多要素認証(MFA)とは?会社はどこから入れるか・二要素認証との違い

多要素認証(MFA)は、パスワードのような「覚えている情報」に、スマートフォンのような「持っているもの」や指紋・顔を組み合わせて、2種類以上の要素で本人を確かめる方法です。 要素が2つのときは、二要素認証とも呼びます。会社では、全部に一度に入れるより、管理者・社外からの入口・重要な情報があるクラウドから順に入れていくのが現実的です。

二要素認証・2段階認証との違い、会社のどのアカウントから入れるかの順番、今使っているクラウドの標準の設定でできること、SCS評価制度の★3の基準とパスワードのルールとの関係を、公的な資料と各サービスの公式の説明をもとにまとめます。

多要素認証とは(二要素認証・2段階認証との違い)#

認証の要素は大きく分けると「記憶」「所持」「生体情報」の3つで、これら複数の要素で認証することを多要素認証といいます。 2つの要素で認証する場合は、二要素認証ともいいます^[4]。3つの要素を、知っているもの、持っているもの、本人自身に関するものと言い換えることもあります^[3]。

例えば、「記憶」はパスワードやPINコードのような覚えている情報、「所持」はキャッシュカードや、ワンタイムパスワード(1回だけ使える使い捨てのパスワード)を表示する小さな機器のような持っているもの、「生体情報」は静脈・指紋・顔のような体の特徴です。

多段階認証は、要素の種類ではなく、確かめる回数に注目した呼び名です。 認証を2回以上に分けることを多段階認証といい、1つ目のパスワードの後に2つ目のパスワードを入れる方式がその例です。この方式は、パスワードが2つとも漏れてしまえば、第三者に不正にログインされるおそれがあります。

一方で、パスワードを入れた後に、携帯電話へSMSで届くワンタイムパスワードを入れる方式は、入力は2回でも、携帯電話を持っている人にしか見られない性質を生かして、多要素認証の要件を満たしています^[4]。「2段階認証」「2要素認証」など、サービスによって呼び名は違います^[5]。名前ではなく、「パスワードのほかに、何で確かめているか」で見分けましょう。

SCS評価制度の★3では、要素を4つに分けています。 評価基準4-1-3-3は、次の4つのうち2種類以上を選んで使うことを求めています。メールアドレスや電話番号にワンタイムパスワードを送って入力させる方法と、スマートフォンへの認証要求(届いた確認を押す方式)も、所有情報に含まれます^[1]。

なお、パスキーは、パスワードを使わない認証方法の1つです。パスワードを入れる代わりに、スマートフォンなどの機器の生体認証(指紋・顔)や画面ロックの解除(PINなど)で認証します^[4]。

なぜ要る?パスワードだけでは防げないこと#

パスワードが盗まれても、多要素認証を使っていれば、それだけではログインできないためです。 IDと1つ目のパスワードを不正に使われても、ログインはできないので、不正ログインを防ぐ効果があります^[5]。

パスワードは、推測や解析をされたり、ウェブサービスから流出したID・パスワードを悪用されたりして、不正にログインされる被害が増えています^[2]。情報セキュリティ6か条の3番目が「パスワードを強化しよう！」なのは、このためです。

ランサムウェア(データを暗号化して身代金を求める不正なプログラム)の被害でも、VPN機器などインターネットに出ている箇所から、漏えいした認証情報や簡単なパスワード、未修正の弱点などを悪用して入る手口が多くを占めています^[6]。2026年1〜6月のランサムウェアの被害で、侵入経路の回答があった36件(不明・未回答を除く)のうち、VPN機器からが18件、リモートデスクトップからが9件でした^[13]。中小企業に限らない数字です。

警察庁は、多要素認証などの強い認証の導入や、IPアドレスなどによるアクセスの制限との組み合わせを呼びかけています^[6]。入口の守り方は、入口を塞ぐ(VPN機器・リモートデスクトップ)で扱っています。

アスクルは2025年12月12日、多要素認証を適用していなかった認証情報が盗まれ、社内ネットワークに不正に侵入されたという調査結果を、第13報として公表しました^[7]。経緯はアスクルの被害の原因にまとめています。

内閣官房国家サイバー統括室も2026年10月9日、漏えいなどの事案を受けて、特に大量の個人情報や機微な情報を扱う事業者などに向けて、対策のポイントの1つに「多要素認証（MFA）を導入する」を挙げました^[9]。

ただし、多要素認証も万全ではありません。 SMSで届くワンタイムパスワードを盗もうとするフィッシング(偽のメールやサイトで情報を盗む手口)も出てきています^[4]。フィッシングの被害を防ぐには、メール認証や多要素認証などの技術的な対策だけでは十分ではなく、メールのリンクを安易に押さないことや、公式サイト・公式アプリから入ることも大切です^[13]。

どこから入れる?会社のアカウントの順番#

全部に一度に入れなくても構いません。乗っ取られたときの被害が大きいところから、順に入れていきましょう。

管理者アカウントやパスワードといったシステムの管理情報は、特別に保護する必要があります^[8]。Google Workspace の管理者アカウントは、ユーザーの削除、パスワードの再設定、すべてのデータへのアクセスができる最も強力なアカウントで、Google は管理者アカウントに2段階認証プロセスを適用しています^[12]。

社外からの入口は、ランサムウェアの侵入経路の多くを占めています。中小企業の情報セキュリティ対策ガイドラインの対策例にも、特にVPNや重要なシステムを使う場合は強いパスワードを設定し、可能な場合は多段階認証・多要素認証・パスキーなどを使うことが挙がっています^[2]。★3が常に多要素認証を求めるのは、重要な機密情報を扱うクラウドサービスです。

お金を動かすサービスでは、2026年5月に、企業に電話をかけて遠隔操作ソフトを入れさせ、偽サイトに誘導してインターネットバンキングのID・パスワードを盗み、不正に送金する新しい手口の被害が出ています^[13]。遠隔操作されたときの動き方は、サポート詐欺で遠隔操作されたらにまとめています。

これらをもとにした、入れる順番の例です。

保守会社や委託先に渡しているアカウントも、管理者や社外からの入口のアカウントなら、1・2に含めて考えましょう。

3の「重要な情報」がどれかは、会社ごとに違います。★3を目指すなら、どのクラウドが重要な機密情報を扱っているかの整理が先に要ります。言葉の範囲は「機密情報」と「重要な機密情報」で確かめましょう。

今使っているサービスの標準の機能でできること#

メールやファイル共有に使っているクラウドには、管理者が全員に多要素認証を求める設定が用意されていることがあります。 まず今の契約の管理画面を確かめましょう。

Microsoft 365 では、「セキュリティの既定値群」という設定が、Microsoft Entra ID Free を使って、すべての Microsoft 365 の組織で使えます。2019年10月以降に作られた Microsoft 365 のテナントでは、既定でオンになっています^[10]。ただし後から無効にもできるので、今の状態を確かめましょう。オンにすると、次のように動きます^[11]。

• 全員に多要素認証の登録を求める
• 管理者はサインインのたびに確認
• 一般の利用者は必要に応じて確認
• 古い認証の方式をブロック

セキュリティの既定値群に必要なライセンスはなく、登録には、通知を使う Microsoft Authenticator アプリを使います。設定を細かく変えられる「条件付きアクセス」は、Microsoft Entra ID P1 以上が必要です^[11]。

Google Workspace では、管理者が2段階認証プロセスを、利用者の任意にも必須にもできます。管理者アカウントや重要な業務情報を扱う利用者には、必須にすることが勧められています。2つ目の確認の方法には、次のようなものがあります^[12]。

• セキュリティキー
• スマートフォンに届く確認
• 確認コードを作るアプリ
• 印刷できるバックアップコード
• テキストメッセージ・音声通話

このうちテキストメッセージは、外部の携帯通信会社のネットワークを使うため傍受される危険があり、勧められていません^[12]。

ほかのサービスでも、「2段階認証」「2要素認証」など別の名前で用意されていることがあります。IPAの不正ログイン対策特集ページには、個人でも使う主なインターネットサービス(SNSやショッピングサイトなど)の設定方法へのリンクがあります。載っていないサービスは、それぞれのヘルプページや問い合わせ窓口で確かめましょう^[5]。会計・顧客管理などの業務用のクラウドも、ヘルプページで「多要素認証」「2段階認証」を探しましょう。

VPN機器やネットワーク機器は、多要素認証に対応しているか、付けるのに追加の費用がかかるかが、機器と契約によって変わります。保守会社に確かめましょう。この記事で費用の相場を載せていないのは、使っているサービス・機器・契約の内容によって大きく変わるためです。

パスワードのルール(★3の4-1-4〜4-1-6)との関係#

多要素認証を使えば、★3で求められるパスワードの長さは「8文字以上」です。多要素認証もアカウントのロックも使えないときは、英大文字・小文字・数字を含めて10文字以上になります。

多要素認証で使うパスワードは8文字以上です(4-1-3-4)。パスワード設定ルールの4-1-5-3では、多要素認証か、少なくとも10回の失敗でのアカウントのロックをしたうえで8文字以上、どちらもできなければ英大文字・小文字・数字を含めた10文字以上を社内ルールにします。パスワードまわりの★3の評価基準は、次のとおりです^[1]。

多要素認証が使えないサービスが残るなら、そのサービスはロックの設定か、10文字以上のルールで受けることになります。アカウントのロックとパスワードの長さの点検は、4-1-5 パスワード設定ルールで確かめられます。パソコンとスマートデバイスのロックは4-1-4 アカウントロック制御、保管と変更の手順は4-1-6 パスワード管理ルールが入口です。

一方、中小企業の情報セキュリティ対策ガイドラインの対策例では、パスワードは10文字以上で「できるだけ長く」、大文字・小文字・数字・記号を含めて「複雑に」します^[2]。★3の8文字は評価基準として満たす最低の線で、ガイドラインの10文字は対策の例です。社内ルールは、★3を満たしたうえで長めにしておくと、どちらで聞かれても答えやすくなります。

SCS★3と取引先のチェックシートで問われること#

★3が多要素認証を「常に」求めるのは、重要な機密情報を扱うクラウドサービスです。社内のすべてのシステムではありません。 ★3の4-1-3「認証の強度・実装方法の決定」の評価基準は、次の4つです^[1]。

★3では、ほかにファイアウォールのルールをインターネット経由で変える場合も、多要素認証を使うか、信頼できるIPアドレスからだけに絞ることが求められます(4-5-1-7)。★4になると、重要な機密情報を扱うシステムで、インターネット経由で社内に接続する場合や、管理者がインターネット経由でシステムにアクセスする場合などにも、常に多要素認証を使うことが求められます(4-1-3-5)^[1]。ファイアウォールまわりの項目は、4-5-1 ネットワーク境界防護で確かめられます。

VPNなど社内への入口は、★3の4-1-3が常に求める範囲には入っていませんが、侵入経路の多さから、上の順番では2番目に置いています。

また、★3の評価基準を満たすのに、特定のセキュリティ対策製品の導入は求められていません^[14]。多要素認証のために新しい製品を買う前に、今のクラウドの標準の設定で足りるかを確かめましょう。★3の項目ごとの点検は、4-1-3 認証の強度・実装方法の決定で進められます。

取引先のチェックシートで「重要なシステムに多要素認証を使っていますか」と聞かれたら、次の3つを書き出しておくと答えやすくなります。

• 使っているクラウドの一覧
• それぞれの多要素認証の有無
• 管理者アカウントを持つ人

一部だけで使っている場合も、どこが未対応かを添えれば、今の状態を正確に伝えられます。チェックシートの全体は、セキュリティチェックシートとはにまとめています。

入れるときにつまずきやすいこと#

つまずきやすいのは、スマートフォンを持たない・なくした人、古いメールソフトや機器、社外の人に渡したアカウント、確認の通知への慣れの4つです。

スマートフォンを持たない・なくした人: Google Workspace では、バックアップコードを前もって作って印刷しておけるほか、ハードウェアのセキュリティキーも使えます^[12]。私用のスマートフォンを使わせないなら、会社の端末かセキュリティキーを渡すかを先に決めましょう。なくしたときに、誰が登録をやり直すかも決めておくと慌てずに済みます。

古いメールソフトや機器: セキュリティの既定値群をオンにすると、IMAP・SMTP・POP3などの古いメールの方式を使うソフトからの認証は、すべてブロックされます。オンにする前に、管理者が古い方式を使っていないことを確かめる必要があります^[11]。例えば、複合機や古い業務ソフトからメールを送っている会社は、その送り方を保守会社と確かめておきましょう。

社外の人に渡したアカウント: 保守会社や委託先のアカウントを「設定が面倒だから」と例外にすると、そこが多要素認証のない入口として残ります。例外を作るなら一覧にし、期限を決めて見直しましょう。誰に管理者の権限を渡すかは、IDと管理者の権限を絞るも参考になります。

確認の通知への慣れ: 多要素認証も万全ではありません。Microsoft 365 のセキュリティの既定値群では、サインインのときに、Authenticator アプリへ入力する番号が画面に出ます。MFA疲労攻撃と呼ばれる手口に陥るのを防ぐのに役立つしくみです^[11]。社員には「自分がログインしていないときに届いた確認は承認せず、担当者に知らせる」と伝えておきましょう。

中小企業が今日やること#

よくある質問#

二要素認証と多要素認証は違うもの?#

同じ考え方です。複数の要素で認証することを多要素認証といい、2つの要素で認証する場合は二要素認証ともいいます^[4]。「2段階認証」という名前でも、Google Workspace の2段階認証プロセスのように、パスワードとスマートフォンなどの持ち物を使う方式もあります^[12]。一方、パスワードを2つ入れるだけの方式は、どちらも覚えている情報です。

SMSのワンタイムパスワードでも★3の多要素認証になる?#

★3の4-1-3-3では、電話番号などに送るワンタイムパスワードも所有情報に含まれるので、パスワードと組み合わせれば2種類の要素になります。ただし、Google Workspace ではテキストメッセージを傍受の危険から勧めていません。選べるなら、スマートフォンに届く確認やコードを作るアプリ、セキュリティキーを使いましょう。

パスキーは多要素認証?#

パスキーは、パスワードの代わりに、スマートフォンなどの生体認証や画面ロックの解除で認証する方法です。Google Workspace では、管理者がパスワードのスキップを有効にしている場合、第1要素と2段階認証プロセスが組み込まれたパスキーでログインできます^[12]。★3の要素(知識情報・所有情報・生体情報・その他の情報)のどれを2種類以上使っているかは、使うサービスの説明で確かめましょう。

社員全員に入れないといけない?#

★3が常に求めるのは、重要な機密情報を扱うクラウドサービスを使うユーザと管理者です^[1]。そのクラウドを使う社員は、全員が対象になります。一方で、Microsoft 365 のセキュリティの既定値群をオンにすると、全員が多要素認証の登録を求められます。★3の基準とサービスの設定の範囲は別のものなので、上の「どこから入れる?」の順番を目安に、管理者と社外からの入口から広げていきましょう。