多要素認証（MFA）の全社導入は決まっていて、残る問題はどう進めれば現場を止めずに展開できるかです。展開初日に「ログインできない」「アプリの設定が分からない」という問い合わせが情報システム部門へ殺到し、業務が止まってしまう——この不安から着手に踏み切れない担当者は少なくありません。
スムーズな導入を分けるのは、MFAそのものの知識よりも段取りです。どのアカウント・部署から入れるか、試験導入から全社展開までをどの順で広げるか、利用者にいつ何を伝えるか、端末を紛失した人をどう復旧させるか。この順番と準備を先に決めておけば、問い合わせの波は小さく抑えられます。
本記事では、MFAを混乱なく全社へ広げる具体的な進め方を、段階展開の手順・導入の優先順位・利用者への案内物の作り方・端末紛失時の復旧と例外運用まで、そのまま自社の展開計画に落とせる形で解説します。
認証方式の選び方や、MFAを入れても残るリスクへの備えも、米国国立標準技術研究所（NIST）や米サイバーセキュリティ・インフラセキュリティ庁（CISA）のガイドラインを交えて解説します。
目次
一括ダウンロードする
多要素認証（MFA）をスムーズに全社展開する3段階
MFAを混乱なく全社へ広げる要は、一度に全員へ適用せず、小さく始めて学びを得ながら対象を広げることです。CISAも、最初の段階はヘルプデスクやIT管理者といった小さなグループから始め、そこで得た学びを踏まえて後続の段階へ広げることを推奨しています。次の3段階で進めます。
出典・参考資料（1件）
| 段階 / 項目 | ステップ1：パイロット | ステップ2：管理者・高リスク部署を必須化 | ステップ3：期限を区切って全社 |
|---|---|---|---|
| 対象・人数の目安 | 情シス・IT管理者を含む少人数（自社規模に応じて10〜30人程度） | システム管理者・特権アカウント、経営層、経理・人事 | 残る一般部署の全員 |
| 観察する指標 | 登録完了率、1人あたりの問い合わせ件数・内容 | 対象部署の登録完了率、部署からの問い合わせ | 期限内の登録完了率、期限後の未登録者数 |
| 次に進む合格条件 | 登録完了率がほぼ全員（目安95%以上）に達し、未解決の問い合わせが残っていない | 対象部署が全員登録済みで、運用を止める重大なつまずきがない | 期限までに全社が登録完了し、未登録者は個別対応へ移行済み |
ステップ1：少人数のパイロットで手順と問い合わせを洗い出す
最初に、情報システム部門とIT管理者を含む少人数でパイロット（試験導入）を行います。人数は自社規模に応じて決めますが、手順書と問い合わせ対応を試すには10〜30人程度が扱いやすい目安です。ここでの目的は、本番と同じ手順でつまずく箇所を先に洗い出すことにあります。
観察する指標は、登録完了率（案内した人のうち設定を終えた割合）と、1人あたりの問い合わせ件数・内容です。問い合わせが集中した項目は、後述の手順書と先回りFAQに反映します。次の段階へ進む合格条件は、「登録完了率がほぼ全員（目安として95%以上）に達し、未解決の問い合わせが残っていないこと」。ここで手順書とFAQが整えば、以降の段階の問い合わせは大きく減ります。
ステップ2：管理者と高リスクの部署を必須化する
パイロットで手順が固まったら、攻撃を受けたときの影響が大きいアカウントから必須化します。システム管理者・特権アカウント、経営層、経理・人事など機微な情報を扱う部署が対象です。これらは一度侵害されると被害が全社に及ぶため、先に守る価値が高い範囲です。
この段階では、対象部署ごとに展開日を区切り、部署の管理職から事前に周知してもらうと定着が早まります。対象部署の登録完了率を見ながら、全員が登録を終え、運用を止める重大なつまずきが出ていないことを確認してから次へ進みます。
どのアカウントを優先するかの具体的な考え方は、次の「導入の優先順位」で解説します。
ステップ3：期限を区切って全社へ広げる
残る一般部署へは、適用期限を明確に区切って展開します。「いつまでに設定すれば、いつから必須になるか」を先に告知し、期限前にリマインドを送ると、駆け込みの問い合わせが分散します。期限を設けずに任意のままにすると登録が進まず、いつまでも旧来のログインが残ってしまいます。
期限までに全社の登録が完了し、未登録者を個別対応へ移せた時点を、全社展開の完了とみなします。
全社展開が完了した後も、未登録者・例外申請・管理者権限は定期的に棚卸しします。入退社や異動でアカウントの状態は変わるため、運用に組み込んで見直す仕組みにしておくと、設定漏れを防げます。
どのアカウント・部署・システムから入れるか（導入の優先順位）
先に守るべきは、侵害されたときの影響が最も大きく、攻撃の起点になりやすい入口です。具体的には、管理者・特権アカウント、メール、外部公開・リモートアクセスが優先されます。CISAは、攻撃者が狙う対象を次のように挙げています。
For example, cyber threat actors often target email systems, file servers, and remote access systems to gain access to an organization’s data. They also try to compromise identity servers like Active Directory […] if a cyber threat actor can compromise the account of a system administrator, they may be able to access any system and any data in the organization.
出典：Implementing Phishing-Resistant MFA（Fact Sheet）｜CISA
この考え方を自社の対象に当てはめると、優先順位は次のように整理できます。
| 対象 / 項目 | システム管理者・特権アカウント、ID基盤（Active Directoryなど） | メール、経営層・経理・人事などの機微情報を扱う部署 | 外部公開・リモートアクセス（VPN・公開ポータル） | 一般業務のSaaS・ファイル共有 |
|---|---|---|---|---|
| 優先度 | 最優先 | 高 | 高 | 中 |
| なぜ先に守るか | 侵害されると全システム・全データにアクセスされうる。クラウド各社も管理者向けのMFAを先行して必須化している | 標的型攻撃やビジネスメール詐欺（BEC）の入口になりやすい | 社外からの侵入経路として狙われやすい | 重要な入口を固めた後に、全社展開のなかで広げる |
管理者アカウントを最優先にする流れは、クラウド各社の対応にも表れています。Microsoftは2024年10月以降、Azureポータル・Microsoft Entra管理センターなどへのサインインでMFAを必須化し、AWSも2024年にルートユーザーのMFA必須化を開始しました。
Google Cloudも2025年中にパスワードでサインインする全ユーザーへMFAを段階的に必須化すると公表しています。いずれも、最も強い権限を持つ入口から先に守る流れで、こうした必須化は2026年11月時点のものです。
出典・参考資料（5件）
メール・リモートアクセスが狙われやすい背景は、IPA「情報セキュリティ10大脅威 2026」でも、ランサム攻撃（1位）、機密情報を狙った標的型攻撃（5位）、リモートワーク等の環境を狙った攻撃（8位）、ビジネスメール詐欺（10位）が組織向けの脅威の上位10に並んでいることと重なります。取引先や監査からセキュリティ強化を求められている場合も、まずこれらの入口を固めることが説明しやすい一歩になります。
展開前に用意する3点：利用者への告知文・手順書・問い合わせ対応
展開初日の問い合わせの波は、告知文・手順書・問い合わせ対応の3点を先に用意しておけば大きく抑えられます。それぞれに入れる項目を、自社の文面にそのまま落とし込める形で挙げます。
告知文に入れる項目
利用者への告知文は、「何を・いつまでに・なぜ」する必要があるかが一読で伝わる形にします。次の項目を押さえると、問い合わせの前段で疑問を解消できます。
- 目的（なぜ導入するか。不正ログインを防ぐためで、利用者を疑うものではないこと）
- 対象者と対象システム（誰が・どのサービスのログインで必要になるか）
- 設定の期限と、いつから必須になるか
- 設定にかかる所要時間と、用意するもの（スマートフォンなど）
- 手順書の場所と、困ったときの問い合わせ窓口
- スマートフォンを使えない・持てない場合の代替手段と申請先
手順書に入れる項目
手順書は、利用者が自分で設定を完了できる粒度にします。画面の文言どおりの表記と、つまずきやすい分岐への先回りが要点です。
- 認証アプリのインストールから初回登録までの手順（画面の実際の文言・ボタン名に合わせる）
- バックアップコードの取得と保管方法（機種変更・紛失に備える）
- 機種変更時の引き継ぎ手順
- うまくいかないときの確認ポイント（時刻のずれ・通信環境・アプリの権限など）
問い合わせ窓口と頻出FAQの先回り
展開初日の問い合わせは、数パターンに集中します。パイロットで実際に出た質問をもとに、次のような頻出項目を先回りで用意しておくと、窓口の負荷と利用者の待ち時間を同時に減らせます。
- 認証コードが届かない・表示されないときの対処
- スマートフォンを機種変更した・紛失したときの連絡先と復旧の流れ
- 私用端末を使いたくない場合の代替手段
- 設定の期限に間に合わない場合の申請方法
窓口は、一次受付（ヘルプデスク）と、権限のリセットができる担当（情報システム部門）の役割を分けておくと、復旧が必要なケースをスムーズに引き継げます。復旧の具体的な流れは後述します。
一括ダウンロードする
展開でつまずきやすいポイントと回避策
展開中に起こりやすいつまずきは、事前に手順を決めておけば利用者自身で解決でき、問い合わせを待たせずに済みます。代表的な3つを、症状・原因・回避策の形で挙げます。
機種変更でログインできなくなる
認証アプリはスマートフォンに紐づくため、機種変更で設定が引き継がれないとログインできなくなります。回避策は、事前にバックアップコードを発行・保管してもらうことと、アプリの引き継ぎ手順を手順書に載せておくことです。新端末での再登録を、旧端末が使えるうちに済ませるよう案内すると詰まりにくくなります。
SMSの認証コードが届かない
SMSは、海外からのアクセス・一部の格安SIM・通信の遅延で届かないことがあります。認証アプリ（時刻ベースのワンタイムパスワード）を既定にし、SMSは代替にとどめると、この種の不達を減らせます。方式ごとの向き不向きは後述の「認証方式の選び方」で整理します。
登録が進まない利用者が残る
案内しても設定を後回しにする利用者は一定数残ります。期限前のリマインドと、登録完了率の可視化で未登録者を把握し、部署の管理職を通じて個別にフォローすると進みます。対面やオンラインでの設定サポート枠を期間限定で設けるのも有効です。
端末の紛失・故障・退職時の復旧と、例外運用のルール
現場が最も詰まるのは、端末の紛失・故障や退職でログインできなくなる「締め出し」です。復旧、退職・異動時の無効化、そして通常の手順に乗らない利用者・端末の例外運用を、誰が何をするかが分かる形で整理します。
紛失・故障時の復旧フロー
端末の紛失・故障で認証できなくなったときの復旧は、本人確認を挟んだ流れをあらかじめ決めておくのが要点です。次の順で対応します。
- 利用者がバックアップコードを保管していれば、それで一時的にログインし、新端末で再登録する
- バックアップコードが使えない場合は、情報システム部門が本人確認（社員番号・所属・上長確認など、なりすましを防げる手段）を行ったうえで、認証設定をリセットする
- リセット後、利用者が新端末で速やかに再登録する。紛失端末からのアクセスは失効させる
管理者自身が締め出されると全体の復旧ができなくなるため、緊急用の管理者アカウント（ブレークグラスアカウント）を複数用意しておきます。Microsoftも、こうした緊急用アカウントについてMFAを必須としたうえで、パスキー（FIDO2）の利用を推奨しています。
退職・異動時のアカウント無効化
退職・異動のときは、認証設定の失効とアカウントの停止を即時に行います。手続きが遅れると、退職者が引き続きアクセスできる状態が残ってしまいます。人事の退職・異動手続きと、情報システム部門のアカウント停止を連動させ、誰がいつ実行するかを決めておきます。SSO（シングルサインオン）やID基盤でアカウントを一元管理していれば、1か所の停止で関連サービスへのアクセスをまとめて止められます。
例外運用ルール（共有アカウント・現場端末・委託先・古い連携）
通常の手順に乗らない利用者・端末には、個別の例外ルールを定めます。例外を「なし崩し」にせず、申請制・期限付き・代替の制限とセットにするのが要点です。
- 共有アカウント（部署メール・店舗アカウントなど）: 可能な限り個人アカウントへ分離する。難しい場合は、物理セキュリティキーや利用場所の制限で代替する
- スマートフォンを持てない現場（工場・倉庫・コールセンターなど）: 私物に頼らず、物理セキュリティキーなど端末に依存しない方式を配布する
- 委託先・派遣・子会社: アクセス範囲と期限を定め、契約終了時の失効を忘れずに運用する
- 古い仕組みの連携（旧式のメールソフトや機器からの送信など）: MFAに対応できない経路は、利用範囲を絞ったうえで、対応方式への移行を計画する
認証方式の選び方（SMS・アプリ・プッシュ・FIDO2／パスキー・生体）
認証方式は、強度（フィッシング耐性）と使いやすさのバランスを見て、対象ごとに選び分けます。まず、前提となる言葉を最小限だけ確認します。
多要素認証（MFA）の3要素と二段階認証との違い（前提のおさらい）
多要素認証（MFA：Multi-Factor Authentication）は、種類の異なる2つ以上の要素を組み合わせて本人確認する仕組みです。要素は「知識情報（パスワードなど知っているもの）」「所持情報（スマートフォン・セキュリティキーなど持っているもの）」「生体情報（指紋・顔など本人の特徴）」の3つに分かれます。
二段階認証は「認証を2回に分ける」ことを指し、同じ種類の要素を2回使っても成立します。異なる種類の要素を組み合わせる多要素認証とは、守りの考え方が異なります。
方式ごとの強度と使いやすさ
方式の選定で重要なのが、フィッシング（偽サイトへの誘導）への耐性です。NISTのガイドライン（SP 800-63B-4）は、利用者が手で認証コードを入力する方式はフィッシング耐性があるとは見なさないと明記しています。
Authenticators that involve the manual entry of an authenticator output (e.g., out-of-band and OTP authenticators) SHALL NOT be considered phishing-resistant because the manual entry does not bind the authenticator output to the specific session being authenticated. Phishing resistance requires single- or multi-factor cryptographic authentication.
出典：NIST SP 800-63B-4 Digital Identity Guidelines §3.2.5｜NIST
つまり、SMS・メール・認証アプリのワンタイムパスワード・プッシュ承認はいずれもフィッシング耐性を持ちません。一方、FIDO2／WebAuthn（パスキー・物理セキュリティキー）は、暗号鍵をログイン先のサイトに結び付けることでフィッシングに強く、NISTも耐性のある方式の例として挙げています。方式ごとの位置づけを整理すると次のとおりです。
| 認証方式 / 項目 | SMS・メールのワンタイムコード | 認証アプリ（時刻ベースのワンタイムパスワード／TOTP） | プッシュ通知の承認 | FIDO2・パスキー・物理セキュリティキー | 生体認証（指紋・顔） |
|---|---|---|---|---|---|
| フィッシング耐性 | なし | なし | なし（番号照合の併用が推奨） | あり | 方式による（FIDO2と組み合わせると耐性あり） |
| 使いやすさ・導入のしやすさ | 追加アプリ不要で導入は容易。ただし不達・遅延がある | 無料アプリで導入しやすく、通信圏外でもコード生成が可能 | タップで承認でき手間が少ない | 対応環境の準備が要るが、運用後の手間は少ない | 対応端末が必要。利用者の操作は簡単 |
| 向いている対象 | 他の方式が使えない場合の最終手段 | 一般従業員の標準的な方式 | 一般従業員。番号照合を有効にして使う | 管理者・特権アカウント、機微情報を扱う部署 | 対応端末が配布されている利用者 |
各方式の分類はNIST SP 800-63B-4・CISA・FIDOアライアンスの公開情報にもとづく（2026年11月時点）
SMSは便利ですが、NISTは公衆電話網（PSTN）経由の認証を「制限付き」とし、SIMの変更や電話番号の移管（番号ポーティング）といったリスクを考慮するよう求めています。管理者・特権アカウントや財務に関わる利用者では、SMSを避けてフィッシング耐性のある方式を使うのが安全です。
CISAも、フィッシング耐性MFAを標準（gold standard）とし、その唯一広く使える方式としてFIDO／WebAuthnを挙げたうえで、SMSや音声による方式は最終手段とすべきだとしています。
While any form of MFA is better than no MFA […] phishing-resistant MFA is the gold standard […] The only widely available phishing-resistant authentication is FIDO/WebAuthn authentication. […] This form of MFA [SMS/voice] should only be used as a last resort MFA option.
出典：Implementing Phishing-Resistant MFA（Fact Sheet）｜CISA
出典・参考資料（3件）
MFAを入れても防げない攻撃と備え（MFA疲労・AiTM・SIMスワップ）
MFAは不正ログインを大きく減らしますが、導入すれば万全というわけではありません。ここからは、MFAを入れても残る代表的な攻撃と、方式・運用での備えを解説します。展開計画の段階でこれらを知っておくと、どの方式を優先すべきかの判断につながります。
MFA疲労攻撃（プッシュ通知の連打）
MFA疲労攻撃（プッシュ爆撃）は、利用者に承認のプッシュ通知を何度も送りつけ、うんざりした利用者が「承認」を押してしまうのを狙う手口です。CISAは次のように説明しています。
Push bombing (also known as push fatigue). Cyber threat actors bombard a user with push notifications until they press the “Accept” button, thereby granting threat actor access to the network.
出典：Implementing Phishing-Resistant MFA（Fact Sheet）｜CISA
対策は、プッシュ通知に番号照合（画面に表示された番号を入力させる仕組み）を併用すること、そしてフィッシング耐性のあるFIDO2／パスキーへ移行することです。
中間者型フィッシング（AiTM）
中間者型フィッシング（AiTM：Adversary-in-the-Middle）は、偽サイトが正規のログイン画面へ通信を中継し、利用者がMFAを通過した後のセッションCookie（ログイン状態を示す情報）を盗む手口です。Microsoftの調査によると、この手口はMFAが有効でも認証を回避でき、2021年9月以降に1万を超える組織が標的になったとされています。
they can inject it into their browser to skip the authentication process, even if the target’s MFA is enabled. […] the AiTM phishing campaign attempted to target more than 10,000 organizations since September 2021. […] Note that this is not a vulnerability in MFA
出典：From cookie theft to BEC｜Microsoft Threat Intelligence（2022）
Microsoftも述べるとおり、これはMFA自体の欠陥ではありません。だからこそ、フィッシング耐性のあるFIDO2／パスキーへの移行と、アクセス元の条件（端末・場所）を加える条件付きアクセスといった、方式と運用での備えが有効です。
SIMスワップ
SIMスワップは、攻撃者が通信事業者をだまして利用者の電話番号を自分のSIMへ移し替え、SMSの認証コードを受け取る手口です。CISAはこれを攻撃手口の一つに挙げ、NISTもPSTN経由の認証でSIMの変更・番号ポーティングを考慮すべきリスクとしています。電話番号に依存しない方式（認証アプリやFIDO2）を使うことが対策になります。
手口の詳細や、SMS認証を残す場合の企業側での強化策は『SIMスワップ対策｜個人の自衛と企業のSMS認証強化』で詳しく解説しています。
出典・参考資料（3件）
MFA導入・全社展開を支える認証サービス
ここまでの進め方は、特定の製品に依存せず実行できます。一方で、「MFA機能がないシステムがある」「サービスごとに認証がばらばらで管理しきれない」といった課題にぶつかることもあります。
CISAも、MFAに対応していない業務アプリは、SSO（シングルサインオン）やID基盤と統合することでMFAを付けられると述べています。認証の入口を一本化するSSO／IDaaS（Identity as a Service）や、現場・特権アカウント向けの物理セキュリティキーは、こうした課題への有力な解決策です。
出典・参考資料（1件）
ここで紹介するのは、課題の異なる2つのサービスです。認証の入口を一本化するIDaaSと、現場・特権アカウントを守る物理セキュリティキーを、特徴を比較したうえで個別に見ていきます。
| サービス名 | CloudGate UNO | YubiKey as a Service |
|---|---|---|
| タイプ | IDaaS （SSO＋MFA＋ID管理） | 物理セキュリティキーの サブスクリプション |
| 解決する主な課題 | MFA機能が無いシステムの統合や、サービスごとにばらばらな認証を入口一本化で解決 | スマホを持てない現場や特権アカウントを、フィッシング耐性の物理キーで保護 |
| 対応する認証方式 | パスキー（FIDO2） 生体認証 ワンタイムパスワード 認証アプリ | 物理キー（FIDO2／WebAuthn U2F・PIV・OATH など） |
| フィッシング耐性 | ●（パスキー/FIDO2） | ●（物理キー/FIDO2） |
| スマホがなくても使える | △（物理キー併用で対応） | ● |
| SSO・ID管理（入口一本化） | ● | ×（CloudGate UNO等と組合せ） |
| 向いている対象 | 複数のSaaSを使い認証が分散している組織。退職・異動時のアカウント一元管理も | 工場・倉庫・コールセンター等スマホを持てない現場、派遣・委託先、管理者・特権アカウント |
| 初期費用 | 要お問い合わせ | 要お問い合わせ |
| 月額費用 | 400〜600円/ユーザー （税抜・3プラン） | 要お問い合わせ |
| 最低契約・契約期間 | 公式に記載なし | 200ユーザー〜 （3年または5年契約） |
| 無料トライアル | 30日間 | 導入前に実機検証 |
| 詳細情報 | 公式資料を見る | 公式資料を見る |
1. CloudGate UNO（株式会社インターナショナルシステムリサーチ）
CloudGate UNO（クラウドゲートウノ）は、SSO・多要素認証・アクセス制限・ID管理を1つにまとめた国産のIDaaS（Identity as a Service）です。複数のクラウドサービスへのログインを一度の認証に集約でき、MFA機能がないサービスを含めて認証の入口を一本化できます。退職・異動時のアカウント停止も、ID基盤側でまとめて反映できます。
認証方式は、パスキー（FIDO2）によるパスワードレス認証、ワンタイムパスワード、生体認証などに対応し、全プランで利用できます。さらに「端末・場所・時間」の3軸でアクセスを制限でき、私用端末の禁止や特定拠点・時間帯への限定といった運用に対応します。提供元のインターナショナルシステムリサーチは、2014年からFIDOアライアンスに参画し、日本語での導入支援・運用サポートを一貫して提供しています。
展開時に負担となりがちなヘルプデスク対応について、提供元のインターナショナルシステムリサーチは、独自インタビューで導入後の変化を次のように述べています。
導入と同時にパスワードレス認証に切り替えた企業では、IT部門の業務の約20%を占めていたパスワード関連のヘルプデスク業務が「0%」になったという事例があります。また、他社サービスからの乗り換え事例もございます。通常、設定の移行には時間がかかるものですが、当社のサポートによりわずか1週間で完了させたケースもあります。
2. YubiKey as a Service（株式会社インターナショナルシステムリサーチ）
物理セキュリティキー「YubiKey」を、法人向けにサブスクリプション型で導入できるサービスです。YubiKeyはFIDO2／WebAuthnに対応したフィッシング耐性のある認証手段で、鍵本体の提供だけでなく、導入支援・継続サポート・紛失や増員に備えた予備キーまでが一体になっています。
スマートフォンを配布・持ち込みできない現場で特に力を発揮します。工場・倉庫・コールセンターといったシフト制の現場や、派遣社員・協力会社のスタッフの認証手段として活用でき、本記事の例外運用で挙げた課題への具体的な解になります。管理者・特権アカウントをフィッシング耐性のある方式で守りたい場合にも適しています。契約は200ユーザーからで、料金は構成に応じた個別見積もりです。
スマートフォンを持てない現場を含む全社展開をどう進めるかについて、提供元のインターナショナルシステムリサーチは、独自インタビューで導入支援の進め方を次のように述べています。
導入プロセスは、お客様の環境に合わせた「伴走型」で行います。具体的には、まずYubico社と当社のメンバーによる支援のもと、導入前の「キーの選定」という上流工程から携わらせていただきます。その後、スムーズな全社展開に向けて、初年度80時間（2年目以降は毎年20時間）のプロフェッショナルサービス枠を活用し、情シス部門の方を集めたオンラインワークショップの開催や、規模が大きい場合は各部署のリーダー向けのレクチャーなどを実施します。
ここで紹介したのは、全社展開を支えるサービスの一例です。認証方式や料金、ID管理との連携、タイプ別の選び方まで含めて主要なサービスを広く比較したい場合は、以下の記事にまとめています。
多要素認証（MFA）システムおすすめ17選を徹底比較｜認証方式・料金・タイプ別の選び方
ID とパスワードだけのログインは、もはや「鍵をかけていない」のと同じ状態に近づいています。攻撃者は流出したパスワードのリストを使い回し、本物そっくりの偽サイトで認証情報を抜き取り、正規利用者になりすまして社内システムやクラウドサービスへ侵…
まとめ
MFAをスムーズに全社展開する鍵は、段取りを先に決めておくことです。本記事の要点を整理します。
- 小さく始めて広げる: 少人数のパイロットで手順と問い合わせを洗い出し、管理者・高リスク部署を必須化してから、期限を区切って全社へ広げる
- 影響の大きい入口から守る: 管理者・特権アカウント、メール、外部公開・リモートアクセスを優先する
- 準備で問い合わせを抑える: 告知文・手順書・先回りFAQをそろえ、復旧と例外運用のルールを決めておく
- 方式はフィッシング耐性で選ぶ: 一般従業員は認証アプリを標準に、管理者・特権アカウントはFIDO2／パスキーへ。SMSは最終手段にとどめる
自社の対象システムとアカウントを棚卸しし、優先順位どおりにパイロット対象を選ぶところから着手できます。MFA機能のないシステムや認証の分散管理に課題があれば、SSO／IDaaSや物理セキュリティキーの資料を取り寄せて比較を進めてください。
一括ダウンロードする
よくある質問（FAQ）
Q. 多要素認証（MFA）はSSO（シングルサインオン）とどちらを先に導入すべきですか？
A. 多要素認証（MFA）とSSOは、可能であれば同時に導入するのが理想で、難しい場合は管理者・特権アカウントのMFAを先に進めます。SSOで認証の入口を一本化すると、そこにMFAをまとめてかけられ、退職・異動時のアカウント停止も一元化できます。
ただしSSOの整備には時間がかかるため、侵害されたときの影響が大きい管理者・特権アカウントのMFAは、SSOの完成を待たずに先行して必須化しておくと安全です。
Q. 多要素認証（MFA）でSMS認証はもう使ってはいけませんか？
A. 多要素認証（MFA）のSMS認証は、MFAを使わないよりは安全ですが、他の方式が使えない場合の「最終手段」と位置づけるのが安全です。SMSは手で認証コードを入力する方式のためフィッシング耐性がなく、SIMスワップ（電話番号の乗っ取り）で認証コードを盗まれるリスクもあります。
NISTもSMS（公衆電話網経由）の利用を「制限付き」とし、CISAも音声・SMSは最後の手段とすべきだとしています。一般従業員は認証アプリ、管理者・財務に関わる利用者はFIDO2／パスキーを基本にし、SMSは代替にとどめてください。
出典・参考資料（2件）
Q. 多要素認証（MFA）でスマートフォンを持たない従業員にはどう対応すればよいですか？
A. 多要素認証（MFA）でスマートフォンを使えない従業員には、物理セキュリティキーなど、私物の端末に依存しない方式を会社から配布するのが基本です。工場・倉庫・コールセンターのようにスマートフォンを持ち込めない現場では、FIDO2対応の物理キーが有力な選択肢になります。
私物の利用を強いるとトラブルや反発の原因になるため、会社支給の手段を例外運用として申請制で用意しておくと、締め出しを防ぎながらスムーズに展開できます。
Q. 多要素認証（MFA）のパスキー（FIDO2）は企業で利用できますか？
A. 多要素認証（MFA）のパスキー（FIDO2）は、企業で利用でき、フィッシング耐性が最も高い方式として管理者・特権アカウントに適しています。主要なIDaaSやクラウドサービスが対応しており、暗号鍵をログイン先のサイトに結び付けるため、偽サイトに認証情報を盗まれません。
CISAはフィッシング耐性MFAを標準（gold standard）とし、その唯一広く使える方式としてFIDO／WebAuthnを挙げています。対応環境の準備は必要ですが、運用後の手間は少なく、特権アカウントや機微情報を扱う部署から段階的に導入する価値があります。
出典・参考資料（2件）
Q. 多要素認証（MFA）を導入すると業務効率は落ちませんか？
A. 多要素認証（MFA）の導入で業務効率が落ちるのは、主に導入直後の慣れの期間に限られ、段取り次第で影響を小さく抑えられます。SSOを併用して認証の入口を一本化すれば、ログインのたびに何度も認証する手間を減らせます。展開前に手順書と先回りFAQを用意し、少人数のパイロットでつまずきを洗い出しておくと、展開初日の問い合わせの波と現場の混乱を抑えられます。
Q. 多要素認証（MFA）を導入していても不正アクセスされることはありますか？
A. 多要素認証（MFA）を導入していても、MFA疲労攻撃・中間者型フィッシング（AiTM）・SIMスワップなどで突破される可能性はあります。これらはMFA自体の欠陥ではなく、利用者の操作や電話番号・ログイン状態の情報を狙う手口です。
プッシュ通知に番号照合を併用する、フィッシング耐性のあるFIDO2／パスキーへ移行する、アクセス元の端末・場所を条件に加える条件付きアクセスを組み合わせる、といった備えでリスクを大きく狭められます。
Q. 多要素認証（MFA）は無料で導入できますか？
A. 多要素認証（MFA）は、認証アプリ（時刻ベースのワンタイムパスワード）を使えば、追加費用を抑えて導入できます。無料の認証アプリと、すでに利用しているクラウドサービスやID基盤が備えるMFA機能を使えば、新たなライセンス費用なしで始められます。
一方で、認証の入口を一本化するSSO／IDaaSや、現場・特権アカウント向けの物理セキュリティキーは有料となるため、守りたい範囲と運用負荷に応じて使い分けます。
Q. 多要素認証（MFA）の全社展開はどのくらいの期間がかかりますか？
A. 多要素認証（MFA）の全社展開にかかる期間は、自社の規模・対象システム数・体制によって異なり、一律の目安はありません。小規模なら数週間、対象システムが多い全社規模では数か月に及ぶこともあります。
重要なのは期間の長さよりも進め方の順序です。少人数のパイロットで手順と問い合わせを洗い出し、管理者・高リスク部署を必須化してから、期限を区切って全社へ広げます。各段階に「次に進む合格条件」を設け、登録完了率と問い合わせ件数を見ながら進めると、現場を止めずに展開できます。
多要素認証（MFA）システムの料金・資料を一括チェック
MCB FinTechカタログでは、多要素認証（MFA）システムの最新資料を無料で一括請求できます。認証方式・アクセス制限・ID管理との連携・サポート体制などを、まとめて比較できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
