被害で、VPN機器が侵入の経路の6割以上を占めたとしています（被害を受けた組織へのアンケートによる）。社外からの入り口に多要素認証を設定しておく意味は大きいと考えられます。入り口になりやすい機器の守り方は、VPN機器の脆弱性とランサムウェアで説明しています。

出典：令和7年におけるサイバー空間をめぐる脅威の情勢等について（警察庁、2026年3月）

手段は、何を選べばよいですか

手段は、使う人の負担と、なりすましへの強さの釣り合いで選びます。多くのクラウドサービスでは、次のような手段を選べます。

• 認証アプリ：スマートフォンのアプリに表示される数字を入れる、または通知を承認する方法です。多くのサービスで使えます
• SMSの確認コード：携帯電話に届く数字を入れる方法です。手軽で、スマートフォンにアプリを入れられない場合にも使えます
• セキュリティキー：USBなどにつなぐ小さな機器で確かめる方法です。管理者のアカウントなどに向いています
• パスキー：パソコンやスマートフォンのロックを解除するのと同じ指紋や顔、PINでログインを承認する方法です

パスキーについて、標準をつくる団体のFIDO Allianceは、パスワードとは違って、フィッシングに強い仕組みだと説明しています。使っているサービスが対応しているかを確かめ、選べるものから取り入れるとよいでしょう。

出典：パスキー（FIDO Alliance）

通知を承認する方式では、身に覚えのない承認の求めが続いたときに、うっかり「承認」を押してしまう危険があります。「自分がログインしていないときの通知は承認しない。届いたら報告する」と、社員に伝えておきます。

例外は、どう扱いますか

例外は、理由・期間・代わりの対策を決めて、一覧で管理します。例外が増えると、そこが弱いところとして残るためです。

よくある例外には、会社のスマートフォンを持っていない人、共用のアカウント、多要素認証に対応していない古いシステム、システムどうしが自動でつながるためのアカウントがあります。共用のアカウントは、できるだけ一人ひとりのアカウントに分けます。古いシステムは、社内のネットワークからしか使えないようにするなど、入り口を絞る対策を考えます。

費用と手間も見ておく

多要素認証は、使っているクラウドサービスに機能が含まれている場合が多い一方、契約の種類によっては追加の費用がかかる機能もあります。セキュリティキーを配る場合は、機器の購入と、なくしたときの予備も考えます。始める前に、使っているサービスの契約と機能を確かめておくと、後で慌てずに済みます。

社員への伝え方

社員には、なぜ必要か、いつから何が変わるか、困ったときにどうするかを、始める前に伝えます。手順の説明だけでなく、「パスワードが盗まれても会社と自分を守れる」という理由を伝えると、協力を得やすくなります。

伝えておきたいことは、次のとおりです。

1. 始める日と、対象のシステム
2. 設定のしかた（画面の写真つきの手順）
3. スマートフォンを買い替えるとき、なくしたときの連絡先
4. 身に覚えのない確認の求めが届いたときの報告先
5. 設定を手伝う日時や、質問を受け付ける窓口

スマートフォンをなくしたときに、本人確認をせずに設定を解除すると、そこを狙ったなりすましにつながります。窓口では、本人しか分からないことを確かめるなど、解除の手順を決めておきます。

進め方の順番

広げるときは、計画、試行、全体への展開、見直しの4つの段階で進めると、つまずきにくくなります。

試行は、情報システムの担当や、協力してくれそうな部署から始めます。試行で出た質問は、手順書とよくある質問にまとめ、全体に広げるときに配ります。全体に広げた後も、設定していない人、例外のまま期限が過ぎたもの、退職した人のアカウントが残っていないかを、定期的に確かめます。

パスワードの決まりそのものの見直しは、パスワードの決まりを見直す。定期変更より大切なことで説明しています。

当社のご支援

アメリア・テクノロジーのセキュリティ診断と対策では、守るアカウントと入り口の洗い出し、多要素認証の設定の手順づくり、社員向けの説明と訓練をご支援しています。継続してご相談いただく「守りの継続」のパッケージは、AIタイムシェアと同じ時間の枠でお使いいただけます（料金は料金の目安をご覧ください）。自社の備えを確かめたい場合は、無料のセキュリティの自己診断をお使いください。