リモートアクセスの認証強化とは？VPN・リモートデスクトップ・クラウド別の方法と選び方を解説

テレワークや出張先からの業務が当たり前になり、VPN・リモートデスクトップ（RDP）・クラウドサービスを通じて社外から社内システムへアクセスする経路が増えました。その入口をIDとパスワードだけで守っている状態は、攻撃者にとって格好の標的です。パスワードは漏洩や使い回しが避けられず、流出した認証情報を使った不正ログインやランサムウェアの侵入が後を絶ちません。

対策の軸になるのが「認証の強化」です。多要素認証（MFA）やFIDO2／パスキー、デジタル証明書、IPアドレス制限など、パスワードに足せる手段は数多くあります。ただし、どの手段がどの弱点を補うのか、自社の経路（VPN／リモートデスクトップ／クラウド・SaaS）にどれを組み合わせればよいのかは、整理しないと判断が難しいのが実情です。

パスワードだけのリモートアクセスがなぜ危ないのか

はじめに、認証を強化する前提として、パスワードだけに頼るリモートアクセスがなぜ危険なのかを押さえます。

最大の理由は、パスワードが漏れること自体を防ぎきれない点にあります。あるサービスから流出したIDとパスワードを別のサービスで試す「パスワードリスト攻撃（リスト型攻撃）」が代表例で、使い回しがあると一度の漏洩が複数システムへの不正ログインに波及します。総務省も、パスワードを複数のサービスで使い回さないこと、そのうえで多要素認証や二段階認証を利用することを呼びかけています。

サービスから流出したアカウント情報を使って、他のサービスへの不正ログインを試す攻撃の手口が知られています。（中略）より安全性を高めた認証の方式として、多要素認証や二段階認証があります。

出典：安全なパスワード管理｜総務省 国民のためのサイバーセキュリティサイト

このリスクは、社外から社内に入るリモートアクセスの経路でとりわけ深刻になります。警察庁の「令和7年版 警察白書」は、ランサムウェア被害企業への調査で、感染の侵入経路の多くがVPN機器とリモートデスクトップだったと報告しています。

有効回答数100件のうち、VPN機器を利用されて侵入された事例は55件（55.0％）、リモートデスクトップサービスが利用されて侵入された事例は31件（31.0％）と（中略）テレワークに利用される機器等のぜい弱性や強度の弱い認証用パスワード等の情報を利用して侵入したと考えられるものが大半を占めている。

出典：令和7年版 警察白書 第3章｜警察庁（被害企業へのアンケートの有効回答100件に基づく割合）

独立行政法人情報処理推進機構（IPA）の「情報セキュリティ10大脅威 2025」でも、組織向けで「ランサム攻撃による被害」が1位、「リモートワーク等の環境や仕組みを狙った攻撃」が6位に挙がっています。弱い認証を放置したリモートアクセスは、これらの脅威の入口になりやすいという位置づけです。

出典・参考資料（3件）

• 出典：安全なパスワード管理｜総務省 国民のためのサイバーセキュリティサイト（https://www.soumu.go.jp/main_sosiki/cybersecurity/kokumin/security/end_user/general/01/）
• 出典：令和7年版 警察白書 第3章｜警察庁（https://www.npa.go.jp/hakusyo/r07/honbun/html/bb3313000.html）
• 出典：情報セキュリティ10大脅威 2025｜IPA（https://www.ipa.go.jp/security/10threats/10threats2025.html）

パスワードに足せる認証強化の手段と、それぞれの効果・弱点

ここからは、認証を強化する具体的な手段を整理します。まず全体像を一覧で示し、そのうえで主要な方式を個別に説明します。手段ごとに「何がどう強くなるか」「弱点・注意点」「向いている経路」が異なるため、組み合わせて使うのが基本です。

以降で、表のなかでも判断に迷いやすい方式を補足します。

多要素認証（MFA）の3つの要素

多要素認証とは、「知識情報（パスワード・PINなど本人が知っていること）」「所持情報（スマートフォン・ICカード・セキュリティキーなど本人が持っているもの）」「生体情報（指紋・顔など本人の身体的特徴）」のうち、2つ以上を組み合わせて本人を確認する方式です。

パスワードという知識情報が漏れても、所持情報や生体情報がなければログインできないため、不正ログインの大半を抑えられます。リモートアクセスの認証強化は、まずこの多要素認証をかけることが出発点になります。

ワンタイムパスワード・認証アプリ・プッシュ通知

所持情報を使う代表的な方式が、その場限りの数字を使うワンタイムパスワード（OTP）です。認証アプリ（TOTP）で6桁程度のコードを生成する方法や、スマートフォンの通知を承認するプッシュ通知型があります。固定パスワードの使い回しリスクを下げられる一方、偽のログイン画面に入力させたコードを攻撃者がその場で正規サイトへ中継する手口や、承認通知を連打して誤って承認させる手口には注意が必要です。

とくにSMSや音声通話で送るワンタイムパスワードは、導入しやすい反面、安全性は相対的に低いと位置づけられています。

米国国立標準技術研究所（NIST）のデジタルID関連ガイドライン（SP 800-63B）は、公衆電話網（PSTN）を使うSMS・音声のワンタイムパスワードを「制約つきの認証手段（restricted authenticator）」＝より安全性の低い多要素認証と整理しています。

リスクを受け入れられない場合は別の方式を使うべきだとされており、禁止されているわけではありませんが、新規に選ぶならよりフィッシングに強い方式を優先するのが安全です。

出典・参考資料（1件）

• 出典：NIST Special Publication 800-63B（Digital Identity Guidelines）｜National Institute of Standards and Technology（https://pages.nist.gov/800-63-4/sp800-63b.html）

生体認証・IC カード

生体情報を使う指紋認証・顔認証は、端末のロック解除に近い操作で本人を確認でき、利便性に優れます。ICカード・スマートカードは物理カードの所持を要件にでき、複数人が交代で使う共有端末の本人確認にも向きます。いずれも単独で完結させるより、パスワードや他の要素と組み合わせて多要素認証の一部として使うのが一般的です。

デジタル証明書（クライアント証明書）

クライアント証明書（デバイス証明書）は、あらかじめ許可した端末に証明書を配布し、その証明書を持つ端末からのアクセスだけを通す仕組みです。本人確認（認証）と「会社が許可した端末か」という端末制限を同時に満たせるため、VPN接続や業務端末の限定に使われます。導入にあたっては、証明書の発行・更新・失効を管理する運用が必要になります。

この発行・更新・失効の運用は、専用のクライアント証明書発行サービス（クラウド型のマネージドPKI〔公開鍵基盤〕）に任せることもできます。仕組みや料金、自社に合うタイプの選び方は、以下の記事で詳しく解説しています。

経路別に見る認証強化の組み合わせ（VPN／リモートデスクトップ／クラウド・SaaS）

認証強化の手段がわかったら、次は自社の経路に当てはめます。社外から社内に入る経路は大きくVPN・リモートデスクトップ（RDP）・クラウド（SaaS）に分かれ、それぞれ推奨される組み合わせが異なります。まず全体を一覧で示します。

VPN 経路：証明書認証＋多要素認証＋IP 制限

VPNは、認証を突破されると社内の広い範囲へアクセスされるおそれがあるため、入口を厚くします。許可端末にクライアント証明書を配布して端末を限定し、そのうえで多要素認証を併用する構成が一般的です。接続元を自社拠点などに絞るIPアドレス制限を重ねると、さらに到達経路を狭められます。

あわせて、VPN機器そのものの脆弱性を放置しないよう、修正プログラムを適切に適用することが前提になります。ただし、これらを束ねて唯一の「定石」と定める公的な基準があるわけではなく、自社の環境に応じて組み合わせを選ぶことが推奨されます。

リモートデスクトップ（RDP）経路：ゲートウェイ＋多要素認証

リモートデスクトップは、インターネットに直接公開せず、ゲートウェイ経由の接続に多要素認証をかけるのが基本です。Microsoftの公式ドキュメントは、リモートデスクトップサービス（RDS）に多要素認証を組み込む構成を、次の要素で説明しています。

RD ゲートウェイ: リモート接続のエントリ ポイントとして機能します。／ネットワーク ポリシー サーバー (NPS): 認証要求を処理し、ポリシーを適用します。／Microsoft Entra ID: クラウドベースの MFA サービスを提供します。／NPS 拡張機能: オンプレミスの NPS とクラウドベースの MFA をブリッジします。

出典：リモート デスクトップ サービスの多要素認証を計画する｜Microsoft Learn

この構成により、パスワードが漏れても追加の確認がなければ接続できなくなります。あわせて、認証前に接続を確立させないネットワークレベル認証（NLA）を有効にし、接続元のIP制限やポートの見直しで到達経路を絞ると、より堅牢になります。NLAはWindowsに標準搭載された機能です。

出典・参考資料（1件）

• 出典：リモート デスクトップ サービスの多要素認証を計画する｜Microsoft Learn（https://learn.microsoft.com/ja-jp/windows-server/remote/remote-desktop-services/rds-plan-mfa）

クラウド・SaaS 経路：SSO＋多要素認証＋条件付きアクセス

複数のクラウドサービスを使う環境では、サービスごとにばらばらの認証を管理するのは現実的ではありません。SSO（シングルサインオン）でログインを一元化し、ID基盤側で多要素認証と条件付きアクセス（接続する場所・端末・時間帯による制御）をまとめて適用する構成が向いています。

入口を集約する分、ID基盤そのものの保護を強くすることが重要です。この場面では、SSO・多要素認証・アクセス制限を1つの基盤で提供するIDaaS（クラウド型のID基盤）が有力な選択肢になります。

多要素認証（MFA）を入れても防げない攻撃と、フィッシング耐性のある方式

多要素認証を導入しても、それだけで安心とは限りません。方式によっては突破されるケースがあり、何を選ぶかで防御力が変わります。ここでは、防げない攻撃の種類と、それに強い方式への寄せ方を説明します。

多要素認証でも防げない攻撃

米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、多要素認証がすべて同じ安全性ではないと指摘しています。弱い方式として、フィッシング・プッシュ爆撃・SS7（電話網プロトコル）の悪用・SIMスワップが挙げられます。具体的には、次のような手口です。

• プッシュ爆撃（プッシュ疲労）：承認通知を何度も送りつけ、利用者が根負けして承認してしまうのを狙う
• 中継型フィッシング：偽のログイン画面に入力させたワンタイムコードを、その場で正規サイトへ中継して突破する
• SIM スワップ：携帯電話会社をだまして電話番号を攻撃者のSIMに移し、SMSのコードを奪う
• SS7の悪用：電話網（SS7）の仕組みの弱点を突いて、SMSで送られるワンタイムコードを傍受する

SMSや音声、プッシュ通知に頼る多要素認証は、これらの攻撃に弱い場合があります。多要素認証を入れること自体は有効ですが、「入れたから大丈夫」ではなく、方式の弱点を踏まえて選ぶ必要があります。

フィッシング耐性のある方式（FIDO2・パスキー・証明書）への寄せ方

これらの攻撃に強いのが、FIDO2／パスキーによる認証です。FIDO Allianceによると、FIDOの規格は公開鍵暗号を用いてフィッシング耐性のある認証を提供し、パスキーは登録したサイト（ドメイン）に対してのみ提示される設計になっています。

そのため、たとえ偽サイトへ誘導されても、そのサイトに対しては鍵が使えず、認証情報を奪われません。認証時にサーバへ渡るのは公開鍵で、秘密鍵は端末やセキュリティキー側に保持されます。

CISAも、広く利用できるフィッシング耐性のある認証はFIDO／WebAuthnだと述べています。国内でも金融庁などが、フィッシングに耐性のある多要素認証（パスキー・PKI認証）への移行を呼びかけています。

新しく認証を強化するなら、SMSやプッシュ通知だけに頼らず、FIDO2／パスキーや、前述のクライアント証明書（PKI）といったフィッシング耐性のある方式に寄せていくのが、これからの基本方針になります。

出典・参考資料（3件）

• 出典：Implementing Phishing-Resistant MFA｜CISA（https://www.cisa.gov/sites/default/files/publications/fact-sheet-implementing-phishing-resistant-mfa-508c.pdf）
• 出典：FIDO2｜FIDO Alliance（https://fidoalliance.org/fido2/）
• 出典：フィッシングによる不正送金等への注意喚起｜金融庁（https://www.fsa.go.jp/news/r7/sonota/20260416-2/20260416-2.html）

認証強化の導入・運用で詰まる論点と費用の目安

最後に、実際に導入・運用する際に詰まりやすい論点と、費用の考え方を整理します。手段と経路の方針が決まっても、運用設計が抜けると現場で止まります。

導入・運用で現実的に詰まる論点

多要素認証やパスキーを展開するときは、次のような論点を事前に設計しておくと、現場の混乱を避けられます。Microsoftの公式ドキュメントも、多要素認証を計画する際の考慮点として利用者の登録方法・予備の認証手段・条件付きアクセスを挙げています。

• 利用者の登録（エンロール）：認証器やパスキーをどう登録させるか。初期登録の手順と本人確認を決めておく
• 端末・鍵の紛失時の復旧：スマートフォンやセキュリティキーを失った利用者のための予備の認証手段を用意する
• 例外ユーザーへの対応：スマートフォンを支給できない現場や、一時的に対応できない利用者の扱いを決める
• 既存の社内ログインとの連携：Active Directoryや既存のID基盤との連携方法を確認する

とくに「スマートフォンを全社員に支給できない」という制約は、認証アプリやSMSに頼れない原因になりがちです。この場合は、スマートフォンを使わずに持ち運べる物理セキュリティキーが選択肢になります。

物理セキュリティキーにはUSB型・NFC型などの種類があり、対応する認証方式や端末によって選び方が変わります。「セキュリティキーとは何か」から仕組み・使い方・選び方までは、以下の記事で詳しく解説しています。

出典・参考資料（1件）

• 出典：リモート デスクトップ サービスの多要素認証を計画する｜Microsoft Learn（https://learn.microsoft.com/ja-jp/windows-server/remote/remote-desktop-services/rds-plan-mfa）

費用の目安（無料でできる範囲と有料になる範囲）

認証強化の費用は、既存の仕組みを使うか、新たに製品を導入するかで大きく変わります。無料で始められる範囲としては、OSやクラウドサービスに標準で備わる多要素認証（たとえばリモートデスクトップのネットワークレベル認証や、すでに契約済みのMicrosoft 365・Google Workspaceの多要素認証機能）を有効にする方法があります。

一方で、SSO・多要素認証・アクセス制限を一元管理するID基盤（IDaaS）や、物理セキュリティキーを全社に配布する場合は費用がかかります。目安として、IDaaSはユーザー1人あたり月額数百円程度から、物理セキュリティキーは買い切り型なら1本あたり数千円程度からが公開情報の範囲です。

サブスク型の物理キーや大規模導入は個別見積もりが基本で、料金体系や最低契約数も製品によって異なります。正確な金額は各サービスの公式情報や資料で確認してください。次の章で、こうした認証強化を実現できるサービスを紹介します。

リモートアクセスの認証強化を実現するサービス

ここでは、これまで解説した認証強化を実際に実現できるサービスを、提供形態の異なる代表例として紹介します。クラウド・SaaS経路向けにSSOと多要素認証を一元管理するID基盤と、スマートフォン不要で使える物理セキュリティキーの2つです。

VPN・リモートデスクトップ経路は、前述の「経路別の組み合わせ」で示したRDゲートウェイ＋多要素認証や証明書認証といった方法で強化でき、多くの認証製品が対応します。ここで挙げる2製品のほかにも選択肢は幅広いため、認証方式・料金・タイプ別に比較したまとめ記事もあわせてご覧ください。

1. CloudGate UNO（株式会社インターナショナルシステムリサーチ）

CloudGate UNO（クラウドゲートウノ）は、SSO・多要素認証・パスキー（FIDO2）によるパスワードレス認証・アクセス制限・ID管理を1つにまとめたクラウド型のID基盤（IDaaS）です。株式会社インターナショナルシステムリサーチが自社開発しており、クラウド・SaaS経路の認証強化（SSO＋多要素認証＋条件付きアクセス）にそのまま対応します。

アクセス制限は、IPアドレス・デバイス証明書・国や地域・曜日や時間帯・ブラウザといった複数の軸で設定でき、「許可した端末の、許可した時間帯のアクセスだけを通す」といった細かな制御が可能です。認証方式はパスキー（FIDO2）によるパスワードレスに対応し、フィッシング耐性のある認証を全プランで利用できます。

月額はユーザー単位で、公式サイトによると税抜400円からのプランが用意されています（2026年11月時点。初期費用や詳細は要問い合わせ）。VPNやリモートデスクトップ向けの認証には、同社の関連サービスを組み合わせる構成が案内されています。

パスワードレス認証への切り替えが運用面にもたらす変化について、提供元の株式会社インターナショナルシステムリサーチの平澤氏は、導入企業の事例を次のように挙げています。

2. YubiKey as a Service（株式会社インターナショナルシステムリサーチ）

YubiKey as a Serviceは、物理セキュリティキー「YubiKey」をサブスクリプション型で法人に提供するサービスです。FIDO2／WebAuthnに対応したハードウェアトークンで、秘密鍵をキー本体に保持するため、前述のフィッシング耐性のある認証を物理キーで実現できます。

スマートフォンを使わずに持ち運べるので、全社員へのスマホ支給が難しい現場や、派遣・協力会社のスタッフが業務システムにアクセスする場面でも導入しやすいのが特徴です。

キー本体の提供だけでなく、導入支援や、紛失・増員に備えた予備キーの提供といった運用サポートが一体になっている点が、買い切り型との違いです。最低200ユーザーからのサブスクリプション契約で、料金は選ぶキーの種類や条件に応じた個別見積もりとなります。VPN・リモートデスクトップ向けの認証や、前述のCloudGate UNOと組み合わせた全社的な多要素認証の展開にも対応します。

物理キーが前提とするパスワードレス認証を、提供元はどのように位置づけているのでしょうか。同サービスを手がける株式会社インターナショナルシステムリサーチの内田氏は、認証そのものの役割を次のように語っています。

まとめ

リモートアクセスの認証強化は、まずパスワードだけの状態を脱し、多要素認証をかけることが出発点です。そのうえで、SMSやプッシュ通知には弱点があることを踏まえ、FIDO2／パスキーやクライアント証明書といったフィッシング耐性のある方式に寄せていくと、より堅牢になります。

自社の経路（VPN・リモートデスクトップ・クラウド）ごとに適した組み合わせを選び、登録や紛失時の復旧といった運用設計まで含めて準備すれば、無理なく導入を進められます。具体的な製品の資料を取り寄せて、自社の環境に合うかを確認してみてください。

よくある質問（FAQ）

Q. リモートアクセスの認証強化とは何ですか？

A. リモートアクセスの認証強化とは、VPN・リモートデスクトップ・クラウドなど社外から社内に入る経路のログインを、ID・パスワードだけに頼らず、多要素認証やFIDO2／パスキー、デジタル証明書などを足して突破されにくくすることです。パスワードは漏洩や使い回しを防ぎきれないため、知識・所持・生体のうち複数の要素を組み合わせ、さらに経路ごとに端末制限やアクセス制限を重ねるのが基本的な考え方です。

Q. リモートアクセスは多要素認証（MFA）を入れればもう安全ですか？

A. リモートアクセスは多要素認証を入れても、方式によっては突破されるため「入れれば安全」とは言い切れません。SMSやプッシュ通知に頼る多要素認証は、中継型フィッシングやプッシュ爆撃、SIMスワップに弱い場合があります。多要素認証の導入は有効な第一歩ですが、FIDO2／パスキーやクライアント証明書といったフィッシング耐性のある方式に寄せることで、より堅牢になります。

Q. リモートアクセスの認証強化で、SMSのワンタイムパスワードでも十分ですか？

A. SMSのワンタイムパスワードは手軽に導入できますが、認証の安全性は相対的に低く、新規に選ぶならよりフィッシングに強い方式を優先するのが安全です。米国国立標準技術研究所（NIST）のデジタルID関連ガイドライン（SP 800-63B）は、SMS・音声によるワンタイムパスワードを「制約つきの認証手段」と整理しています。

すでにSMSを使っている場合も、認証アプリやパスキーへの移行を検討するとよいでしょう。

Q. 従業員の個人端末からリモートアクセスさせても安全にできますか？

A. 個人端末からのリモートアクセスは、端末を限定する仕組みと多要素認証を組み合わせれば、安全性を高められます。クライアント証明書で会社が許可した端末だけを通したり、クラウド・SaaSなら条件付きアクセスで端末の状態を条件に接続可否を判断したりできます。私物端末を広く許可する場合ほど、端末側の制御と認証の強度を合わせて設計することが重要です。

Q. 公共のWi-Fiからリモートアクセスするのは危険ですか？

A. 公共Wi-Fiからのリモートアクセスは、通信の暗号化とフィッシング耐性のある認証を備えていれば、実務上は利用できます。VPNなどで通信経路を暗号化すれば、同じネットワーク上の第三者に通信を盗み見られるリスクを下げられます。ただし偽のログイン画面に認証情報を入力させる中継型フィッシングは暗号化では防げないため、FIDO2／パスキーなどの方式を併用すると安心です。

Q. VPNとリモートデスクトップ（RDP）で、認証強化の方法は違いますか？

A. VPNとリモートデスクトップでは、推奨される認証の組み合わせが異なります。VPNはクライアント証明書による端末制限＋多要素認証＋IPアドレス制限が一般的で、リモートデスクトップはインターネットに直接公開せず、ゲートウェイ経由の接続に多要素認証とネットワークレベル認証（NLA）をかけるのが基本です。いずれも機器やOSの脆弱性対策（修正プログラムの適用）が前提になります。

Q. スマートフォンを全社員に支給できなくても、認証を強化できますか？

A. スマートフォンがなくても、物理セキュリティキーを使えば認証を強化できます。FIDO2／WebAuthnに対応したセキュリティキーは、秘密鍵をキー本体に保持するためフィッシングに強く、スマホを使わずに持ち運べます。全社員へのスマホ支給が難しい現場や、派遣・協力会社のスタッフが業務システムを使う場面でも導入しやすい選択肢です。

Q. リモートアクセスの認証強化は無料でできますか？

A. リモートアクセスの認証強化は、一部は無料で始められますが、本格的な一元管理や物理キーの配布には費用がかかります。リモートデスクトップのネットワークレベル認証や、すでに契約済みのMicrosoft 365・Google Workspaceの多要素認証機能は、追加費用なく有効にできます。

一方、SSO・多要素認証・アクセス制限を一元管理するID基盤（IDaaS）や物理セキュリティキーの全社配布は、利用人数に応じた費用が発生します。

多要素認証（MFA）システムの料金・資料を一括チェック

MCB FinTechカタログでは、リモートアクセスの認証を強化するSSO・多要素認証・セキュリティキーなどの最新資料を無料で一括請求できます。対応する認証方式や料金をまとめて比較できます。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。