多要素認証（MFA: Multi-Factor Authentication）とは、ID・パスワードだけに頼らず、別の要素を組み合わせて本人確認を行う仕組みです。パスワードが漏れても、それだけではログインできない状態になります。ただし方式によって、導入の手間も、入れたあとに現場が毎日行う操作も変わります。この記事では、多要素認証の基本を押さえたうえで、ハードウェアキー・ソフトウェアキー・SMS認証の違いを、導入後の運用の負担まで含めて比較します。
多要素認証（MFA）とは
多要素認証とは、次の3つの「要素」のうち2つ以上を組み合わせて本人確認を行う仕組みです。
- 知識情報（Something you know）：パスワード、PINコード、秘密の質問など「本人だけが知っていること」
- 所持情報（Something you have）：スマートフォン（スマホ）、専用デバイス、ICカードなど「本人だけが持っているもの」。スマホアプリに表示されるワンタイムパスワード（OTP）もこの要素にあたります
- 生体情報（Something you are）：指紋認証・顔認証・静脈など「本人自身の身体的特徴」。業務PCのログインに指紋・顔認証を使う場合の考え方は生体認証でのPCログインで整理しています
パスワードのみのログインでは、パスワードさえ知っていれば誰でもログインできてしまいます。しかし多要素認証を導入していれば、パスワードが漏洩しただけではログインできません。攻撃者は「本人が持っているもの」や「本人自身」まで用意する必要があるためです。これが多要素認証が有効とされる理由です。
なぜ今、多要素認証が重視されるのか
近年の不正アクセス被害の多くは、フィッシングや他サービスからの流出によって盗まれたID・パスワードを使った「正規ログイン」を起点としています。この手口はウイルスファイルの実行を伴わないため、 ウイルス対策ソフトなどの入口対策だけでは防げません。
「パスワードを盗まれない対策」には限界がある以上、「盗まれても、それだけでは入れない状態にする」ことが不可欠です。多要素認証はまさにその役割を担います。
「2要素認証」「2段階認証」との違い
よく混同されるのが「2要素認証（二要素認証）」と「2段階認証」です。厳密には次のように異なります。
- 2要素認証（二要素認証・2FA、「2要因認証」と表記されることもあります）：異なる種類の要素をちょうど2つ組み合わせること。多要素認証に含まれます。
- 多要素認証（MFA）：異なる種類の要素を2つ以上組み合わせること（例：パスワード（知識）＋スマートフォン（所持））。
- 2段階認証：認証を2回に分けて行うこと。要素が同じでも成立します（例：パスワード＋秘密の質問＝どちらも「知識情報」）。
実務上は「2要素認証」と「多要素認証」はほぼ同じ意味で使われることが多く、本記事でも同義として扱います。要素の3分類（知識・所持・生体）や、この区別が製品選定の場面でなぜ効いてくるのかは 2段階認証と2要素認証の違いで詳しく整理しています。
ハードウェアキーとは
ハードウェアキー（セキュリティキー）とは、USBやNFCなどで接続する物理的な認証デバイスのことです。「所持情報」を担う専用の機器で、ログイン時にこのデバイスをPCに挿す、あるいはかざすことで本人確認を行います。
強みは、物理的にデバイスを持っていなければ認証が成立しないため遠隔からの不正ログインを原理的に防げること、偽サイトでは認証が成立しない方式があること、スマートフォンを配布していない環境でも使えることです。弱みは、人数分の購入・配布コスト、紛失・故障時の再発行運用、持ち忘れによる業務停止です。
FIDO2/U2Fといった規格の違い、製品を選ぶ際の確認項目、紛失時の運用設計といった具体的な検討事項は ハードウェアキーとは？物理認証キーの仕組みと選び方にまとめています。
ソフトウェアキーとは
ソフトウェアキーとは、スマートフォンアプリなどで認証コードを生成したり、ログイン承認を行う方式です。物理デバイスの代わりに、すでに持っているスマートフォンが「所持情報」の役割を果たします。
強みは、既存のスマートフォンで始められるため初期コストが低く、物理デバイスの調達が不要なぶん短期間で全社展開しやすいことです。弱みは、業務でスマートフォンを使わない従業員への別途対応と、機種変更時の引き継ぎ手順の周知が必要になることです。
なお、applippli-keyのように、Windows PC・Windows ServerのOSログインに対応したソフトウェアキー型のものもあります。クラウドサービスだけでなく社内のPC・サーバーのログインが対象になるほか、運用面ではパスワード入力そのものを省略する設定にできるため、覚えて管理する対象を増やさずに済みます。OSログインへの導入方法は Windows OSログインの2要素認証とは？導入方法と選び方で詳しく解説しています。
認証アプリ・プッシュ通知・OTPなど、ソフトウェアキーの方式ごとの違いはソフトウェアキー型MFAの種類と選び方で比較しています。
どちらを選ぶべきか
どちらが優れているかは一概には言えず、守る対象と運用体制によって適切な選択が変わります。判断の目安は次のとおりです。
- ハードウェアキーが向くケース：極めて機密性の高いシステム、スマートフォンを業務利用していない環境、外部からのアクセスを厳格に制限したい場合
- ソフトウェアキーが向くケース：コストを抑えて短期間で全社展開したい場合、すでにスマートフォンが行き渡っている環境、まずサーバー・重要PCから段階的に始めたい場合
多くの企業では、まずソフトウェアキーで広く展開し、特に重要なシステムのみハードウェアキーを併用するといった組み合わせも現実的な選択肢になります。
SMS認証はどうか
SMSで送られた確認コードを入力する方式も「所持情報」を使った認証ですが、SIMスワップ（携帯電話番号の乗っ取り）やSMSの盗み見といったリスクが指摘されています。パスワードのみよりは大幅に安全ですが、認証アプリや専用デバイスと比べると相対的に強度は劣ると考えられています。ワンタイムパスワードの各方式ごとの安全性の違いは ワンタイムパスワード（OTP）とは？で詳しく解説しています。
パスワードレス認証との関係
近年は「パスワードレス認証」という言葉も注目されています。これはパスワードそのものを使わず、生体認証やハードウェアキーだけでログインする仕組みです。パスワードが存在しないため、漏洩・使い回しのリスク自体をなくせるという考え方ですが、対応するシステム・端末が限られるため、多くの企業ではまだ「パスワード＋多要素認証」の組み合わせが現実的な選択肢です。
企業が導入する際に検討すべきポイント
- サーバーや重要PCなど、優先度の高い端末から導入する — 会計データ・顧客情報・共有ファイルが集まる場所から守ることで、限られた予算でも効果を最大化できます
- 管理者アカウントを個人ごとに発行し、共有をやめる — 多要素認証は「誰が認証したか」を明確にして初めて効果を発揮します
- リモートアクセス・VPN接続時の認証も強化する（VPN脆弱性対策も参照）
- 外部の保守会社など、社外からのアクセスにも適用する（サプライチェーン攻撃対策としても重要）
- テレワーク環境からのログインには特に優先して導入する
- 紛失・機種変更時の運用ルールを事前に決めておく — 導入後につまずきやすいポイントです
- 費用の見積もりは初期費用だけで判断しない — ライセンス費以外に運用工数がかかります（多要素認証の費用はどこで決まるか）
- 展開の段取りを先に決める — 対象者・順番・問い合わせ対応を決めずに始めると現場が止まります（多要素認証の導入・展開の進め方）
よくある質問
Q. パスワードを複雑にしていれば多要素認証は不要ですか？
A. 複雑なパスワードでも、フィッシングや他サービスからの流出によって漏洩する可能性は残ります。パスワードの強度と、漏洩後に守れるかどうかは別の問題です。
Q. 多要素認証を入れればランサムウェアは防げますか？
A. すべては防げません。盗まれたID・パスワードをそのまま使う侵入は塞げますが、機器の脆弱性を突かれる侵入などは防げません。詳しくは ランサムウェア対策としての多要素認証｜防げる経路と防げない経路で整理しています。
Q. 全社員に一斉導入しないと意味がありませんか？
A. そんなことはありません。サーバーや管理者権限を持つアカウントなど、影響の大きいところから段階的に導入するだけでも、被害リスクを大きく下げられます。
Q. SCS評価制度の対応にもつながりますか？
A. はい。国が主導する SCS評価制度では、★3で重要な機密情報を扱うクラウドサービスに多要素認証が求められ、★4ではインターネット経由で社内に接続する場合などにも対象が広がります。ID・パスワードに関する要求事項はほかに、IDの管理、ログイン失敗時のロック、パスワードのルールなどがあり、多要素認証はその一部です。
Windows に標準で入っている顔認証・指紋認証を使えば多要素認証になる、という理解には条件が付きます。どこまでが2要素として成立し、どこからが成立しないのかは Windows Hello for Businessの限界で整理しています。
1台のPCを複数人で使っている現場では方式の選び方が変わります。進め方は 共用PCの認証設計、 導入を段階的に展開する際の運用面は 多要素認証の展開と運用を参照してください。
まずは現状を確認する
自社にどこまで多要素認証が必要か、どの端末から優先すべきかは、現状の認証方式によって異なります。applippliの無料棚卸しでは、10問・約3分で、自社の対応状況を項目ごとに棚卸しできます。
実際にID・パスワードが漏洩した場合にどのような被害につながるかは、 ID・パスワード漏洩の実例と対策、漏洩時の影響と初動対応は パスワードが漏洩したらどうなる？で詳しく解説しています。