会社で揃える多要素認証アプリは、使っているクラウドに合うものを1つ決め、機種変更、紛失、スマホを持たない社員の扱いまで決めてから配ります。アプリそのものより、配った後の手順で差が出ます。
今日やることは、社員の一覧に「会社支給のスマホ」「私物のスマホ」「スマホなし、または持ち込めない」の3列を足し、人数を数えることです。この人数で、代替の手段にいくらかかるか、誰が再発行を受けるかが決まります。
どのアプリを選べばいい？
社員が毎日ログインするサービスから決めます。アプリを別々に入れてもらうほど、問い合わせは増えます。
| 主に使うもの |
検討の起点 |
確かめること |
| Microsoft 365 |
Microsoft Authenticator |
通知、コード、パスキーのどれを許すか |
| Google Workspace |
Google認証システム |
同期に使うGoogleアカウント |
| 両方、または他のサービス |
TOTP標準のコードに対応するアプリ |
サービス側が別のアプリを認めるか |
| IDaaS |
そのIDaaSが案内する手段 |
スマホなしの手段があるか |
Microsoftの案内では、Authenticatorはパスキー、通知での承認、コードの3つの形で使えます。MicrosoftのOATHトークンの説明によると、TOTPは公開の標準で、Entra IDではAuthenticator以外のアプリも使えます。
Google側は、Workspaceの案内でTOTP標準のソフトウェアとハードウェアのトークンに対応すると説明しています。つまり、コード方式なら複数のサービスを1つのアプリにまとめられる場合が多いわけです。
手段の強さの違いは多要素認証の種類と費用の比較で扱いました。ここでは、会社で配るときの決め事に絞ります。
古いスマホはどう扱うか
スマホのOSが古いと、アプリが動かないことがあります。Microsoftは、Authenticatorの古い版を定期的に使えなくすると説明し、新しい版に対応しない端末ではOATHのコードでのサインインを勧めています。Google認証システムの案内では、AndroidのOSは6.0以降が必要です。
社員のスマホの機種を全部調べる必要はありません。配布の説明会で動かなかった人を記録し、代替の手段に回します。
会社支給と私物、どちらで使う？
支給が揃っていれば、端末を会社の決まりで管理できます。総務省のテレワークセキュリティガイドライン第5版も、端末の紛失や盗難に備えたMDMの導入に触れています。機能の違いはMDMの製品比較で確かめられます。
全員に支給できない会社では、私物スマホの利用を決めることになります。決めずに「各自で入れてください」と頼むと、断る人が出たときに話が止まります。
私物に入れてもらうときの決め事
厚生労働省のテレワークのQ&Aは、費用の負担は労使でよく話し合い、導入前に明確なルールを作って丁寧に説明することが望ましいとしています。社員に費用を負担させると定める場合は、労働基準法第89条により就業規則への記載が必要になるとも説明しています。
厚生労働省のモデル就業規則の手引きには、私有機器を業務に使う場合に申請書で許可を受ける規定例があります。これはテレワーク勤務の規程の例なので、自社の規程に合わせて書き直します。
私物スマホで決めておくこと
- 入れるのは認証アプリだけか、メールやファイルも見るのか
- 会社が見られる情報と、見られない情報
- 機種変更と紛失のときの連絡先
- 断った社員の代替（トークンやキーを会社が貸す）
1つ目で扱いが大きく変わります。総務省のガイドラインはVPN方式の説明で、私用の端末にはデータを保存できることや対策ソフトを強制できないことを挙げ、リスクを受容できるか評価して可否を決めるとしています。認証アプリだけなら、業務のファイルやメールを端末に置かずに済みます。メールやファイルも見るなら、別の検討が要ります。
機種変更はどう扱う？
機種変更は、配った後に必ず起きる手続きです。アプリによって動きが違うので、社員に配る手順書は自社のアプリに合わせて書きます。
Microsoft Authenticatorの場合
Microsoftのサポートによると、職場や学校のアカウントの認証情報はバックアップされません。保存されるのはアカウント名だけで、新しい端末でサインインして登録し直します。
バックアップは同じ種類の端末でのみ復元でき、iOSからAndroidへは戻せません。Androidでは、2027年1月からバックアップの有効化に個人用Microsoftアカウントを使わなくなり、Google Oneのバックアップでの設定に変わるとも案内しています。個人のアカウントも入れている社員には関係するので、手順書には日付を入れておきます。
Google認証システムの場合
Googleアカウントにログインしておけば、新しい端末へコードが同期されます。Googleアカウントなしで使っている場合は、古い端末でQRコードを作って新しい端末で読み取ります。古い端末が要るので、壊れてからでは使えません。
会社で決めたいのは、どのGoogleアカウントに同期するかです。私物のアカウントに同期すると、業務のコードが社員個人のアカウントの下に入ります。会社のアカウントに揃えるか、同期を使わないかを決めます。
手順書の1行目に書くこと
古いスマホを初期化する前に、新しいスマホでログインできることを確かめる。下取りや返却の手続きより先に、この確認を済ませます。
紛失や故障で入れなくなったら？
再発行の手順を、配る前に決めます。担当が1人だと、その人が不在のときに止まります。
Microsoft Entraには、Temporary Access Passという期限つきのパスコードがあり、認証の手段を失ったときの復旧を助けます。1回だけの設定と複数回の設定を選べます。
Google Workspaceはアカウント復元の案内で、ユーザー管理の権限を持つ管理者がユーザーのバックアップコードを生成できると説明しています。管理者が入れなくなる場合に備え、追加の特権管理者を置くことと、予備のキーやバックアップコードを安全な場所に保管することも求めています。個人のバックアップコードは10個が1組で、使うと無効になります。
再発行の依頼を本物と確かめる
再発行の窓口は、なりすましの入口にもなります。電話で「スマホをなくした」と言われただけで発行しない決まりにします。顔を見て確かめるか、上長に別の経路で確かめます。
フィッシングレポート2026は、電話で信用させて認証情報を入力させる手口の増加を報告しています。社員には、会社も取引先も電話でコードを聞かないことを、配布のときに伝えておきます。アプリの通知も、自分がログインしていないときに来たら承認しないよう伝えます。
スマホを持たない社員はどうする？
代替を1つ決めます。人数が少なければ、高いものでも総額はそれほど増えません。
- ハードウェアトークン：コードを表示する小さな機器。Googleは対応を案内し、MicrosoftはEntraのハードウェアトークンをプレビューとして案内しています
- 物理キー：Yubicoの公式ストアで29米ドルから（2026年11月確認）。使うPCの差し込み口を確かめます
- バックアップコード：Googleは、モバイル端末を持ち込めない場所で働く場合の手段として挙げています。紙の保管方法を決めます
たとえば、工場でスマホの持ち込みを禁じている区画があり、班長だけが現場のPCから生産管理にログインする、という場合です。スマホの有無の話ではなく、区画の決まりの話なので、全員ぶんの例外を認めるより、その区画のPC用にトークンやキーを会社の備品として貸し出すほうが管理しやすくなります。貸出台帳に、誰の、いつからの、を残します。
現場で1つのIDを共有している場合は、ここで分けます。多要素認証は人と持ち物を結びつける仕組みなので、共有IDのままでは誰のスマホに登録するかが決まりません。
代替を用意する考え方は、金融の分野でも採られています。日本証券業協会のガイドラインは、スマホなどの機器を持たない顧客に代わりの多要素認証を提供することを求めています。
どの順番で配ればいい？
一度に全員へ配ると、質問が同じ日に集まります。
- 情シスと総務で試し、手順書の画面を自社のものに直す
- 1部署で配り、詰まった箇所を手順書に足す
- 全社に期限を示して配る。Google Workspaceには猶予期間の設定があります
- 期限の後に登録していない人を一覧で確かめる
- 退職の手続きに、認証の解除と貸与品の回収を足す
サービスが多くて手順書が増えるなら、IDaaSの製品比較でログインを1か所にまとめる方法があります。アプリやトークンの種類を比べるなら多要素認証の製品比較が使えます。
そもそも今のログインが多要素になっているかは、多要素認証と二段階認証の違いで確かめられます。情報の守り方の全体は、情報漏えい対策のカテゴリにまとめています。
