「パスワードを定期的に変更している」「複雑なパスワードを設定している」——これだけで安全だと考えていないだろうか。Verizon「Data Breach Investigations Report 2025」によれば、データ漏洩の 約80% にクレデンシャル（認証情報）の悪用が関与しており、パスワードのみの認証は既に破綻していると言っても過言ではない。
MFA（Multi-Factor Authentication：多要素認証）は、パスワードに加えて もう1つ以上の認証要素 を要求するセキュリティ対策だ。Microsoft 365やGoogle Workspaceを利用する中小企業であれば、追加コスト0円 で今日から導入できる。本記事では、MFAの仕組みから具体的な設定手順までを解説する。
MFAとは何か
認証の3要素
| 要素 | 説明 | 具体例 |
|---|---|---|
| 知識要素（Something you know） | 本人だけが知っている情報 | パスワード、PIN、秘密の質問 |
| 所持要素（Something you have） | 本人だけが持っている物 | スマートフォン、セキュリティキー、ICカード |
| 生体要素（Something you are） | 本人の身体的特徴 | 指紋、顔認証、虹彩 |
MFAは、これら3要素のうち 2つ以上を組み合わせて認証する 仕組みだ。パスワード（知識）＋スマートフォンの認証アプリ（所持）が最も一般的な組み合わせとなる。
パスワードのみ vs MFA
| 攻撃手法 | パスワードのみ | MFA導入後 |
|---|---|---|
| フィッシング（偽サイトでパスワード窃取） | × 突破される | ○ ワンタイムコードは再利用不可 |
| パスワードリスト攻撃（流出DB利用） | × 突破される | ○ パスワードだけでは認証不可 |
| ブルートフォース攻撃（総当たり） | △ 複雑なパスワードなら耐えられる | ◎ 第2要素で完全ブロック |
| ソーシャルエンジニアリング | △ パスワードを聞き出される可能性 | ○ 物理デバイスの窃取は困難 |
Microsoftの調査では、MFAを導入するだけで 不正アクセスの99.9%をブロックできる と報告されている。
Microsoft 365でのMFA設定手順
前提条件
- Microsoft 365管理者アカウントが必要
- 対象ユーザーがスマートフォンを所持していること
- Microsoft Authenticatorアプリ（無料）をインストール
手順
1. Microsoft 365管理センターにログイン
- admin.microsoft.com にアクセスし、管理者アカウントでサインイン
2. セキュリティの既定値群を有効化（最も簡単な方法）
- Azure Active Directory管理センター → プロパティ → 「セキュリティの既定値群の管理」→ 有効化
- これだけで全ユーザーにMFAが強制される
3. 条件付きアクセスポリシーを設定（より柔軟な制御）
- Azure AD → セキュリティ → 条件付きアクセス → 新しいポリシー
- 対象ユーザー、アプリ、条件（社外アクセス時のみ等）を指定
4. ユーザー側の初回セットアップ
- 次回サインイン時にMFA登録画面が表示される
- Microsoft AuthenticatorアプリでQRコードをスキャン
- テスト認証を実行して完了
Microsoft 365のMFA方式比較
| 方式 | セキュリティ | 利便性 | おすすめ |
|---|---|---|---|
| Authenticatorアプリ（プッシュ通知） | ◎ | ◎ | 最推奨 |
| Authenticatorアプリ（TOTP） | ◎ | ○ | 推奨 |
| SMS認証 | △（SIMスワップ攻撃リスク） | ◎ | 最低限 |
| 電話通話 | △ | △ | 非推奨 |
| FIDOセキュリティキー | ◎◎ | ○ | 高セキュリティ要件 |
Google WorkspaceでのMFA設定手順
手順
1. Google Workspace管理コンソールにログイン
- admin.google.com にアクセス
2. 2段階認証プロセスの有効化
- セキュリティ → 認証 → 2段階認証プロセス → 組織全体で許可
- 「適用」に切り替えると全ユーザーに強制
3. 猶予期間の設定
- 新規ユーザー登録猶予期間を設定（推奨：1週間）
- 猶予期間中にユーザーがMFAを設定しないとアカウントがロック
4. ユーザー側のセットアップ
- myaccount.google.com → セキュリティ → 2段階認証プロセス
- Google Authenticatorアプリまたはセキュリティキーを登録
導入時のよくある課題と解決策
| 課題 | 解決策 |
|---|---|
| 「スマホを持っていない社員がいる」 | ハードウェアセキュリティキー（YubiKey等、1本約5,000円）を支給する |
| 「面倒くさい」という社内抵抗 | 「信頼済みデバイス」を登録すれば社内PCからは毎回聞かれない設定にする |
| 「スマホを紛失した場合のリカバリ」 | バックアップコードを事前に発行・保管する。管理者によるリセット手順を整備 |
| 「共有アカウントでMFAを使えない」 | 共有アカウントの廃止が理想。暫定対応としてSMS認証先を部門代表番号にする |
| 「導入後のサポート負荷が心配」 | 社内FAQと手順書を事前作成。最初の2週間はヘルプデスク体制を強化 |
MFA導入のチェックリスト
- 全ユーザーアカウントでMFAを有効化した
- 管理者アカウントは最優先でMFAを設定した
- 推奨認証方法をAuthenticatorアプリに統一した
- バックアップリカバリ手順を策定した
- 社員向けの設定マニュアルを配布した
- 共有アカウントの棚卸しと対応方針を決めた
- 導入後1ヶ月のMFA登録率を100%にする計画がある
まとめ
| 項目 | ポイント |
|---|---|
| MFAの効果 | 不正アクセスの99.9%をブロック |
| コスト | Microsoft 365 / Google Workspaceなら 0円 |
| 導入期間 | 管理者設定は1時間、全社展開は1〜2週間 |
| 最推奨方式 | Authenticatorアプリ（プッシュ通知） |
| 最初の一歩 | 管理者アカウントのMFA有効化（今日中に） |
MFAは、最もコストパフォーマンスの高いセキュリティ対策だ。設定は1時間、コストは0円、効果は99.9%。やらない理由がない。
GXO実務追記: システム開発・DX投資で発注前に確認すべきこと
この記事のテーマは、単なるトレンド紹介ではなく、要件定義、費用、開発体制、ベンダー選定、保守運用を決めるための検討材料です。検索で情報収集している段階でも、発注前に次の観点を整理しておくと、見積もりのブレ、手戻り、ベンダー依存を減らせます。
まず決めるべき3つの論点
| 論点 | 確認する内容 | 未整理のまま進めた場合のリスク |
|---|---|---|
| 目的 | 売上拡大、工数削減、リスク低減、顧客体験改善のどれを優先するか | 成果指標が曖昧になり、PoCや開発が終わっても投資判断できない |
| 範囲 | 対象部署、対象業務、対象データ、対象システムをどこまで含めるか | 見積もりが膨らむ、または重要な連携が後から漏れる |
| 体制 | 自社責任者、現場担当、ベンダー、保守運用者をどう置くか | 要件確認が遅れ、納期遅延や品質低下につながる |
費用・期間・体制の目安
| フェーズ | 期間目安 | 主な成果物 | GXOが見るポイント |
|---|---|---|---|
| 事前診断 | 1〜2週間 | 課題整理、現行確認、投資判断メモ | 目的と範囲が商談前に整理されているか |
| 要件定義 / 設計 | 3〜6週間 | 要件一覧、RFP、概算見積、ロードマップ | 見積比較できる粒度になっているか |
| PoC / MVP | 1〜3ヶ月 | 検証環境、効果測定、リスク評価 | 本番化判断に必要な数値が取れるか |
| 本番導入 | 3〜6ヶ月 | 本番環境、運用設計、教育、改善計画 | 導入後の運用責任と改善サイクルがあるか |
発注前チェックリスト
- 発注前に目的、対象業務、利用者、現行課題を1枚に整理したか
- 必須要件、将来要件、今回はやらない要件を分けたか
- 見積比較で、開発費だけでなく保守費、運用費、追加改修費を見たか
- ベンダー選定で、体制、実績、品質管理、セキュリティ、引継ぎ条件を確認したか
- 検収条件を機能、性能、セキュリティ、ドキュメントで定義したか
- リリース後3ヶ月の改善運用と責任分界を決めたか
参考にすべき一次情報・公的情報
上記の一次情報は、社内稟議やベンダー比較の根拠として使えます。一方で、公開情報だけでは自社の現行システム、業務フロー、データ状態、予算制約までは判断できません。記事で一般論を把握した後は、自社条件に落とした診断が必要です。
GXOに相談するタイミング
次のいずれかに当てはまる場合は、記事を読み進めるだけでなく、早めに相談した方が安全です。
- 見積もり依頼前に、要件やRFPの粒度を整えたい
- 既存ベンダーの提案が妥当か第三者視点で確認したい
- 補助金、AI、セキュリティ、レガシー刷新が絡み、判断軸が複雑になっている
- 社内稟議で費用対効果、リスク、ロードマップを説明する必要がある
- PoCや診断で終わらせず、本番導入と運用改善まで進めたい
多要素認証（MFA）導入ガイド｜Microsoft 365・Google Workspaceの設定手順を自社条件で診断したい方へ
GXOが、現状整理、RFP/要件定義、費用対効果、ベンダー比較、導入ロードマップまで実務目線で確認します。記事の一般論を、自社の投資判断に使える形へ落とし込みます。
※ 初回相談では営業資料の説明よりも、現状・課題・判断材料の整理を優先します。
関連記事
- MFA設定マニュアル（管理者向け図解）——スクリーンショット付き詳細手順
- ゼロトラストセキュリティ導入ガイド——MFAの次に取り組むべき対策
- パスワードマネージャー導入ガイド——パスワード管理の改善
- Microsoft 365セキュリティ設定ガイド——M365の包括的なセキュリティ設定
- GXOの導入事例一覧——セキュリティ対策の支援実績
MFA導入・セキュリティ強化のご相談
「MFAの設定を確実に行いたい」「全社導入の計画を手伝ってほしい」という方へ。GXOではMFAの設定支援から全社展開計画、社内マニュアル作成まで対応しています。
※ 営業電話はしません | オンライン対応可 | 相談だけでもOK