パスワード・多要素認証・アカウント管理：入口を守る基本｜情報セキュリティの基本 第3回

多要素認証：パスワードが漏れても入らせない

どれだけ気をつけても、フィッシングで入力してしまったり、サービス側から流出したりして、パスワードが漏れる可能性はゼロになりません。そこで重要になるのが多要素認証です。

総務省のサイトによると、多要素認証とは、認証の3要素である「知識情報」「所持情報」「生体情報」のうち、2つ以上を組み合わせて認証することです。

たとえば、パスワード（知識）を入力したあとに、スマホの認証アプリに表示される確認コード（所持）を入力する、という組み合わせが代表的です。この場合、攻撃者がパスワードを盗んでも、社員のスマホを持っていなければログインできません。

「2回確認する」が多要素とは限らない

注意したいのは、種類の違う要素を組み合わせることがポイントだという点です。パスワードのあとに「秘密の質問」に答える方式は、確認が2回あっても、どちらも「知っていること（知識情報）」なので、多要素認証にはあたりません。両方とも、だましとられたり推測されたりすれば突破されてしまいます。

どこから導入するか

多要素認証は、すべてのサービスに一度に入れられなくても、被害が大きいところから順に入れていくのが現実的です。

1. 社外から社内につなぐ仕組み：VPN、リモートデスクトップなど。第2回で見たとおり、ランサムウェアの侵入経路の多くはここです
2. メールとクラウドの基盤：会社のメール、ファイル共有、グループウェアなど。乗っ取られると、社内の情報と取引先との連絡がまとめて危険にさらされます
3. 管理者のアカウント：システムの設定を変えられる強い権限を持つアカウント
4. お金や個人情報を扱うサービス：ネットバンキング、会計、人事・給与など

アカウント管理：人の出入りに合わせて、発行と削除を確実に

パスワードと多要素認証で入口を固めても、そもそも不要なアカウントが残っていれば、そこが弱点になります。第1回のクイズで見たように、退職した社員のアカウントが削除されずに残っていることは、典型的な脆弱性です。総務省の「クラウドの設定ミス対策ガイドブック」も、利用者や権限の設定の誤りは情報漏えいにつながりやすく、退職者のアカウントが削除されずに残ることを具体的なリスクとして挙げています。

アカウントは、図4のように、社員の入社から退職までの流れに合わせて管理します。

• 入社（発行）：その人の業務に必要なサービスと権限だけを発行します。「とりあえず全部見られるようにしておく」は避けます。
• 異動（見直し）：新しい部署の権限を追加するだけでなく、前の部署の権限を外すことを忘れないようにします。権限が足し算で増え続けると、内部不正や乗っ取り時の被害が大きくなります。
• 定期的な棚卸し：半年に一度など時期を決めて、使われていないアカウントや、退職者・外部の協力者のアカウントが残っていないかを確認します。
• 退職（停止・削除）：退職日にアカウントを止め、必要なデータを引き継いだうえで削除します。人事の手続きと連動させ、「退職の連絡が来たら、誰が、何を止めるか」を一覧にしておくと漏れを防げます。

共有アカウントと管理者権限に注意

1つのアカウントを複数の人で使い回す共有アカウントは、誰がいつ何をしたかが分からなくなり、退職者が出てもパスワードを変えにくいという問題があります。できるだけ一人ひとりにアカウントを発行し、どうしても共有が必要な場合は、使う人を限定してパスワードの管理方法を決めておきます。

また、システムの設定を変えられる管理者権限は、必要な人だけに絞り、ふだんの業務は一般の権限のアカウントで行うのが基本です。総務省のサイトも、システム管理者のパスワードについても、推測されにくいものにするなど同様の対策を講じるよう呼びかけています。パスワードを忘れた人への再発行の手続きも、本人確認の方法をあらかじめ決めておくことが大切です。

使っているSaaSが増えてくると、「誰が、どのサービスのアカウントを持っているか」を表計算で管理するのは大変になります。そうした場合は、アカウントの一覧化や退職時の削除をまとめて行えるSaaS管理ツールや、1つのIDで複数のサービスにログインできるしくみ（シングルサインオン）を提供するサービスもあります。比較はSaaS管理ツールおすすめ比較や、Oktaの評判、HENNGE Oneの評判で、他社の取り組みはSaaS管理の成功事例で紹介しています。

この記事の監修者に相談できます

監修者の田中磨生が代表を務める株式会社Abinで、ご相談をお受けしています。

相談無料ツギノテ編集部に相談する→

よくある誤解

「複雑なパスワードにしていれば、多要素認証はいらない」：パスワードの強さは、推測や総当たりへの備えにはなりますが、フィッシングでだまし取られた場合や、サービス側から流出した場合には役に立ちません。多要素認証は、パスワードがすでに漏れている前提での「最後の扉」です。両方を組み合わせて初めて、入口は堅くなります。

実務ではこう使う

まずは次の3つから始めてみてください。

1. 多要素認証の導入状況の確認：VPN・メール・クラウド・管理者アカウントのそれぞれで、多要素認証が有効になっているか
2. アカウントの一覧づくり：主要なサービスごとに、アカウントを持っている人の一覧を出し、退職者や使っていない人が残っていないか確認する
3. 退職時のチェックリスト：止めるべきアカウントとサービスを一覧にし、人事の退職手続きと一緒に回るようにする

この回のまとめ

• 強いパスワードは、10文字以上で推測されにくく、サービスごとに使い回さないもの。定期的な変更より、使い回さないことが大切
• 覚えきれない分は、会社が認めたパスワード管理ツールで補う
• 多要素認証は、知識・所持・生体のうち種類の違う2つ以上を組み合わせる。社外からの接続、メールとクラウド、管理者から優先して入れる
• アカウントは入社・異動・棚卸し・退職の流れに合わせて管理し、不要な権限とアカウントを残さない
• 共有アカウントは避け、管理者権限は必要な人に絞る

確認テスト

次回予告

第4回は「クラウド・SaaSを安全に使う」です。クラウドではどこまでがサービス提供者の責任で、どこからが自分たちの責任なのか、そして実際に多い「設定ミス」による事故をどう防ぐかを学びます。

参考資料

• 総務省「国民のためのサイバーセキュリティサイト」推測できる簡単なパスワードを利用しないようにしよう https://www.soumu.go.jp/main_sosiki/cybersecurity/kokumin/security/end_user/general/01/ （確認日：2026年11月12日）
• 総務省「国民のためのサイバーセキュリティサイト」安全なパスワードの設定・管理 https://www.soumu.go.jp/main_sosiki/cybersecurity/kokumin/security/business/staff/06/ （確認日：2026年11月12日）
• 総務省「国民のためのサイバーセキュリティサイト」アカウント管理 https://www.soumu.go.jp/main_sosiki/cybersecurity/kokumin/security/business/admin/10/ （確認日：2026年11月12日）
• 総務省「クラウドの設定ミス対策ガイドブック」（2024年4月26日公表） https://www.soumu.go.jp/main_content/000944467.pdf （確認日：2026年11月12日）
• 独立行政法人情報処理推進機構（IPA）「中小企業の情報セキュリティ対策ガイドライン 第4.0版」 https://www.ipa.go.jp/security/guide/sme/about.html （確認日：2026年11月12日）