RIKENTOKYOはオフィス環境と仕組みのご提案で多要素認証（MFA）の導入を決めたものの、SMS認証・認証アプリ・生体認証（パスキー）のどれを選べばよいか迷っている担当者は少なくありません。
実は認証方式によって、安全性・コスト・社員の使いやすさは大きく異なります。
この記事では、代表的な認証方式のメリット・デメリットを比較し、中小企業がどの方式を選ぶべきかの判断基準を解説します。
多要素認証（MFA）とは、パスワード以外の要素を組み合わせて本人確認を行う仕組みです。
認証要素は大きく「知識情報（パスワードなど）」「所持情報（スマートフォンなど）」「生体情報（指紋・顔など）」の3つに分けられます。
代表的な認証方式は、次の4つです。
それぞれの認証方式には、安全性・コスト・使いやすさの面で明確な違いがあります。
| 認証方式 | 安全性 | コスト | 使いやすさ | 対応状況 |
|---|---|---|---|---|
| SMS認証 | 低〜中 | ほぼ不要 | 高い（特別なアプリ不要） | ほぼ全サービスで対応 |
| 認証アプリ | 中〜高 | 無料〜低コスト | 中程度（初期設定が必要） | 主要サービスで対応 |
| 生体認証・パスキー | 高い | 端末による | 高い（一度設定すれば簡単） | 対応サービスが拡大中 |
SMS認証は、電話番号さえあれば導入できる手軽さが特長です。
一方で、攻撃者が携帯キャリアを騙して電話番号を別のSIMに移管させる手口や、通信の傍受によってコードを盗まれるリスクがあります。
こうした背景から、国際的な標準化団体もSMS認証を単独の主要な認証手段として使うことは推奨していません。
Microsoftも、フィッシングに強い認証への移行を進める方針を明確にしており、2026年9月1日にはSMS・音声による認証の既定提供を終了し、対象ユーザーをパスキーへ自動的に移行させる設定を進めています。
現在SMS認証を主体にしている企業は、早めに認証アプリやパスキーへの移行を検討する必要があります。
認証アプリは、スマートフォンにインストールしたアプリが生成するコードや、プッシュ通知への応答で本人確認を行う方式です。
秘密鍵が端末内に保存されるため、SMSに比べて盗聴や乗っ取りのリスクは下がります。
Microsoft 365環境では、追加コストなしで利用できるケースが多く、中小企業でも導入しやすい方式です。
ただし、偽サイトを経由してパスワードとコードを同時に盗み取る中間者型フィッシングには、認証アプリでも対応しきれない場合があります。
重要なアカウントには、後述するパスキーとの併用を検討することが望まれます。
パスキーは、指紋や顔認証などの生体情報と端末の所持を組み合わせて認証する方式です。
コードを入力する必要がなく、フィッシングサイトに情報を渡す動作自体が発生しないため、フィッシング耐性が最も高いとされています。
Microsoftの調査でも、パスキーを使ったサインインは従来方式に比べてユーザーの成功率が高いと報告されています。
一方で、対応していないサービスもまだ多く、すべてを一度にパスキーへ切り替えるのは現実的ではありません。
対応サービスから順次移行していく段階的なアプローチが現実的です。
RIKEN TOKYOの視点
RIKEN TOKYOでは、Microsoft Entra IDを活用した認証方式の設計を支援しています。
全社一斉のパスキー移行ではなく、まず経営層・管理部門など優先度の高いアカウントから認証アプリやパスキーへ切り替え、段階的に対象を広げるご提案を行っています。
自社に合った認証方式を選ぶには、以下の観点を確認することが大切です。
| 判断項目 | 確認すべきこと | 失敗しやすい状態 |
|---|---|---|
| 守るべき情報の重要性 | 顧客情報・財務情報を扱うアカウントか | 全社一律でSMSのみを使っている |
| 対応システムの範囲 | 利用中のサービスがパスキーに対応しているか | 対応状況を確認せずに移行方針を決めている |
| 社員のITリテラシー | 認証アプリの操作に抵抗がないか | 説明なしに切り替えて問い合わせが急増する |
| 運用体制 | 端末紛失時の復旧手順があるか | リカバリーコードを誰も保管していない |
MFAの認証方式選びでは、次のような失敗がよく見られます。
こうした失敗の多くは、認証方式を「導入して終わり」にしてしまうことが原因です。
定期的な見直しと、復旧手順の整備までセットで進めることが重要です。
概算費用を確認したい方へ
認証方式の切り替えにかかる費用は、対象アカウント数やMicrosoft 365のライセンス構成によって変わります。
予算申請や社内検討のために、まずは概算見積をご依頼ください。
RIKEN TOKYOでは、認証方式の選定から導入・運用まで一貫して支援しています。
| 支援内容 | 具体例 |
|---|---|
| 現状整理 | 利用中のサービスとMFA設定状況の棚卸し |
| 設計 | Microsoft Entra IDを使った認証方式・対象範囲の設計 |
| 導入 | 認証アプリ・パスキーの段階的な展開、社員向け説明 |
| 運用 | 端末紛失時の復旧手順整備、定期的な見直し |
オフィス環境とIT環境をまとめて相談できる点も、RIKEN TOKYOの特長です。
詳しくはMicrosoft & DXページもあわせてご覧ください。
認証方式選びで押さえるべきポイントを整理します。
なお、MFAの基本的な必要性や導入の進め方については、多要素認証（MFA）とは？中小企業が今すぐ導入すべき理由と進め方でも詳しく解説しています。
認証方式の選び方でお悩みの方は、RIKEN TOKYOにお気軽にご相談ください。
現状の利用状況を伺ったうえで、無理のない移行プランをご提案します。
すぐに使えなくなるわけではありませんが、Microsoftはフィッシングに強い認証方式への移行を進めており、SMS・音声認証の既定提供は縮小される方向にあります。早めに認証アプリやパスキーへの移行を検討することをおすすめします。
多くの中小企業では、まず認証アプリで土台を作り、対応サービスが増えてきた段階でパスキーへ移行するのが現実的です。全社一斉の切り替えにこだわる必要はありません。
見直せます。RIKEN TOKYOでは、情シス不在・兼任の中小企業でも進めやすいように、現状整理から設計・導入・社員向け説明まで段階的に支援しています。
ライセンスによっては、追加コストなしで認証アプリやパスキーを利用できる場合があります。現在のライセンス構成を確認したうえでご案内しますので、まずはご相談ください。
