フィッシングやリスト型攻撃による不正ログインは、企業の情報システムを預かる担当者にとって身近な脅威になっています。ID・パスワードにSMSやワンタイムパスワードを足して多要素認証にしていても、最近はその第2要素ごと盗む手口が広がり、「今の対策で本当に防げているのか」という不安を感じる場面が増えました。
そうした状況で対策として名前を聞くようになったのが「パスキー（Passkey）」です。ただ、パスキーが多要素認証の一種なのか、それとも多要素認証を置き換える別物なのか、従来のSMS認証やワンタイムパスワードと比べて何がどう安全なのかは、言葉だけでは分かりにくいのが実情です。
本記事では、パスキーが多要素認証にあたるのかを結論から整理し、従来方式との違い、フィッシングに盗まれにくい仕組み、導入前に押さえておきたい弱点、自社の認証をパスキーへ切り替える進め方までを解説します。社内のログインをパスキーに切り替えるべきか判断するための材料としてご活用ください。
目次
一括ダウンロードする
パスキーは多要素認証の一種？結論と根拠
パスキーは、多くの場合で多要素認証の一種です。パスキーは利用者の端末に保存された秘密鍵（所持している要素）と、その端末を使うときの生体認証やPIN（本人だけが持つ生体・知識の要素）を組み合わせ、1回のログイン操作で複数の要素を同時に満たすためです。
この「1回の認証で2つの要素を満たす」という考え方は、米国国立標準技術研究所（NIST）が示す認証ガイドライン「SP 800-63B」の、多要素の認証器の定義にそのまま当てはまります。
A multi-factor authenticator requires two factors to execute a single authentication event, such as a cryptographically secure device with an integrated biometric sensor that is required to activate the device.
出典：Digital Identity Guidelines: Authentication and Authenticator Management（SP 800-63B）｜NIST
（多要素の認証器は、1回の認証イベントを実行するのに2つの要素を必要とする。たとえば、起動するために内蔵の生体センサーを使う、暗号的に安全なデバイスがこれにあたる。）
ここで「内蔵の生体センサーで起動する暗号的に安全なデバイス」とされているものが、まさにパスキーの仕組みです。端末という所持要素に、起動時の生体認証という本人確認が加わって、2つの要素が1操作で成立します。
ただし、2つの要素になるのは、サービス側が生体認証やPINによる本人確認（ユーザー認証）を求める設定のときです。また、パスキーを公式に多要素認証の一形態として位置づけるかどうかは、業界や規制によって対応が進んでいる途中の部分もあります。自社が準拠すべき基準がある場合は、その基準でパスキーがどう扱われるかもあわせて確認しておくと安心です。
認証の3要素（知識・所持・生体）とパスキーの位置づけ
多要素認証を理解する土台になるのが、認証の3要素という考え方です。本人確認に使う情報は、次の3種類に分けられます。
- 知識情報（something you know）：本人だけが知っているもの。パスワード、暗証番号（PIN）、秘密の質問など
- 所持情報（something you have）：本人だけが持っているもの。スマートフォン、ICカード、物理的なセキュリティキーなど
- 生体情報（something you are）：本人の身体的な特徴。指紋、顔、虹彩など
多要素認証とは、この3要素のうち異なる種類を2つ以上組み合わせて本人確認を行う仕組みです。注意したいのは、生体情報は単独では認証の手段として扱われず、所持している物理的な認証器と組み合わせて使う点です。NISTのガイドラインも、生体情報の扱いを次のように定めています。
A biometric characteristic is not recognized as an authenticator by itself. […] The physical authenticator then serves as “something you have,” while the biometric match serves as “something you are.”
出典：Digital Identity Guidelines: Authentication and Authenticator Management（SP 800-63B）｜NIST
（生体的な特徴は、それ単独では認証器として認められない。（中略）物理的な認証器が「所持している要素」として働き、生体の照合が「本人である要素」として働く。）
パスキーはこの考え方に素直に当てはまります。秘密鍵を保存した端末が「所持している要素」にあたり、その端末を操作するときの指紋や顔、PINが「本人である要素」や「本人だけが知っている要素」として働きます。だからこそ、1回の操作で複数の要素を満たす多要素認証として成立します。
多要素認証・2段階認証とパスキーの関係
「多要素認証」と似た言葉に「2段階認証」があります。この2つは重なる部分が多い一方で、同じではありません。多要素認証は、前述のとおり異なる種類の要素を2つ以上組み合わせることを指します。これに対して2段階認証は、ログインの確認を2回に分ける手続きを指す言い方で、使う要素が異なる種類とは限りません。
たとえばパスワードのあとに秘密の質問を尋ねる方式は、2段階ではあっても、どちらも知識情報なので多要素とはいえません。
パスキーは、所持と生体という異なる要素を1回の操作でまとめて満たすため、確認の手順を増やすことなく多要素認証の条件を満たせます。パスワードにワンタイムパスワードを足す従来のやり方は、2つの画面で2回入力する手間がかかりますが、パスキーは生体認証やPINの1操作で完結する点が実務上の違いになります。
従来の多要素認証（SMS・ワンタイムパスワード）とパスキーの違い
ここからは、代表的な認証方式を、攻撃への耐性という観点で比較します。同じ多要素認証でも、何を第2要素に使うかで安全性は変わります。表にある「FIDO2/WebAuthn」は、パスキーを実現するための技術規格の名前です。
| 認証方式 | パスキー（FIDO2/WebAuthn） | SMS認証（電話番号へコード送信） | 認証アプリのワンタイムパスワード（TOTP） | プッシュ通知の承認 |
|---|---|---|---|---|
| フィッシング耐性 | 高い（正規サイトでしか使えず、偽サイトには認証情報が渡らない） | 低い（偽サイトでコードごと入力・中継される） | 低い（偽サイトでコードごと中継される） | 低い（中間者攻撃で承認が悪用される） |
| SIMスワップ耐性 | 影響を受けない（電話番号に依存しない） | 弱い（電話番号を乗っ取られると第2要素も奪われる） | 影響を受けない（電話番号に依存しない） | 影響を受けない |
| 中間者（AiTM）攻撃耐性 | 高い（偽サイト経由では認証が成立しない） | 弱い | 弱い | 弱い |
| MFA疲労攻撃耐性 | 影響を受けない（承認ボタンを使わない） | 影響を受けない | 影響を受けない | 弱い（通知を連打され誤承認を誘われる） |
| 主なユーザー操作 | 生体認証またはPINでの1操作 | 届いたコードを入力 | アプリ表示のコードを入力 | 通知の承認 |
※各方式の攻撃耐性は、CISA「Implementing Phishing-Resistant MFA」の方式別評価をもとに整理しています。
米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、認証方式を強い順に並べたうえで、パスキーが使うFIDO/WebAuthn方式を次のように評価しています。
Resistant to phishing. Push bombing, SS7, and SIM swap attacks are not applicable.
出典：Implementing Phishing-Resistant MFA｜CISA
（フィッシングに耐性がある。プッシュ・ボミング、SS7、SIMスワップの各攻撃は該当しない。）
引用にある「SS7」は電話網の内部で使われる通信規格で、その弱点を突いて通話やSMSを傍受する攻撃の総称です。一方でSMS認証については、同じ資料が「最後の手段として使うべき方式」と位置づけています。NISTも、電話網（SMS・音声）を経由した本人確認を「制限付き」として扱っています。使ってはいけないわけではありませんが、より強い方式へ移していくことが望ましい、という温度感です。
従来の多要素認証が破られる具体的な攻撃手口
比較表で「弱い」とした方式が、実際にどう破られるのかを見ていきます。多要素認証を導入していても侵害が起きるのは、第2要素そのものを盗んだり、承認を誘導したりする手口があるためです。
SIMスワップ（電話番号の乗っ取り）
SIMスワップは、攻撃者が携帯電話会社をだまして、利用者の電話番号を攻撃者側のSIMカードへ移し替えさせる手口です。番号を乗っ取られると、SMSで届くワンタイムコードもそのまま攻撃者の手に渡ります。CISAは、この手口を次のように説明しています。
SIM Swap is a form of social engineering in which cyber threat actors convince cellular carriers to transfer control of the user’s phone number to a threat actor-controlled SIM card, which allows the threat actor to gain control over the user’s phone.
出典：Implementing Phishing-Resistant MFA｜CISA
（SIMスワップは、サイバー攻撃者が携帯電話会社を説得して、利用者の電話番号の管理を攻撃者が管理するSIMカードへ移させるソーシャルエンジニアリングの一種であり、これにより攻撃者は利用者の電話を支配下に置ける。）
電話番号という「第2要素の置き場所」ごと奪われるため、パスワードが堅牢でもログインを許してしまいます。NISTも電話番号の変更やSIMの差し替えをリスクの兆候として挙げ、電話網経由の認証には代替手段を用意するよう求めています。
SIMスワップに個人として備える手立てや、自社サービスのSMS認証を当面強化する具体策は、以下の記事で手順立てて解説しています。
中間者（リアルタイム）フィッシング
中間者攻撃（AiTM）は、本物そっくりの偽ログインページを使い、利用者が入力した情報をその場で本物のサイトへ中継する手口です。利用者がワンタイムパスワードまで入力してしまうと、そのコードも攻撃者を経由して本物のサイトへ送られ、ログインが成立します。CISAはこの流れを具体的に示しています。
The user submits their username, password, as well as the 6-digit code from their mobile phone’s authenticator app.
出典：Implementing Phishing-Resistant MFA｜CISA
（利用者は、ユーザー名とパスワードに加え、スマートフォンの認証アプリに表示された6桁のコードまで入力してしまう。）
この手口が成立するのは、ワンタイムパスワードが「正しい利用者が入力すれば誰に渡っても通る」文字列だからです。利用者本人が偽サイトだと気づけないと、第2要素を足しても防げません。
MFA疲労攻撃（プッシュ通知の連打）
プッシュ通知で承認する方式を狙うのが、MFA疲労攻撃（プッシュ・ボミング）です。攻撃者がすでにパスワードを入手している前提で、承認を求める通知を何度も送りつけ、利用者がうんざりして、あるいは勘違いして「承認」を押してしまうのを待ちます。
Push bombing (also known as push fatigue). Cyber threat actors bombard a user with push notifications until they press the “Accept” button, thereby granting threat actor access to the network.
出典：Implementing Phishing-Resistant MFA｜CISA
（プッシュ・ボミング（プッシュ疲労とも呼ばれる）。サイバー攻撃者は、利用者が「承認」ボタンを押すまでプッシュ通知を浴びせ続け、それによってネットワークへのアクセスを得る。）
通知に番号照合（表示された番号を入力させる仕組み）を加えると誤承認は減らせますが、承認という操作自体が狙われる点は変わりません。これらの手口に共通するのは、第2要素が「本人以外でも使える情報・操作」である限り、だまし取るか押させれば突破できてしまう、という弱点です。
国内でも、フィッシングによる情報の詐取やインターネット上のサービスへの不正ログインは、継続して注意すべき脅威として取り上げられています。
出典・参考資料（2件）
なぜパスキーはフィッシングに盗まれにくいのか
パスキーがこれらの手口に強いのは、「安全な合言葉を覚える」仕組みではなく、「正規サイトでしか使えない鍵で署名する」仕組みだからです。鍵の作られ方と使われ方を見ると、その理由がはっきりします。
パスキーを登録するとき、利用者の端末は対になる2つの鍵（鍵ペア）を作ります。このうち公開鍵だけをサービス側に預け、秘密鍵は利用者の手元に残します。ログイン時は、端末内の秘密鍵でその場の要求に署名し、サービス側は預かった公開鍵で署名を検証します。パスワードやワンタイムパスワードのように「相手に渡して照合してもらう情報」を送らないため、通信を盗み見ても再利用できる秘密が流れません。
フィッシングに強い核心は、この鍵が正規サイトのアドレス（オリジン）に結びついている点にあります。Web認証の標準規格を定めるW3Cは、パスキーの資格情報の使える範囲を次のように規定しています。
the public key credential can only be accessed by origins belonging to that Relying Party.
出典：Web Authentication: An API for accessing Public Key Credentials Level 3｜W3C
（その公開鍵資格情報は、当該サービス（Relying Party）に属するオリジンからのみアクセスできる。）
この結果、偽サイトのアドレスには正規サイト用のパスキーが反応せず、署名そのものが行われません。利用者が偽物だと気づかなくても、鍵がアドレスを見分けて止めてくれるため、中間者がログイン画面を中継しても認証は成立しないのです。FIDOアライアンスも、FIDO標準が公開鍵暗号の技術でフィッシング耐性のある認証を実現していると説明しています。
秘密鍵はサービス側や第三者に渡らない設計ですが、「端末の外に一切出ない」かどうかは種類によって異なります。特定の端末や物理キーに固定するタイプは端末内にとどまり、複数端末で使えるタイプは暗号化したうえで利用者の端末間で同期します。この違いは次章で詳しく扱います。
出典・参考資料（1件）
一括ダウンロードする
パスキーの弱点と導入前に押さえる注意点
パスキーは安全面で優れていますが、万能ではありません。導入してから「こんなはずでは」とならないよう、仕組みの違いと運用上の注意点を押さえておきましょう。
同期型パスキーと端末紐づき型パスキーの違い
パスキーには、大きく分けて2つのタイプがあります。FIDOアライアンスは、パスキーを複数端末で安全に同期できるものと、特定の端末に固定されるものがあると説明しています。
- 同期型パスキー：スマートフォンやパソコンのプラットフォーム（クラウドの同期基盤）を通じて、利用者の複数端末に暗号化して同期されるタイプ。機種変更や端末の買い替えがあっても引き継ぎやすい反面、同期基盤にログインするアカウント自体の保護が前提になります
- 端末紐づき型パスキー：特定の端末や物理的なセキュリティキーに固定されるタイプ。その端末・キーがなければログインできないため管理は厳格になりますが、紛失時の備えをあらかじめ用意しておく必要があります
どちらを選ぶかで、紛失や機種変更への備え方が変わります。自社の運用方針（個人端末を使うのか、会社支給の端末や物理キーに限定するのか）に合わせて選ぶことが大切です。
端末の紛失・機種変更・未登録端末での対応
パスキーは端末と結びつくため、「その端末が使えないとき、どうログインするか」を決めておくことが欠かせません。同期型であれば、同じプラットフォームの別端末や、同期基盤からの復元でログインを引き継げます。端末紐づき型や物理キーの場合は、予備のキーを別に登録しておく、あるいは一時的に使える代替の認証手段を用意しておくといった備えが必要です。
まだパスキーを登録していない新しい端末からログインしたい場面もあります。多くの環境では、手元のスマートフォンで表示されるコードを読み取って認証を引き継ぐ方法が用意されていますが、具体的な手順は利用するOSやサービスによって異なります。導入前に、自社で使う端末やサービスでの復旧・引き継ぎの流れを確認しておきましょう。
対応するOS・ブラウザ・認証デバイスと普及の状況
パスキーは、Windows・macOS・iOS・Android といった主要なOSと、主要なWebブラウザでFIDO2/WebAuthnとして利用できます。端末の生体認証（Windows Hello、Touch ID / Face ID、Androidの生体認証）や、物理的なセキュリティキーを使う形が一般的です。
ただし、社内で使うすべての業務システムやクラウドサービスがパスキーに対応しているとは限りません。対応は進んでいる途中のため、現実的にはパスキー非対応のサービスが残る前提で、既存の多要素認証と併用しながら段階的に広げていくことになります。導入前に、守りたいログインがパスキーに対応しているか、対応していない場合はどの方式で補うかを整理しておくと、移行がスムーズです。
自社の認証をパスキーへ切り替える進め方
ここからは、自社のログインをパスキーへ切り替えるとき、何から始めればよいかを整理します。いきなり全社・全サービスを切り替えるのではなく、効果の大きいところから段階的に進めるのが基本です。
切り替えを判断するときは、まず自社の状況を見分けると進めやすくなります。管理者権限を持つアカウントや、経理・役員のように狙われたときの被害が大きいログインがあるなら、そこから優先してパスキーへ切り替える価値が高いといえます。
一方、利用中のサービスがまだパスキーに対応していない、あるいは規模が小さく現行の多要素認証で大きな支障がない場合は、無理に急がず、まずSMS認証をより強い方式（認証アプリやパスキー）へ寄せるところから始めても構いません。
パスキーに切り替えるメリット（セキュリティ以外も含む）
最大の利点は、ここまで見てきたフィッシング耐性です。第2要素をだまし取る手口が通用しにくくなり、不正ログインの起点を断てます。
これに加えて、運用面でも次のような効果が期待できます。1つは、パスワードの定期変更や「パスワードを忘れた」への対応が減り、情報システム部門の問い合わせ負担を軽くできる点です。もう1つは、生体認証やPINの1操作でログインが済み、日々のログインの時間と手間を減らせる点です。
こうした運用面の効果は環境によって差があるため、導入前に自社の状況で見込みを確認しておくとよいでしょう。
切り替えの基本ステップ
CISAは、フィッシングに強い認証へ移行する際の進め方として、守るべき資産と狙われやすい利用者を見極め、対応しているサービスから段階的に導入することを勧めています。これを自社の手順に落とし込むと、次のような流れになります。
- 守りたい対象を洗い出す：どの業務システム・クラウドサービスを優先して守るか、どの利用者が狙われやすいか（管理者権限を持つ担当者、経営層など）を整理します
- パスキー対応のサービスから着手する：多くのメール基盤やシングルサインオン（SSO）の仕組みはパスキーに対応しています。まず対応済みのサービスから始めると移行の負担を抑えられます
- 小さく試す（パイロット）：情報システム部門やヘルプデスクなど、一部の部署で先行導入し、運用上の課題や利用者のつまずきを把握します
- 段階的に広げる：先行導入で得た知見をもとに、対象の部署・サービスを順に広げます。ID基盤やSSOと連携させると、既存の業務アプリへもまとめて多要素認証を効かせやすくなります
移行の途中では、パスキー非対応のサービスや、パスキーをまだ登録できていない利用者が残ります。既存の多要素認証を一度に捨てるのではなく、併用しながら少しずつ置き換えていくのが現実的です。
切り替え先を具体的に検討する段階では、認証方式やタイプ別の選び方、料金をまとめて見比べられると判断が進みます。以下の記事で、パスキー対応を含む多要素認証（MFA）システムを比較しています。
多要素認証（MFA）システムおすすめ17選を徹底比較｜認証方式・料金・タイプ別の選び方
ID とパスワードだけのログインは、もはや「鍵をかけていない」のと同じ状態に近づいています。攻撃者は流出したパスワードのリストを使い回し、本物そっくりの偽サイトで認証情報を抜き取り、正規利用者になりすまして社内システムやクラウドサービスへ侵…
出典・参考資料（1件）
社内でパスキー認証を実現する手段
自社でパスキーを使える環境を整える手段は、大きく2つあります。1つは、パスキー（FIDO2）に対応したID基盤を導入し、複数のクラウドサービスのログインをまとめてパスキー化する方法。もう1つは、物理的なセキュリティキーを配り、端末に紐づく確実な所持要素として使う方法です。
ここでは、FIDO2/パスキーに対応した代表的な手段を紹介します。より多くの製品を比較して選びたい場合は、前掲の比較記事もあわせてご覧ください。
このうちID基盤（IDaaS）は、パスキー対応だけでなく、SSOやID管理でどこまで一元化できるか・料金体系によっても選び方が変わります。IDaaSを広く比較して選びたい方は、以下の記事もあわせてご覧ください。
2つの手段の違いを、実現方式や対応規格などの観点で整理します。
| サービス | CloudGate UNO | YubiKey as a Service |
|---|---|---|
| 実現方式 | パスキー対応のID基盤（IDaaS・SSO） | 物理セキュリティキー（ハードウェアトークン） |
| 対応する認証規格 | FIDO2/パスキー、生体認証、OTP | FIDO2/WebAuthn、FIDO U2F、PIV、OTP など |
| 向いている使い方 | 複数クラウドのログインをまとめてパスキー化 | スマホを使えない現場でのパスキー・所持要素 |
| 料金の起点 | 1ユーザー月額400円〜（税抜） | 選ぶキーに応じた個別見積もり |
| 契約・無料体験 | 30日間の無料体験あり | 200ユーザーから・サブスクリプション |
| 詳細情報 | 公式資料を見る | 公式資料を見る |
※料金・契約条件は各社公式情報による（2026年11月時点）。最新の内容は各サービスの資料でご確認ください。
CloudGate UNO（株式会社インターナショナルシステムリサーチ）の特徴
CloudGate UNO（クラウドゲートウノ）は、株式会社インターナショナルシステムリサーチが自社開発するクラウド型のID基盤（IDaaS）です。シングルサインオン（SSO）で複数のクラウドサービスのログインを一元化しつつ、その認証をパスキー（FIDO2）によるパスワードレスへ置き換えられます。
FIDO2準拠のパスワードレス認証を2019年から提供しており、パスキー認証は全プラン・全ユーザーで無制限に利用できます。認証方式は、端末の生体認証（Windows Hello、Touch ID / Face ID、Androidの生体認証）や物理セキュリティキーに対応し、SAML 2.0・OpenID Connect での各種クラウドサービス連携も可能です。
利用場所・デバイス・時間帯によるアクセス制限や、アカウントの作成・削除を自動化するID管理機能も備えます。料金は1ユーザーあたり月額400円から（税抜、2026年11月時点）で、30日間の無料体験が用意されています。
YubiKey as a Service（株式会社インターナショナルシステムリサーチ）の特徴
物理的なセキュリティキーでパスキーを実現したい場合の選択肢が、YubiKey as a Service です。Yubico社の物理セキュリティキー「YubiKey」を、法人向けにサブスクリプション型で提供するサービスで、株式会社インターナショナルシステムリサーチが取り扱っています。
YubiKey は、秘密鍵とPINをキー本体の中に保持するハードウェアトークンです。FIDO2/WebAuthn（パスキー）に対応し、デバイス内に鍵を閉じ込める構造でフィッシングに強い認証を実現します。買い切りではなく運用費として導入でき、契約期間中のキー種類の変更や、紛失・増員に備えた予備キーの提供、導入支援が付く点がサブスクリプション型の特徴です。
スマートフォンを業務で使えない現場（医療・介護、製造、コールセンターなど）でも使える認証手段として適しています。契約は200ユーザーからで、料金は選ぶキーに応じた個別見積もりとなります（2026年11月時点）。
どのような現場で選ばれているのか、提供元への取材では次のように語られています。
派遣社員や外部委託先が多い企業、または屋外の建設現場やメンテナンス現場など、スマートフォンの使用が困難な環境を有する企業に適しています。YubiKeyは、水に落としても泥が付いても壊れないため、過酷な環境下でも安定して動作します。
よくあるご質問（FAQ）
Q. パスキーとは何ですか？
A. パスキーとは、FIDOという国際規格にもとづく、パスワードに代わるログイン用の認証情報（デジタルの鍵）です。利用者の端末に保存した秘密鍵と、端末を使うときの生体認証やPINを組み合わせてログインするため、覚えたり入力したりするパスワードが不要で、盗まれて使い回される心配のない認証方式です。
出典・参考資料（1件）
Q. パスキーとFIDO2/WebAuthnはどのような関係ですか？
A. FIDO2/WebAuthnはパスキーを実現するための技術仕様で、パスキーはその仕組みで作られる認証情報を指す呼び名です。WebAuthnはW3Cが定めるWeb認証のAPI規格、FIDO2はFIDOアライアンスの認証規格群で、両者に対応したサービスとブラウザ・端末の間でパスキーが使えます。
製品を選ぶときは「FIDO2/WebAuthnに対応しているか」が、パスキーを利用できるかどうかの目安になります。
出典・参考資料（2件）
Q. パスキーを導入すると、既存のパスワードは不要になりますか？
A. パスキーはパスワードを置き換える技術で、対応したサービスではパスワードなしでログインできます。ただし社内で使うすべての業務システムがパスキーに対応しているとは限らないため、現実には対応済みのサービスからパスキーへ切り替え、未対応のサービスは当面パスワードと既存の多要素認証を併用する形になります。すべてのログインを一度にパスワードレスにできるわけではない点に留意してください。
出典・参考資料（1件）
Q. 紛失・盗難された端末のパスキーは、第三者に悪用されますか？
A. 端末を手に入れただけではパスキーは使えず、生体認証やPINによる本人確認が別途必要なため、第三者に悪用されるリスクは低く抑えられます。パスキーのログインには端末の所持に加えて指紋・顔・PINでの本人確認が求められ、生体情報は端末内にとどまってサーバへ送られません。
ただし端末が使えなくなったときに備え、同期型なら同期基盤からの復元、端末紐づき型や物理キーなら予備キーの登録など、復旧手段をあらかじめ用意しておくことが大切です。
出典・参考資料（1件）
Q. パスキーや多要素認証は、ID基盤（IdP）と個々のクラウドサービスのどちらで設定すべきですか？
A. シングルサインオン（SSO）を担うID基盤（IdP。クラウド型のものはIDaaSとも呼ばれます）側でまとめて設定するのが基本です。IdPで認証を一元的に管理すれば、連携する複数の業務アプリにまとめて多要素認証やパスキーを効かせられ、設定漏れや管理の手間を減らせます。
IdPと連携できないサービスは個別に設定・管理が必要になるため、どのサービスをIdP配下に集約できるかを導入前に整理しておくとよいでしょう。
出典・参考資料（1件）
Q. 多要素認証（MFA）とシングルサインオン（SSO）は、どちらを先に導入すべきですか？
A. 理想は両方を同時に導入することですが、順番を付けるなら、管理者権限を持つアカウントなど被害の大きいログインの多要素認証を優先します。SSOはログインの入り口を一本化して利便性と管理性を高め、MFA（できればパスキー）はその入り口の安全性を高める役割で、組み合わせて効果を発揮します。
リソースが限られる場合は、まず狙われやすい高価値のアカウントをフィッシングに強い認証で固めるところから始めるのが現実的です。
Q. パスキーの導入にはどのくらいの費用がかかりますか？
A. パスキーそのものには追加費用がかからない場合が多く、費用の中心は利用するID基盤やセキュリティキーの料金です。端末の生体認証を使うパスキーは、利用するサービスが対応していれば追加の製品を買わずに始められます。複数サービスのログインをまとめて管理するID基盤（IDaaS）はユーザーあたり月額数百円程度から、物理セキュリティキーはキー本体の購入費やサブスクリプション料金がかかります。
自社の利用規模と、ID基盤・物理キーのどちらで実現するかによって費用は変わるため、候補サービスの資料で料金体系を確認するとよいでしょう。
Q. 中小企業でもパスキーは導入できますか？
A. パスキーは特別な専用設備を必要とせず、中小企業でも導入できます。多くのメール基盤やクラウドサービス、SSO・ID基盤がすでにパスキーに対応しており、手元のスマートフォンやパソコンの生体認証を使って始められます。スマートフォンを業務で使えない現場では、物理セキュリティキーを配る方法もあります。
自社で利用中のサービスがパスキーに対応しているかを確認し、対応済みのものから小さく始めるのがおすすめです。
Q. パスキーに対応した多要素認証・ID基盤サービスは、どう選べばよいですか？
A. 自社が使うOS・ブラウザ・業務システムにパスキー（FIDO2/WebAuthn）で対応できるか、SSOやID管理まで一元化できるかを軸に選ぶのが基本です。あわせて、対応する認証デバイス（端末の生体認証・物理セキュリティキー）、紛失・機種変更時の復旧のしやすさ、料金体系やサポート体制も比較すると、自社の運用に合うサービスを見極めやすくなります。
複数サービスの資料を取り寄せ、対応規格と連携範囲を見比べて検討してください。
まとめ
パスキーは、端末という所持要素と生体認証・PINを1回の操作で満たす、多要素認証の一種です。SMS認証やワンタイムパスワードが抱える、SIMスワップ・中間者フィッシング・MFA疲労攻撃といった弱点に対して、正規サイトでしか使えない鍵で署名する仕組みが有効に働きます。
一方で、紛失や機種変更への備え、同期型と端末紐づき型の使い分け、未対応サービスとの併用など、導入前に押さえておきたい運用上の論点もあります。守りたいログインと狙われやすい利用者から優先し、対応済みのサービスで小さく試して段階的に広げるのが、無理のない進め方です。自社の認証をパスキーへ切り替える具体的な手段としては、FIDO2対応のID基盤や物理セキュリティキーの導入が候補になります。
一括ダウンロードする
多要素認証・パスキー対応サービスの料金・資料を一括チェック
MCB FinTechカタログでは、パスキー（FIDO2）に対応した多要素認証・ID基盤やセキュリティキーの最新資料を無料で一括請求できます。対応する認証方式・連携・料金・サポート体制を見比べて、自社に合うサービスを効率よく選べます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
