多要素認証とは？社員に嫌がられず全社に広げる順番と手段の選び方を解説

多要素認証とは、知識情報、所持情報、生体情報の3要素のうち、2つ以上を組み合わせて本人を確かめる認証です。総務省の国民のためのサイバーセキュリティサイト⁠はこう定義し、2つ⁠の要素を使うものを2要素認証と呼んでいます。

今日やることは、メールとクラウドの管理者アカウントに多要素認証が付いているかを確かめ、なければ付けることです。社員への展開は、その後に計画できます。

要素が違うと何が変わるのか

パスワードが漏れても、持っているものが別に要るなら、それだけではログインできません。警察庁などの公表資料⁠によれば、2025年（令和7年）⁠に検挙された他人のID・パスワードを使う不正アクセス399件⁠の手口は、パスワード管理の甘さにつけ込むものが84件⁠、フィッシングサイトからの入手が77件でした。IDとパスワードが手に入る経路が複数あるので、もう1つ⁠の要素を重ねます。

ただ、多要素認証を入れれば安全、というわけではありません。Microsoftの認証方法の説明は、SMSや認証アプリを使う従来の方式はパスワードのみより大幅に安全になる一方、リモートフィッシング攻撃を受けやすいとしています。手段の違いは後で扱います。

どの順番で全社に広げるか

対象を小さく始め、重要なところから順に広げます。

1. 管理者アカウント。メール、クラウド、ネットワーク機器など
2. 社外からの入口。VPNやリモート接続
3. 重要なデータを扱う人。経理、人事、取引先の図面を扱う担当者
4. 残りの全社員
5. 例外の見直し

1は最も影響が大きく、人数も少ないので最初に片づけます。Google Workspaceの管理者向けヘルプは、管理者アカウントはユーザーの削除やパスワードの再設定、すべてのデータへのアクセスが可能だとし、管理者と重要なビジネス情報を扱うユーザーに必須とするよう勧めています。Google自身も管理者アカウントには2段階認証を適用しています。MicrosoftもAzureや管理ポータルへのサインインに多要素認証を必須としました。使うサービスの側で要件が進んでいるので、社内でも説明しやすいところです。

2はIPAの中小企業の情報セキュリティ対策ガイドライン第4.0⁠版が、VPNや重要なシステムには可能な場合に多段階認証、多要素認証、パスキーなどを使うよう示しています。

社内の展開で参考になるのは、Googleの導入手順⁠の流れです。社員に通知し、有効にできるようにし、登録を案内し、登録状況を確かめ、最後に必須にします。登録の確認より先に必須にすると、ログインできない人が出ます。

社員の反発を減らすには何を伝える？

反発の多くは、手間そのものより、突然言われることと、私物のスマートフォンを使わせられることから来ます。Googleの手順は、事前に次を伝えるよう書いています。

• 何をするものか、なぜ会社が使うのか
• 任意か必須か
• 必須なら、いつまでに有効にするか
• 必須または推奨の方式は何か

これに、社内で次を足します。

• 操作の回数。毎回なのか、同じ端末なら頻度が下がるのか。製品の設定を確かめてから答える
• 私物スマートフォンの場合に、会社が何を見られて何を見られないか
• 機種変更や紛失のときの連絡先
• 使いたくない人の代わりの手段

順番も説得になります。社長と管理職が先に使い、詰まった点を手順に書いてから全社に出します。「上が先にやった」事実は、説明の言葉より伝わります。

事前の説明会を長く取る必要はありません。社員が迷うのは最初の登録なので、部署ごとに登録を一緒に行う時間を取るほうが、資料を配るより進みます。

手段はどう選ぶ？

主な手段を、私たちの整理で並べます。

公式の説明はそれぞれ次のとおりです。Googleは、セキュリティキーを2段階認証の方式で最も安全とし、テキストメッセージは携帯通信会社のネットワークを使うので傍受の危険があるとしています。米国のNIST SP 800-63B-4は、電話網を使う方式を制限付きの手段として扱っています。Microsoftは、パスキーやセキュリティキーなどフィッシングに強い方法を勧めています。FIDOアライアンスは、パスキーをスマートフォンやパソコン、ハードウェアのセキュリティキーに保存できる認証情報と説明しています。

中小企業の現実的な線は、管理者と重要データを扱う人はセキュリティキーか、対応していればパスキー、全社の標準は認証アプリ、SMSは他の方法が使えない人だけ、という分け方です。SMSを全部やめるために導入が遅れるくらいなら、まず付けて、後から手段を上げます。

ログインするサービスが多いなら、入口をまとめて多要素認証をそこで1回⁠で済ませる形も選べます。IDaaSの製品比較が検討の入口です。手段や製品の違いは多要素認証の製品比較で見られます。パスワードそのものの置き場はパスワード管理ツールの製品比較と社員のパスワード管理を移す手順⁠を合わせて見てください。

工場や共用PCの例外はどう扱う？

製造業で必ず出る話です。たとえば、スマートフォンを持ち込めないクリーンルームや、手袋を外せない現場、複数人で使う共用PCがある工場の場合です。

スマホが使えないこと自体は、多要素認証をあきらめる理由になりません。Googleは、モバイルデバイスを持ち込めない場所で作業する場合にバックアップコードを使えるとしています。ハードウェアトークンやセキュリティキーも選択肢です。共用PCは、個人IDに分けられるか先に確かめます。IDが1つのままだと、内部不正を防ぐ仕組み⁠で書いた記録も誰の操作か分からなくなります。

それでも残る例外は、なくすより管理します。例外の台帳には次を書きます。

期限を書くのは、例外をそのまま固定しないためです。システムの更新や機器の入れ替えの時期に見直します。

導入後に困るのはどんなとき？

事前に決めておきたいのは次の場面です。

• 紛失や機種変更。誰に連絡し、誰が本人を確かめて再設定するか
• 管理者のロックアウト。管理者を2人にし、予備の手段を別々に保管する
• バックアップコードの置き場。Googleの手順では、セキュリティキーのみを必須にすると、ユーザーが自分でバックアップコードを作れず、管理者が渡す必要がある
• 身に覚えのない認証の要求。承認せず担当者に連絡する

本人確認を電話一本で済ませると、そこが抜け道になります。顔の分かる上司が確認するなど、手順を決めておきます。

登録率は定期的に見ます。Google Workspaceなら管理コンソールのレポートで登録状況を確認できます。使っている製品に同じ機能があるか確かめ、未登録の部署を見つけて声をかけます。

漏えいを防ぐ対策全体での位置づけは漏えい対策のカテゴリ⁠にまとめています。