この記事の中身は、この1枚に入っています。左が「入れられない理由」、右が「越え方」です。

※「MFA（多要素認証）」は、パスワードに加えて、スマホの通知や物理的な鍵などもう1つの確認を求める仕組みです。この記事では「2段階認証」とほぼ同じ意味で使います。

会社を、たくさんのドアがある建物だと考えてください。社員はみんな、ドアを開ける鍵（パスワード）を持っています。

困るのは、この鍵がコピーされやすいことです。にせのログイン画面で盗まれたり、ほかのサービスから流出したりします。拾った人は、本物と同じように玄関を開けられます。

そこで補助錠を足します。補助錠の鍵は、本人のスマホや、手元の小さな鍵です。パスワードだけを盗んでも、補助錠は開きません。これがMFAです。

この見方をすると、「入れられない理由」がはっきりします。補助錠を付ける穴がない古いドアがある。補助錠の鍵を持てない人がいる。鍵をなくす人が出る。お金がかかる。面倒がる人がいる。ドアが何枚あるかそもそも分からない。これが6つの壁です。

出典：24.3%は警察庁「不正アクセス行為対策等の実態調査」（2025年12月公表、企業や学校・役所など588団体、複数回答）。87.0%は警察庁の統計をIPAがまとめた2025年の数字（VPN機器66.3%＋リモートデスクトップ20.7%）。約6割は警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」。99.2%超はMicrosoft Learn。

ポイントは、入口のほとんどが「外に面したドア」だということです。警察庁は、侵入に使われるのは修正していない弱点のほか、漏れた認証情報や簡単なパスワードだと書いています。外に面したドアに補助錠がないと、盗んだパスワードだけで入れてしまいます。

止める理由も、数字に出ている

同じ警察庁の調査に、セキュリティ対策にお金を使うときの悩みを聞いた質問があります。MFAに限った質問ではありませんが、6つの壁とよく重なります。

出典：警察庁サイバー警察局「不正アクセス行為対策等の実態調査」令和7年度 問17（PDF 66ページ）。壁との対応づけはこの記事による整理です。

「お金」と「どこまでやれば」が上位です。だからこの記事では、無料で始められることとどこから手を付けるかをはっきり書きます。

社員40人の部品メーカー。総務と情シスを兼ねるAさんが、社長から「うちもMFAを入れておいて」と頼まれました。（会社と人物は架空です。よくある流れを1社にまとめました）

1. まず事務所の10人に設定。Microsoft 365の画面でオンにして、各自のスマホに認証アプリを入れてもらった。ここまでは順調。
2. 工場の25人で止まる。会社スマホはない。工場はスマホの持ち込み禁止。私物スマホに入れてほしいと頼むと「なぜ私物を仕事に使うのか」と言われた。【壁2】
3. VPNが古い。出張中の営業が使うVPN機器には、MFAを付ける設定が見当たらない。買い替えは来期の予算。【壁1・壁4】
4. 営業部長が反発。「客先で毎回スマホを出すのは無理」。社長も「部長は外していいよ」。【壁5】
5. 問い合わせが止まらない。機種変更・アプリを消した・スマホを忘れた。Aさんの本来の仕事が進まない。【壁3】
6. 結果：「入れたつもり」。MFAが付いたのは事務所の10人だけ。外に面したVPNと、部長のアカウントは補助錠なしのまま。

Aさんの順番は自然に見えますが、「付けやすい所から」進めたせいで、「付けないと危ない所」が後回しになりました。次の対応表は、この順番を入れ替えるためのものです。

6つの壁と越え方を1つの表にしました。「手間」は、情シスが1〜2人の会社を想定した目安です。

価格は国内通販の一例（Security Key by Yubico（NFC）税込4,800円、通常5,280円、NTT-X Store、2026年10月8日時点）。製品や時期で変わります。

壁① 古いドアに鍵穴がない → 鍵付きの「門」を前に置く

古いVPN機器、社内のファイルサーバー、昔からの業務システムには、補助錠を付ける場所がないことがあります。ここで「無理だ」と止まりがちです。

考え方を変えます。ドアに鍵を付けるのではなく、ドアの前に鍵付きの門を置くのです。

• VPN：認証サーバー（RADIUS）でMFAをかける。多くのVPN機器は、ログインの確認を外の「認証サーバー」に任せる設定を持っています。その認証サーバー側でMFAをかければ、VPN本体を買い替えずに済む場合があります。たとえばMicrosoftは、この用途の部品（NPS拡張）を出しています（Entra ID P1以上が必要）。
• 買い替えるなら：ゼロトラスト型のアクセス（ZTNA）。社内のシステムをインターネットに見せず、MFAの門を通った人にだけ見せる方式です。IPAの10大脅威2026も、リモートワーク環境の対策に挙げています。
• どうしても付かないなら：ドアを外から見えなくする。リモートデスクトップをインターネットに直接出さない。接続できる場所（IPアドレス）を絞る。ログインを見張る。「補助錠なし＋どこからでも入れる」だけは作らないことです。

壁② 2つ目の鍵を持たせられない → スマホ以外の鍵を渡す

「MFA＝スマホ」と思われがちですが、鍵の種類はいくつもあります。職場に合わせて選べます。

Windows Hello for Businessは、PCの中に守られた鍵（持っているもの）とPIN・指紋・顔（知っていること・体の特徴）を組み合わせる2要素の仕組みで、Microsoftは「フィッシングに強い」と説明しています。

共用PC・交代勤務の職場では、まず共用IDをやめて1人1IDにすることが先です。共用IDのままでは、確認の通知を誰に送ればいいか決まりません。1人1IDにすれば、各自の物理キーで交代できます。誰が操作したか分かるようになるので、MFA以外の面でも得をします。

壁③ なくした・機種変の対応が重い → 鍵は最初から2つ

MFAを入れると、「スマホを替えた」「アプリを消した」「家に忘れた」という問い合わせが必ず来ます。情シスが1人の会社では、これだけで本来の仕事が止まります。

• 鍵を最初から2つ登録してもらう。認証アプリ＋物理キー、または物理キー2本。片方をなくしても自分で入れるので、問い合わせが大きく減ります。
• 再登録には「一時パス」を使う。Microsoftの「一時アクセスパス」は、期限付き（10分〜30日の範囲で設定、既定は1時間）で、1回だけ使える設定にもできる入場券です。これで入ってもらい、新しい鍵を自分で登録してもらいます。
• 再登録の本人確認ルールを先に決める。「スマホをなくしたので解除して」という電話は、攻撃者もかけてきます。電話だけでは受け付けない。上司の承認、対面、ビデオ通話で顔を確認、などを組み合わせます。

壁④ お金とライセンス → 無料の機能から始める

「予算がない」は最もよく聞く声ですが、MFAの入り口は無料で作れることが多いです。

人間サイズの計算をしてみます。社員40人の会社で、スマホのない工場の25人と管理者3人に物理キーを2本ずつ配ると、56本 × 約5,000円 ＝ 約28万円。事務所の人は無料の認証アプリかパスキーにすれば、ここで終わりです。全員に配る前提で見積もると高く見えるので、必要な人を先に数えてください。

壁⑤ 「めんどう」と役員の例外 → 速くして、聞く回数を減らす

現場の反発の正体は、多くの場合「毎回コードを打つのが遅い」です。ここは技術で減らせます。

• 速い鍵にする。指紋・顔・パスキー・物理キーは、6桁のコードを打つより速く終わります。しかも、にせサイトに強い。「めんどう」と「安全」が同時に良くなる珍しい場面です。
• 毎回は聞かない。会社が管理するPCから、いつもの場所からなら聞かず、新しい端末や見慣れない場所のときだけ聞く。Microsoftでは「条件付きアクセス」と呼ばれる設定で、Entra ID P1以上が必要です（無料の既定値群でも、Microsoftが状況を見て必要なときに聞く動きになります）。
• 役員から先に始める。役員は、権限が大きく、狙われやすい人です。「役員も例外なし」を会社の方針として決めるのが最も効きます。役員には物理キーを渡すと、操作が簡単なので受け入れられやすくなります。

壁⑥ ドアが何枚あるか分からない → 外に面したドアから数える

MFAを入れる前提として、「どのシステムに、誰のアカウントがあるか」の一覧が要ります。中小企業ではこの一覧自体がないことが多く、着手の前で止まります。

全部を数え終わるまで待つ必要はありません。まず外に面したドア4つだけを書き出します。

1. VPN：社外から社内に入る入口。ランサムウェアの入口で最も多い。
2. リモートデスクトップ：PCやサーバーを遠くから操作する入口。VPNの次に多い。
3. メール・グループウェア：Microsoft 365やGoogle Workspaceなど。乗っ取られると取引先へのなりすましに使われる。
4. クラウドの管理画面：サーバー、ホームページ、ドメイン、会計などの管理者ログイン。

そのうえで、経理の支払い記録を見ると、契約中のクラウドサービスがほぼ分かります。毎月お金を払っているものは、ほぼ全部どこかにログイン画面があるからです。Microsoft 365やGoogle Workspaceの管理画面のログイン記録からも、誰がどこから入っているかが分かります。

違いは、「全員そろうこと」をゴールにしない点です。ゴールは「攻撃者が入ってこられる所に補助錠がない状態をなくすこと」です。

1. 【今日】無料の既定機能をオンにする（まず管理者から）。Microsoft 365なら「セキュリティの既定値群」、Google Workspaceなら2段階認証プロセスの必須化を確認します。オンにする前に、古い方式でメールを送っている複合機やシステムがないか確認してください。止まることがあります。
2. 【今月】外に面したドア4つにMFAを付ける。VPN・リモートデスクトップ・メール・クラウドの管理画面。付けられないものは、インターネットに出さないか、接続元を絞ります。役員のアカウントもここで済ませます。
3. 【来月まで】全員に鍵を2つ、例外は台帳に。スマホのない人には物理キー。再登録のルール（電話だけでは不可）を文書にし、例外アカウントは名前・理由・期限を書いて、期限が来たら見直します。

※「聞かれる回数が少なくなる」は、条件付きアクセスなどの設定をした場合です。設定に合わせて書き換えてください。

設定の判断に必要な仕様を、公式ドキュメントからまとめます（2026年10月8日確認）。

関連：多要素認証（MFA）はどれを選ぶべき？種類・価格・特徴を完全比較／ゼロトラストとは？／多要素認証・生体認証・パスキー・FIDOって何？