PCやサーバーのログインを2要素認証にしたい、と考えている担当者は少なくありません。ところが社内で提案すると、「本当にそこまで必要か」という一言で止まってしまうことがよくあります。技術的な比較より先に、なぜ今、自社に必要なのかを、判断する人が納得できる言葉で説明することが必要です。
この記事では、経営層や上司によく聞かれる質問と、その答え方を、公的な統計を使って整理します。最後に、稟議書に書く項目の例も載せます。方式そのものの比較はWindowsログインの2要素認証、どの方式が自社に合う？で、仕組みの基本はOSログインの二要素認証とはで扱っています。
社内で通すまでの流れ
- 1
現状を一覧にする
どのPC・サーバーがパスワードだけか
- 2
質問に先回りして答える
狙われるのか・今のままで足りないのか
- 3
小さく試す計画で出す
1台・1部署から、期間と判断基準を決める
質問1「うちのような規模の会社が狙われるのか」
いちばん多い質問です。答えは統計にあります。警察庁が公表した2026年上半期のランサムウェア被害は123件で、半期ごとの集計を始めてから最多でした。そのうち79件（約6割）が中小企業です。
攻撃の多くは、会社を名指しで選ぶのではなく、外から入れる入口が開いている会社を探して入るやり方です。会社の規模や知名度は、狙われにくさの理由になりません。
答え方の例
質問2「パスワードを複雑にして定期的に変えれば足りるのでは」
警察庁・総務省・経済産業省がまとめた資料（令和8年3月公表・対象は令和7年）では、検挙された不正アクセスの9割以上が、他人のIDとパスワードを使う手口でした。不正アクセスの認知件数は7,190件で、前年より約34%増えています。
パスワードは、使い回し、偽のメールやサイト、ウイルス感染、のぞき見など、強さとは関係のないところから漏れます。どれだけ複雑にしても、漏れてしまえば正しいパスワードとして通ります。
一方、Microsoftの研究チームの分析（arXiv:2305.00945）では、パスワードがすでに漏れていたアカウントでも、多要素認証を設定していれば98.56%は乗っ取りを免れていました。パスワードを強くする対策と、パスワードが漏れた後でも入られない対策は、別のものです。
答え方の例
PC版 月1,800円／台（初期費用0円）・サーバー版 月20,000円／台。初月無料ではじめられます（税別・目安）
質問3「Microsoft 365には多要素認証を入れている それで十分では」
クラウドサービスの多要素認証は大切です。ただし、それが守っているのはクラウドサービスへのログインです。社内のPCやWindows Serverへのログインは、別の入口として、パスワードのまま残っていることがよくあります。
家にたとえると、PCやサーバーのパスワードは玄関の鍵です。クラウドサービスの多要素認証は、子ども部屋に鍵をかけているのに近い状態です。子ども部屋は守れても、玄関の鍵を持たれていれば家の中には入られてしまいます。社内のPC・サーバーに入られれば、そこに保存されたファイルや、次のPC・サーバーへのログインに使える情報に手が届きます。
答え方の例
質問4「VPNやファイアウォールがあるから社内には入られないのでは」
警察庁の2026年上半期の統計では、ランサムウェアの侵入経路が分かった36件のうち27件（4件に3件）が、VPN機器とリモートデスクトップでした。社内のWi-Fiも、VPNと同じく社内への入口です。外からの入口そのものが、侵入に使われています。
入られた後、攻撃者は社内のPC・サーバーに、盗んだIDとパスワードでログインしながら広がっていきます。正しいパスワードでのログインは、記録上は本人のログインと区別がつきにくく、気づくのが遅れます。VPNを越えられた後に残る関門が、PC・サーバーのログインです。ここに2つ目の鍵があれば、盗んだパスワードだけでは先へ進めません。
また、PCのログインの2要素認証は、社外からの接続に限った話ではありません。ノートPCの紛失・盗難、共用PC、のぞき見されたパスワードなど、目の前のPCに直接ログインされる場面でも働きます。
答え方の例
自社のログイン運用チェック（1/10問）
業務で使うPCへのログインは、いまどの方法ですか？
選ぶと2問目へ進みます。残り9問・約3分。入力欄なし・登録不要です。
質問5「パスワード管理ツールや不正アクセスの検知では駄目なのか」
どちらも大切な対策です。パスワード管理ツールは、使い回しや付箋などの管理の問題を減らします。不正アクセスの検知は、異変に早く気づくための仕組みです。
ただ、パスワード管理ツールを使っていてもパスワードそのものは漏れえますし、検知は入られた後に気づくための仕組みです。気づいた時点で、すでにファイルを持ち出されたり、暗号化されたりしていることもあります。いちばん大切なのは、入らせないことです。その最初の関門が、PC・サーバーのログインです。
3つの対策が受け持つ場面
管理・検知
- パスワード管理：漏れにくくする
- 検知：入られたことに早く気づく
- どちらも、漏れたパスワードでのログインそのものは通る
ログインの2要素認証
- 漏れたパスワードだけではログインできない
- 入られる前の段階で止める
- 管理・検知と組み合わせて使える
質問6「社員の手間とコストはどれくらいか」
手間とコストは、方式によって大きく変わります。たとえば、ログインのたびに6桁の番号を打つ方式もあれば、スマホを1回タップするだけの方式もあります。認証用のサーバーや、Active Directory（AD）などの管理の仕組みが前提になる方式もあれば、どちらも要らない方式もあります。
判断する側の不安を小さくするには、いきなり全社に入れる提案ではなく、まず数台で試す提案にするのが近道です。試す期間と、続けるかどうかを決める基準（社員の手間の声、ログインにかかる時間、問い合わせの件数など）を先に決めておけば、「やってみて合わなければやめる」判断ができます。
稟議書に書く6項目の例
| 項目 | 書く内容 | 書き方の例 |
|---|---|---|
| 1. 現状 | どのPC・サーバーがパスワードだけでログインできるか | 社内PC30台・ファイルサーバー1台がパスワードのみ。うち5台はリモートデスクトップ接続あり |
| 2. 起きうること | パスワードが漏れた場合に何が起きるか | 1台のパスワードが漏れると、同じパスワードでサーバーや他のPCにログインされうる |
| 3. 対象範囲 | まずどこに入れるか | まずファイルサーバーと、管理者が使うPC3台 |
| 4. 方式 | 選んだ方式と、選んだ理由 | AD不要・サーバー不要で、今の管理のまま入れられるため |
| 5. 費用 | 初期費用と月々の費用、台数が増えたときの考え方 | 初期費用と月額、対象を広げた場合の概算 |
| 6. 試し方と判断基準 | 試す期間・対象・続けるかを決める基準 | 1か月試し、社員アンケートと問い合わせ件数で継続を判断 |
「1. 現状」がいちばん書きにくい項目です。どのPCがパスワードだけなのか、誰が何台使っているのかを、先に一覧にしておくと、残りの項目も具体的に書けます。
「守り」だけでなく「普段の仕事が楽になる」も説明の材料にする
経営層が投資をためらうのは、セキュリティの対策が「入れても何も変わらない」ように見えるからです。稟議では、守りの話に加えて、入れたあとに担当者や社員の仕事の何が楽になるかも書いておくと、判断がしやすくなります。
- PCの棚卸し：1台ずつ見て回っていた台数・OS・空き容量・利用者の確認が、画面を開くだけで済む
- 取引先のチェックシート・監査：聞かれたその日に、ログイン記録や2要素認証の設定状況をCSVで出せる
- 「入れない」と言われたとき：席まで行かずに、どのPCで誰が失敗したかをその場で確かめられる
- 夜間・休日：異変があるときだけ担当者のLINEに届き、何もない日は見に行かなくてよい
アプリップリキーでは、これらは全PC・サーバーを1画面で管理する機能です。2要素認証は、その上に重ねる形で、社員の毎回の操作はスマホでワンタッチです。稟議書の「4. 方式」の選んだ理由に、こうした日々の手間の変化を書き添えられます。
よくある質問
全社に一斉に入れないと意味がありませんか？
いいえ。管理者が使うPCや、ファイルサーバーなど重要なデータがあるサーバーから始めるだけでも、盗んだパスワードで広がられる範囲を狭められます。試した結果を見て、対象を広げるかを判断できます。
ITの担当者が兼務でも運用できますか？
方式によります。認証用のサーバーや証明書の仕組みを維持する方式は、専任の担当者がいないと負担が大きくなりがちです。担当者が兼務の会社では、準備と維持の手間が少ない方式を選ぶのが現実的です。
出典
- 警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」（ランサムウェア被害報告件数、被害企業・団体等の規模、感染経路）
- 警察庁・総務省・経済産業省「不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況」（令和8年3月公表）
- Lucas Augusto Meyer et al.「How effective is multifactor authentication at deterring cyberattacks?」（arXiv:2305.00945）