--- title: "多要素認証を社内に広げる進め方｜アメリア・テクノロジー株式会社" url: https://www.ameliatechnology.co.jp/blog/mfa-rollout/ description: "多要素認証は、パスワードに加えて、スマートフォンや指紋など別の手段でも本人を確かめる仕組みです。社内に広げるときの対象の決め方、手段の選び方、例外の扱い、社員への周知のしかたを、はじめての方向けに順に説明します。" updated: 2026-11-12 publisher: "アメリア・テクノロジー株式会社" --- # 多要素認証を社内に広げる進め方 多要素認証は、パスワードに加えて、スマートフォンや指紋など別の手段でも本人を確かめる仕組みです。社内に広げるときの対象の決め方、手段の選び方、例外の扱い、社員への周知のしかたを、はじめての方向けに順に説明します。 2026.11.12 [Webとシステム開発](https://www.ameliatechnology.co.jp/blog/category/web/) 執筆 [桐谷彰人](https://www.ameliatechnology.co.jp/blog/author/kiritani/)（取締役COO） Webとシステム開発（WEB & SYSTEMS）のコラム ## この記事の要点 - 多要素認証は、記憶・所持・生体のうち2つ以上の要素で本人を確かめる方式で、IDとパスワードを盗まれても、それだけではログインされにくくなります。 - 社外から入れる入り口と、管理者のアカウントから始め、使う手段・例外・困ったときの窓口を決めてから広げると進めやすくなります。 - 社員には、なぜ必要か、いつから何が変わるか、スマートフォンを替えたときや紛失したときにどうするかを、前もって伝えます。 多要素認証を社内に広げるときは、守る入り口を決め、使う手段を選び、例外の扱いと困ったときの窓口を決めてから、小さな範囲で試して全体に広げる、という順で進めると、混乱が少なくなります。いきなり全員・全部のシステムで始めると、ログインできない人が続出し、仕事が止まってしまうことがあります。 ## 多要素認証とは [多要素認証](https://www.ameliatechnology.co.jp/glossary/mfa/)とは、ログインのときに、性質の違う2つ以上の要素を組み合わせて本人を確かめる方式です。IPAは、記憶情報（パスワードなど）、所持情報（スマートフォンなど）、生体情報（指紋や顔など）のうち2つ以上を用いた方式を「多要素認証」と呼ぶことがあると説明しています。 IPAは、多要素認証を設定しておけば、仮にIDと1つ目のパスワードを不正に使われてもログインはできないため、不正ログインの防止に効果があるとしています。 出典：[不正ログイン対策特集ページ（IPA）](https://www.ipa.go.jp/security/anshin/measures/account_security.html) 同じ「パスワード」を2回入れるような仕組みは、要素が1種類のままのため、多要素認証にはあたりません。認証そのものの考え方は、用語集の[認証と認可](https://www.ameliatechnology.co.jp/glossary/authentication-authorization/)でも説明しています。 ## どこから始めればよいですか 社外からつなげる入り口と、権限の強いアカウントから始めるのがおすすめです。狙われやすく、破られたときの影響が大きいためです。 | 優先 | 対象の例 | 理由 | |---|---|---| | 高 | 社外からつなぐ[VPN](https://www.ameliatechnology.co.jp/glossary/vpn/)機器・リモートデスクトップ | インターネットから誰でもログインを試せる | | 高 | メール・グループウェアなどのクラウドの管理者のアカウント | 破られると、ほかのアカウントの設定まで変えられる | | 中 | 全社員のメール・ファイル共有・チャット | 盗まれたアカウントから、取引先へのなりすましに使われやすい | | 中 | 会計・給与・顧客の管理など、大事な情報を扱うシステム | 情報の漏えいや不正な送金の被害につながる | 警察庁は、2025年のランサムウェアの被害で、VPN機器が侵入の経路の6割以上を占めたとしています（被害を受けた組織へのアンケートによる）。社外からの入り口に多要素認証を設定しておく意味は大きいと考えられます。入り口になりやすい機器の守り方は、[VPN機器の脆弱性とランサムウェア](https://www.ameliatechnology.co.jp/blog/vpn-device-vulnerability/)で説明しています。 出典：[令和7年におけるサイバー空間をめぐる脅威の情勢等について（警察庁、2026年3月）](https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf) ## 手段は、何を選べばよいですか 手段は、使う人の負担と、なりすましへの強さの釣り合いで選びます。多くのクラウドサービスでは、次のような手段を選べます。 - **認証アプリ**：スマートフォンのアプリに表示される数字を入れる、または通知を承認する方法です。多くのサービスで使えます - **SMSの確認コード**：携帯電話に届く数字を入れる方法です。手軽で、スマートフォンにアプリを入れられない場合にも使えます - **セキュリティキー**：USBなどにつなぐ小さな機器で確かめる方法です。管理者のアカウントなどに向いています - **パスキー**：パソコンやスマートフォンのロックを解除するのと同じ指紋や顔、PINでログインを承認する方法です [パスキー](https://www.ameliatechnology.co.jp/glossary/passkey/)について、標準をつくる団体のFIDO Allianceは、パスワードとは違って、フィッシングに強い仕組みだと説明しています。使っているサービスが対応しているかを確かめ、選べるものから取り入れるとよいでしょう。 出典：[パスキー（FIDO Alliance）](https://fidoalliance.org/passkeys/?lang=ja) 通知を承認する方式では、身に覚えのない承認の求めが続いたときに、うっかり「承認」を押してしまう危険があります。「自分がログインしていないときの通知は承認しない。届いたら報告する」と、社員に伝えておきます。 ## 例外は、どう扱いますか 例外は、理由・期間・代わりの対策を決めて、一覧で管理します。例外が増えると、そこが弱いところとして残るためです。 よくある例外には、会社のスマートフォンを持っていない人、共用のアカウント、多要素認証に対応していない古いシステム、システムどうしが自動でつながるためのアカウントがあります。共用のアカウントは、できるだけ一人ひとりのアカウントに分けます。古いシステムは、社内のネットワークからしか使えないようにするなど、入り口を絞る対策を考えます。 ## 費用と手間も見ておく 多要素認証は、使っているクラウドサービスに機能が含まれている場合が多い一方、契約の種類によっては追加の費用がかかる機能もあります。セキュリティキーを配る場合は、機器の購入と、なくしたときの予備も考えます。始める前に、使っているサービスの契約と機能を確かめておくと、後で慌てずに済みます。 ## 社員への伝え方 社員には、なぜ必要か、いつから何が変わるか、困ったときにどうするかを、始める前に伝えます。手順の説明だけでなく、「パスワードが盗まれても会社と自分を守れる」という理由を伝えると、協力を得やすくなります。 伝えておきたいことは、次のとおりです。 1. 始める日と、対象のシステム 2. 設定のしかた（画面の写真つきの手順） 3. スマートフォンを買い替えるとき、なくしたときの連絡先 4. 身に覚えのない確認の求めが届いたときの報告先 5. 設定を手伝う日時や、質問を受け付ける窓口 スマートフォンをなくしたときに、本人確認をせずに設定を解除すると、そこを狙ったなりすましにつながります。窓口では、本人しか分からないことを確かめるなど、解除の手順を決めておきます。 ## 進め方の順番 広げるときは、計画、試行、全体への展開、見直しの4つの段階で進めると、つまずきにくくなります。 試行は、情報システムの担当や、協力してくれそうな部署から始めます。試行で出た質問は、手順書とよくある質問にまとめ、全体に広げるときに配ります。全体に広げた後も、設定していない人、例外のまま期限が過ぎたもの、退職した人のアカウントが残っていないかを、定期的に確かめます。 多要素認証を広げる4つの段階 **計画** **試行**：情報システムの担当や、協力してくれそうな部署から始め、出た質問を手順書とよくある質問にまとめる **全体への展開**：まとめた手順書とよくある質問を配る **見直し**：設定していない人、期限が過ぎた例外、退職した人のアカウントを定期的に確かめる パスワードの決まりそのものの見直しは、[パスワードの決まりを見直す。定期変更より大切なこと](https://www.ameliatechnology.co.jp/blog/password-policy-update/)で説明しています。 ## 当社のご支援 アメリア・テクノロジーの[セキュリティ診断と対策](https://www.ameliatechnology.co.jp/service/security/)では、守るアカウントと入り口の洗い出し、多要素認証の設定の手順づくり、社員向けの説明と訓練をご支援しています。継続してご相談いただく「守りの継続」のパッケージは、[AIタイムシェア](https://www.ameliatechnology.co.jp/timeshare/)と同じ時間の枠でお使いいただけます（料金は[料金の目安](https://www.ameliatechnology.co.jp/pricing/)をご覧ください）。自社の備えを確かめたい場合は、無料の[セキュリティの自己診断](https://www.ameliatechnology.co.jp/diagnosis/security/)をお使いください。 - 多要素認証 - 認証 - パスワード - 情報セキュリティ ## この記事に出てくる用語 - [多要素認証（MFA）](https://www.ameliatechnology.co.jp/glossary/mfa/) - [不正アクセス](https://www.ameliatechnology.co.jp/glossary/unauthorized-access/) - [認証と認可](https://www.ameliatechnology.co.jp/glossary/authentication-authorization/) - [VPN](https://www.ameliatechnology.co.jp/glossary/vpn/) - [インターネット](https://www.ameliatechnology.co.jp/glossary/internet/) - [クラウド](https://www.ameliatechnology.co.jp/glossary/cloud/) - [ランサムウェア](https://www.ameliatechnology.co.jp/glossary/ransomware/) - [脆弱性](https://www.ameliatechnology.co.jp/glossary/vulnerability/) この記事を書いた人 [桐谷彰人](https://www.ameliatechnology.co.jp/blog/author/kiritani/) 取締役COO システムエンジニアとして、ビジネスモデルの策定から要件定義、開発、コードレビューまでを担当してきました。運送管理、飲食業向けのDX、ECサイトなど、さまざまな業界のシステム開発に携わっています。 このコラムは一般的な情報の提供を目的としたもので、個別の状況への助言ではありません。製品・サービスの名前と内容は、記事の更新日の時点のものです。 ## あわせて読みたい - [ゼロトラストの考え方と、中小企業の始め方](https://www.ameliatechnology.co.jp/blog/zero-trust-for-smb/) - [Webアクセシビリティの対応。合理的配慮の義務化と進め方](https://www.ameliatechnology.co.jp/blog/web-accessibility-obligation/) - [発注者が知っておきたいテストの種類と確かめ方](https://www.ameliatechnology.co.jp/blog/testing-for-buyers/) [Webとシステム開発のコラムを見る](https://www.ameliatechnology.co.jp/blog/category/web/) [コラムの一覧に戻る](https://www.ameliatechnology.co.jp/blog/) ## 次の一歩 ### 業務で使うWebシステムをつくる 社内で使う業務システムやWebサービスを、要件定義から設計・開発・テスト、公開した後の運用まで受け持ちます。 [Webシステム開発を見る](https://www.ameliatechnology.co.jp/service/web-system/) ### まずは30分、オンラインで話してみる 何に使うかが決まっていない段階でも構いません。30分のオンライン相談は無料です。 [無料で相談する](https://www.ameliatechnology.co.jp/contact/) ## ご関心に合わせて、お選びください。 [情報を集めている方へ会社案内、AI開発の例、セキュリティ診断の報告書の見本をお送りします。資料をダウンロード](https://www.ameliatechnology.co.jp/download/)[課題が見えている方へオンラインで30分、お話をうかがいます。費用はかかりません。無料で相談する](https://www.ameliatechnology.co.jp/contact/)[進め方を決めたい方へ2〜4週間で、優先順位と計画をまとめるAI活用の診断です。診断について見る](https://www.ameliatechnology.co.jp/pricing/#diagnosis) --- 出典：アメリア・テクノロジー株式会社「多要素認証を社内に広げる進め方｜アメリア・テクノロジー株式会社」 https://www.ameliatechnology.co.jp/blog/mfa-rollout/