多要素認証は種類の違う要素を2つ以上組み合わせる認証で、二段階認証は確認を2回に分ける認証です。2回確かめても種類が同じなら、多要素認証にはなりません。
今日やることは、社内で使っているログインを3つ選び、それぞれ何を入力しているかを書き出すことです。書いたものを「知っているもの」「持っているもの」「体の特徴」に分けます。1つの種類に集まったログインが、これから足すべき場所です。
2つの言葉は何を数えている？
多要素は種類の数を、二段階は回数を数えています。数えているものが違うので、片方だけ当てはまることがあります。
総務省の職場での対策の解説は、多要素認証を知識情報、所持情報、生体情報のうち2つ以上を組み合わせる認証と定めています。情報通信白書 for Kidsは、IDとパスワードの入力後にもう一度認証を求める仕組みを2段階認証と呼び、その中で複数の要素を組み合わせるものを多要素認証と説明しています。
つまり、2回目に求めるものが何かで、同じ二段階認証でも中身が変わります。
社内のログインで見るとどうなる？
代表的な形を要素に分けました。
| ログインの形 |
中身の要素 |
回数 |
多要素か |
| パスワード＋秘密の質問 |
知識＋知識 |
2回 |
ならない |
| 会社コード＋ID＋パスワード |
知識のみ |
1回 |
ならない |
| パスワード＋別の暗証番号 |
知識＋知識 |
2回 |
ならない |
| パスワード＋SMSのコード |
知識＋所持 |
2回 |
なる |
| パスワード＋認証アプリのコード |
知識＋所持 |
2回 |
なる |
| パスキー（端末＋指紋） |
所持＋生体 |
1回 |
なる |
秘密の質問は、白書 for Kidsがそのまま例に挙げています。パスワードの後に秘密の質問へ答える形は、いずれも記憶情報による認証です。2回目が認証アプリにだけ表示される数字に変わると、特定の機器を持つ人でないとログインできないので、所持情報が組み合わされたことになります。
暗証番号も知識です。米国NISTのSP 800-63B-4は、数字だけのPINをパスワードの一種として扱っています。
回数が増えても種類は増えない
入力欄の数は安全性の目安になりません。会社コードを足した3項目のログインは丁寧に見えますが、全部を知っている人なら誰でも入れます。
同じ種類が二度だと何が足りない？
足りないのは、盗まれ方の違いです。知識は、聞き出す、見る、推測する、という同じ方法で手に入ります。
たとえば、偽のログイン画面にパスワードを入れてしまう人は、次の画面で聞かれる秘密の質問にも答えてしまいます。社内で共有している会社コードは、そもそも秘密になっていません。2回確かめても、壁は実質1枚に近いことになります。
種類が違えば、これが変わります。パスワードが漏れても、スマホや物理キーは手元に残ります。総務省も、多要素認証でセキュリティレベルを高められるとして、設定できるなら利用するよう勧めています。
ただし、種類が違えば万全というわけでもありません。NISTの文書は、コードの入力やアプリでの承認をフィッシングに強い手段に数えていません。どの手段がどこまで強いかは、多要素認証の種類と費用の比較で比べています。
回数が1回でも多要素になる？
なります。これが2つの言葉を混同しにくくする一番の例です。
NISTの文書は、1回の認証で2つの要素を必要とする手段として、生体センサーを内蔵した暗号機器を挙げています。パスキーをスマホの指紋で開く形は、操作は1回でも、持っている端末と指紋の2つを使っています。
Googleも2段階認証の案内で、パスキーでログインすると端末の所有者であることが確かめられるので2つ目の手順を省くと説明しています。同じページは、2段階認証プロセスを「2要素認証とも呼ばれます」と書いています。サービスの名前だけでは、中身の判断ができません。
名前より確かめること
- 2回目に求められるものは何か
- それは1回目と別の種類か
- 省略できる条件はあるか
3つ目は見落としがちです。「社内からなら2回目を省略する」という設定は、社外からのログインだけが多要素になっています。
判断が分かれるものは？
文書によって扱いが違うものが2つあります。
メールで届くコード
SCS評価制度の★3・★4の評価基準（Ver.1.1）は、利用者のメールアドレスへ送るワンタイムパスワードを所有情報の例に含めます。一方、NISTのSP 800-63B-4は、別経路の認証にメールを使うことを認めていません。
社内で確かめたいのは、そのメールを開くのにも同じパスワードを使っていないかです。使っていれば、パスワードが漏れた時点で両方が開く可能性があります。メールの側に多要素認証が入っているかを見ます。
IPアドレス
SCS評価制度の基準は、要素の例の4つ目に「その他の情報（IPアドレス）」を挙げています。自己評価等ガイドは、信頼できるネットワークからのアクセスでの手段に限る、と注意を添えています。
会社のネットワークからしか入れない設定は有効な制限です。ただ、社外から入る人に効くものではありません。
製造業の現場ではどこに残っている？
古くから使っている業務システムから順に見ます。
たとえば、取引先の受発注ポータルや生産管理システムのログインです。会社コード、担当者ID、パスワードの3項目で入る形は、要素で見れば知識だけです。同じパソコンの画面にメモが貼ってあれば、なお分かれません。
書き出すときは、次の表を1枚にまとめます。
- システムの名前と、社外から入れるか
- 入力する項目と、その要素の種類
- 管理者のIDにも同じ形が使われているか
- 別の要素を足せるか（ベンダーへの確認）
取引先のポータルは自社で変えられません。追加の手段を選べるのに設定していないだけのこともあるので、設定画面と相手の案内を見ます。
社員にはどう説明する？
「パスワードに加えて、もう1回確認します」だけでは、なぜスマホが要るのかが伝わりません。「パスワードは知られても、あなたのスマホは手元にあるから守れる」と、種類の違いで説明します。
秘密の質問を廃止するときも同じです。手間を増やす話ではなく、人に聞かれれば答えられるものを、持っている人にしかできない確認へ置き換える話だと伝えます。
足りないと分かったらどうする？
自社で管理するログインから、別の種類を足していきます。★3の評価基準は重要な機密情報を扱うクラウドサービスで多要素認証を求めています。経産省の制度の案内によれば、★3と★4は2026年度末頃の申請受付の開始を目指しています。取引先から聞かれる前に表を作っておけば、自己評価のときにそのまま使えます。
自己評価の方法には、2種類以上の要素のどの組み合わせで多要素認証を実現しているかを確かめる、とあります。今日作る表が、ほぼその答えになります。
足す手段は、次の順に考えます。
- 使っているサービスの標準機能で、認証アプリやパスキーを有効にする
- 複数のサービスがあるなら、IDaaSの製品比較でログインを1か所にまとめる方法を見る
- 製品単体で足すなら、多要素認証の製品比較で方式と最小契約を確かめる
- パスワードが残るサービスは、法人向けパスワード管理ツールの比較で使い回しを減らす
全社に配るときの注意は、多要素認証アプリの選び方と機種変更の扱いに書いています。情報の守り方全体は、情報漏えい対策のカテゴリからたどれます。
