サービス比較の記事一覧

AIで顧客対応・サポート業務を自動化したい

サービス比較の記事一覧

AIで顧客対応・サポート業務を自動化したい

不正利用・金融トラブルを未然に防ぎたい

多要素認証(MFA)システム
の関連情報


関連サービス資料を
無料で一括ダウンロード

認証の強化とは|多要素認証・パスキー・SSOなど手段の種類と用途別の選び方を解説

認証の強化とは|手段の種類と用途別の選び方のサムネイル画像
多要素認証(MFA)システム比較表(2026年版)のプレビュー

主要17サービスの料金・機能を無料で一覧比較

多要素認証(MFA)システム比較表(2026年版)

クラウドサービスの利用やテレワークが広がり、IDとパスワードだけのログインに不安を感じる企業が増えています。とはいえ「認証を強化したい」と考えても、多要素認証やパスキー、物理セキュリティキーなど手段の名前は聞くものの、それぞれが何をしてくれるのかが分かりにくいものです。自社はどれから入れればよいのか迷う、という声は少なくありません。

認証の強化とは、ID・パスワードという1つの要素だけに頼る認証に、別の要素や仕組みを足して、なりすましによる不正ログインを防ぎやすくすることです。手段は多要素認証(MFA)を中心に複数あり、守りたい対象や使い勝手に応じて組み合わせを選びます。

この記事では、まず認証を強化する主な手段を一覧で見渡し、各手段が何をして何を防ぐのかを整理します。そのうえで、社内システム・クラウド・テレワークといった用途ごとの選び方とどこから着手するかの考え方、導入・運用で押さえる実務のポイント、認証強化に使える具体的なサービスまでを解説します。自社の認証をどう強くするかを判断する材料として活用してください。

認証を強化する主な手段一覧

ここからは、認証を強化するために企業が打てる主な手段を、まとめて見渡します。いずれも「ID・パスワードだけ」から一歩進めるための打ち手で、単独でも使えますが、実際には多要素認証を軸に複数を組み合わせて使うことが多くなっています。

← 横にスクロールできます →
手段多要素認証(MFA)ワンタイムパスワード(OTP)・認証アプリパスキー・FIDO2物理セキュリティキー生体認証シングルサインオン(SSO)リスクベース認証継続認証
仕組み(何で本人確認するか)知識・所持・生体の要素から2つ以上を組み合わせて確認する認証の総称スマートフォンのアプリやSMSに届く使い捨てのコードを、パスワードに加えて入力する端末内の秘密鍵と生体認証などを使う、公開鍵暗号方式のパスワードレス認証USBやNFCのハードウェアキーを認証器として使う(FIDO2/U2F対応)指紋・顔などの生体情報で本人を確認する(所持要素と併用されることが多い)一度の認証で複数のサービスにアクセスできるようにする(認証を1か所に集約)いつもと違う場所・端末からのアクセスなど、リスクの高い場面でだけ追加認証を求めるログイン時の一回だけでなく、利用中ずっと本人かを確認し続ける
主に防げる脅威パスワード漏えい後の不正ログイン全般パスワード単体の漏えい・使い回しフィッシング・リスト型攻撃フィッシング・なりすまし全般パスワードの盗み見・使い回しサービスごとのパスワード乱立・使い回し不審なログインの見逃しログイン後の端末の乗っ取り・なりすまし操作
利便性・コストの目安組み合わせる手段しだい(下の各行がその構成要素)導入が手軽で低コスト。SMS方式は後述の弱点あり対応サービスが増加中。パスワード入力が不要で利便性も高いキー代と配布・紛失対応の運用が必要。強度は高い多くの端末に標準搭載。単独でなく他要素と組み合わせる多要素認証と組み合わせて初めて「強化」になる。ID基盤が必要利便性と強度を両立しやすい。対応する基盤が必要比較的新しい方式。対応製品を導入して使う

この中で土台になるのが多要素認証です。多要素認証とは何かを、認証の3要素という考え方から整理します。

認証の3要素(知識・所持・生体)とは

認証で本人を確かめる材料は、大きく3種類に分けられます。本人だけが知っている「知識情報」(パスワードや暗証番号)、本人だけが持っている「所持情報」(スマートフォンやセキュリティキー)、本人の身体的特徴である「生体情報」(指紋や顔)の3つで、これを認証の3要素と呼びます。

認証の3要素を示した図解。本人だけが知っている知識情報(パスワード・暗証番号)、本人だけが持っている所持情報(スマートフォン・セキュリティキー)、本人の身体的特徴である生体情報(指紋・顔)の3種類があり、多要素認証はこのうち2つ以上を組み合わせて本人を確認する仕組みで、同じ要素を重ねても多要素にはならないことを示している。

多要素認証は、このうち2つ以上を組み合わせて本人を確認する仕組みです。総務省は、認証の3要素と多要素認証・2要素認証の関係を次のように説明しています。

多要素認証とは、認証の3要素である「知識情報」「所持情報」「生体情報」のうち、2つ以上を組み合わせて認証することを指し、多要素認証の中でも2つの要素を使う認証のことを2要素認証と呼びます。

出典:安全なパスワードの設定・管理(企業・組織向け)|総務省 国民のためのサイバーセキュリティサイト

ポイントは、同じ要素をいくつ重ねても多要素にはならないことです。たとえばパスワードを二重に入力しても、どちらも知識情報なので1要素のままです。パスワード(知識)に、スマートフォンに届くコード(所持)や指紋(生体)という別の要素を足して初めて、認証が強くなります。

総務省も、ID・パスワードで認証した後にスマートフォンへ送ったコードを入力させたり、指紋や顔による認証と組み合わせたりすることを多要素認証の具体例として挙げ、これによってセキュリティレベルを高められると説明しています。

一覧表で挙げたパスキーや物理セキュリティキーは、所持情報(端末やキー)と生体情報などを組み合わせた、フィッシングに強い多要素認証の一形態と位置づけられます。

出典・参考資料(1件)
  • 出典:安全なパスワードの設定・管理(企業・組織向け)|総務省 国民のためのサイバーセキュリティサイト(リンク)

なお、多要素認証と二段階認証は何が違うのか、仕組みをもう少し踏み込んで理解したい場合は、以下の記事で整理しています。

なぜ今、認証の強化が必要なのか

手段の全体像を押さえたところで、そもそもなぜID・パスワードだけでは守りきれないのかを確認します。背景には、認証情報を狙う攻撃が現実に多く起きているという事実があります。

第一に、フィッシングの多さです。フィッシング対策協議会への報告件数は、2026年9月の1か月だけで94,661件にのぼります。偽のログイン画面に誘導してID・パスワードを盗み取る手口は、件数が高止まりした状態が続いています。パスワードを盗まれれば、それだけで正規の利用者としてログインされてしまいます。

第二に、パスワードの使い回しを突く攻撃です。総務省は、あるサービスから流出したアカウント情報を使って別のサービスへの不正ログインを試す手口があると注意を促しています。これはリスト型攻撃(パスワードリスト攻撃)と呼ばれ、同じパスワードを複数サービスで使い回していると、1か所の漏えいが連鎖的な被害につながります。

第三に、追加認証そのものを狙う手口もあります。たとえばSIMスワップは、第三者が不正に入手した個人情報で携帯電話会社にSIMの再発行をさせ、利用者の電話番号を乗っ取る手口です。楽天証券は、電話番号が乗っ取られるとSMSや電話番号を使った追加認証が突破され、不正ログインや不正利用につながるおそれがあると注意喚起しています。SMSで受け取るコードも万能ではないということです。

こうした認証情報の窃取や不正ログインは、より大きな被害の入口にもなります。IPA(情報処理推進機構)の「情報セキュリティ10大脅威 2025」では、組織向けの脅威の1位は10年連続で「ランサム攻撃による被害」です。ランサムウェアの多くは、窃取した認証情報で正規アカウントとして侵入する経路をたどるため、入口の認証を強くすることは被害の起点を断つことにつながります。

同資料では、個人向けの脅威としても「インターネット上のサービスへの不正ログイン」や「フィッシングによる個人情報等の詐取」が挙げられています(個人向けは順位を付けず五十音順で掲載)。

こうした攻撃の実態に加えて、制度やガイドラインの面から多要素認証を求める動きも広がっています。認証強化のサービスを提供する現場では、この流れが次のように語られています。

内田氏
株式会社インターナショナルシステムリサーチ 営業本部 セールスアライアンス部 部長
内田氏
独自インタビューより

経済産業省のセキュリティ対策評価制度や、自治体がマイナンバーを扱うガバメントクラウドにアクセスする際の要件など、ガイドラインで多要素認証が強く求められる流れが広がっています。MicrosoftもSalesforceも多要素認証が前提になってきています。

ID・パスワードという1つの要素だけでは、盗まれた瞬間に守りが崩れます。だからこそ、別の要素や仕組みを足して認証を強化する意味があります。

出典・参考資料(4件)
  • 出典:フィッシング報告状況(2026年9月)|フィッシング対策協議会(リンク)
  • 出典:安全なパスワードの設定・管理(企業・組織向け)|総務省 国民のためのサイバーセキュリティサイト(リンク)
  • 出典:SIMスワップ詐欺に関する注意喚起|楽天証券(リンク)
  • 出典:情報セキュリティ10大脅威 2025|独立行政法人情報処理推進機構(IPA)(リンク)

料金や機能は各社の資料でまとめて比較できます 【無料】多要素認証(MFA)システムの資料を
一括ダウンロードする

用途別の選び方と、どこから着手するか

ここからは、守りたい対象ごとに向いている手段の考え方と、何から着手するかの優先順位を整理します。認証の強化は、守る対象の重要度と利用者の使い勝手のバランスで決めるのが基本です。強度を上げすぎて現場が使いにくくなると、回避策(パスワードのメモ書きなど)を生んで逆効果になることもあります。

認証強化の用途別の選び方を4つに整理した図解。社内システムのログインは多要素認証を土台に生体認証やパスキーを組み合わせ管理者はパスキー・物理キーで固める、クラウド・SaaSのログインはSSOで集約した入口に多要素認証をかける、顧客向けサービスはリスクの高い場面でだけ追加認証を求めるリスクベース認証、テレワーク・社外アクセスはVPN等に多要素認証を組み合わせ許可端末に限定し継続認証や自動ロックも有効、と示している。

社内システムのログイン

基幹システムや業務アプリなど、社内の重要データにアクセスするログインは、多要素認証を土台に据えるのが基本です。毎日何度もログインする業務では、都度コードを入力する負担が大きいため、生体認証やパスキーのように素早く認証できる方式を組み合わせると、強度と使い勝手を両立しやすくなります。とくに権限の大きい管理者アカウントは、フィッシングに強いパスキーや物理セキュリティキーで固めておくと効果的です。

クラウド・SaaS のログイン

利用するSaaSが増えるほど、サービスごとにパスワードが乱立し、使い回しのリスクが高まります。この場合は、シングルサインオン(SSO)で認証を1か所に集約し、その集約点に多要素認証をかけるのが定石です。SSO単体はあくまで利便性の仕組みで、集約した入口に強い認証を施して初めて「強化」になる点に注意が必要です。

クラウド利用が中心の企業は、SSOとMFAをまとめて提供するID基盤(IDaaS)を検討する価値があります。

顧客向け(オンライン)サービス

自社が提供するWebサービスやアプリの会員ログインを守る場合は、利用者に過度な負担をかけず、離脱を招かない方式が求められます。常に追加認証を求めるのではなく、いつもと違う端末や場所からのアクセスなどリスクの高い場面でだけ追加認証を求めるリスクベース認証が向きます。

利用者数が多く、なりすまし被害の影響が大きいサービスでは、パスキー対応や、ログイン後も本人確認を続ける継続認証の導入も選択肢になります。継続認証を担うサービスは、このあとの「認証強化に使えるサービス」で具体的に取り上げます。

テレワーク端末・社外アクセス

社外から社内環境へアクセスするテレワークでは、端末とネットワークの両方で本人を確かめる必要があります。VPNやリモートデスクトップへのログインに多要素認証を組み合わせ、会社が許可した端末からのアクセスに限定する運用が基本です。盗み見やのぞき見のリスクがある社外環境では、ログイン後も本人かを確認し続ける継続認証や、端末の持ち主が離席したら自動でロックする仕組みも有効です。

どこから着手するか(優先順位の考え方)

すべてを一度に強化するのは現実的ではありません。優先順位は「漏れたときの被害が大きい対象」から考えるのが基本です。具体的には、次のような順序が目安です。

  1. 管理者権限や、個人情報・資金を扱う重要システムのログイン(被害が最も大きい)
  2. 社外からアクセスできる入口(VPN・リモートデスクトップなど、攻撃者が狙いやすい)
  3. 全社員が使う主要なクラウドサービス(SSOとMFAで一括して底上げ)
認証強化に着手する優先順位を3段階で示した図解。漏れたときの被害が大きい対象から順に、優先度1は個人情報や資金を扱う管理者権限・重要システムのログイン、優先度2はVPNやリモートデスクトップなど社外からアクセスできる入口、優先度3はSSOと多要素認証で底上げする全社員が使う主要なクラウドの順に多要素認証をかけることを示している。

重要度の高い入口から多要素認証をかけ、そこでフィッシングに強いパスキーや物理セキュリティキーを使えば、限られた手間で効果の大きい部分を先に固められます。そのうえで、対象を全社に広げていくのが現実的な進め方です。

導入・運用の実務と注意点

認証の強化は、導入して終わりではありません。社内で稟議を通し、運用を続けるうえで押さえておきたい実務のポイントを整理します。

初期・運用コストの目安

コストは手段によって大きく異なります。認証アプリによるワンタイムパスワードは、無料で使えるものも多く、低コストで始められます。SSOとMFAをまとめたIDaaSは、1ユーザーあたり月額数百円程度のサービスが中心で、利用人数に応じた月額課金が一般的です。

物理セキュリティキーは、キー本体の購入費に加えて、配布や紛失時の交換といった運用の手間がかかります。初期費用の有無や、必要な機能がどのプランに含まれるかはサービスごとに異なるため、見積もり時に確認しておく必要があります。

デバイス紛失・故障時の復旧

所持情報を使う認証では、スマートフォンや物理キーの紛失・故障にどう備えるかが運用の要になります。本人がログインできなくなる事態を防ぐため、予備の認証手段(バックアップ用のキーや別のデバイス)をあらかじめ登録しておく、管理者が一時的に再設定できる手順を用意しておく、といった備えが欠かせません。

物理セキュリティキーを採用する場合は、紛失・交換用の予備キーを確保できるサービスを選ぶと、運用が回りやすくなります。

社員へのセキュリティ教育

どれほど強い認証を導入しても、利用者が仕組みを理解していなければ効果は下がります。なぜ追加の認証が必要なのか、不審なログイン要求やフィッシングにどう対応するのかを周知し、新しい認証方式の使い方を案内することが、定着と効果の両面で重要です。導入時にあわせて簡単な案内資料や問い合わせ窓口を用意しておくと、現場の混乱を抑えられます。

既存ID基盤(AD/LDAP/SAML/OIDC)との連携

すでにActive DirectoryなどのID管理基盤を使っている場合は、新しい認証の仕組みが既存環境と連携できるかの確認が必要です。多くのIDaaSは、SAMLやOpenID Connect(OIDC)といった標準規格に対応したSaaSと連携でき、Active Directoryとのアカウント同期に対応する製品もあります。

自社が使うシステムが対応規格に合うか、既存のアカウント管理をそのまま活かせるかを事前に確かめておくと、導入後の手戻りを防げます。

認証強化に使えるサービス

ここからは、これまで整理した手段を実際に担う具体的なサービスを紹介します。認証を強化する手段はいくつもありますが、ここではアプローチの異なる3つ——SSOと多要素認証をまとめたID基盤、物理セキュリティキーのサブスクリプション、利用中ずっと本人を確認し続ける継続認証——を、それぞれの手段の代表例として取り上げます。

小規模な組織であれば、まず無料で使える認証アプリや、少人数から月額数百円で始められるID基盤から着手する方法もあります。各手段の製品を横断して比べたい場合は、このあとに案内する多要素認証(MFA)システムの比較記事もあわせて確認してください。まずは代表3サービスの要点を比較表で見ていきます。

← 横にスクロールできます →
サービス名CloudGate UNOYubiKey as a ServiceDZ Security®
担う強化手段SSO+多要素認証(IDaaS)物理セキュリティキーによる多要素認証継続認証(バックグラウンド認証®)
主な対応方式・規格FIDO2・パスキー
生体認証(Windows Hello・Touch ID)
OTP/SAML 2.0・OpenID Connect
FIDO2/WebAuthn・FIDO U2F
PIV・OpenPGP・OATH(OTP)
顔・声の生体情報+ふるまい情報による継続認証
(FIDO/パスキーは公式に明記なし)
提供形態クラウド(ID基盤・IDaaS)ハードウェア(物理キー)+サブスクリプション(法人向け)アプリ組込み用SDK/API・PC向けのDZ Pass
向いている場面複数のSaaSのログインを、SSOと多要素認証で1つの基盤にまとめて守りたいときスマホを支給・使用できない現場でも、強固な多要素認証を全社に展開したいときログイン後も利用中ずっと本人確認を続けたい、アプリに低コストで認証を足したいとき
料金の目安月額400〜600円/ユーザー(税抜)+初期費用
30日間の無料トライアルあり
要問い合わせ
(200ユーザー〜、3年または5年契約)
要問い合わせ
(公式に料金の記載なし)
詳細情報公式資料を見る公式資料を見るオンライン相談を予約

CloudGate UNO(株式会社インターナショナルシステムリサーチ)

CloudGate UNOのウェブサイト

SSO(シングルサインオン)とMFAをまとめて1つの基盤で提供するのが、株式会社インターナショナルシステムリサーチが自社開発するIDaaS「CloudGate UNO」です。一度の認証で複数のクラウドサービスにアクセスできる利便性と、多要素認証・アクセス制限・ID管理を組み合わせ、公式は「ゼロトラスト時代のSSO・アクセス制限・認証強化・ID管理プラットフォーム」と位置づけています。

認証方式は、パスキー(FIDO2)によるパスワードレス認証、Windows HelloやTouch IDなどの端末内蔵の生体認証、ワンタイムパスワードアプリに対応し、SAML 2.0やOpenID Connectでの連携にも対応します。パスキー認証は全プラン・全ユーザーで無制限に使える点を公式が明示しています。

料金は、Standard Plusが1ユーザー月額400円、Enterprise Plusが500円、Smart Packが600円(いずれも税抜、2026年11月時点)で、利用人数に応じた月額課金です。30日間の無料トライアルが用意され、国産の自社開発で日本語サポートを受けられる点も特徴です。公式サイトでは導入実績を1,400社以上と案内しています(公式トップ、2026年11月時点)。

パスワードレス認証に切り替えたことで運用面がどう変わったかについて、同社は次のように述べています。

平澤氏
株式会社インターナショナルシステムリサーチ 営業本部マーケティング部
平澤氏
独自インタビューより

導入と同時にパスワードレス認証に切り替えた企業では、IT部門の業務の約20%を占めていたパスワード関連のヘルプデスク業務が「0%」になったという事例があります。

YubiKey as a Service(株式会社インターナショナルシステムリサーチ)

YubiKey as a Serviceのウェブサイト

「YubiKey as a Service(YaaS)」は、Yubico社の物理セキュリティキー「YubiKey」を、株式会社インターナショナルシステムリサーチが日本の法人向けにサブスクリプション型で提供するサービスです。秘密鍵をキー本体の中に保持するため、フィッシングに強い認証を物理キーで実現できます。

対応する認証規格はFIDO2/WebAuthn(パスワードレス認証)やFIDO U2F(2要素認証)が中心で、キーの種類によってはスマートカード(PIV)やワンタイムパスワード(OATH/TOTP)にも対応します。買い切りではなく運用費として導入でき、契約期間中のキー種類の変更や、紛失・増員に充てられる予備キーの提供、導入運用支援が付帯します。

契約はサブスクリプション型で、最低200ユーザーから、契約期間は3年または5年です。料金は選ぶキーの種類に応じた個別見積もりとなります(2026年11月時点)。SSOやパスワードレス認証の基盤であるCloudGate UNOと組み合わせて使うことが想定されています。

DZ Security®(株式会社AnchorZ)

DZ Securityのウェブサイト

株式会社AnchorZの本人認証プラットフォーム「DZ Security®」は、ログイン時の一回限りの認証ではなく、利用中ずっと本人かを確認し続ける「継続認証」を核にします。同社はこの方式を「バックグラウンド認証®」と呼び、顔や声といった生体情報と、端末の持ち方などのふるまい情報を組み合わせて継続的に本人を確認します。

認証に使うデータは端末内に保存し、サーバーに個人情報を置く必要をなくす設計で、本人以外が操作すると自動でロックする仕組みを備えます。パスワードレスでPCに自動ログインする「DZ Pass」など複数のプロダクトで構成され、スマートフォン・タブレット・PCで利用できます。導入事例として、金融機関向けで初となるきらぼし銀行への導入決定などが公式に公表されています。

料金は公式サイトに記載がなく、要問い合わせです(2026年11月時点)。ログイン後の端末の乗っ取りやなりすまし操作まで含めて継続的に守りたい場合に、ほかの認証方式を補う選択肢になります。

同社は、継続認証に切り替えた効果を、ある地方銀行の事例として次のように説明しています。

徳山氏
株式会社AnchorZ 代表取締役CEO
徳山氏
独自インタビューより

加えて3か月に一度、20個も30個ものパスワードを強制的に変更しなければならず、そのたびに覚え直しが発生していました。(中略)しかも、シンクライアントではなく通常のWindowsパソコンで作業できるので起動もアプリケーションも速く、スマートフォンを持ってパソコンに近づくだけで自動的にログインできますので、パスワードを覚え直す必要も発行し直す必要もなくなりました。

ここで取り上げた3サービスは、認証を強化する代表的な手段をそれぞれ担う製品の一例です。ほかの製品も含めて認証方式や料金、タイプ別の選び方まで横断的に比較したい場合は、以下の記事で多要素認証(MFA)システムを詳しく解説しています。具体的な製品を検討される方は、あわせてご覧ください。

まとめ

認証の強化は、ID・パスワードという1つの要素だけに頼らず、別の要素や仕組みを足して不正ログインを防ぎやすくする取り組みです。多要素認証を土台に、パスキーや物理セキュリティキー、SSO、リスクベース認証、継続認証といった手段を、守りたい対象と使い勝手に応じて組み合わせます。

進め方としては、被害が大きい重要システムや社外からの入口から着手し、フィッシングに強い方式で固めていくのが現実的です。導入時はコストや紛失時の備え、社員への周知、既存ID基盤との連携まで見込んで選ぶと、運用が安定します。自社の用途に合うサービスの資料を取り寄せ、具体的な機能や料金を比べて検討を進めてください。

料金や機能は各社の資料でまとめて比較できます 【無料】多要素認証(MFA)システムの資料を
一括ダウンロードする

よくある質問(FAQ)

Q. 認証の強化とは何ですか?

A. 認証の強化とは、ID・パスワードという1つの要素だけに頼る認証に、別の要素や仕組みを足して、なりすましによる不正ログインを防ぎやすくすることです。手段は多要素認証(MFA)を中心に、ワンタイムパスワード、パスキー、物理セキュリティキー、生体認証、シングルサインオン(SSO)、リスクベース認証、継続認証などがあり、守りたい対象や使い勝手に応じて組み合わせて使います。

Q. 認証の強化に専用の機器やサーバーは必要ですか?

A. 認証の強化に専用機器が必要かは手段によって異なり、多くの方式はクラウド型のサービスやスマートフォンのアプリで導入でき、専用のサーバーや機器は不要です。認証アプリのワンタイムパスワードやIDaaSによる多要素認証・SSOは、ソフトウェアだけで始められます。例外は物理セキュリティキーを使う方式で、この場合はキー本体というハードウェアを人数分用意する必要があります。

Q. 認証の強化は既存のID基盤(Active Directoryなど)と連携できますか?

A. 認証の強化は、SAMLやOpenID Connect(OIDC)といった標準規格に対応していれば、既存のID基盤や各種SaaSと連携できます。多くのIDaaSはこれらの規格に対応し、Active Directoryとのアカウント同期に対応する製品もあります。自社が使うシステムが対応規格に合うか、既存のアカウント管理をそのまま活かせるかを導入前に確認しておくと、手戻りを防げます。

Q. 認証に使うスマートフォンや物理キーを紛失・故障したらどうなりますか?

A. スマートフォンや物理キーなど所持情報を使う認証では、予備の認証手段を登録しておく、管理者が一時的に再設定できる手順を用意しておくことで、本人がログインできなくなる事態を防げます。物理セキュリティキーを採用する場合は、紛失・交換に充てられる予備キーを確保できるサービスを選ぶと運用が回りやすくなります。導入前に、復旧の手順やサポート体制を確認しておくと安心です。

Q. パスキーと多要素認証(MFA)は何が違うのですか?

A. パスキーは、多要素認証(MFA)を実現する手段の1つです。多要素認証は「知識・所持・生体のうち2つ以上の要素を組み合わせて本人確認する」という考え方の総称です。パスキーはそのうち、端末内の秘密鍵と生体認証などを使う、フィッシングに強いパスワードレスな多要素認証の一形態にあたります。両者は対立する選択肢ではなく、パスキーは多要素認証の一種という関係です。

Q. SMSで受け取るワンタイムパスワードだけでも認証の強化になりますか?

A. SMSで受け取るワンタイムパスワードは、パスワードだけよりは確実に認証を強化できますが、万全ではありません。SIMスワップによって電話番号が乗っ取られると、SMSや電話番号を使った追加認証が突破されるおそれがあります。重要なシステムや管理者アカウントでは、認証アプリやパスキー、物理セキュリティキーといった、フィッシングに強い方式を選ぶほうが安全です。

Q. 認証の強化はどこから始めればよいですか?

A. 認証の強化は、漏れたときの被害が大きい対象から着手するのが基本です。具体的には、管理者権限や個人情報・資金を扱う重要システムのログイン、社外からの入口(VPN・リモートデスクトップ)、全社員が使う主要なクラウドサービスの順に多要素認証をかけていくと、限られた手間で効果の大きい部分を先に固められます。

そこでフィッシングに強いパスキーや物理セキュリティキーを使い、対象を全社に広げていくのが現実的な進め方です。

Q. 少人数の中小企業でも認証の強化はできますか?

A. 認証の強化は、少人数の中小企業でも無理なく始められます。認証アプリによるワンタイムパスワードは無料で使えるものも多く、SSOと多要素認証をまとめたIDaaSも1ユーザーあたり月額数百円程度から、利用人数に応じた月額課金で導入できます。

顧客側の運用はID管理が中心で、専任の担当者を置けない組織でも回しやすい方式を選べます。まずは重要なシステムの入口だけに絞って始め、徐々に対象を広げるとよいでしょう。

多要素認証・ID管理サービスの料金・資料を一括チェック

MCB FinTechカタログでは、認証の強化に使える多要素認証・ID管理・認証サービスの最新資料を無料で一括請求できます。対応する認証方式や料金、既存システムとの連携を比較して、自社に合う認証基盤を選ぶ判断材料にご活用ください。

料金や機能は各社の資料でまとめて比較できます 【無料】多要素認証(MFA)システムの資料を
一括ダウンロードする

MCB FinTechカタログに掲載しませんか?

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。

監修者

マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト

松嶋真倫

都市銀行にて金融実務を経験後、暗号資産関連スタートアップの創業期に参画し、市場分析・業界調査に従事。2018年にマネックスグループ入社。以降、ビットコインをはじめとするデジタルアセットからマクロ経済環境まで、金融市場を横断した調査・分析および情報発信を担う。FinTech・次世代金融領域のリサーチ統括、各種レポートや書籍の執筆、日本経済新聞など国内主要メディアへのコメント・寄稿、イベント登壇などを行う。2021年3月より現職。
記事内でご紹介している製品・サービスは監修者が選定したものではなく、編集部が独自に選定したものです。
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。

関連記事

新着記事

多要素認証(MFA)システム
おすすめの診断サービス