2要素認証を導入しようとすると、必ず「何を2つ目の要素にするか」という選択が出てきます。その候補のうち、専用の物理デバイスを配布せずに始められるのがソフトウェア方式(ソフトウェアキー・認証アプリ・ソフトウェアトークン)です。手軽に見える一方で、端末の管理や紛失時の運用という別の課題が出てきます。この記事では、ソフトウェア方式の仕組みと、どういう組織・用途に向くのかを整理します。方式全体の横並び比較は多要素認証の基本を解説した記事で扱っています。
Windows PC・サーバーのログインに使う多要素認証ソフトの選び方（確認する8項目）
「多要素認証を入れた」のに、PCのログインはパスワードだけ、という会社は少なくありません。製品の多くはクラウドのサインインが対象で、Windowsのログイン画面は変わらないためです。PC・サーバーのログインに使うなら、次の8項目を順に確かめてください。
| 確認する項目 | 確かめること | 見落とすと |
|---|---|---|
| ① Windowsのログインが対象か | 多くの多要素認証は、Microsoft 365などクラウドのサインインが対象です。PCの電源を入れたときのログイン画面が変わるかを確かめます。 | クラウドには2要素認証が効いていても、PCはパスワードだけで入れるまま |
| ② ADがなくても使えるか | ワークグループ・ローカルアカウントのPCでも動くか。Active Directoryやクラウドのディレクトリへの参加が前提でないか。 | 導入の前にAD構築が必要になり、話が止まる |
| ③ Windows Serverにも入れられるか | ファイルサーバー・業務サーバーのログオンも対象にできるか。PC向けとサーバー向けの両方があるか。 | PCは守れても、データのあるサーバーがパスワードだけ |
| ④ リモートデスクトップも対象か | RDPで接続したときのログインにも2つ目の要素が求められるか。 | 社内に入られたあと、RDPでPC・サーバーを渡り歩かれる |
| ⑤ 管理者アカウントに抜け道がないか | 管理者や例外扱いのアカウントだけパスワードで入れる、という設定が残らないか。 | 影響のいちばん大きいアカウントが対象外になる |
| ⑥ スマホを忘れた・通信がないときの手順 | 緊急時の解除方法が、誰でも使える抜け道になっていないか。通信がなくても使えるか。 | 緊急用のパスワードが広まり、結局パスワードだけで入れる |
| ⑦ 1台から試せるか | 少ない台数で試し、現場の操作の負担を確かめてから広げられるか。 | 全社一斉の導入が前提になり、検討が進まない |
| ⑧ Windows Helloと混同していないか | 顔・指紋・PINのWindows Helloは、ログインを簡単にする仕組みで、2要素認証ではありません。パスワードでのログインも残ります。 | Helloを入れて「2要素認証にした」と思い込む |
最初に見るのは①〜④です
PC版 月1,800円／台（初期費用0円）・サーバー版 月20,000円／台。初月無料ではじめられます（税別・目安）
2要素認証ソフトウェア（多要素認証ソフト・ソフトウェアキー）とは
ソフトウェアキーとは、本来は専用の物理デバイスが担っていた「本人が持っているものである」という証明の役割を、パソコンやスマートフォン上のソフトウェアに肩代わりさせる方式のことです。認証アプリ、ソフトウェアトークンといった呼び方もされますが、いずれも「持ち物としての要素を、端末の中のソフトウェアで表現する」という考え方は共通しています。
つまり、利用者が持ち歩くのは専用機器ではなく、業務で使っている端末そのものになります。この一点が、後述する利点と弱点の両方を生み出しています。
仕組みのイメージ
細かい方式によって差はありますが、共通する骨格はシンプルです。まず初回の登録時に、端末側のソフトウェアと認証を行うサーバーとの間で、両者だけが知る情報を共有します。以降のログイン時には、その共有した情報をもとに、その場限りで有効な値を端末側が生成します。サーバー側も同じ前提から値を求められるため、提示された値が一致すれば「登録された端末を持っている本人だ」と判断できる、という流れです。
重要なのは、パスワードのように固定された文字列を送るのではなく、毎回変わる値でやりとりする点です。そのため仮に一度使われた値を盗み見られても、そのまま再利用はできません。生成される値の種類や有効時間の考え方については、ワンタイムパスワードの仕組みを解説した記事で詳しく扱っています。
導入面での利点
ソフトウェア方式が選ばれる理由は、多くの場合、運用の立ち上がりの軽さにあります。
- 物理デバイスの調達・配布が不要 — 機器の発注、検品、配布、在庫管理といった一連の作業が発生しません
- 増員・異動に追従しやすい — 新しい利用者が増えても、登録作業だけで対応できます
- 費用の見通しが立てやすい — 機器の実費や紛失時の再発行費用ではなく、利用者数を基準に考えられるため、予算化しやすい傾向があります
- 拠点が分散していても展開しやすい — 物理的な発送作業を挟まないため、遠隔地の利用者にも同じ手順で展開できます
弱点と注意すべき点
一方で、ソフトウェア方式には構造上の弱点があります。導入前に確認しておきたいのは次のような点です。
端末そのものが乗っ取られた場合に弱い
2要素認証の前提は「パスワードとは別の独立した要素」を求めることにあります。しかし2つ目の要素が端末の中のソフトウェアである場合、その端末が第三者の手に渡ったり、不正なソフトウェアに侵入されたりすると、要素の独立性が崩れやすくなります。端末を守る対策と切り離して考えられない方式だといえます。
利用者に端末を持たせられない現場では使えない
製造現場や店舗など、業務中に個人が端末を携行しない職場では、そもそも成立しません。この場合は物理的な鍵を用いる方式が現実的で、ハードウェアセキュリティキーの解説記事で扱っています。
端末の入れ替え・紛失のたびに再登録が必要
端末とサーバーの間で情報を共有する仕組みであるため、端末が故障・買い替え・紛失で入れ替わるたびに、登録をやり直す運用が発生します。誰が申請し、誰が本人確認をして再登録を許可するのかを決めておかないと、いざそのときに担当者の判断で例外対応が積み重なりがちです。端末そのものの管理台帳についてはモバイル・PCのID管理を扱った記事も参考になります。
私物端末を使う場合の線引き
業務用端末を全員に配布していない組織では、私物端末に認証アプリを入れる形になりがちです。その場合、退職時にどう解除するのか、業務時間外の対応をどこまで求めるのかといった論点が残ります。技術の問題というより、社内ルールとして事前に合意しておくべき部分です。
2要素認証ソフトウェアの種類とそれぞれの強度
「ソフトウェアキー」とひとまとめに呼ばれますが、中身はいくつかの方式に分かれます。強度も運用の手間も方式ごとに違うため、選定の際は名称ではなくこの区分で見てください。
| 方式 | 利用者の操作 | 通信が切れても使えるか | 注意点 |
|---|---|---|---|
| 認証アプリのコード | アプリに表示された数字を入力 | 使える（端末内で生成するため） | 偽サイトに入力させられると通ってしまう |
| プッシュ通知の承認 | 通知に対して「承認」を押す | 使えない（通信が必要） | 通知が連続で届くと、内容を見ずに承認してしまう |
| SMS・メールのコード | 届いた数字を入力 | 使えない | 電話番号やメールを乗っ取られると突破される |
| 端末に置く証明書 | 操作なし（端末が自動で提示） | 使える | 端末を持ち出されると、その端末では通ってしまう |
「通信が切れても使えるか」の列は、選定時に見落とされやすい項目です。プッシュ通知やSMSを前提にすると、通信が不安定な現場や、社外に持ち出したノートPCでログインできない状況が起こりえます。この論点は インターネットに繋がらない環境の2要素認証で詳しく扱っています。
方式を決める前に確認しておく3つのこと
- 対象者が業務でスマートフォンを持っているか — 持っていない層がいる場合、その人たちだけ別の方式を用意する必要があります（スマホなしで多要素認証を導入する方法）
- 私物端末に業務用のアプリを入れてよいか — 会社として認めるのか、認めるなら何を条件にするのかを先に決めておかないと、展開の途中で止まります
- 機種変更のときに誰が対応するか — 認証情報の移行は利用者本人では完結しないことがあります。問い合わせ窓口を決めておきます
ソフトウェア方式とハードウェア方式のどちらを選ぶか
どちらが優れているかという問いには一般解がありません。次のような観点で、自社の状況に当てはめて判断するのが現実的です。
- 利用者に端末を持たせられるか — 業務中に個人が端末を携行できない現場が含まれるかどうか
- 守りたい対象は何か — パソコンへのログインそのものか、クラウドサービスへのログインか。前者についてはWindows OSログインの2要素認証を解説した記事で扱っています
- 紛失・故障時の運用を回せる体制があるか — 再登録の申請・承認フローを維持できる担当者がいるかどうか
- 既存のID管理との連携 — 現在のアカウント管理の仕組みと接続できるか(アカウント管理システムの解説記事も参照)
- 利用者の負担 — 日々のログイン手順として現場が受け入れられる操作数かどうか
比較の進め方そのものについては多要素認証の製品選定を扱った記事で整理しています。
Windows PCのログインに使う2要素認証ソフトウェア：ADなし・1台から始められるか
2要素認証をWindows PCのログインに使う場合、中小企業で最初につまずくのは「Active Directory（AD）がないと入れられない製品が多い」ことです。ワークグループ・ローカルアカウントのPCでも動くか、1台から試せるか、リモートデスクトップとWindows Serverまで対象になるかを先に確認してください（ADなしでPCログインに2要素認証を入れる方法）。
Windowsのログインは、パスワードを知っていれば誰でも本人として入れます
2要素認証ソフトを選ぶ目的は、パスワードが漏れても、それだけでは入れない状態にすることです。Windowsのログインが対象外のままだと、この目的は果たせません。
パスワードだけのログイン
漏れた・推測された・メモを見られたパスワードで、そのまま本人として入れます。記録の上でも本人と区別できません。
2要素認証のログイン
パスワードに加えて、本人だけが持つもの（スマホなど）が必要です。パスワードを知っているだけでは入れません。
- VPNや社内Wi-Fiから社内に入られたあと、被害がPC・サーバーへ広がるかどうかは、このログインの部分で決まります。
- 顔・指紋・PIN（Windows Hello）は、ログインを簡単にする仕組みで、2要素認証ではありません。
- 2要素認証というと手間が増えそうですが、本人のスマホを鍵にしたワンタッチログインなら、初回の設定のあとはPINもWindowsのパスワードも打たずに、スマホのワンタッチで入れます。長いパスワードを覚えて打つ手間は、むしろなくなります。
一方式に統一しないという選択肢
検討の途中で「全員を同じ方式に揃えなければならない」と考えてしまい、結論が出なくなることがあります。実際には、役割や現場の状況に応じて使い分ける形も取れます。
たとえば、端末を常時携行する事務部門はソフトウェア方式で運用しつつ、端末を持ち込めない現場では物理的な方式を使う、といった分け方です。また、影響範囲の大きい管理者アカウントだけはより強い方式にする、という考え方もあります。方式を混在させると管理対象は増えますが、「全員に合う一つの方式」を探し続けて導入自体が止まるより、実務上は前に進みやすい場合があります。
入れたあと日々の仕事で変わること
2要素認証ソフトを入れると、担当者の仕事は「入れて終わり」ではなく、機種変更の再登録や「入れない」という問い合わせへの対応に移ります。誰がどの方式を設定済みか、どのPCで誰がログインに失敗したかを1か所で見られるようにしておくと、問い合わせのたびに席まで行って調べる手間が減ります。取引先のチェックシートで「PCのログインはどう管理していますか」と聞かれたときも、ログイン記録をCSVで出して、その日のうちに答えられます。
よくある質問
Windowsのログインに使う2要素認証ソフトは、何を確認して選べばよいですか？
まず、Windowsのログイン画面そのものが対象か（クラウドのサインインだけが対象ではないか）を確認します。そのうえで、Active Directoryがなくても使えるか、Windows Serverとリモートデスクトップのログインも対象か、管理者アカウントや緊急時の手順がパスワードだけで入れる抜け道にならないか、1台から試せるかを確かめます。
ソフトウェアキーとは何ですか？
専用の物理デバイスが担っていた「本人が持っているものである」という証明の役割を、パソコンやスマートフォン上のソフトウェアに肩代わりさせる方式です。認証アプリやソフトウェアトークンとも呼ばれ、利用者は専用機器ではなく業務で使う端末を持ち歩く形になります。
ソフトウェア方式とハードウェア方式のどちらを選ぶべきですか？
一般解はありません。利用者に端末を持たせられるか、守りたい対象がパソコンのログインかクラウドサービスか、紛失・故障時の再登録運用を回せる体制があるか、既存のID管理と連携できるかといった観点で、自社の状況に当てはめて判断します。
社内で方式を統一しなくても問題ありませんか？
役割や現場の状況に応じて使い分ける運用も可能です。端末を携行できる部門はソフトウェア方式、端末を持ち込めない現場は物理的な方式、影響範囲の大きい管理者アカウントはより強い方式にする、といった分け方が考えられます。管理対象は増えますが、導入が止まるより前に進みやすい場合があります。
いまの運用を棚卸ししてみる
どの方式が適しているかは、端末の配布状況や運用体制によって変わります。applippliの無料棚卸しでは、10問・約3分で、自社の認証・アカウント管理の対応状況を「解決済み／一部解決／人手で対応／未解決」に仕分けた一覧にできます。方式選定の前提として、現状を整理する材料としてご利用ください。