RIKENTOKYOはオフィス環境と仕組みのご提案で「パスワードだけで大丈夫」と思っていませんか。 IDとパスワードが漏れただけで、社内システムやクラウドサービスへの不正アクセスが起きるリスクは、中小企業でも現実の問題になっています。 結論からお伝えすると、多要素認証（MFA）は、パスワード漏洩の被害を最小化するための、最も費用対効果の高いセキュリティ対策のひとつです。 この記事では、MFAの基本的な仕組み、導入しないと起きるリスク、中小企業が実際に導入する手順、よくある失敗例をまとめます。
多要素認証（MFA）とは、システムやサービスへのログイン時に、2つ以上の異なる認証要素を組み合わせて本人確認をする仕組みです。 英語では「Multi-Factor Authentication」と表記し、MFAと略されます。
認証要素には次の3種類があります。
| 要素の種類 | 内容 | 例 |
|---|---|---|
| 知識情報 （知っていること） | 本人しか知らない情報 | パスワード、PIN |
| 所持情報 （持っていること） | 本人しか持っていないもの | スマートフォン、 ICカード、認証アプリ |
| 生体情報 （本人であること） | 身体的な特徴 | 指紋、顔認証 |
たとえば「パスワード＋スマートフォンへの通知承認」という組み合わせが、中小企業では最もよく使われるMFAのパターンです。
「二段階認証」という言葉もよく使われますが、厳密には異なります。
二段階認証は「ログインを2段階に分ける」だけで、同じ種類の要素（たとえばパスワードとSMS認証コードはどちらも「知識情報」）を組み合わせる場合も含まれます。 一方、MFAは「異なる種類の要素」を使うことが条件です。 セキュリティの強度という点では、MFAのほうが確実に高くなります。
パスワードだけの認証が限界を迎えている理由は、3つあります。
偽のログイン画面へ誘導してIDとパスワードを盗む「フィッシング攻撃」は、年々手口が巧妙になっています。 本物のサービスと見分けがつかないほど精巧な偽サイトが増えており、慎重な社員でも騙されるケースが出てきています。
Microsoft 365やクラウドストレージなど、社外からアクセスできるサービスが増えました。 オフィス外からも業務ができる反面、IDとパスワードが漏れると、どこからでも不正アクセスが可能になります。
「複数のサービスで同じパスワードを使っている」という状態は、中小企業の現場でも珍しくありません。 1か所で漏れたパスワードが他のサービスに転用される「リスト型攻撃」は、この状況を悪用した手口です。
MFAを導入することで、パスワードが漏れても不正ログインを防ぐ「第2の防壁」として機能します。
RIKEN TOKYOの視点 RIKEN TOKYOが支援してきた中小企業の中には、Microsoft 365を導入しているにもかかわらずMFAを設定していないケースが少なくありませんでした。「クラウドだから安全」ではなく、「クラウドだからこそ認証を強化する」という考え方が、今の時代に合ったセキュリティの基本です。
導入していないことで起きうるリスクを整理します。
| リスク | 具体的な被害 |
|---|---|
| 不正ログイン | 社内メール・ファイル・顧客情報へのアクセス |
| なりすましメール送信 | 取引先への詐欺メール送付（ビジネスメール詐欺） |
| ランサムウェアの侵入口 | 認証情報を悪用して社内ネットワークへ侵入 |
| クラウドデータの漏洩 | SharePoint・OneDrive上のファイルが流出 |
| コンプライアンス違反 | 個人情報保護法違反・取引先との契約違反 |
特に、Microsoft 365のメールアカウントが乗っ取られた場合、取引先への偽の振込依頼メールが送られるビジネスメール詐欺につながるケースが報告されています。 被害額が数百万円に上るケースもあり、中小企業にとって致命的なダメージになりえます。
MFAは、次の流れで導入すると現場に定着しやすくなります。
まず、社員が業務で使うクラウドサービスを洗い出します。 優先度が高い順に、次のサービスから設定を始めると効果的です。
認証方法には、以下のような種類があります。 中小企業に最も馴染みやすいのは、Microsoft Authenticatorアプリを使った通知承認です。
| 認証方法 | 特徴 | 中小企業での向き不向き |
|---|---|---|
| 認証アプリ（Authenticatorなど） | セキュリティ高・無料 | ◎ おすすめ |
| SMS認証 | 手軽だが電話番号変更時に注意 | ○ 使いやすい |
| ハードウェアトークン | 最も堅牢だがコスト高 | △ 役員・経営者向け |
| 生体認証 | デバイス依存 | ○ PC・スマホに搭載済みなら活用可 |
全社員に一斉展開する前に、まず管理者・情報担当者が設定して動作を確認します。 「設定後にログインできなくなった」というトラブルを防ぐために、事前に緊急アクセス用のアカウント（ブレークグラスアカウント）も用意しておくと安心です。
展開時に最もよくある抵抗は「手間が増える」という反応です。 初回の設定方法と、日常的なログイン手順を簡単にまとめたマニュアルを用意すると、定着がスムーズになります。
退職者のアカウントにMFAデバイスが残ったままになるケースがあります。 人事異動・入退社のタイミングで、アカウントと認証デバイスの棚卸しをセットで行いましょう。
自社のMFA設定に不安がある方へ 「Microsoft 365は導入しているけれどMFAが設定できているか自信がない」という声は多くいただきます。 RIKEN TOKYOでは、現在の設定状況を確認したうえで、無理のない導入・運用をご提案します。 無料相談をする
一般社員にはMFAを設定したが、管理者アカウントは「手間だから」と後回しにしてしまったケースです。 管理者アカウントが乗っ取られると、全社員のアカウントを操作できるため、最も優先して設定すべき対象です。
SMSに届くワンタイムパスワードは、SIMスワッピングと呼ばれる攻撃手法で傍受されるリスクがあります。 セキュリティ強度を上げるためには、認証アプリや生体認証の組み合わせを検討してください。
退職者のアカウントを削除せずに残していると、そのアカウントが不正ログインの入口になります。 MFAデバイスの削除と、アカウントの無効化・削除をセットで対応する運用ルールを作りましょう。
RIKEN TOKYOの視点 Microsoft 365のEntra ID（旧Azure AD）では、条件付きアクセスという機能を使うことで、「社外からのアクセス時だけMFAを要求する」「特定のアプリへのアクセスには必ずMFAを適用する」など、柔軟なポリシー設定が可能です。一律に全操作でMFAを求めると現場から反発が出ることがありますが、リスクに応じた設計にすることで定着しやすくなります。
RIKEN TOKYOでは、Microsoft 365を中心としたMFA導入・認証基盤の整備を支援しています。 情シス不在・兼任の中小企業でも、現状の確認から設計・設定・社員向け説明まで、ワンストップでお任せいただけます。
| 支援内容 | 具体例 |
|---|---|
| 現状確認・課題整理 | Microsoft 365のMFA設定状況の確認、未設定アカウントの洗い出し |
| MFA設計 | 認証方法の選定、条件付きアクセスポリシーの設計 |
| 導入・設定 | Microsoft Authenticator設定支援、Entra IDの構成 |
| 社員展開サポート | 設定マニュアル作成、社内説明会のサポート |
| 運用設計 | 入退社時のアカウント管理フロー整備 |
Microsoft 365のライセンス・設定・運用に関する相談は、Microsoft & DXページもあわせてご覧ください。 セキュリティ全般の課題整理については、課題から探すページもご活用ください。
多要素認証（MFA）について、改めて整理します。
セキュリティ対策に何から手をつければよいか迷っている方は、まずRIKEN TOKYOにご相談ください。 現状の課題を整理したうえで、優先順位をつけた進め方をご提案します。
必要です。中小企業はサイバー攻撃のターゲットになりやすく、特にクラウドサービスを使っている場合はMFA未設定のリスクが高くなります。Microsoft 365などは設定費用なしで導入できるため、早期に対応することをおすすめします。
設定できます。RIKEN TOKYOでは、情シス不在・兼任の中小企業でも進めやすいよう、設定から社員説明まで対応しています。まずは現状の確認から始めることが可能です。
Microsoft 365のBusinessライセンスには、MFAを設定する機能が標準で含まれています。ただし、自動的に有効になるわけではないため、管理者側での設定が必要です。より高度な条件付きアクセスを使う場合は、Entra ID P1以上のライセンスが必要になります。
最初の設定時に少し手間はかかりますが、一度設定すれば日常のログインで追加されるのは10〜20秒程度の操作です。条件付きアクセスで「社内ネットワークからはMFA不要」などの設定も可能なため、業務負担を最小化しながら運用できます。
まずMFAの設定、次にEDRや定期バックアップという順番が、中小企業には現実的な優先順位です。自社の状況がわからない場合は、RIKEN TOKYOの無料相談で現状整理から始めることができます。
