ハードウェアキーとは、USBやNFCで接続する物理的な認証デバイスのことです。多要素認証（MFA: Multi-Factor Authentication）を実現する手段の一つで、ID・パスワードが漏洩した際の被害を防ぐ、最も効果的な対策の一つです。この記事では、ハードウェアキーの仕組みと、比較されることの多いソフトウェアキーとの違い、多要素認証の基本、そして導入時の選び方を、企業担当者向けに解説します。
多要素認証（MFA）とは
多要素認証とは、次の3つの「要素」のうち2つ以上を組み合わせて本人確認を行う仕組みです。
- 知識情報（Something you know）：パスワード、PINコード、秘密の質問など「本人だけが知っていること」
- 所持情報（Something you have）：スマートフォン（スマホ）、専用デバイス、ICカードなど「本人だけが持っているもの」。スマホアプリに表示されるワンタイムパスワード（OTP）もこの要素にあたります
- 生体情報（Something you are）：指紋認証・顔認証・静脈など「本人自身の身体的特徴」。業務PCのログインに指紋・顔認証を使う場合の考え方は生体認証でのPCログインで整理しています
パスワードのみのログインでは、パスワードさえ知っていれば誰でもログインできてしまいます。しかし多要素認証を導入していれば、パスワードが漏洩しただけではログインできません。攻撃者は「本人が持っているもの」や「本人自身」まで用意する必要があるためです。これが多要素認証が有効とされる理由です。
なぜ今、多要素認証が重視されるのか
近年の不正アクセス被害の多くは、フィッシングや他サービスからの流出によって盗まれたID・パスワードを使った「正規ログイン」を起点としています。この手口はウイルスファイルの実行を伴わないため、 ウイルス対策ソフトなどの入口対策だけでは防げません。
「パスワードを盗まれない対策」には限界がある以上、「盗まれても、それだけでは入れない状態にする」ことが不可欠です。多要素認証はまさにその役割を担います。
「2要素認証」「2段階認証」との違い
よく混同されるのが「2要素認証（二要素認証）」と「2段階認証」です。厳密には次のように異なります。
- 2要素認証（二要素認証・2FA、「2要因認証」と表記されることもあります）：異なる種類の要素をちょうど2つ組み合わせること。多要素認証に含まれます。
- 多要素認証（MFA）：異なる種類の要素を2つ以上組み合わせること（例：パスワード（知識）＋スマートフォン（所持））。
- 2段階認証：認証を2回に分けて行うこと。要素が同じでも成立します（例：パスワード＋秘密の質問＝どちらも「知識情報」）。
実務上は「2要素認証」と「多要素認証」はほぼ同じ意味で使われることが多く、本記事でも同義として扱います。要素の3分類（知識・所持・生体）や、この区別が製品選定の場面でなぜ効いてくるのかは 2段階認証と2要素認証の違いで詳しく整理しています。
ハードウェアキーとは
ハードウェアキー（セキュリティキー）とは、USBやNFCなどで接続する物理的な認証デバイスのことです。「所持情報」を担う専用の機器で、ログイン時にこのデバイスをPCに挿す、あるいはかざすことで本人確認を行います。
強みは、物理的にデバイスを持っていなければ認証が成立しないため遠隔からの不正ログインを原理的に防げること、偽サイトでは認証が成立しない方式があること、スマートフォンを配布していない環境でも使えることです。弱みは、人数分の購入・配布コスト、紛失・故障時の再発行運用、持ち忘れによる業務停止です。
FIDO2/U2Fといった規格の違い、製品を選ぶ際の確認項目、紛失時の運用設計といった具体的な検討事項は ハードウェアキーとは？物理認証キーの仕組みと選び方にまとめています。
ソフトウェアキーとは
ソフトウェアキーとは、スマートフォンアプリなどで認証コードを生成したり、ログイン承認を行う方式です。物理デバイスの代わりに、すでに持っているスマートフォンが「所持情報」の役割を果たします。
強みは、既存のスマートフォンで始められるため初期コストが低く、物理デバイスの調達が不要なぶん短期間で全社展開しやすいことです。弱みは、業務でスマートフォンを使わない従業員への別途対応と、機種変更時の引き継ぎ手順の周知が必要になることです。
なお、applippli-keyのように、Windows PC・Windows ServerのOSログインに対応したソフトウェアキー型の2要素認証サービスもあります。クラウドサービスへのログインだけでなく、社内サーバーやPCそのものへのログインを保護できる点が特徴です。OSログインへの導入方法は Windows OSログインの2要素認証とは？導入方法と選び方で詳しく解説しています。
認証アプリ・プッシュ通知・OTPなど、ソフトウェアキーの方式ごとの違いはソフトウェアキー型MFAの種類と選び方で比較しています。
どちらを選ぶべきか
どちらが優れているかは一概には言えず、守る対象と運用体制によって適切な選択が変わります。判断の目安は次のとおりです。
- ハードウェアキーが向くケース：極めて機密性の高いシステム、スマートフォンを業務利用していない環境、外部からのアクセスを厳格に制限したい場合
- ソフトウェアキーが向くケース：コストを抑えて短期間で全社展開したい場合、すでにスマートフォンが行き渡っている環境、まずサーバー・重要PCから段階的に始めたい場合
多くの企業では、まずソフトウェアキーで広く展開し、特に重要なシステムのみハードウェアキーを併用するといった組み合わせも現実的な選択肢になります。
SMS認証はどうか
SMSで送られた確認コードを入力する方式も「所持情報」を使った認証ですが、SIMスワップ（携帯電話番号の乗っ取り）やSMSの盗み見といったリスクが指摘されています。パスワードのみよりは大幅に安全ですが、認証アプリや専用デバイスと比べると相対的に強度は劣ると考えられています。ワンタイムパスワードの各方式ごとの安全性の違いは ワンタイムパスワード（OTP）とは？で詳しく解説しています。
パスワードレス認証との関係
近年は「パスワードレス認証」という言葉も注目されています。これはパスワードそのものを使わず、生体認証やハードウェアキーだけでログインする仕組みです。パスワードが存在しないため、漏洩・使い回しのリスク自体をなくせるという考え方ですが、対応するシステム・端末が限られるため、多くの企業ではまだ「パスワード＋多要素認証」の組み合わせが現実的な選択肢です。
企業が導入する際に検討すべきポイント
- サーバーや重要PCなど、優先度の高い端末から導入する — 会計データ・顧客情報・共有ファイルが集まる場所から守ることで、限られた予算でも効果を最大化できます
- 管理者アカウントを個人ごとに発行し、共有をやめる — 多要素認証は「誰が認証したか」を明確にして初めて効果を発揮します
- リモートアクセス・VPN接続時の認証も強化する（VPN脆弱性対策も参照）
- 外部の保守会社など、社外からのアクセスにも適用する（サプライチェーン攻撃対策としても重要）
- テレワーク環境からのログインには特に優先して導入する
- 紛失・機種変更時の運用ルールを事前に決めておく — 導入後につまずきやすいポイントです
- 費用の見積もりは初期費用だけで判断しない — ライセンス費以外に運用工数がかかります（多要素認証の費用はどこで決まるか）
- 展開の段取りを先に決める — 対象者・順番・問い合わせ対応を決めずに始めると現場が止まります（多要素認証の導入・展開の進め方）
よくある質問
Q. パスワードを複雑にしていれば多要素認証は不要ですか？
A. 複雑なパスワードでも、フィッシングや他サービスからの流出によって漏洩する可能性は残ります。パスワードの強度と、漏洩後に守れるかどうかは別の問題です。
Q. 多要素認証を入れればランサムウェアは防げますか？
A. すべては防げません。盗まれたID・パスワードによる侵入は確実に塞げますが、機器の脆弱性を突かれる侵入などは防げません。詳しくは ランサムウェア対策としての多要素認証｜防げる経路と防げない経路で整理しています。
Q. 全社員に一斉導入しないと意味がありませんか？
A. そんなことはありません。サーバーや管理者権限を持つアカウントなど、影響の大きいところから段階的に導入するだけでも、被害リスクを大きく下げられます。
Q. SCS評価制度の対応にもつながりますか？
A. はい。国が主導する SCS評価制度でも、ID・パスワードに関する評価項目の多くは多要素認証の導入状況を確認するものになっています。認証まわりの項目をまとめて改善できる点でも、優先度の高い施策です。
Windows に標準で入っている顔認証・指紋認証を使えば多要素認証になる、という理解には条件が付きます。どこまでが2要素として成立し、どこからが成立しないのかは Windows Hello for Businessの限界で整理しています。
1台のPCを複数人で使っている現場では方式の選び方が変わります。進め方は 共用PCの認証設計、 導入を段階的に展開する際の運用面は 多要素認証の展開と運用を参照してください。
まずは現状を確認する
自社にどこまで多要素認証が必要か、どの端末から優先すべきかは、現状の認証方式によって異なります。applippliの無料診断では、約3分の質問に回答するだけで、自社の対応状況とSCS評価制度への適合度を確認できます。
実際にID・パスワードが漏洩した場合にどのような被害につながるかは、 ID・パスワード漏洩の実例と対策、漏洩時の影響と初動対応は パスワードが漏洩したらどうなる？で詳しく解説しています。