サイバーセキュリティ
最終更新:

【2026年版】中小企業のための多要素認証（MFA）導入ガイド ── パスワードだけでは守れない時代の実践対策

MFAの種類（SMS・認証アプリ・FIDO2/パスキー）、導入優先順位（まずはメール・VPN・クラウド）、従業員への展開方法を解説。中小企業が明日からアクションできる実践的なMFA導入ガイドです。

「うちは中小企業だから、サイバー攻撃なんて関係ないよ」——もしそう思っていらっしゃるなら、少し立ち止まって考えてみてください。

私自身、情報システム部でセキュリティ対策に携わる中で、パスワードだけに頼る認証がいかに危険な状態にあるかを日々実感しています。IPA（独立行政法人情報処理推進機構）の「2024年度 中小企業等実態調査結果」速報版によると、サイバーインシデントの被害を受けた中小企業の被害額の平均は73万円、最大で1億円に達した企業もあったとのことです。

さらに、2026年1月に発表された「情報セキュリティ10大脅威 2026」では、今回初めて「AIの利用をめぐるサイバーリスク」が3位にランクインしました。生成AIの普及により、攻撃者がフィッシングメールの精度を高めたり、パスワード解析を効率化したりするリスクが現実のものとなっています。

実は、8桁程度のパスワードは数時間で解読されてしまう可能性があります。パスワードだけの認証は、もはや「鍵のかかっていない家」に近い状態になってますね。

本記事では、中小企業が限られた予算と人員の中でも実現可能な、多要素認証（MFA）の導入方法を具体的なステップとともに解説してみようと思います。ランサムウェア対策全般については「5つの防御策」、セキュリティの最低限チェックは「セキュリティ対策15選」もあわせて参考にしてみてください。

想定読者

  • 中小企業の経営者・経営層の方
  • 情報システム部門（情シス）の担当者・ひとり情シスの方
  • パスワード管理に不安を感じている方
  • MFAの導入を検討しているが、何から始めればよいか分からない方

この記事で得られること

  • パスワードだけの認証がなぜ危険なのかが具体的にわかる
  • MFA（多要素認証）の3つの方式の違いと選び方がわかる
  • 中小企業が「まずやるべき」導入優先順位がわかる
  • FIDO2・パスキーなど最新の認証技術の基礎がわかる
  • 明日からできる具体的なアクションプランが手に入る

【基礎知識】そもそも「認証」と「多要素認証（MFA）」とは？

認証の3つの要素

「認証」とは、「この人は本当に本人か？」を確認する仕組みのことです。認証には大きく3つの要素があります。

要素意味具体例
知識情報本人だけが知っていることパスワード、暗証番号、秘密の質問
所持情報本人だけが持っているものスマートフォン、ICカード、セキュリティキー
生体情報本人自身の身体的特徴指紋、顔、虹彩（目の模様）

単要素認証と多要素認証の違い

%%{init: {'theme': 'dark', 'themeVariables': {'primaryColor': '#4A90D9', 'primaryTextColor': '#FFFFFF', 'primaryBorderColor': '#6CB4EE', 'lineColor': '#6CB4EE', 'secondaryColor': '#2D5F8A', 'tertiaryColor': '#1A3A5C'}}}%%
flowchart TD
    A["ログイン画面"] --> B{"認証方式は？"}
    B -->|"単要素認証"| C["パスワードのみ<br>（知識情報だけ）"]
    C --> D["突破されやすい"]
    B -->|"多要素認証<br>（MFA）"| E["パスワード<br>＋<br>スマホ認証アプリ"]
    E --> F["2つの要素で<br>安全性が大幅UP"]

    style A fill:#4A90D9,stroke:#6CB4EE,color:#FFFFFF
    style C fill:#8B3A3A,stroke:#CD5C5C,color:#FFFFFF
    style D fill:#8B3A3A,stroke:#CD5C5C,color:#FFFFFF
    style E fill:#2D6B2D,stroke:#4CAF50,color:#FFFFFF
    style F fill:#2D6B2D,stroke:#4CAF50,color:#FFFFFF
    style B fill:#2D5F8A,stroke:#6CB4EE,color:#FFFFFF

多要素認証（MFA：Multi-Factor Authentication） とは、上記3要素のうち2つ以上を組み合わせて本人確認を行う方式です。

たとえば、パスワード（知識情報）を入力した後に、スマホのアプリに表示される6桁の数字（所持情報）を入力する。これが多要素認証です。仮にパスワードが漏れても、攻撃者はあなたのスマホを持っていないため、ログインできません。

💡 「2段階認証」と「多要素認証」の違い 「2段階認証」はログインの手順が2段階あることを指し、「多要素認証」は異なる種類の要素（知識・所持・生体）を組み合わせることを指します。パスワード＋秘密の質問は「2段階」ですが、両方とも「知識情報」なので「多要素」ではありません。パスワード＋スマホ認証アプリは「2段階」かつ「多要素（知識＋所持）」です。

【リスク解説】パスワードだけに頼る5つの危険性

パスワードだけの認証（単要素認証）には、以下のようなリスクがあります。

リスク内容想定される被害
ブルートフォース攻撃総当たりで全パターンを試す短い・単純なパスワードは数時間で突破
パスワードリスト攻撃他サービスで漏洩したパスワードを流用パスワードの使い回しで芋づる式に突破
フィッシング偽サイトでパスワードを騙し取る本物そっくりの偽ログイン画面に入力してしまう
ショルダーハッキング入力中のパスワードを覗き見されるカフェ・オフィスでの入力時に盗み見
AIによる解析生成AIを活用した高速なパスワード推測パスワードのパターン分析・辞書攻撃の精度が向上

共用アカウントの見えないリスク

中小企業でありがちなのが、1つのアカウントを複数人で共有しているケースです。たとえば「管理者アカウント」を部門全員で使い回している状況は、以下の理由で非常に危険です。

  • アクセスログで「誰が操作したか」を特定できない → 不正操作の原因究明ができない
  • 退職者がパスワードを知ったまま → 退職後もアクセス可能な状態が続く
  • パスワード変更時の周知漏れ → 業務が止まるリスクも

共用アカウントは極力なくし、個人ごとのアカウント＋多要素認証の運用に切り替えることを強くおすすめします。

実際に起きたセキュリティ被害事例

事例① VPN機器経由のランサムウェア攻撃

2025年には、VPN機器の脆弱性を突かれたランサムウェア攻撃が相次ぎました。警察庁の調査によると、ランサムウェアの感染経路の約8割がVPN等のネットワーク機器からとされています。多くのケースで、VPN機器のパスワードが初期設定のままだったり、多要素認証が設定されていなかったことが原因でした。VPNを継続する場合のMFA設定に加え、VPNそのものから脱却してSASE/SSEへ移行する方法は「VPN脱却ガイド」で解説しています。

事例② サプライチェーン経由の大規模情報漏洩

2025年には、中小企業のセキュリティの弱さを突いて大企業へ侵入する「サプライチェーン攻撃」が多数発生しました。IPAの調査では、サイバーインシデントにより取引先に影響があった企業は約7割に上ります。認証が脆弱な取引先を経由して攻撃者が侵入し、発注元企業の機密情報が漏洩するケースが後を絶ちません。

事例③ 160億件のパスワード情報流出

2025年には、世界全体で160億件超のログイン情報（ID・パスワード）が流出していたことが報告されました。攻撃者はこれらのリストを使って、自動化ツールで何千ものサイトにログインを試行し続けています。つまり、あなたのパスワードも「すでに漏れている可能性がある」ということです。

【比較】MFAの3つの方式 ── SMS・認証アプリ・FIDO2/パスキー

MFA方式の比較一覧

方式セキュリティ強度導入コスト使いやすさフィッシング耐性おすすめ度
SMS認証★★☆☆☆無料〜低◎ 簡単△ 弱い最初の一歩に
認証アプリ（TOTP）★★★☆☆無料○ やや簡単△ 弱い標準的な選択
FIDO2/パスキー★★★★★無料〜中◎ 最も簡単◎ 非常に強い最終目標

TOTP（Time-based One-Time Password）とは、日本語で「時間ベースのワンタイムパスワード」を意味します。

① SMS認証

%%{init: {'theme': 'dark', 'themeVariables': {'primaryColor': '#4A90D9', 'primaryTextColor': '#FFFFFF', 'primaryBorderColor': '#6CB4EE', 'lineColor': '#6CB4EE', 'secondaryColor': '#2D5F8A', 'tertiaryColor': '#1A3A5C'}}}%%
flowchart TD
    A["1. ID・パスワード<br>入力"] --> B["2. SMSで<br>6桁の数字が届く"]
    B --> C["3. 届いた数字を<br>画面に入力"]
    C --> D["ログイン成功"]

    style A fill:#4A90D9,stroke:#6CB4EE,color:#FFFFFF
    style B fill:#2D5F8A,stroke:#6CB4EE,color:#FFFFFF
    style C fill:#2D5F8A,stroke:#6CB4EE,color:#FFFFFF
    style D fill:#2D6B2D,stroke:#4CAF50,color:#FFFFFF

仕組み：パスワードを入力後、携帯電話のSMS（ショートメッセージ）に認証コードが届きます。そのコードを画面に入力するとログインできます。

メリット：

  • 特別なアプリが不要で、携帯電話さえあれば使える
  • ITに詳しくない従業員でもすぐに使える

デメリット：

  • SIMスワップ攻撃（電話番号の乗っ取り）のリスク
  • SMSを傍受される可能性
  • フィッシングサイトにコードを入力してしまうリスクは残る

こんな企業におすすめ：まずMFAの第一歩を踏み出したい企業

② 認証アプリ（TOTP）

%%{init: {'theme': 'dark', 'themeVariables': {'primaryColor': '#4A90D9', 'primaryTextColor': '#FFFFFF', 'primaryBorderColor': '#6CB4EE', 'lineColor': '#6CB4EE', 'secondaryColor': '#2D5F8A', 'tertiaryColor': '#1A3A5C'}}}%%
flowchart TD
    A["1. ID・パスワード<br>入力"] --> B["2. 認証アプリを開く<br>（30秒ごとに変わる<br>6桁コードを確認）"]
    B --> C["3. 表示された<br>コードを入力"]
    C --> D["ログイン成功"]

    style A fill:#4A90D9,stroke:#6CB4EE,color:#FFFFFF
    style B fill:#2D5F8A,stroke:#6CB4EE,color:#FFFFFF
    style C fill:#2D5F8A,stroke:#6CB4EE,color:#FFFFFF
    style D fill:#2D6B2D,stroke:#4CAF50,color:#FFFFFF

仕組み：スマートフォンに「認証アプリ」をインストールし、30秒ごとに変わるワンタイムパスワード（6桁の数字）を使います。

代表的なアプリ：

  • Google Authenticator（無料）
  • Microsoft Authenticator（無料）
  • Authy（無料）

メリット：

  • SMSより安全（通信を傍受されない）
  • インターネット接続がなくてもコードを生成できる
  • 導入コストがゼロ

デメリット：

  • スマホの紛失・故障時のリカバリー手順が必要
  • フィッシングサイトにコードを入力してしまうリスクは残る
  • アプリのインストールと初期設定が必要

こんな企業におすすめ：コストをかけずにセキュリティを強化したい企業

③ FIDO2 / パスキー（最も安全な方式）

%%{init: {'theme': 'dark', 'themeVariables': {'primaryColor': '#4A90D9', 'primaryTextColor': '#FFFFFF', 'primaryBorderColor': '#6CB4EE', 'lineColor': '#6CB4EE', 'secondaryColor': '#2D5F8A', 'tertiaryColor': '#1A3A5C'}}}%%
flowchart TD
    A["1. ログイン画面で<br>アカウントを選択"] --> B["2. 指紋・顔認証<br>またはPIN入力<br>（デバイス上で完結）"]
    B --> C["3. デバイス内の<br>秘密鍵で署名"]
    C --> D["4. サーバーが<br>公開鍵で検証"]
    D --> E["ログイン成功<br>パスワード入力不要！"]

    style A fill:#4A90D9,stroke:#6CB4EE,color:#FFFFFF
    style B fill:#2D5F8A,stroke:#6CB4EE,color:#FFFFFF
    style C fill:#2D5F8A,stroke:#6CB4EE,color:#FFFFFF
    style D fill:#2D5F8A,stroke:#6CB4EE,color:#FFFFFF
    style E fill:#2D6B2D,stroke:#4CAF50,color:#FFFFFF

💡 FIDO2（ファイド・ツー）とは？ FIDO2は、パスワードを使わずに安全にログインできる国際標準規格です。「FIDO（Fast IDentity Online）アライアンス」という業界団体が策定し、Google・Apple・Microsoftなどの大手IT企業が推進しています。

💡 パスキーとは？ パスキーは、FIDO2の技術をベースに、より使いやすくした認証方法です。スマートフォンやPCに内蔵された指紋認証・顔認証を使って、パスワードなしでログインできます。

なぜフィッシングに強いのか？

従来の方式（SMS認証・認証アプリ）では、偽サイトにコードを入力してしまう「フィッシング」のリスクがありました。パスキーは「公開鍵暗号方式」を使い、秘密鍵がデバイスの外に出ることがないため、偽サイトに認証情報を盗まれる心配がありません。フィッシング対策の全体像については「フィッシング・BEC対策ガイド」もあわせてご参照ください。

%%{init: {'theme': 'dark', 'themeVariables': {'primaryColor': '#4A90D9', 'primaryTextColor': '#FFFFFF', 'primaryBorderColor': '#6CB4EE', 'lineColor': '#6CB4EE', 'secondaryColor': '#2D5F8A', 'tertiaryColor': '#1A3A5C'}}}%%
flowchart TD
    subgraph デバイス側["あなたのデバイス"]
        A["秘密鍵<br>（外部に出ない）"]
        B["指紋/顔認証で<br>鍵のロック解除"]
    end
    subgraph サーバー側["サービスのサーバー"]
        C["公開鍵<br>（検証用）"]
    end
    A -->|"署名を送信<br>（鍵そのものは送らない）"| C
    B --> A

    style A fill:#2D6B2D,stroke:#4CAF50,color:#FFFFFF
    style B fill:#2D5F8A,stroke:#6CB4EE,color:#FFFFFF
    style C fill:#4A90D9,stroke:#6CB4EE,color:#FFFFFF

パスキーの種類

種類説明例
デバイスバインド型1台のデバイスに紐づく。コピー不可YubiKey、Google Titanキー
同期型クラウド経由で複数デバイスに同期Apple iCloudキーチェーン、Google Password Manager

2025年10月には、日本証券業協会がパスキー（FIDO2）を含む強固な認証を必須とするガイドラインを施行するなど、パスワードレス認証は「標準」に向かって動き始めています。

【優先順位】中小企業のMFA導入 ── まずどこから始めるか

セキュリティ対策の人員も予算も限られている中小企業では、「全部一度にやる」のではなく、リスクの高いところから段階的に導入することが重要です。

導入優先度マップ

%%{init: {'theme': 'dark', 'themeVariables': {'primaryColor': '#4A90D9', 'primaryTextColor': '#FFFFFF', 'primaryBorderColor': '#6CB4EE', 'lineColor': '#6CB4EE', 'secondaryColor': '#2D5F8A', 'tertiaryColor': '#1A3A5C'}}}%%
flowchart TD
    A["最優先（今すぐ）"] --> A1["メール<br>（Microsoft 365 / Google Workspace）"]
    A --> A2["VPN・リモートアクセス"]
    A --> A3["クラウドストレージ<br>（Google Drive / OneDrive 等）"]

    B["次に対応（1〜3ヶ月以内）"] --> B1["会計・経理システム"]
    B --> B2["顧客管理（CRM）"]
    B --> B3["社内グループウェア"]

    C["段階的に拡大（3〜6ヶ月）"] --> C1["社内ファイルサーバー"]
    C --> C2["業務用アプリケーション"]
    C --> C3["管理者アカウント全般"]

    style A fill:#8B3A3A,stroke:#CD5C5C,color:#FFFFFF
    style B fill:#8B7D3A,stroke:#D4A843,color:#FFFFFF
    style C fill:#2D5F8A,stroke:#6CB4EE,color:#FFFFFF
    style A1 fill:#6B2D2D,stroke:#CD5C5C,color:#FFFFFF
    style A2 fill:#6B2D2D,stroke:#CD5C5C,color:#FFFFFF
    style A3 fill:#6B2D2D,stroke:#CD5C5C,color:#FFFFFF
    style B1 fill:#6B5F2D,stroke:#D4A843,color:#FFFFFF
    style B2 fill:#6B5F2D,stroke:#D4A843,color:#FFFFFF
    style B3 fill:#6B5F2D,stroke:#D4A843,color:#FFFFFF
    style C1 fill:#1A3A5C,stroke:#6CB4EE,color:#FFFFFF
    style C2 fill:#1A3A5C,stroke:#6CB4EE,color:#FFFFFF
    style C3 fill:#1A3A5C,stroke:#6CB4EE,color:#FFFFFF

なぜこの順番なのか？

  1. メール（最優先）

メールは業務の起点であり、パスワードリセットの受け口でもあります。メールアカウントが乗っ取られると、他のサービスのパスワードもリセットされてしまい、すべてのアカウントが芋づる式に突破される恐れがあります。

  1. VPN・リモートアクセス（最優先）

前述のとおり、ランサムウェアの感染経路の約8割がVPN等のネットワーク機器からです。テレワークの普及でVPNを使う企業が増えていますが、MFAなしのVPNは攻撃者にとって「開いた扉」です。

  1. クラウドストレージ（最優先）

顧客情報や契約書など、重要なファイルが保存されているクラウドストレージは、情報漏洩に直結する高リスク領域です。クラウド移行を検討している方は、「クラウド移行ロードマップ」で移行時のセキュリティ対策（MFAの導入も含む）もあわせて確認してください。

【実践】具体的なMFA導入手順 ── 明日からできるアクションプラン

ステップ①：現状把握（所要時間：半日）

まず、自社のシステムの認証状況を棚卸ししましょう。

確認チェックリスト

  • 自社で使っているクラウドサービスを一覧化する
  • 各サービスの認証方式を確認する（パスワードのみ？MFA対応？）
  • 共用アカウントの有無を確認する
  • VPN機器の型番・ファームウェアバージョンを確認する
  • 管理者アカウントの一覧を作成する

ステップ②：メールのMFA有効化（所要時間：1〜2時間）

ほとんどの企業が使っているMicrosoft 365またはGoogle WorkspaceでのMFA設定方法です。

Microsoft 365 の場合

  1. 管理者としてMicrosoft 365管理センターにログイン
  2. 「ユーザー」→「アクティブなユーザー」を選択
  3. 「多要素認証」をクリック
  4. MFAを有効化するユーザーを選択
  5. 「有効にする」をクリック
  6. 各ユーザーが次回ログイン時に、Microsoft Authenticatorアプリの設定を案内される

Google Workspace の場合

  1. 管理者としてGoogle管理コンソールにログイン
  2. 「セキュリティ」→「認証」→「2段階認証プロセス」を選択
  3. 「ユーザーが2段階認証プロセスを有効にできるようにする」をオン
  4. 必要に応じて「2段階認証プロセスの適用」を有効化
  5. 各ユーザーにGoogle Authenticatorまたはパスキーの設定を促す

ステップ③：VPNのMFA対応確認（所要時間：1日）

  1. VPN機器のメーカーサイトで、MFA対応状況を確認する
  2. ファームウェアが最新かチェックし、未更新なら更新する
  3. 対応している場合は、認証サーバー（RADIUS等）との連携を設定
  4. 対応していない場合は、MFA対応のVPN機器への更新を検討

⚠️ 注意：VPN機器の管理者パスワードが初期設定のままの企業は、今すぐ変更してください。これだけでもリスクを大幅に下げられます。

ステップ④：クラウドサービスのMFA有効化（所要時間：サービスごとに30分）

利用中のクラウドサービス（会計ソフト、CRM、チャットツール等）の管理画面から、順次MFAを有効化します。ほとんどのサービスが無料でMFA機能を提供しています。

ステップ⑤：従業員への展開（所要時間：2〜3日）

%%{init: {'theme': 'dark', 'themeVariables': {'primaryColor': '#4A90D9', 'primaryTextColor': '#FFFFFF', 'primaryBorderColor': '#6CB4EE', 'lineColor': '#6CB4EE', 'secondaryColor': '#2D5F8A', 'tertiaryColor': '#1A3A5C'}}}%%
flowchart TD
    A["STEP 1<br>経営層が率先導入<br>（まず社長から）"] --> B["STEP 2<br>IT担当・管理職に<br>展開"]
    B --> C["STEP 3<br>全従業員に<br>段階的に展開"]
    C --> D["STEP 4<br>定期的な<br>フォローアップ"]

    style A fill:#4A90D9,stroke:#6CB4EE,color:#FFFFFF
    style B fill:#2D5F8A,stroke:#6CB4EE,color:#FFFFFF
    style C fill:#2D5F8A,stroke:#6CB4EE,color:#FFFFFF
    style D fill:#2D6B2D,stroke:#4CAF50,color:#FFFFFF

従業員向け説明のポイント

  • 「面倒が増える」のではなく「会社と自分を守る仕組み」であることを伝える
  • 実際の操作画面を見せながら説明する（スクリーンショットやデモ）
  • スマホの紛失時・機種変更時の対処法を事前に伝えておく
  • 「困ったらここに聞ける」という窓口を明確にする

【補足】社内ネットワークでも油断は禁物 ── ゼロトラストの考え方

「社内ネットワークだから安全」という考えは、もはや通用しません。

💡 ゼロトラスト（Zero Trust）とは？ 「社内・社外を問わず、すべてのアクセスを信頼せずに検証する」というセキュリティの考え方です。

従来の「境界型セキュリティ」は、社内ネットワークの中は安全、外は危険、という前提でした。しかし、一度社内に侵入されると被害が一気に拡大するリスクがあります。実際に、VPN経由で社内ネットワークに侵入し、内部のシステムを次々と攻撃するケースが後を絶ちません。

%%{init: {'theme': 'dark', 'themeVariables': {'primaryColor': '#4A90D9', 'primaryTextColor': '#FFFFFF', 'primaryBorderColor': '#6CB4EE', 'lineColor': '#6CB4EE', 'secondaryColor': '#2D5F8A', 'tertiaryColor': '#1A3A5C'}}}%%
flowchart TD
    subgraph 従来型["従来型（境界型）"]
        direction TB
        X1["社外 = 危険"] --> X2["ファイアウォール<br>（境界）"]
        X2 --> X3["社内 = 安全<br>（何でもアクセスOK）"]
    end
    subgraph ゼロトラスト型["ゼロトラスト型"]
        direction TB
        Y1["すべてのアクセス"] --> Y2["毎回認証<br>＋権限チェック"]
        Y2 --> Y3["必要最小限の<br>アクセスのみ許可"]
    end

    style X1 fill:#8B3A3A,stroke:#CD5C5C,color:#FFFFFF
    style X2 fill:#8B7D3A,stroke:#D4A843,color:#FFFFFF
    style X3 fill:#8B3A3A,stroke:#CD5C5C,color:#FFFFFF
    style Y1 fill:#2D5F8A,stroke:#6CB4EE,color:#FFFFFF
    style Y2 fill:#4A90D9,stroke:#6CB4EE,color:#FFFFFF
    style Y3 fill:#2D6B2D,stroke:#4CAF50,color:#FFFFFF

社内ネットワーク上のシステム ── ファイルサーバー、業務アプリケーション、プリンターの管理画面 ── すべてに対して強固な認証を設定しておくべきです。「社内だから大丈夫」ではなく、「社内だからこそ、侵入された時の被害が甚大」という認識を持つことが大切です。ゼロトラストの全体像と、MFAの先にある段階的な導入ステップは「ゼロトラストセキュリティ入門」で詳しく解説しています。

【制度対応】2026年度に始まる「セキュリティ対策評価制度」への備え

経済産業省の新制度とは

経済産業省は、2026年度末頃の運用開始を目指して「サプライチェーン強化に向けたセキュリティ対策評価制度」の制度設計を進めています。この制度は、企業のセキュリティ対策状況を★3・★4・★5の3段階で評価し、可視化するものです。制度の詳細は「SCS評価制度の解説記事」で詳しく解説しています。

中小企業への影響

今後、取引先の大企業から「★3以上の認証取得」を求められる可能性があります。つまり、セキュリティ対策が取引条件になる時代が来るということです。

この制度の評価項目には「認証・アクセス制御」が含まれる見込みであり、多要素認証の導入は★3レベルでも必須項目になる可能性が高いと考えられます。

また、中小企業向けの支援策として、IPAと経済産業省は新たな「サイバーセキュリティお助け隊サービス」を創設する予定です。セキュリティ対策の評価・ITツール導入・人的支援がワンパッケージで、安価に提供されるサービスとして設計されています。セキュリティ対策に使える補助金については「サイバーセキュリティ対策の補助金ガイド」もあわせてご参照ください。

【事例集】業種・規模別のMFA導入ユースケース

ユースケース① 製造業（従業員30名）

課題：取引先の大手メーカーからセキュリティ強化を求められた

対応：

  1. Microsoft 365のMFAを全従業員で有効化（認証アプリ）
  2. VPN機器をMFA対応モデルに更新
  3. 設計図面の保存先（クラウドストレージ）にMFAを設定
  4. 共用の「工場端末アカウント」を廃止し、個人アカウントに移行

効果：取引先のセキュリティ監査をクリア。新規取引の獲得にもつながった。

ユースケース② 会計事務所（従業員10名）

課題：顧客の財務データを扱うため、情報漏洩リスクが高い

対応：

  1. 会計ソフト（クラウド版）のMFAを有効化
  2. 全スタッフにGoogle Authenticatorを導入
  3. 顧客データへのアクセスを個人アカウントのみに制限
  4. 退職者のアカウント即時無効化のルールを策定

効果：顧客からの信頼度が向上。「セキュリティがしっかりしている」と新規顧客獲得の差別化要因に。

ユースケース③ 小売業（従業員50名・複数店舗）

課題：各店舗で共用アカウントを使い回しており、誰の操作か追跡できない

対応：

  1. POSシステムと在庫管理システムに個人アカウントを付与
  2. 店長以上にはMFA（認証アプリ）を導入
  3. 全店舗のWi-Fiパスワードを定期変更するルールを策定
  4. 本部のクラウド管理ツールにパスキーを導入

効果：不正操作の抑止力が向上。在庫の不整合が減少し、業務改善にも寄与。

ユースケース④ 建設業（従業員20名）

課題：現場作業員が多く、ITリテラシーにばらつきがある

対応：

  1. まず事務所スタッフからMFA導入（Microsoft 365）
  2. 現場用タブレットにはSMS認証を導入（最もシンプルな方式）
  3. 図面共有のクラウドサービスにMFAを設定
  4. 段階的に認証アプリへ移行

効果：現場スタッフの抵抗が少なく、スムーズに導入できた。

【ロードマップ】MFA導入後のステップアップ ── パスキーへの移行

MFAを導入したら、将来的にはより安全なパスキーへの移行を検討しましょう。

%%{init: {'theme': 'dark', 'themeVariables': {'primaryColor': '#4A90D9', 'primaryTextColor': '#FFFFFF', 'primaryBorderColor': '#6CB4EE', 'lineColor': '#6CB4EE', 'secondaryColor': '#2D5F8A', 'tertiaryColor': '#1A3A5C'}}}%%
flowchart TD
    A["Phase 1<br>【今すぐ】<br>SMS認証 or<br>認証アプリ導入"] --> B["Phase 2<br>【3〜6ヶ月後】<br>管理者アカウントに<br>パスキー導入"]
    B --> C["Phase 3<br>【6〜12ヶ月後】<br>全社員に<br>パスキー展開"]
    C --> D["Phase 4<br>【将来目標】<br>パスワードレス<br>運用の実現"]

    style A fill:#8B3A3A,stroke:#CD5C5C,color:#FFFFFF
    style B fill:#8B7D3A,stroke:#D4A843,color:#FFFFFF
    style C fill:#4A90D9,stroke:#6CB4EE,color:#FFFFFF
    style D fill:#2D6B2D,stroke:#4CAF50,color:#FFFFFF

パスキーは、Google・Apple・Microsoftのアカウントですでに対応しており、利用者は急速に増えています。「セキュリティ強化」だけでなく「利便性向上」にもつながるのが、パスキーの大きな魅力です。

よくある質問（FAQ）

Q1. MFAを導入すると、ログインが面倒になりませんか？

A. 最初は少し手間が増えますが、慣れれば数秒の作業です。パスキーを使えば、指紋や顔認証だけでログインでき、むしろパスワードを手入力するより楽になります。「面倒」と「安全」のトレードオフですが、一度導入すれば日常的な負担はほとんど感じないかと思います。

Q2. スマホを持っていない従業員がいます。どうすればよいですか？

A. USBセキュリティキー（YubiKeyなど、1本約5,000〜7,000円程度）を支給する方法があります。また、会社支給のスマホに認証アプリを入れる方法も検討してみてください。

Q3. スマホを紛失した場合、ログインできなくなりませんか？

A. 事前にバックアップコード（リカバリーコード）を発行して安全な場所に保管しておけば大丈夫です。また、管理者がMFAを一時的にリセットする手順も事前に決めておくことをおすすめします。

Q4. 導入コストはどれくらいかかりますか？

A. 多くのクラウドサービスでは、MFA機能は追加料金なしで利用できます。Microsoft 365、Google Workspace、Slack、Zoom、Salesforceなど、主要なサービスはすべて標準機能としてMFAを提供しています。物理的なセキュリティキーを購入する場合は1本5,000〜7,000円程度です。

Q5. 小さな会社でもサイバー攻撃の標的になりますか？

A. はい。むしろ中小企業は「セキュリティが手薄」だと思われ、攻撃者にとって狙いやすいターゲットです。特にサプライチェーン攻撃では、大企業への侵入口として中小企業が踏み台にされるケースが増えています。

Q6. パスキーに対応していないサービスはどうすればよいですか？

A. 現時点でパスキーに対応していないサービスでは、認証アプリ（TOTP）によるMFAを設定してください。パスキー対応は今後急速に広がると予想されるため、対応したタイミングで順次切り替えていくのがよいかと思います。

Q7. IT担当者がいない場合、誰がMFAの管理をすればよいですか？

A. まずは経営者自身が管理者となり、メールのMFA設定から始めてみてください。IPAの「サイバーセキュリティお助け隊サービス」や、地域のITベンダーに相談するのも有効です。費用をかけずにできる対策から始めることが大切です。

【アクション】MFA導入チェックシート ── 明日からの行動計画

期間アクション担当完了チェック
今日自社のクラウドサービス一覧を作成経営者/IT担当☐
今日VPN機器の管理者パスワードを変更IT担当☐
今週中メール（M365/Google）のMFAを有効化経営者/IT担当☐
今週中共用アカウントの洗い出し各部門長☐
1ヶ月以内クラウドストレージのMFAを有効化IT担当☐
1ヶ月以内全従業員への説明会を実施経営者☐
3ヶ月以内VPNのMFA対応を完了IT担当/ベンダー☐
3ヶ月以内共用アカウントの廃止/個人化IT担当☐
6ヶ月以内管理者アカウントにパスキーを導入IT担当☐
1年以内全社的なパスキー展開を検討経営者/IT担当☐

【まとめ】パスワードだけでは守れない時代 ── 今日からMFAを始めよう

本記事の内容をまとめると、こんな感じになります。

  • パスワードだけの認証は「鍵のかかっていない家」に近い状態。生成AIの進化により攻撃手法はますます巧妙化している
  • MFAには3つの方式がある。SMS認証（最初の一歩）→ 認証アプリ（標準的）→ FIDO2/パスキー（最終目標）
  • 導入はメール・VPN・クラウドストレージから優先的に。段階的に広げていけばよい
  • ほとんどのクラウドサービスでMFAは無料で設定可能。コストはほぼかからない
  • 2026年度には経済産業省のSCS評価制度も始まり、セキュリティ対策が取引条件になる時代が来る
  • パスキーへの移行が最終目標。セキュリティ強化だけでなく利便性も向上する

最初の一歩は小さくていい。でも、今日踏み出すことに意味がある。まずはメールアカウントのMFA設定から始めてみてはいかがでしょうか。

以上となります。

最後まで読んでいただき、ありがとうございました。

参考リンク集

情報源リンク
IPA「中小企業の情報セキュリティ対策ガイドライン」第3.1版https://www.ipa.go.jp/security/guide/sme/about.html
IPA「情報セキュリティ10大脅威 2026」https://www.ipa.go.jp/security/10threats/10threats2026.html
IPA「2024年度 中小企業等実態調査結果」速報版https://www.ipa.go.jp/pressrelease/2024/press20250214.html
経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度」中間取りまとめhttps://www.meti.go.jp/press/2025/04/20250414002/20250414002.html
経済産業省「SCS評価制度の構築方針（案）」https://www.meti.go.jp/press/2025/12/20251226001/20251226001.html
内閣サイバーセキュリティセンター（NISC）セキュリティポータルhttps://security-portal.cyber.go.jp/

関連記事

サイバーセキュリティの記事をもっと読む →