多要素認証とは｜二段階認証との違いを30秒で
最初に30秒で答えます。多要素認証とは、ログインのときに種類の違う確認を2つ以上組み合わせて本人かどうかを確かめる仕組みです。IPA（情報処理推進機構）は、記憶情報・所持情報・生体情報のうち2つ以上を用いた認証方式と説明し、仮にIDと1つ目のパスワードを不正利用されてもログインはできないことから、不正ログインの防止に効果があるとしています（出典：IPA 不正ログイン対策特集ページ）。
| 要素 | 中身 | 例 |
|---|---|---|
| 記憶情報（知っているもの） | 本人だけが知っている情報 | パスワード、暗証番号 |
| 所持情報（持っているもの） | 本人だけが持っているもの | スマートフォンの認証アプリ、セキュリティキー |
| 生体情報（本人そのもの） | 本人の身体的な特徴 | 指紋、顔 |
二段階認証との違いは、「段階」が確認の回数、「要素」が確認の種類を指す点です。たとえばパスワードのあとに「秘密の質問」を聞く方式は、確認が2回ある二段階認証ですが、どちらも記憶情報なので要素は1種類のままです。片方が漏れる状況ではもう片方も漏れていることが多く、守りとしては弱くなります。Microsoftも、2要素認証（2FA）は多要素認証の一種で、確認のステップが2つに限定されたものと整理しています（出典：Microsoft「多要素認証（MFA）とは」）。
実務では、名前の違いにこだわる必要はありません。Googleのように、スマートフォンへの通知や認証アプリを使う方式を「2段階認証プロセス」と呼んでいるサービスもあります。確認すべきことは1つだけです。パスワードとは種類の違う確認が、もう1つ重なっているか。これを満たしていれば、呼び名がどうであれ多要素認証として機能します。
なぜパスワードだけでは守れないのか
連載1日目の情報漏えいの原因ランキングで確認したとおり、上場企業が公表した情報漏えいの原因で最も多いのは不正アクセスでした。その入口の定番が、推測されやすいパスワードと使い回しです。どこかのサービスから漏れたIDとパスワードの組み合わせは、他のサービスでも試されます。自社がどれだけ注意していても、使い回しがあれば、よそのサービスの事故が自社の事故に連鎖します。
弊社はスプレッドシート・フォーム・業務の自動化の案件で、さまざまな会社のアカウント管理の現場を見てきました。そこで繰り返し目にするのは、1つの共有パスワードを部署全員が何年も使い続けている、退職した人や外注先の個人アカウントで作られた仕組みがそのまま動いている、担当者の交代時に引き継ぎ資料がない、といった状態です。こうした現場では、いまのパスワードを誰が知っているのかを、もう誰も把握できていません。
つまり現実の会社では、「パスワードが漏れない」前提に立つこと自体に無理があります。だからこそ、漏れているかもしれない前提で、2つ目の鍵を重ねるのが多要素認証の考え方です。IPAも不正ログイン対策として、パスワードの作成・管理方法とあわせて多要素認証の設定を案内しています。パスワード自体の整え方はこの連載のパスワード管理の回で扱っているので、本記事は「その上に何を重ねるか」に絞ります。
なお、多要素認証は高額な機器を買う対策ではありません。主要なサービスでは追加費用なしで設定でき、連載2日目で紹介した基本の6か条と同じく、「機器の購入より先に片付ける基本」の1つです。
会社で最初に設定する5つのサービス｜メールが最優先
社内のすべてのサービスに一度に設定しようとすると、作業が多すぎて止まります。現実的なのは、漏れたときの被害が大きい順に5つへ絞って、先に終わらせることです。弊社が推奨する優先順は次のとおりです。
| 優先順 | サービス | 最優先にする理由 |
|---|---|---|
| 1. メール | 会社のメールアカウント | 他のサービスのパスワード再設定の受け口。ここを取られると残り全部に連鎖する |
| 2. クラウドストレージ | ファイル置き場・共有ドライブ | 顧客情報や社内資料の本体が置かれている |
| 3. 会計・銀行 | 会計ソフト、ネットバンキング | 金銭に直結する。銀行側が独自の認証手段を用意している場合はその案内に従う |
| 4. SNS・広告 | 公式SNS、広告の管理画面 | 乗っ取られると、なりすましの発信が顧客に向かう |
| 5. サーバー・ドメイン | ホームページの管理画面、ドメイン管理 | サイトの土台。乗っ取りは改ざんや勝手な移管につながる |
メールを最優先にする理由は単純で、ほとんどのサービスは「パスワードを忘れた場合」の再設定をメールで受け付けるからです。メールに入られると、攻撃者は他のサービスのパスワードを次々に再設定できてしまいます。逆に言えば、メールさえ固めれば、その連鎖を断ち切れます。
進め方は、次の2段階に分けると止まりません。
- 管理者（30分）——上の5分類に当てはまる自社のサービスと、アカウントを持っている人を一覧にする。会社の入口がいくつあるかを先に見えるようにする
- 各自（1サービスあたり10分前後）——一覧の上から順に、各サービスの設定画面で多要素認証を有効にする。1日で終わらせず、今週中に5つ、と期限を切る
ホームページの管理画面やドメインは、制作会社や外注先しか入れない状態になっている会社も多いはずです。その場合は、まずアカウントの所有を自社に戻すことが先になります。詳しくは外注してもアカウントと名義は自社で持つをご覧ください。
設定のやり方｜SMSより認証アプリを基本に
多要素認証の「2つ目の確認」には、いくつかの方式があります。たとえばGoogleアカウントの2段階認証プロセスでは、パスキー（指紋・顔・PIN）、スマートフォンへの通知、認証アプリの確認コード、SMSや音声通話のコード、ハードウェアのセキュリティキーといった方法が用意されています（出典：Google アカウント ヘルプ「2段階認証プロセスを有効にする」）。
どれを選ぶかの基準は、SMSより認証アプリやプッシュ通知を優先することです。Microsoftは、テキストメッセージのコードは多要素認証がまったくないよりはよいものの、傍受されるおそれがあり、認証アプリ・プッシュ通知・生体認証のほうがより強い保護になると説明しています。SMSしか選べないサービスもありますが、その場合でも設定しないよりは設定するほうがよい、という順序で考えてください。
設定画面の場所と、迷ったときの頼り先
設定は多くのサービスで、アカウントの「セキュリティ」設定の中にあります。Googleアカウントの場合は、アカウント設定のセキュリティの項目から「2段階認証プロセス」を有効にし、画面の案内に従って確認方法を登録する流れです（2026年10月時点の公式ヘルプによる。画面の名称や手順は変わることがあるため、設定時に最新のヘルプをご確認ください）。
自社で使っているサービスの手順が分からないときは、前出のIPAの特集ページが役立ちます。Google・Microsoft・Apple・Amazon・X（旧Twitter）など主要なサービスごとの多要素認証の設定手順書が公開されており、画面を見ながら進められます。社員への案内文に、このページへのリンクを添えるだけでも設定のハードルはかなり下がります。
機種変更と復旧用コード｜「入れなくなった」を防いで続ける
多要素認証が後回しにされるいちばんの理由は、「スマートフォンを替えたらログインできなくなりそう」という不安です。これは、設定した日に2つの備えをしておけば防げます。
- 備え1：復旧用コードを保管する——多くのサービスは、スマートフォンが使えないときのための復旧用コードを発行できます。Googleアカウントの場合は8桁のバックアップコードを印刷またはダウンロードして保管でき、誰にも共有しないよう案内されています。発行したコードは、パスワード管理ツールのメモ欄や施錠できる場所など、会社で決めた置き場に保管します
- 備え2：機種変更は、旧端末を手放す前に引き継ぐ——認証アプリは新しい端末への引き継ぎ機能を持っています。たとえばGoogle認証システムは、Googleアカウントに確認コードを同期する方法と、旧端末でQRコードを表示して新端末で読み取る方法が案内されています（出典：Google アカウント ヘルプ「Google 認証システムで確認コードを取得する」。2026年10月時点）。下取りや初期化の前に、引き継ぎを済ませることが肝心です
会社として決めておくルールは3つで足ります。（1）多要素認証を設定したら、復旧用コードを決めた場所に保管する、（2）機種変更のときは、旧端末を初期化する前に認証アプリを引き継ぐ、（3）担当者が交代するときは、各サービスの再設定用メールアドレスと電話番号が前任者のままになっていないか確認する。弊社が現場で見てきたトラブルの多くは、この3つ目の「前任者のまま」で起きています。退職時のアカウント整理の手順全体は、この連載で後日1本の記事として取り上げます。
最後に、続け方です。連載2日目で提案した月1回の点検に、「今月新しく契約したサービスに多要素認証はあるか」という1行を足してください。新しいサービスの契約時に設定してしまえば、あとから一斉にやり直す作業は発生しません。弊社が点検で見てきたとおり、事故は誰も見ていない入口から起きます。今日やることを1つに絞るなら、自分の会社のメールアカウントに多要素認証を設定する。10分前後で、連鎖の起点を断ち切れます。
本記事の内容は、2026年10月時点で公表されている資料をもとに編集部が整理したものです。最新の情報は各出典でご確認ください。
アカウントを固めたら、サイト側の入口も点検する
メールやクラウドの入口を多要素認証で固めても、ホームページや業務ツールの側に穴が残っていれば、そこが入口になります。セキュリティ診断は5,000円（税抜）の固定料金で、サイトのURLだけで始められます。点検後の更新・バックアップ・監視は、月額9,800円（税抜）からの保守で引き受けます。
セキュリティ診断の内容を見る →よくある質問
Q. 多要素認証と二段階認証はどう違うのですか？
「段階」は確認の回数、「要素」は確認の種類を指します。パスワードのあとに秘密の質問を聞く方式は二段階ですが、どちらも記憶情報なので要素は1種類です。多要素認証は、記憶情報・所持情報・生体情報のうち種類の違う2つ以上を組み合わせます。サービスによって呼び名は違うため、「パスワードと種類の違う確認が重なっているか」で判断してください。
Q. SMSでコードを受け取る方式でも効果はありますか？
何も設定しないよりは効果があります。ただしMicrosoftの解説では、テキストメッセージのコードは傍受されるおそれがあり、認証アプリ・プッシュ通知・生体認証のほうがより強い保護になるとされています。選べるなら認証アプリを優先し、SMSしか用意されていないサービスでは、SMSでも設定しておく、という順序で考えてください。
Q. スマートフォンを機種変更したら、ログインできなくなりませんか？
設定した日に2つの備えをしておけば防げます。1つ目は復旧用コードの保管です。Googleアカウントなら8桁のバックアップコードを発行して保管できます。2つ目は、旧端末を初期化する前の引き継ぎです。認証アプリには、アカウントへの同期やQRコードで新端末へ移す機能が用意されています。順序を決めて社内に周知しておけば、機種変更は怖くありません。
Q. 社員から「ログインが面倒になる」と反対されています。どう進めればよいですか？
全サービス一斉ではなく、メールなど影響の大きい5つに絞って始めるのが現実的です。確認の手間が毎回かかるかどうかはサービスの仕様によるため、設定前に各サービスの公式ヘルプで確認してみてください。また、IPAが公開しているサービス別の設定手順書を会社側から案内すると、各自で調べる負担がなくなり、反発は小さくなります。目的が「漏れたときに連鎖を断ち切るため」だと伝えることも、納得につながります。