---
title: "多要素認証・パスキーの導入の進め方｜AI-Ready.jp"
url: https://www.ai-ready.jp/guide/mfa-and-passkey-introduction/
description: "多要素認証は、メール・クラウド・VPN・管理者のアカウントから順に導入し、可能な範囲でフィッシングに強いパスキーなどを選ぶと効果が高まります。紛失や機種変更の手続きまで決めておくと定着します。"
updated: 2026-11-12
publisher: "フロレンティナ株式会社"
---
はじめる[柱：基盤とセキュリティ](https://www.ai-ready.jp/about-ai-ready/infrastructure-security/)

# 多要素認証・パスキーの導入の進め方

執筆：[石田誠](https://www.ai-ready.jp/about/authors/#ishida)更新 2026-11-12最終確認 2026-11-12出典 4件[図解 2点](https://www.ai-ready.jp/zukai/)

この記事の結論

多要素認証は、メール・クラウド・VPN・管理者のアカウントなど影響の大きいものから順に導入し、可能な範囲でフィッシングに強いパスキーなどを選ぶと効果が高まります。端末の紛失や機種変更のときの手続きまで決めておくと、社内に定着しやすくなります。

自社の「基盤とセキュリティ」の準備度は？[10問・約3分で確かめる（無料・登録不要）](https://www.ai-ready.jp/diagnosis/quick/)

パスワードは、使い回しや漏えい、フィッシングで盗まれることがあります。盗まれても不正にログインされにくくするのが多要素認証で、その中でもフィッシングに強い方式としてパスキーが広がっています。この記事では、IPA（情報処理推進機構）、警察庁、フィッシング対策協議会の資料をもとに、会社として導入する進め方を整理します。

この記事でわかること

- 多要素認証とパスキーの仕組みと、方式ごとの違い
- どのアカウントから、どの順番で導入するか
- 紛失・機種変更・例外の扱いなど、定着させるための決めごと

## 多要素認証とは、どんな仕組みですか？

IPAの「情報セキュリティ10大脅威 2026」解説書は、多要素認証を、認証の3つの要素である「知識情報」「所持情報」「生体情報」のうち、2つ以上を組み合わせて認証することと説明しています。

| 要素 | 例 |
|---|---|
| 知識情報（知っていること） | パスワード、暗証番号 |
| 所持情報（持っているもの） | スマートフォンに届くSMSのコード、認証アプリのワンタイムパスワード |
| 生体情報（本人の特徴） | 指紋、顔 |

パスワードが漏れても、スマートフォンなど別の要素がなければログインできないため、不正なログインを防ぎやすくなります。IPAの解説書は、ランサムウェアやビジネスメール詐欺など複数の脅威の対策として、多要素認証やパスキーの利用を挙げています。

## 二段階認証を入れていても、破られることはありますか？

あります。警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等について」は、偽のサイトに入力させたIDやパスワード、確認のコードを、すぐに正規のサイトで使う**リアルタイム型フィッシング**で二段階認証を突破する手口が、令和元年ごろから横行していると指摘しています。携帯電話の番号を乗っ取るSIMスワップで本人確認を突破する手口も、引き続き見られるとしています。

そこで重視されているのが「フィッシング耐性」です。フィッシング対策協議会の「フィッシング対策ガイドライン 2026年度版」は、フィッシング耐性を、中間者攻撃によるフィッシングの影響を受けずに認証を行える能力と説明し、**フィッシング耐性を有する多要素認証を要求すること**を重要項目に挙げています。例として、パスキー、生体認証、耐性のあるワンタイムパスワードなどを示しています。

## パスキーとは、どんな仕組みですか？

パスキーは、パスワードの代わりに使う認証の仕組みです。FIDO Allianceなどのメンバーが運営する解説サイト（passkeys.dev）は、次の特徴を挙げています。

- **端末に保存された秘密の情報を、生体認証などで使う**：覚えて入力するパスワードと違い、利用者の端末に保存され、指紋や顔などで使います。
- **サービスごとに異なる**：仕組みの上で、サービスごとに別のものになるため、使い回しが起きません。
- **漏えいに強い**：サービスの側のサーバーには公開鍵だけが保存されます。端末の間で同期する場合も、同期を助けるサーバーが秘密の鍵を見たり使ったりすることはないとしています。
- **フィッシングに強い**：正しいサイトかどうかを人が確かめるのではなく、ブラウザやOSが、そのサービスでだけ使えるように制御します。

IPAの解説書も、パスキーが提供されていれば利用することを推奨し、生体情報やPINコードだけで端末を起動して使えるため、パスワードを使わない利用ができると説明しています。

認証の方式とフィッシングへの強さ

- **パスワードだけ**：使い回し・漏えい・フィッシングで盗まれると、そのままログインされます
- **SMSや認証アプリのコードを足す**：パスワードだけより防ぎやすくなります。ただし、リアルタイム型フィッシングで突破される手口があります
- **パスキー**：ブラウザやOSが、そのサービスでだけ使えるように制御します。**フィッシングに強い**方式です

読みながら、自社の現在地を確かめませんか

クイック診断は10問・約3分・登録不要です。7つの柱ごとの目安と、「基盤とセキュリティ」を含めて次に取り組むことがわかります。

[無料で診断する](https://www.ai-ready.jp/diagnosis/quick/)[結果の解説（30分・無料）](https://www.ai-ready.jp/consult/review/)

## どのアカウントから導入すればよいですか？

すべてのサービスに一度に入れようとすると、社内の負担が大きくなります。被害を受けたときの影響が大きいものから順に進めます。

① **メールと業務のクラウドサービス**：メールのアカウントは、パスワードの再設定の連絡先にもなるため、乗っ取られると被害が広がりやすくなります。

② **VPNなど社外から社内に入る入口**：警察庁の資料では、ランサムウェアの被害組織へのアンケートで、侵入の経路はVPN機器が6割以上を占めています（「[ランサムウェアへの備え](https://www.ai-ready.jp/guide/ransomware-preparedness/)」参照）。

③ **管理者のアカウント**：システムの設定や利用者の追加ができるアカウントは、少ない人数に絞り、強い方式を使います。

④ **お金が動くサービス**：インターネットバンキング、会計、経費精算などです。

⑤ **そのほかのサービス**：社内で使っているサービスの一覧（SaaSの台帳など）をもとに、多要素認証に対応しているかを確かめながら広げます。

シングルサインオン（1回の認証で複数のサービスに入れる仕組み）を使っている会社では、入口の認証を強くすると、つながっているサービスをまとめて守りやすくなります。

## 導入は、どんな手順で進めますか？

① **棚卸しをする**：サービスごとに、利用者の数、管理者、対応している認証方式を一覧にします（「アカウントと権限の管理台帳」のひな形が使えます）。

② **方式を決める**：重要なアカウントは、パスキーなどフィッシングに強い方式を優先します。対応していないサービスは、認証アプリのワンタイムパスワードなどから始めます。

③ **小さく試す**：情報システムの担当者や管理者から始め、つまずきやすい点（端末の対応状況、登録の手順のわかりにくさ）を洗い出します。

④ **手順書を用意して広げる**：画面の写真入りの登録手順と、困ったときの問い合わせ先を用意し、部署ごとに期限を決めて広げます。

⑤ **登録の状況を確かめる**：未登録の利用者を確かめ、期限を過ぎたら多要素認証を必須にする設定に切り替えます。

多要素認証の導入の手順

**棚卸し**：サービスごとの利用者・管理者・対応方式を一覧に

**方式を決める**：重要なアカウントはフィッシングに強い方式を優先

**小さく試す**：情報システムの担当者や管理者から

**手順書で広げる**：部署ごとに期限を決める

**状況を確かめる**：期限を過ぎたら必須の設定に切り替える

## 紛失や機種変更、例外はどう扱えばよいですか？

多要素認証が定着しない理由の多くは、導入した後の「困ったとき」にあります。次の点を前もって決めておきます。

- **端末の紛失・故障**：連絡先、利用の停止の手順、本人確認をしたうえでの再登録の手順。予備の端末や予備の手段を登録しておく方法もあります。
- **機種変更**：古い端末を手放す前に、新しい端末での登録を済ませる手順。
- **予備の手段の強さ**：フィッシング対策協議会のガイドラインは、パスキーを登録した端末をなくした場合など、フィッシングに強い方式を使えないときの代替手段についても、フィッシング耐性のある認証方式を用いることが適切としています（サービスを提供する事業者向けの記載ですが、社内の運用にも参考になります）。予備の手段が弱いと、そこが狙われやすくなります。
- **例外の管理**：私物のスマートフォンを使いたくない社員、共用の端末を使う職場などの例外は、代わりの方法と期限を決め、一覧にして定期的に見直します。
- **退職・異動**：アカウントの停止とあわせて、登録した認証の情報も削除します。

あわせて、IPAの解説書は、パスワードの使い回しを避けることや、パスワード管理ソフトの利用も挙げています。多要素認証に対応していないサービスでは、パスワードの管理を引き続き丁寧に行います。

## AIツールのアカウントも対象ですか？

対象です。生成AIのサービスには、業務の資料や会話の履歴が残ることがあり、乗っ取られると情報の漏えいにつながります。会社として契約したAIツールは、ほかのクラウドサービスと同じく、シングルサインオンや多要素認証の対象に含めると安心です（「[AIのセキュリティの基本](https://www.ai-ready.jp/guide/ai-security-basics/)」参照）。

## チェックリスト

## 関連するひな形・ガイド・用語

ひな形

- [アカウントと権限の管理台帳](https://www.ai-ready.jp/templates/account-management-ledger/)
- [SaaSの管理台帳](https://www.ai-ready.jp/templates/saas-inventory/)

ガイド

- [フィッシングとビジネスメール詐欺への備え](https://www.ai-ready.jp/guide/phishing-and-bec-prevention/)
- [ランサムウェアへの備え](https://www.ai-ready.jp/guide/ransomware-preparedness/)
- [クラウドを安全に使うための基本](https://www.ai-ready.jp/guide/cloud-security-basics/)
- [中小企業のセキュリティ対策の始め方（SECURITY ACTION）](https://www.ai-ready.jp/guide/security-action-sme/)
- [AIのセキュリティの基本：AIへの攻撃とAIを使った攻撃への備え](https://www.ai-ready.jp/guide/ai-security-basics/)

用語

- [多要素認証](https://www.ai-ready.jp/glossary/multi-factor-authentication/)
- [パスキー](https://www.ai-ready.jp/glossary/passkey/)
- [シングルサインオン（SSO）](https://www.ai-ready.jp/glossary/sso/)
- [フィッシング](https://www.ai-ready.jp/glossary/phishing/)
- [アクセス権限](https://www.ai-ready.jp/glossary/access-control/)
- [特権ID管理](https://www.ai-ready.jp/glossary/privileged-access-management/)

## よくあるご質問

Q多要素認証と二段階認証は、同じものですか？

A二段階認証は、認証を2回に分けて行う方式を指す言葉で、同じ種類の要素を2回使う場合も含みます。多要素認証は、知っていること（パスワードなど）、持っているもの（スマートフォンなど）、本人の特徴（指紋など）のうち、異なる2つ以上を組み合わせる方式です。

QSMSで届く確認のコードは、安全ではないのですか？

Aパスワードだけの場合に比べれば、不正なログインを防ぎやすくなります。ただし、警察庁の資料は、偽のサイトを使ったリアルタイム型フィッシングで二段階認証を突破する手口や、SIMスワップで本人確認を突破する手口を挙げています。重要なアカウントから、フィッシングに強い方式へ移していくと安心です。

Qパスキーを入れたスマートフォンをなくしたら、どうなりますか？

Aパスキーは端末の生体認証やPINで使う仕組みのため、端末が拾われてもすぐには使えません。ただし、本人もその端末でログインできなくなるため、予備の登録や、本人確認をしたうえでの再登録の手順を前もって決めておくことが大切です。

## この記事に出てくる用語

- [多要素認証](https://www.ai-ready.jp/glossary/multi-factor-authentication/)
- [クラウド](https://www.ai-ready.jp/glossary/cloud/)
- [VPN](https://www.ai-ready.jp/glossary/vpn/)
- [フィッシング](https://www.ai-ready.jp/glossary/phishing/)
- [パスキー](https://www.ai-ready.jp/glossary/passkey/)
- [ランサムウェア](https://www.ai-ready.jp/glossary/ransomware/)
- [ビジネスメール詐欺（BEC）](https://www.ai-ready.jp/glossary/bec/)
- [SaaS](https://www.ai-ready.jp/glossary/saas/)
- [シングルサインオン（SSO）](https://www.ai-ready.jp/glossary/sso/)
- [生成AI](https://www.ai-ready.jp/glossary/generative-ai/)
- [アクセス権限](https://www.ai-ready.jp/glossary/access-control/)
- [特権ID管理](https://www.ai-ready.jp/glossary/privileged-access-management/)

## 「基盤とセキュリティ」のほかの記事

[この柱の解説 →](https://www.ai-ready.jp/about-ai-ready/infrastructure-security/)

[広げる／基盤とセキュリティAIと社内システムをAPIでつなぐ基本：仕組み・手順・安全の確かめ方石田誠2026-11-12](https://www.ai-ready.jp/guide/api-integration-basics/)[広げる／基盤とセキュリティAIのセキュリティの基本：AIへの攻撃とAIを使った攻撃への備え石田誠2026-10-26](https://www.ai-ready.jp/guide/ai-security-basics/)[定着させる／基盤とセキュリティAIの運用（MLOps・LLMOps）の基本：作った後に品質を保ち続ける仕組み石田誠2026-11-12](https://www.ai-ready.jp/guide/mlops-llmops-basics/)

## 出典

1. [IPA「情報セキュリティ10大脅威 2026」解説書［組織編］](https://www.ipa.go.jp/security/10threats/omgdg50000008fi8-att/kaisetsu_2026_soshiki.pdf)
2. [警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」](https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf)
3. [フィッシング対策協議会「フィッシング対策ガイドライン 2026年度版」](https://www.antiphishing.jp/report/guideline/antiphishing_guideline2026.html)
4. [passkeys.dev「What are passkeys?」（W3C Web Identity & Credentials Adoption CG と FIDO Alliance のメンバーによるサイト）](https://passkeys.dev/docs/intro/what-are-passkeys/)

最終確認日：2026-11-12

## 次の一歩

[測るAI-Ready診断（無料）いまの準備状況を、7つの柱で確かめられます。](https://www.ai-ready.jp/diagnosis/) [相談する結果の解説（30分・無料）診断の結果をもとに、オンラインでご説明します。](https://www.ai-ready.jp/consult/review/) [窓口ご相談のお申し込み経営・M&A・事業承継・上場・バリューアップはフロレンティナ、AIの導入・開発・データ・セキュリティ・研修はアメリア・テクノロジーがお受けします。](https://www.ai-ready.jp/consult/apply/)

目次

1. 多要素認証とは、どんな仕組みですか？
2. 二段階認証を入れていても、破られることはありますか？
3. パスキーとは、どんな仕組みですか？
4. どのアカウントから導入すればよいですか？
5. 導入は、どんな手順で進めますか？
6. 紛失や機種変更、例外はどう扱えばよいですか？
7. AIツールのアカウントも対象ですか？
8. チェックリスト
9. よくあるご質問

この記事が扱う柱

主に「基盤とセキュリティ」

[基盤とセキュリティの解説](https://www.ai-ready.jp/about-ai-ready/infrastructure-security/)

自社の準備度を確かめる

10問・約3分・登録不要。7つの柱ごとの目安がわかります。

[無料で診断する](https://www.ai-ready.jp/diagnosis/quick/)

---

出典：フロレンティナ株式会社「多要素認証・パスキーの導入の進め方｜AI-Ready.jp」 https://www.ai-ready.jp/guide/mfa-and-passkey-introduction/