多要素認証（MFA: Multi-Factor Authentication）とは、ID・パスワードだけに頼らず、別の要素を組み合わせて本人確認を行う仕組みです。パスワードが漏れても、それだけではログインできない状態になります。ただし方式によって、導入の手間も、入れたあとに現場が毎日行う操作も変わります。この記事では、多要素認証の基本を押さえたうえで、ハードウェアキー・ソフトウェアキー・SMS認証の違いを、導入後の運用の負担まで含めて比較します。
PC版 月1,800円／台（初期費用0円）・サーバー版 月20,000円／台。初月無料ではじめられます（税別・目安）
多要素認証（MFA）とは
多要素認証とは、次の3つの「要素」のうち2つ以上を組み合わせて本人確認を行う仕組みです。
- 知識情報（Something you know）：パスワード、PINコード、秘密の質問など「本人だけが知っていること」
- 所持情報（Something you have）：スマートフォン（スマホ）、専用デバイス、ICカードなど「本人だけが持っているもの」。スマホアプリに表示されるワンタイムパスワード（OTP）もこの要素にあたります
- 生体情報（Something you are）：指紋認証・顔認証・静脈など「本人自身の身体的特徴」。業務PCのログインに指紋・顔認証を使う場合の考え方は生体認証でのPCログインで整理しています
パスワードのみのログインでは、パスワードさえ知っていれば誰でもログインできてしまいます。しかし多要素認証を導入していれば、パスワードが漏洩しただけではログインできません。攻撃者は「本人が持っているもの」や「本人自身」まで用意する必要があるためです。これが多要素認証が有効とされる理由です。
なぜ今、多要素認証が重視されるのか
近年の不正アクセス被害の多くは、フィッシングや他サービスからの流出によって盗まれたID・パスワードを使った「正規ログイン」を起点としています。この手口はウイルスファイルの実行を伴わないため、 ウイルス対策ソフトなどの入口対策だけでは止められません。
「パスワードを盗まれない対策」には限界がある以上、「盗まれても、それだけでは入れない状態にする」ことが不可欠です。多要素認証はまさにその役割を担います。
いちばん抜けやすいのは「PC・サーバーのログイン」
多要素認証は、Microsoft 365やクラウドサービス、ネットバンキングでは広まりました。一方で、社内のWindows PCやサーバーへのログインは、パスワードだけのままという会社がまだ多くあります。不正アクセスの多くは、VPN機器やリモートデスクトップから入られたあと、このPC・サーバーのログインを次々に通って被害が広がっています（最新ニュースの一覧）。
PCログインの2要素認証は、Active Directory（AD）がない会社でも、1台から入れられる方式があります。詳しくはADなしでPCログインに2要素認証を入れる方法とWindows/Windows Server OSログインの二要素認証で解説しています。
「2要素認証」「2段階認証」との違い
よく混同されるのが「2要素認証（二要素認証）」と「2段階認証」です。厳密には次のように異なります。
- 2要素認証（二要素認証・2FA、「2要因認証」と表記されることもあります）：異なる種類の要素をちょうど2つ組み合わせること。多要素認証に含まれます。
- 多要素認証（MFA）：異なる種類の要素を2つ以上組み合わせること（例：パスワード（知識）＋スマートフォン（所持））。
- 2段階認証：認証を2回に分けて行うこと。要素が同じでも成立します（例：パスワード＋秘密の質問＝どちらも「知識情報」）。
実務上は「2要素認証」と「多要素認証」はほぼ同じ意味で使われることが多く、本記事でも同義として扱います。要素の3分類（知識・所持・生体）や、この区別が製品選定の場面でなぜ効いてくるのかは、本記事の「2段階認証との違い」と「自社の認証が『2要素』になっているかを見分ける」で整理しています。
ハードウェアキーとは
ハードウェアキー（セキュリティキー）とは、USBやNFCなどで接続する物理的な認証デバイスのことです。「所持情報」を担う専用の機器で、ログイン時にこのデバイスをPCに挿す、あるいはかざすことで本人確認を行います。
強みは、物理的にデバイスを持っていなければ認証が成立しないため遠隔からの不正ログインが原理的に成立しないこと、偽サイトでは認証が成立しない方式があること、スマートフォンを配布していない環境でも使えることです。弱みは、人数分の購入・配布コスト、紛失・故障時の再発行運用、持ち忘れによる業務停止です。
FIDO2/U2Fといった規格の違い、製品を選ぶ際の確認項目、紛失時の運用設計といった具体的な検討事項は ハードウェアキーとは？物理認証キーの仕組みと選び方にまとめています。
ソフトウェアキーとは
ソフトウェアキーとは、スマートフォンアプリなどで認証コードを生成したり、ログイン承認を行う方式です。物理デバイスの代わりに、すでに持っているスマートフォンが「所持情報」の役割を果たします。
強みは、既存のスマートフォンで始められるため初期コストが低く、物理デバイスの調達が不要なぶん短期間で全社展開しやすいことです。弱みは、業務でスマートフォンを使わない従業員への別途対応と、機種変更時の引き継ぎ手順の周知が必要になることです。
なお、アプリップリキーのように、Windows PC・Windows ServerのOSログインに対応したソフトウェアキー型のものもあります。クラウドサービスだけでなく社内のPC・サーバーのログインが対象になるほか、運用面ではパスワード入力そのものを省略する設定にできるため、覚えて管理する対象を増やさずに済みます。また、全PC・サーバーの状態とログイン記録を1画面で管理することもでき、誰がいつどのPCにログインしたかをCSVで出せます。OSログインへの導入方法は Windows OSログインの2要素認証とは？導入方法と選び方で詳しく解説しています。
認証アプリ・プッシュ通知・OTPなど、ソフトウェアキーの方式ごとの違いはソフトウェアキー型MFAの種類と選び方で比較しています。
どちらを選ぶべきか
どちらが優れているかは一概には言えず、守る対象と運用体制によって適切な選択が変わります。判断の目安は次のとおりです。
- ハードウェアキーが向くケース：極めて機密性の高いシステム、スマートフォンを業務利用していない環境、外部からのアクセスを厳格に制限したい場合
- ソフトウェアキーが向くケース：コストを抑えて短期間で全社展開したい場合、すでにスマートフォンが行き渡っている環境、まずサーバー・重要PCから段階的に始めたい場合
多くの企業では、まずソフトウェアキーで広く展開し、特に重要なシステムのみハードウェアキーを併用するといった組み合わせも現実的な選択肢になります。
SMS認証はどうか
SMSで送られた確認コードを入力する方式も「所持情報」を使った認証ですが、SIMスワップ（携帯電話番号の乗っ取り）やSMSの盗み見といったリスクが指摘されています。パスワードのみよりは大幅に安全ですが、認証アプリや専用デバイスと比べると相対的に強度は劣ると考えられています。ワンタイムパスワードの各方式ごとの安全性の違いは ワンタイムパスワード（OTP）とは？で詳しく解説しています。
パスワードレス認証との関係
近年は「パスワードレス認証」という言葉も注目されています。これはパスワードそのものを使わず、生体認証やハードウェアキーだけでログインする仕組みです。パスワードが存在しないため、漏洩・使い回しのリスク自体をなくせるという考え方ですが、対応するシステム・端末が限られるため、多くの企業ではまだ「パスワード＋多要素認証」の組み合わせが現実的な選択肢です。
企業が導入する際に検討すべきポイント
- サーバーや重要PCなど、優先度の高い端末から導入する — 会計データ・顧客情報・共有ファイルが集まる場所から守ることで、限られた予算でも効果を最大化できます
- 管理者アカウントを個人ごとに発行し、共有をやめる — 多要素認証は「誰が認証したか」を明確にして初めて効果を発揮します
- リモートアクセス・VPN接続時の認証も強化する（VPN脆弱性対策・社内Wi-Fiの入口も参照）
- 外部の保守会社など、社外からのアクセスにも適用する（サプライチェーン攻撃対策としても重要）
- テレワーク環境からのログインには特に優先して導入する
- 紛失・機種変更時の運用ルールを事前に決めておく — 導入後につまずきやすいポイントです
- 費用の見積もりは初期費用だけで判断しない — ライセンス費以外に運用工数がかかります（多要素認証の費用はどこで決まるか）
- 展開の段取りを先に決める — 対象者・順番・問い合わせ対応を決めずに始めると現場が止まります（多要素認証の導入・展開の進め方）
自社の認証が「2要素」になっているかを見分ける
ログインのときに2回確認されても、2要素認証になっているとは限りません。見分けるポイントは、確認の回数ではなく、要素の種類が違うかどうかです。
- パスワード＋秘密の質問：どちらも「知っていること」なので、2段階ですが1要素です。パスワードと一緒に答えも盗まれれば通ってしまいます
- パスワード＋スマホへの通知やワンタイムパスワード：「知っていること」と「持っているもの」の組み合わせなので2要素です
- Windows Helloの顔認証・指紋認証・PINは別扱い：Microsoftは「PINとその端末の鍵」の組み合わせを2要素と位置づけていますが、同じPCの中で完結し、パスワードでのサインインも残ります。パスワードの代わりにログインを簡単にする手段で、それだけでは2要素認証になりません（Windows Hello for Businessとは）
取引先のチェックシートや審査で「2要素認証か」と聞かれたときは、2回聞かれるかどうかではなく、2つ目の確認が別の種類の要素かどうかで答えます。
入れたあと日々の仕事で変わること
多要素認証は、入れたあとの管理で担当者の手間が変わります。よくあるのは、取引先のチェックシートで「全員が2要素認証を設定しているか」と聞かれ、社員に1人ずつ確認して回る場面です。
アプリップリキーでは、ユーザーごとの設定状況（回復キー・ワンタイムパスワード・ワンタッチ・LINE）が1画面にまとまり、設定漏れは深刻な順に並びます。ログイン記録もCSVで出せるので、聞かれたその日に答えを出せます。社員から「ログインできない」と言われたときも、席まで行かずに、どのPCで誰が失敗したかをその場で確かめられます。
よくある質問
Q. パスワードを複雑にしていれば多要素認証は不要ですか？
A. 複雑なパスワードでも、フィッシングや他サービスからの流出によって漏洩する可能性は残ります。パスワードの強度と、漏洩後に守れるかどうかは別の問題です。
Q. 多要素認証を入れればランサムウェアは止められますか？
A. すべては止められません。盗まれたID・パスワードをそのまま使う侵入は塞げますが、機器の脆弱性を突かれる侵入などには効きません。詳しくは ランサムウェア対策としての多要素認証 効く経路・効かない経路で整理しています。
Q. 全社員に一斉導入しないと意味がありませんか？
A. そんなことはありません。サーバーや管理者権限を持つアカウントなど、影響の大きいところから段階的に導入するだけでも、被害リスクを大きく下げられます。
Q. SCS評価制度の対応にもつながりますか？
A. はい。国が主導する SCS評価制度では、★3で重要な機密情報を扱うクラウドサービスに多要素認証が求められ、★4ではインターネット経由で社内に接続する場合などにも対象が広がります。ID・パスワードに関する要求事項はほかに、IDの管理、ログイン失敗時のロック、パスワードのルールなどがあり、多要素認証はその一部です。
Windows に標準で入っている顔認証・指紋認証を使っても、それだけでは多要素認証になりません。パスワードの代わりにログインを簡単にする手段で、同じPCの中で完結するためです。理由は Windows Hello for Businessの限界で整理しています。
1台のPCを複数人で使っている現場では方式の選び方が変わります。進め方は 共用PCの認証設計、 導入を段階的に展開する際の運用面は 多要素認証の展開と運用を参照してください。
まずは現状を確認する
自社にどこまで多要素認証が必要か、どの端末から優先すべきかは、現状の認証方式によって異なります。applippliの無料棚卸しでは、10問・約3分で、自社の対応状況を項目ごとに棚卸しできます。
実際にID・パスワードが漏洩した場合にどのような被害につながるかは、 ID・パスワード漏洩の実例と対策、漏洩時の影響と初動対応は パスワードが漏洩したらどうなる？で詳しく解説しています。
会社全体の不正アクセス対策をどこから進めるかは、不正アクセス対策とは 侵入経路別の優先順位で、2026年の統計と事例をもとに整理しています。