クラウドサービスへのログインには2要素認証を導入したものの、社内のWindows PCやWindows Serverへのログインは、いまだにID・パスワードだけという企業は少なくありません。デスクトップPCだけでなく、Surfaceなどのノート型・タブレット型のWindows端末も同様にID管理・認証強化の対象になります。
しかし、会計データ・顧客情報・共有ファイルが実際に保管されているのは社内のサーバーやPCです。この記事では、法人（社用）のWindows OSログインに2要素認証（二要素認証）を導入する意味と方法、方式ごとの違いと選び方を解説します。
OSログインの2要素認証とは
OSログインの2要素認証とは、Windowsのログイン画面（サインイン時）そのものに、ID・パスワード以外の認証要素を追加する仕組みです。
通常のWindowsログインは「ユーザー名＋パスワード」だけで完了します。つまりパスワードさえ知られていれば、誰でもそのPCやサーバーにログインできてしまいます。ここに「本人が持っているもの」（スマートフォンや専用デバイス）による確認を加えるのが、OSログインの2要素認証です。
なお、Windowsには起動時にパスワード入力を省略する「自動ログイン」設定がありますが、これは事実上パスワードによる保護そのものを無効化するものです。PCの起動さえできれば誰でもログインできてしまうため、社用PC・サーバーでは無効化しておくことを強く推奨します。
「2要素認証」「二要素認証」「多要素認証」の違い
検索する際に表記が混在しやすいため整理しておきます。
- 2要素認証（二要素認証・2FA）：異なる種類の要素をちょうど2つ組み合わせる認証
- 多要素認証（MFA）：異なる種類の要素を2つ以上組み合わせる認証。2要素認証は多要素認証に含まれます
- 2段階認証：認証を2回に分ける方式。要素の種類が同じでも成立するため（例：パスワード＋秘密の質問）、厳密には2要素認証とは異なります
実務上は「2要素認証」と「多要素認証」はほぼ同じ意味で使われます。要素の種類などの詳細は 多要素認証（MFA）とは？で解説しています。
なぜOSログインの2要素認証が必要なのか
理由1：被害が最も大きくなる場所だから
ランサムウェア被害で企業が実際に困るのは、社内サーバーが暗号化され、業務データにアクセスできなくなることです。クラウドの認証だけを固めても、サーバーへのログインがパスワードのみであれば、そこが弱点として残ります。
理由2：盗まれたパスワードによる「正規ログイン」を防げるから
近年の不正アクセスの多くは、フィッシングや他サービスからの流出で入手したID・パスワードを使い、正規の利用者になりすましてログインする手口です。ウイルスファイルの実行を伴わないため、ウイルス対策ソフトでは検知が困難です。
2要素認証を導入していれば、パスワードが漏洩しても、それだけではログインできません。詳しくは ランサムウェア対策として多要素認証が防げる経路・防げない経路で整理しています。
理由3：リモートデスクトップ・VPN経由の侵入口になるから
テレワークや保守作業でリモートデスクトップ（RDP）やVPNを使っている場合、社外から直接OSログインを試せる状態になります。ここが保護されていないと、攻撃者にとって格好の入口になります。
理由4：SCS評価制度でも問われるから
経済産業省と内閣官房が主導する SCS評価制度でも、「認証の強度・実装方法（多要素認証の有無）」は評価項目に含まれています。取引先から対応状況を問われた際に説明できる状態にしておく意味でも、優先度の高い施策です。
Windows標準機能でできること・できないこと
「Windowsの標準機能だけで対応できないのか」というご質問をよくいただきます。
WindowsにはWindows Hello / Windows Hello for Businessという仕組みがあり、PINや生体認証（顔・指紋）でサインインできます。これはTPM（PCに搭載されたセキュリティチップ）と組み合わせることで、「本人が持っている端末」＋「PINまたは生体情報」という多要素認証として機能します。
一方で、企業導入にあたっては次の点を考慮する必要があります。
- 組織で本格運用するにはAD（Active Directory）やMicrosoft Entra IDとの連携設計が必要で、構成の難易度が高い
- 対応するハードウェア要件（TPM、対応カメラ・指紋センサー等）を満たさない既存PCがあると、端末ごとに対応が分かれる
- Windows Server やスタンドアロン運用の環境では、そのまま適用しにくい場合がある
- PINは端末に紐づく仕組みのため、運用ルールの整理が必要
こうした事情から、既存のPC・サーバー環境に後から2要素認証を追加したい場合は、専用のサービスを利用するほうが現実的というケースが多くあります。
OSログイン2要素認証の主な方式
方式1：ソフトウェアキー（スマートフォンアプリ）
スマートフォン（スマホ）アプリで承認操作を行う、あるいはワンタイムパスワード（OTP）を入力する方式です。
- メリット：専用デバイスの配布が不要。既存のスマートフォンを使えるため初期コストを抑えられ、短期間で全社展開しやすい
- デメリット：業務でスマートフォンを使わない従業員には別途対応が必要。機種変更時の移行手順の周知が必要
applippli-keyは、Windows PC・Windows ServerのOSログインに対応したソフトウェアキー型の2要素認証サービスです。クラウドサービスだけでなく、社内のPCやサーバーそのものへのログインを保護できる点が特徴です。
方式2：ハードウェアキー（物理デバイス）
USBやNFCで接続する物理的な認証デバイスを使う方式です。
- メリット：デバイスを物理的に所持していないと認証できないため、リモートからの攻撃に非常に強い
- デメリット：人数分のデバイス購入・配布コスト、紛失時の再発行対応、持ち忘れによる業務停止のリスク
方式3：ICカード・スマートカード
社員証などのICカードをカードリーダーにかざして認証する方式です。入退室管理と統合できる利点がありますが、カードリーダーの設置コストがかかります。
選定時に確認すべきチェックポイント
製品ごとの比較観点をさらに詳しく整理した内容は Windows向け多要素認証製品の選び方｜比較の失敗しないポイントで解説しています。
- Windows Serverに対応しているか — PCのみ対応の製品もあります。守りたいのがサーバーであれば必須の確認項目です
- リモートデスクトップ（RDP）ログインに対応しているか — テレワーク環境では重要です
- オフライン時にログインできるか — ネットワークに接続できない状況での運用を確認しておきます
- 既存のPCをそのまま使えるか — 特定のハードウェア要件があると、買い替えコストが発生します
- ADやEntra IDへの参加が必須か — スタンドアロン運用の環境では制約になります
- スマートフォンを持たない従業員への対応方法 — 代替手段が用意されているか
- 紛失・故障時の復旧手順 — 導入後の運用でつまずきやすいポイントです
導入の進め方（段階的に始める）
全社の全端末に一斉導入する必要はありません。むしろ、影響の大きいところから段階的に進めるほうが現実的で、費用対効果も高くなります。
- ステップ1：サーバーから — 会計データ・顧客情報・共有ファイルが集まるWindows Serverを最優先で保護します
- ステップ2：管理者権限を持つアカウント — 乗っ取られた際の被害が最も大きいアカウントです
- ステップ3：重要データを扱うPC・社外から接続する端末 — 経理・人事の端末や、テレワーク利用者の端末
- ステップ4：その他の一般端末 — 予算と運用が安定してから順次拡大します
あわせて、共有アカウントの廃止や退職者アカウントの棚卸しといった ID管理・アカウント管理の基本も見直すと、2要素認証の効果が最大化されます。
よくある質問
Q. 2要素認証を入れると、毎回のログインが面倒になりませんか？
A. 方式によって操作の手間は異なります。スマートフォンアプリで承認するだけの方式であれば、数秒で完了します。導入前に実際の操作感を確認することをおすすめします。
Q. スマートフォンを業務で使っていない従業員がいます。
A. ハードウェアキーやICカードなど、スマートフォン以外の方式を併用できる場合があります。全員に同じ方式を適用する必要はありません。
Q. クラウドサービスには2要素認証を入れています。それで十分ではないですか？
A. 重要な一歩ですが、社内サーバーやPCへのOSログインが保護されていなければリスクは残ります。実際の被害では、社内サーバーが暗号化されることで業務が停止するケースが多く報告されています。
Q. 中小企業でも導入すべきですか？
A. 取引先を経由した攻撃の踏み台として、企業規模を問わず狙われるケースが増えています（サプライチェーン攻撃）。サーバー1台からでも始められるため、優先度の高い端末から着手することをおすすめします。優先順位の付け方は 中小企業がやるべき不正アクセス対策チェックリストもご覧ください。
Q. まず何から確認すればよいですか？
A. 自社のWindows PC・サーバーへのログインが、現在どこまでID・パスワードのみに依存しているかの把握から始めるのが確実です。
まずは自社の状況を診断する
applippliの無料診断では、約3分の質問に回答するだけで、自社のWindows PC・Windows ServerのログインがID・パスワードのみに依存していないかを確認し、2要素認証を優先的に導入すべき端末を判定します。あわせて、SCS評価制度への対応状況もPDFレポートでお届けします。
ログイン不要・個人情報の入力も不要でご利用いただけます。