2要素認証の導入を検討し始めると、最初に出てくる質問は「いくらかかるのか」です。ただ、この質問にそのまま答えるのは難しく、同じ製品を選んでも会社によって総額は大きく変わります。理由は、費用が製品の価格そのものよりも、どこまでを対象にするかと誰がどう運用するかによって決まる部分が大きいためです。この記事では相場を示すのではなく、見積りを左右する費用の構造と、社内で予算の必要性を説明するときの材料の作り方を整理します。
費用が製品価格だけで決まらない理由
2要素認証の費用を考えるとき、多くの場合は製品やサービスの利用料に目が向きます。しかし実際の総額は、その利用料に、導入時の作業、利用者への周知、運用中の問い合わせ対応、デバイスの補充や再登録といった要素が積み重なった結果として決まります。対象を一部の部署に絞るのか全社に広げるのか、物理的なデバイスを配るのかどうか、社内の担当者が対応できるのか外部に任せるのか。こうした前提が違えば、同じ製品でも見積りの姿はまったく別のものになります。
つまり、他社の金額を聞いても自社の目安にはなりにくいということです。先に自社の前提を固めてから見積りを取るほうが、比較も社内説明もしやすくなります。
見積りを左右する要素を整理する
見積り依頼の前に、次の項目について自社の方針を決めておくと、提示される金額の意味が理解しやすくなります。
- 対象範囲 — 全社を一度に対象にするのか、まずは一部の部署や業務に限定するのか
- 対象となる機器の種類 — 業務用のPCだけか、サーバーへのログインも含めるのか
- 利用者数と今後の増減 — 現在の人数だけでなく、採用や退職による変動の見込み
- 認証の方式 — 物理的なデバイスを配る方式か、端末上のソフトウェアで完結する方式か
- 既存のID管理基盤との連携 — すでにある認証基盤やアカウント管理と連携させるのか、独立して運用するのか
- 社外からのアクセス — 在宅勤務や外出先からの接続経路も対象に含めるのか
方式そのものの違いについてはWindows OSログインの2要素認証で扱っています。製品を並べて比べる段階に進むときの確認項目や、問い合わせ時に聞くべきことは2要素認証の製品選定にまとめていますので、本記事の整理と合わせて使ってください。
見落とされやすい費用の項目
見積りの段階で表に出にくく、導入後に負担として現れやすいのは次のような項目です。金額として計上されないだけで、実際には社内の工数として発生します。
- 初期の登録作業 — 利用者ごとの登録や設定を、誰がどの順番で進めるか
- 利用者への説明と問い合わせ対応 — 操作が変わることへの周知と、導入直後に集中する質問への対応
- 紛失・故障への備え — 予備の確保と、再登録の手順を回す手間
- 入退社に伴う継続的な運用 — 一度で終わらず、人の出入りがある限り続く作業
- 保守と更新 — 契約の更新や、環境の変化に合わせた設定の見直し
これらは運用の設計次第で負担の大きさが変わります。展開と運用の進め方そのものは2要素認証の展開と運用で扱っているので、費用として見積もる前に運用の形を先に描いておくと、抜けが出にくくなります。
方式の違いが費用構造に与える影響
物理的なデバイスを配る方式は、台数に応じた調達費が発生し、紛失や故障のたびに再発行の手間と費用がかかります。一方で、利用者の端末に依存しにくく、運用の考え方はわかりやすくなります。詳しい特徴はハードウェアセキュリティキーで整理しています。
端末上のソフトウェアで完結する方式は、配布物がないため調達の負担は軽くなります。ただし、端末の入れ替えや利用者の交代のたびに再登録が必要になり、端末そのものの管理も前提になります。こちらの特徴はソフトウェア方式の2要素認証で扱っています。
どちらが安く済むかは、対象人数、端末の入れ替え頻度、社内で運用を担える体制があるかといった前提によって変わります。方式の名前だけで安いほうを選ぶのではなく、自社の前提に当てはめて考える必要があります。
社内説明の材料をどう作るか
予算の承認を得る場面では、費用の金額だけを示すと判断材料が片方だけになります。あわせて、対策しなかった場合に何が起きうるかを並べて示すと、比較の形になります。認証を強化しないままでいた場合に想定される影響についてはパスワード漏洩が企業に与える影響を参考にしてください。
取引先からの要請や、制度への対応として求められている場合は、その要求内容そのものが根拠になります。外部から問われる項目の整理はSCS評価制度の解説で扱っています。自社の判断だけでなく、社外から求められている事実を示せると、説明の説得力が変わります。
段階導入で予算を分けるという考え方
全社を一度に対象にすると、初年度の費用が大きくなり、承認の難易度も上がります。被害の影響が大きい範囲や、外部からの要請が明確な範囲から先に対象にして、実際の運用負荷と効果を確かめてから広げるという進め方も選択肢です。
この方法なら、最初の予算を小さくできるだけでなく、次の段階の見積りを実際の運用実績にもとづいて組めます。何から手をつけるかの優先順位を考えるときは中小企業のセキュリティ対策チェックリストもあわせてご確認ください。
まずは自社の状況を確認する
費用の見積りは、自社の現状と対象範囲がはっきりしてから取るほうが正確になります。applippliの無料診断では、約3分の質問に回答するだけで、認証やアカウント管理の対応状況を確認できます。どこから手をつけるべきかの整理に、ぜひご活用ください。