多要素認証・パスキーの導入の進め方

自社の「基盤とセキュリティ」の準備度は？10問・約3分で確かめる（無料・登録不要）

パスワードは、使い回しや漏えい、フィッシングで盗まれることがあります。盗まれても不正にログインされにくくするのが多要素認証で、その中でもフィッシングに強い方式としてパスキーが広がっています。この記事では、IPA（情報処理推進機構）、警察庁、フィッシング対策協議会の資料をもとに、会社として導入する進め方を整理します。

多要素認証とは、どんな仕組みですか？

IPAの「情報セキュリティ10大脅威 2026」解説書は、多要素認証を、認証の3つの要素である「知識情報」「所持情報」「生体情報」のうち、2つ以上を組み合わせて認証することと説明しています。

パスワードが漏れても、スマートフォンなど別の要素がなければログインできないため、不正なログインを防ぎやすくなります。IPAの解説書は、ランサムウェアやビジネスメール詐欺など複数の脅威の対策として、多要素認証やパスキーの利用を挙げています。

二段階認証を入れていても、破られることはありますか？

あります。警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等について」は、偽のサイトに入力させたIDやパスワード、確認のコードを、すぐに正規のサイトで使うリアルタイム型フィッシングで二段階認証を突破する手口が、令和元年ごろから横行していると指摘しています。携帯電話の番号を乗っ取るSIMスワップで本人確認を突破する手口も、引き続き見られるとしています。

そこで重視されているのが「フィッシング耐性」です。フィッシング対策協議会の「フィッシング対策ガイドライン 2026年度版」は、フィッシング耐性を、中間者攻撃によるフィッシングの影響を受けずに認証を行える能力と説明し、フィッシング耐性を有する多要素認証を要求することを重要項目に挙げています。例として、パスキー、生体認証、耐性のあるワンタイムパスワードなどを示しています。

パスキーとは、どんな仕組みですか？

パスキーは、パスワードの代わりに使う認証の仕組みです。FIDO Allianceなどのメンバーが運営する解説サイト（passkeys.dev）は、次の特徴を挙げています。

• 端末に保存された秘密の情報を、生体認証などで使う：覚えて入力するパスワードと違い、利用者の端末に保存され、指紋や顔などで使います。
• サービスごとに異なる：仕組みの上で、サービスごとに別のものになるため、使い回しが起きません。
• 漏えいに強い：サービスの側のサーバーには公開鍵だけが保存されます。端末の間で同期する場合も、同期を助けるサーバーが秘密の鍵を見たり使ったりすることはないとしています。
• フィッシングに強い：正しいサイトかどうかを人が確かめるのではなく、ブラウザやOSが、そのサービスでだけ使えるように制御します。

IPAの解説書も、パスキーが提供されていれば利用することを推奨し、生体情報やPINコードだけで端末を起動して使えるため、パスワードを使わない利用ができると説明しています。

どのアカウントから導入すればよいですか？

すべてのサービスに一度に入れようとすると、社内の負担が大きくなります。被害を受けたときの影響が大きいものから順に進めます。

① メールと業務のクラウドサービス：メールのアカウントは、パスワードの再設定の連絡先にもなるため、乗っ取られると被害が広がりやすくなります。

② VPNなど社外から社内に入る入口：警察庁の資料では、ランサムウェアの被害組織へのアンケートで、侵入の経路はVPN機器が6割以上を占めています（「ランサムウェアへの備え」参照）。

③ 管理者のアカウント：システムの設定や利用者の追加ができるアカウントは、少ない人数に絞り、強い方式を使います。

④ お金が動くサービス：インターネットバンキング、会計、経費精算などです。

⑤ そのほかのサービス：社内で使っているサービスの一覧（SaaSの台帳など）をもとに、多要素認証に対応しているかを確かめながら広げます。

シングルサインオン（1回の認証で複数のサービスに入れる仕組み）を使っている会社では、入口の認証を強くすると、つながっているサービスをまとめて守りやすくなります。

導入は、どんな手順で進めますか？

① 棚卸しをする：サービスごとに、利用者の数、管理者、対応している認証方式を一覧にします（「アカウントと権限の管理台帳」のひな形が使えます）。

② 方式を決める：重要なアカウントは、パスキーなどフィッシングに強い方式を優先します。対応していないサービスは、認証アプリのワンタイムパスワードなどから始めます。

③ 小さく試す：情報システムの担当者や管理者から始め、つまずきやすい点（端末の対応状況、登録の手順のわかりにくさ）を洗い出します。

④ 手順書を用意して広げる：画面の写真入りの登録手順と、困ったときの問い合わせ先を用意し、部署ごとに期限を決めて広げます。

⑤ 登録の状況を確かめる：未登録の利用者を確かめ、期限を過ぎたら多要素認証を必須にする設定に切り替えます。

紛失や機種変更、例外はどう扱えばよいですか？

多要素認証が定着しない理由の多くは、導入した後の「困ったとき」にあります。次の点を前もって決めておきます。

• 端末の紛失・故障：連絡先、利用の停止の手順、本人確認をしたうえでの再登録の手順。予備の端末や予備の手段を登録しておく方法もあります。
• 機種変更：古い端末を手放す前に、新しい端末での登録を済ませる手順。
• 予備の手段の強さ：フィッシング対策協議会のガイドラインは、パスキーを登録した端末をなくした場合など、フィッシングに強い方式を使えないときの代替手段についても、フィッシング耐性のある認証方式を用いることが適切としています（サービスを提供する事業者向けの記載ですが、社内の運用にも参考になります）。予備の手段が弱いと、そこが狙われやすくなります。
• 例外の管理：私物のスマートフォンを使いたくない社員、共用の端末を使う職場などの例外は、代わりの方法と期限を決め、一覧にして定期的に見直します。
• 退職・異動：アカウントの停止とあわせて、登録した認証の情報も削除します。

あわせて、IPAの解説書は、パスワードの使い回しを避けることや、パスワード管理ソフトの利用も挙げています。多要素認証に対応していないサービスでは、パスワードの管理を引き続き丁寧に行います。

AIツールのアカウントも対象ですか？

対象です。生成AIのサービスには、業務の資料や会話の履歴が残ることがあり、乗っ取られると情報の漏えいにつながります。会社として契約したAIツールは、ほかのクラウドサービスと同じく、シングルサインオンや多要素認証の対象に含めると安心です（「AIのセキュリティの基本」参照）。

チェックリスト

• 社内で使っているサービスと、対応している認証方式を一覧にしている
• メールと業務のクラウドサービスに多要素認証を導入している
• VPNなど社外から入る入口に多要素認証を導入している
• 管理者のアカウントを絞り、フィッシングに強い方式を使っている
• インターネットバンキングや会計のサービスで多要素認証を使っている
• 登録の手順書と、困ったときの問い合わせ先を用意している
• 端末の紛失・機種変更のときの手順を決めている
• 予備の手段が弱い方式になっていないかを確かめている
• 例外の一覧を作り、定期的に見直している
• 会社で契約したAIツールのアカウントも対象に含めている