多要素認証を会社全体に導入する手順｜Microsoft 365・Google Workspaceの設定と社員への展開
パスワードだけで守られたアカウントは、パスワードが漏れたり推測されたりすると、簡単に乗っ取られます。多要素認証は、パスワードに加えてスマートフォンのアプリなどで本人確認を行う仕組みで、不正なログインを防ぐ効果が非常に高い対策です。取引先のセキュリティチェックシートでも、ほぼ必ず聞かれる項目です。
この記事では、多要素認証を会社全体に導入する手順を、Microsoft 365・Google Workspaceを例に解説します。
この記事の結論
- 多要素認証は、不正ログイン対策として最も効果の大きい対策のひとつ
- 導入は管理者 → 一部の社員 → 全社員の順に段階的に進める
- 認証方法は、認証アプリを基本にし、SMSは代わりの手段にとどめる
- つまずきやすいのは機種変更・スマホを持たない社員・共有アカウント。先にルールを決めておく
多要素認証とは
多要素認証（MFA）とは、「知っているもの（パスワード）」「持っているもの（スマートフォン、セキュリティキー）」「本人の特徴（指紋、顔）」のうち、2つ以上を組み合わせて本人を確認する仕組みです。パスワードが漏れても、持っているものがなければログインできないため、不正なログインを大きく減らせます。2段階認証と呼ばれることもあります。
認証方法の比べ方
| 方法 | 安全性 | 使いやすさ | 向いている使い方 |
|---|---|---|---|
| 認証アプリ（Microsoft Authenticator、Google 認証システムなど） | 高い | 通知を承認するだけで使える | 基本の方法 |
| セキュリティキー・パスキー | 非常に高い | 機器の用意が必要 | 管理者、重要な権限を持つ人 |
| SMS・電話 | 認証アプリより低い | スマホがあればすぐ使える | 代わりの手段、一時的な利用 |
導入の手順
- 現状を確認するアカウントの一覧、管理者の人数、すでに多要素認証を使っている人、共有アカウントを洗い出す
- ルールを決める認証方法、スマホを持たない社員への対応、機種変更や紛失時の手続きを決める
- 管理者から始めるまず管理者のアカウントに設定する。乗っ取られたときの被害が最も大きいため
- 一部の社員で試す数名で試し、手順書と問い合わせの内容を確かめる
- 全社員に展開する期限を決めて案内し、登録の会を開くなどして一斉に設定する
- 必須にする登録期間が終わったら、多要素認証なしではログインできない設定にする
管理者のアカウントは別に管理者の権限を持つ人は、普段のメールや作業に使うアカウントと、管理用のアカウントを分けるのが安全です。管理用のアカウントには、より強い認証方法（セキュリティキーなど）を使いましょう。
Microsoft 365・Google Workspaceでの設定の考え方
| Microsoft 365 | Google Workspace | |
|---|---|---|
| 手軽な始め方 | 「セキュリティの既定値」を有効にすると、全員に多要素認証の登録を求められる | 管理コンソールで2段階認証プロセスを有効にし、登録期間を設けて必須にする |
| 細かく制御する方法 | 条件付きアクセス（上位のプランが必要）で、場所や端末に応じて条件を変える | 組織部門ごとに必須化の時期や認証方法を変える |
| 登録状況の確認 | 管理センターで、ユーザーごとの認証方法の登録状況を確認する | 管理コンソールのレポートで、登録状況を確認する |
画面の名前や設定の場所は、プランや時期によって変わります。設定の前に、各社の公式ドキュメントで最新の手順を確認してください。
関連記事Microsoft 365・Google Workspaceの管理でよくある事故と防ぎ方｜中小企業の管理者向け
つまずきやすい点と対応
| つまずき | 対応の例 |
|---|---|
| スマホを持っていない、私物のスマホを使いたくない | セキュリティキーを貸与する。会社のスマホを配る |
| 機種変更でログインできなくなった | 機種変更の前に登録を移す手順を周知する。管理者が再登録できる手続きを決める |
| 共有アカウントで使っている | 共有メールボックスやグループの機能に移し、各自のアカウントからアクセスする |
| 複合機や古いソフトがログインできない | 古い認証方式を使っている機器を洗い出し、設定の変更や入れ替えを計画する |
| 確認の通知を何となく承認してしまう | 身に覚えのない通知は承認しないよう教育する。番号の入力が必要な方式を使う |
多要素認証の展開をお手伝いしますオーバーエックスの情シス代行では、アカウントの洗い出し、ルールづくり、手順書の作成、社員向けの登録の会、つまずいた人の個別対応、必須化の設定までをまとめてお受けしています。古い機器やソフトが多要素認証に対応していない場合の入れ替えのご相談も承ります。
よくある質問
- 多要素認証を入れると、毎回ログインが面倒になりませんか？
- 会社のPCから使う場合などは、確認の頻度を減らす設定ができることが多いです。認証アプリの通知を承認するだけで済む方法なら、負担は小さくなります。
- 私物のスマホに認証アプリを入れさせてもよいですか？
- 認証アプリには会社のデータは保存されないため、私物のスマホを使う会社も多くあります。ただし強制はせず、使いたくない社員にはセキュリティキーなどの代わりの手段を用意しましょう。
- 導入にはどのくらいの期間がかかりますか？
- 社員数十名の会社で、準備から必須化まで1〜2か月が目安です。登録の会を開くと、短い期間で全員の登録が終わります。
まとめ
多要素認証は、不正ログインを防ぐ効果が最も大きい対策のひとつです。管理者から始め、一部の社員で試してから全社員に展開し、最後に必須にしましょう。機種変更やスマホを持たない社員への対応を先に決めておくと、展開がスムーズに進みます。
この記事に関連するサービス
システム保守・運用
業務システムやWebシステムの監視、障害対応、セキュリティ更新、小さな修正を月額の定額制で行います。他社が開発したシステムも、引き継ぎ調査から対応します。 サービスの詳細を見る
