多要素認証の種類は、知識、所持、生体の3つの要素の組み合わせで決まり、手段はアプリ、SMS、パスキー、物理キーなどに分かれます。私たちの考える選び方は、社員全員にアプリ、管理者にパスキーか物理キー、SMSはほかの手段が使えない人だけ、という分け方です。
今日やることは、管理者IDと、社外からログインできるサービスの一覧を作ることです。サービスごとに、いま認められている認証の手段を書き出します。「SMSしか選べない」「管理者も社員と同じ」といった箇所が、これから手を入れる場所です。
3つの要素はどう違う？
総務省は、多要素認証を知識情報、所持情報、生体情報のうち2つ以上を組み合わせる認証と説明しています。2つ使う場合を2要素認証と呼びます。
- 知識：パスワード、暗証番号など、本人が知っているもの
- 所持：スマホ、物理キーなど、本人が持っているもの
- 生体：指紋、顔、静脈など、本人の体の特徴
組み合わせる理由は、盗まれ方が違うからです。パスワードが漏れても、手元のスマホや物理キーまでは同時に渡りません。同じ種類を2回確かめる場合との差は、多要素認証と二段階認証の違いで扱っています。
生体だけは少し注意が要ります。米国NISTのSP 800-63B-4は、生体の特徴をそれ単体では認証の手段と認めず、物理的な手段と一緒に使うものとしています。スマホの指紋認証やパソコンの顔認証は、端末という持ち物と組み合わせて働いています。
アプリ、SMS、パスキー、物理キーを比べると？
比べる軸は、偽サイトに誘導されたときに持ちこたえるかどうかと、費用です。価格は2026年11月に公式ページで確かめたものです。
| 手段 |
要素 |
偽サイトへの強さ |
費用の見方 |
| SMS・音声 |
所持 |
強くない |
送信費用の有無を契約で確認 |
| 認証アプリのコード |
所持 |
強くない |
スマホの用意と入れ替えの手間 |
| アプリの通知で承認 |
所持 |
強くない |
同上 |
| パスキー |
所持＋生体など |
条件を満たせば強い |
対応端末とサービスの確認 |
| 物理キー |
所持 |
強い |
1本29米ドルから＋予備 |
「強くない」の根拠はNISTの文書です。SP 800-63B-4は、パスワード、ワンタイムコード、別経路での確認をいずれもフィッシングに強い手段に数えていません。入力したコードや承認の操作が、偽サイトの向こうで使われる余地があるからです。
ただ、これは「効かない」という意味ではありません。パスワードだけのログインと比べれば、パスワードの使い回しや漏えいへの備えになります。全員がコード入力までできている会社と、管理者にも何も入っていない会社では、手を打つ順番が変わります。
SMSはなぜ下に置くのか
SP 800-63B-4は、電話網を使う認証を「制限付き」に分類しています。使ってよいものの、提供する側には、制限のない別の手段を用意すること、利用者にリスクを知らせること、移行の計画を持つことを求めています。
MicrosoftもEntraの案内で、SMSや音声通話をやめてAuthenticatorなどへ移るよう勧めています。
SMSを全部なくす必要はありません。スマホにアプリを入れられない人や、取引先のサービスでSMSしか選べない場合は残ります。そのときは、管理者IDや機密を扱うサービスに使っていないかだけは確かめます。
パスキーと物理キーはどこが違うか
どちらも、登録したサイトとの間で暗号の鍵を使って確かめる方式です。FIDO AllianceはパスキーをFIDOの標準に基づく認証情報と説明しています。
違いは鍵の置き場所です。パスキーはスマホやパソコンに、物理キーは専用の小さな機器に鍵を持ちます。MicrosoftはAuthenticatorでのパスキーを無料の手段と案内しています。スマホがあれば機器代は増えません。
物理キーはスマホの有無に左右されません。GoogleはWorkspaceの管理者向け案内で、セキュリティキーを2段階認証の最も安全な要素で、フィッシング対策に効果があると説明しています。
費用はどう見積もればいい？
製品代は見えやすい部分です。物理キーはYubicoの公式ストアで、Security Key Seriesが29米ドルから、YubiKey 5 Seriesが58米ドルからです。Googleはアカウント復元の案内で、管理者は複数のキーを登録して保管するよう求めています。1人2本で考えると、管理者5人なら10本で、最低価格でも290米ドルです。
認証をまとめて管理する製品は、料金の形がさまざまです。
- HENNGE OneのIdentity Editionは400円〜/月の表示で、IPアドレス、入場証、ワンタイムパスワード、証明書による多要素認証を載せています
- GMOトラスト・ログインのSSOプロは300円の表示（税抜）で、30名以上、12か月契約です。認証アプリのコードやパスキーの欄があります
見落としやすいのは、運用の手間です。機種変更のたびの再登録、紛失したときの本人確認、退職者の解除は、人数に比例して増えます。見積もりには、年に何人が機種変更するかと、対応する人の時間も入れます。この部分は多要素認証アプリの選び方と機種変更の扱いで詳しく書いています。
手段を分けて考える
- 社員全員：認証アプリ。SMSしか使えない人は例外として記録する
- 社長、経理、情シス：パスキーか物理キー
- 管理者ID：物理キーを2本、または2つ以上のパスキー
経理を入れるのは理由があります。フィッシング対策協議会のフィッシングレポート2026は、銀行を装って企業に電話をかけ、ワンタイムパスワードまで入力させて盗む手口の増加を報告しています。協議会の案内する対策は、電話やメールで示された連絡先を使わず、公式サイトの連絡先で確かめることです。正規の事業者が電話でワンタイムパスワードを尋ねることはありません、とも書いています。
製造業ではどこで迷いやすい？
たとえば、社員80人の機械加工の会社を考えます。営業と設計はクラウドのメールと図面共有を毎日使い、現場の班長はスマホを持ち込めない区画で作業する、という場合です。
全員にアプリを配ると、現場で詰まります。Googleの案内は、モバイル端末を持ち込めない場所で働く人の手段としてバックアップコードを挙げ、TOTP標準のハードウェアトークンにも対応すると説明しています。現場の班長はトークンかキー、事務所の社員はアプリ、図面共有の管理者は物理キー、と分けます。
取引先からの求めも見ておきます。SCS評価制度は★3と★4について、2026年度末頃の申請受付の開始を目指すとしています。★3の評価基準（Ver.1.1）は、重要な機密情報を扱うクラウドサービスで、ユーザーと管理者に多要素認証を常に使うよう求めています。
ここで挙げられた要素には、メールや電話番号へ送るワンタイムパスワードも入ります。基準を満たすことと、偽サイトに強いことは別の話です。★3に沿うならSMSでも足りる場面があり、その上で管理者だけ強い手段にする、という判断ができます。
基準と強さは分けて読む
メールで届くコードの扱いは文書で分かれます。SCS評価制度は所有情報の例に含め、NISTのSP 800-63B-4は別経路の認証にメールを使うことを認めていません。取引先の基準を満たすかと、どこまで強くするかは、別々に決めます。
世の中はどちらへ動いている？
金融の分野では、偽サイトに強い手段へ移る動きがはっきりしています。日本証券業協会は2025年10月15日のガイドラインで、ログイン、出金、出金先の変更などの重要な操作に、フィッシングに耐性のある多要素認証を実装して必須にすると定めました。例はパスキーやPKIです。機器を持たない顧客向けに代わりの多要素認証を用意することも書かれています。
同じ考え方は会社でも使えます。強い手段を標準にしつつ、使えない人の代替を初めから用意する、という形です。
何から決めていけばいい？
上から順に決めると、途中で止まっても守りの厚い部分から残ります。
- 管理者IDをすべて洗い出し、物理キーかパスキーを割り当てる
- メールとファイル共有で全社の多要素認証を有効にする。多くの社員に一度に効く場所です
- VPNなど社外から入る経路を、同じ認証に揃える
- スマホを持たない人、持ち込めない人の代替を決める
- SMSが残っている箇所を記録し、見直す時期を決める
製品を選ぶ段階では、多要素認証の製品比較のほか、ログインを1か所にまとめるならIDaaSの製品比較、パスワードが残るサービスには法人向けパスワード管理ツールの比較が見比べる材料になります。情報の持ち出し全般の考え方は、情報漏えい対策のカテゴリにまとめています。
