クラウドサービスには2要素認証を入れたものの、社内のWindows PCやWindows Server（Surfaceなどのノート・タブレット型も含む）へのログインは、いまだにID・パスワードだけという企業は少なくありません。会計データ・顧客情報・共有ファイルが実際にあるのは社内のサーバーやPCです。この記事では、法人のWindows OSログインに2要素認証（二要素認証）を入れる意味と方法、方式ごとの違いと選び方を解説します。
パスワードだけのログインと、2要素認証のログイン
ID・パスワードだけ
- パスワードを知っていれば、誰でもそのPC・サーバーに入れる
- 漏れたこと自体に気づきにくい
2要素認証あり
- パスワードに加えて、スマートフォンなどでの本人確認が必要
- パスワードが漏れても、それだけでは入れない
PCログイン・Windowsログインの2要素認証・多要素認証とは
PCログインの2要素認証（多要素認証）とは、Windowsのサインイン画面で、パスワードに加えてスマートフォンや専用デバイスによる本人確認を追加する仕組みです。「PC ログイン 2要素認証」「Windows 2要素認証」はいずれもこの仕組みを指します。クラウド専用の多要素認証と違い、PC本体・Windowsへのログインそのものが対象です。
自社のログイン運用チェック（1/10問）
業務で使うPCへのログインは、いまどの方法ですか？
選ぶと2問目へ進みます。残り9問・約3分。入力欄なし・登録不要です。
PC版 月1,800円／台（初期費用0円）・サーバー版 月20,000円／台。初月無料ではじめられます（税別・目安）
OSログインの2要素認証（Windowsの二段階認証）のしくみ
通常のWindowsログインは「ユーザー名＋パスワード」だけで完了するため、パスワードさえ知られていれば誰でも入れます。ここに「本人が持っているもの」（スマートフォンや専用デバイス）による確認を加えるのがOSログインの2要素認証です。なお、起動時にパスワード入力を省く「自動ログイン」は保護そのものを無効にするため、社用PC・サーバーでは無効にしておきます。
「2要素認証」「二要素認証」「多要素認証」の違い
| 用語 | 意味 |
|---|---|
| 2要素認証（二要素認証・2FA） | 異なる種類の要素をちょうど2つ組み合わせる |
| 多要素認証（MFA） | 異なる種類の要素を2つ以上組み合わせる。2要素認証を含む |
| 2段階認証 | 認証を2回に分ける。同じ種類の要素でも成立するため（例：パスワード＋秘密の質問）、厳密には2要素認証と異なる |
実務上は「2要素認証」と「多要素認証」はほぼ同じ意味で使われます。詳細は多要素認証（MFA）とは？で解説しています。
Microsoftアカウントの2段階認証を有効にすれば、PCのログインも二段階になる？
「Windows 二段階認証」と検索すると、Microsoftアカウントの「2段階認証」の設定方法が多く出てきます。これはMicrosoftアカウント（Outlook.comやOneDriveなど）へのサインインを守る設定です。
会社のPCで多いローカルアカウントやドメイン（Active Directory）のアカウントでのログイン、Windows Serverへのリモートデスクトップのログインには関係しません。Microsoftアカウントの2段階認証を有効にしても、これらはパスワードを知っていれば入れるままです。社内のPC・サーバーのログインそのものに2つ目の確認を加えるには、この記事で紹介する専用の仕組みを使います。
なぜPC・サーバーのログインに2要素認証が必要なのか
理由は次の4つです。すでに入られていないかが気になる場合は、先に不正アクセスされたか調べる方法でログオン記録を確認してください。
| 理由 | 内容 |
|---|---|
| 1. 被害が最も大きくなる場所 | ランサムウェアで困るのは社内サーバーが暗号化され、業務データが使えなくなること。クラウドだけ固めても、サーバーがパスワードのみなら弱点が残る |
| 2. 盗まれたパスワードでの「正規ログイン」 | 流出したID・パスワードで正規の利用者になりすます手口が多く、ウイルス対策ソフトでは検知が難しい。2要素認証ならパスワードが漏れてもそれだけでは入れない |
| 3. リモートデスクトップ・VPNが入口になる | テレワークや保守でRDP・VPNを使うと、社外から直接OSログインを試せる状態になる（社内Wi-Fiも同じ入口） |
| 4. 取引先から認証の状況を問われる | SCS評価制度の★3で社内PCのログオンに求められるのは試行回数の制限と6文字以上のパスワード/PINで、多要素認証は必須ではない。★4ではインターネット経由で社内に接続する場合などにも広がる |
経路ごとの整理はランサムウェア対策として多要素認証が効く経路・効かない経路、制度の原文は★3でPCログインに多要素認証は必須かで扱っています。OSログインの2要素認証は「義務だから入れる」ものではなく、理由1〜3のリスクを自社で許容できるかで決めるものです。社外から社内のPC・サーバーにログインする運用がある会社は、★4を目指す場合に対象になります。
ADがない会社・PC1台からでも導入できる
PCログインの2要素認証は「Active Directory（AD）や専用サーバーがある大きな会社向け」と思われがちです。実際には、ワークグループ・ローカルアカウントのPCに、1台から入れられる方式があります。最初の1台は、管理者権限を持つ人のPCや、社外からリモートで入るPCが向いています。手順と方式の違いはADなしでPCログインに2要素認証を入れる方法にまとめました。
Windows標準機能でできること・できないこと
WindowsにはWindows Hello / Windows Hello for Businessがあり、顔認証・指紋認証・PINでサインインできます。ただしこれはパスワードの代わりにログインを簡単にする手段で、同じPCの中で完結し、パスワードでのサインインやリモートデスクトップ接続も残るため、それだけでは2要素認証になりません（Windows Hello for Businessとは、導入手順はWindows Hello for Businessの導入手順）。
Windows Hello for Businessを組織で使うとき
考慮が必要な点
- AD・Microsoft Entra IDとの連携設計が必要で、構成の難易度が高い
- TPM・対応カメラ・指紋センサー等の要件を満たさないPCは対応が分かれる
- Windows Serverやスタンドアロン環境にはそのまま適用しにくい場合がある
- PINは端末に紐づくため、運用ルールの整理が必要
標準で使えるところ
- Windows Proに含まれ、追加費用がかからない
- PCの前でのサインインをPIN・顔・指紋にできる
2要素認証にすると、ログインの手間はどう変わるか
いま（パスワードだけ）
- 長いパスワードを毎回入力打ち間違えればやり直し
- 忘れたら情シスへ連絡覚えきれず使い回しが起きる
- 漏れたらそのまま入られる鍵はパスワード1つだけ
本人のスマホを鍵にしたワンタッチログインにすると
- 1PCのログイン画面を開くいつものWindowsのログイン
- 2スマホの通知をワンタップ本人のスマホが2つ目の鍵
- 3ログイン完了パスワードを盗まれても、スマホがなければ入れない
見落としやすい点
PCログインの2要素認証の主な方式
主な方式は3つです。それぞれ強みと注意点があります。
| 方式 | 強み | 注意点 |
|---|---|---|
| ソフトウェアキー（スマートフォンアプリ） | アプリで承認、またはワンタイムパスワード（OTP）を入力。専用デバイスの配布が不要で、初期コストを抑えて全社展開しやすい | 業務でスマホを使わない従業員には別対応が必要。機種変更時の移行手順の周知が必要 |
| ハードウェアキー（物理デバイス） | USB・NFCで接続するFIDO2/U2F対応デバイス。物理的に所持していないと認証できず、リモートからの攻撃・フィッシングに非常に強い。スマホを前提にしない | 人数分の購入・配布コスト、紛失時の再発行、持ち忘れによる業務停止 |
| ICカード・スマートカード | 社員証をかざして認証。入退室管理と統合できる | カードリーダーの設置コスト |
ハードウェアキーの規格や選び方はハードウェアキーとは？物理認証キーの仕組みと選び方で解説しています。
アプリップリキーはソフトウェアキー型で、PC版でWindows PCへのログインとリモートデスクトップ接続を、サーバー版でWindows Serverへのログインとリモートデスクトップ接続を2要素認証にします。ADがあってもなくても導入でき、新たに立てるサーバーがないため管理対象が増えず、1台ずつ進められます。パスワード入力を省略する設定にすれば、定期変更や伝達の手間も減らせます。また、全PC・サーバーの状態とログイン記録を1画面で管理することもでき、取引先や監査で聞かれたときもログイン記録をCSVでそのまま出せます。
Windows Serverに二要素認証を入れるときに先に決めること
サーバーは「誰が、どの経路でログインするか」が複数あります。製品を選ぶ前に次の4点を決めておくと、導入後の「守れていなかった」「止まってしまった」を避けられます。
| 決めること | 内容 |
|---|---|
| 1. かかる経路・かからない経路を分ける | かかるのはサインイン画面を通るログイン（サーバーの前、仮想基盤の管理コンソール、リモートデスクトップ）。共有フォルダやPowerShellのリモート操作には通常かからないため、アクセス権も見直す（ファイルサーバーのアクセス権の棚卸し） |
| 2. 管理者IDを1人1つにする | Administratorを複数人や保守業者で共有したままだと、スマホや物理キーを誰が持つかが決まらない（Windows Serverの特権アカウント管理） |
| 3. 使えないときの入り方を決める | スマホ紛失・ネットワーク障害・サービス停止に備え、緊急時だけ使うアカウントと保管方法（封をした紙を金庫に、など）を決める |
| 4. ドメインコントローラーは最後に | 止まると全社のログインが止まる。他のサーバーで慣れてから、検証環境で確認して適用。対応バージョンも製品ごとに確認 |
取引先から「サーバーのOSログインに二要素認証」を求められたら
どのサーバーの、どの経路（前での操作・リモートデスクトップ）に適用したかを一覧にして答えます。「一部のサーバーのみ」でも、範囲を明記すれば取引先は残りの進め方と合わせて判断できます（セキュリティチェックシートの答え方）。
選定時に確認すべきチェックポイント
製品を比べるときは次の項目を確認します。詳しくはWindows向け多要素認証製品の選び方で解説しています。
| 確認項目 | 見るポイント |
|---|---|
| Windows Server対応 | PCのみ対応の製品もある。サーバーを守りたいなら必須 |
| リモートデスクトップ（RDP）対応 | テレワーク環境では重要 |
| オフライン時のログイン | ネットワークに繋がらないときの運用（インターネットに繋がらない環境の2要素認証） |
| 既存PCをそのまま使えるか | ハードウェア要件があると買い替えコストが出る |
| AD・Entra IDへの参加が必須か | スタンドアロン環境では制約になる |
| スマホを持たない従業員への対応 | 代替手段の有無（スマホなしで多要素認証を導入する方法） |
| 指紋・顔認証（Windows Hello）との関係 | Windows Helloはログインを簡単にする手段で、それだけでは2要素認証にならない。注意点はPCログインの生体認証はどこまで有効か |
| 紛失・故障時の復旧手順 | 導入後の運用でつまずきやすい |
費用の内訳と見落としやすい項目は多要素認証の費用はどこで決まるかにまとめています。
PCログインに2要素認証を導入する進め方（段階的に始める）
全端末に一斉導入する必要はありません。影響の大きいところから段階的に進めるほうが現実的で、費用対効果も高くなります。
段階的な導入の順番
- 1
サーバー
会計・顧客情報・共有ファイルが集まるWindows Server
- 2
管理者権限のアカウント
乗っ取られたときの被害が最も大きい
- 3
重要データ・社外接続のPC
経理・人事、テレワーク利用者の端末
- 4
その他の一般端末
予算と運用が安定してから
どのPC・サーバーで2要素認証が設定済みかは、全台の設定状況を1画面で見られると（アプリップリキー）、1台ずつ確かめずに済み、残っている端末から順に進められます。共有アカウントの廃止や退職者アカウントの棚卸しなどID管理・アカウント管理の基本も見直すと、効果が高まります。
入れたあと日々の仕事で変わること
PC・サーバーを1か所で管理しておくと、ログインまわりの普段の仕事が軽くなります。社員から「入れない」と言われたら、席まで行かずに、どのPCで誰がいつ失敗したかを画面で確かめられます。取引先のチェックシートで「サーバーのログインは誰がいつ行ったか」と聞かれても、その日のうちにログイン記録をCSVで出せます。2要素認証の設定がまだの人も一覧で分かるので、声をかける相手に迷いません。
そのうえで2要素認証を入れても、毎回の操作は本人のスマホでワンタッチです。パスワードを打つ回数が減るぶん、社員にとってもログインが楽になります。
よくある質問
Q. PCログインの2要素認証・多要素認証とは何ですか？
A. Windowsのサインイン画面で、パスワードに加えてスマートフォンや専用デバイスによる本人確認を追加する仕組みです。クラウドサービス向けの多要素認証とは異なり、PC本体・Windowsサーバーへのログインそのものを保護します。「Windows 2要素認証」「PC ログイン 多要素認証」はいずれも同じ仕組みを指します。
Q. パソコンのログインを二段階認証（2要素認証）にするには、どうすればよいですか？
A. Windowsの標準機能だけでは、パスワードに加えてスマートフォンなどの2つ目の確認を必ず求める状態にはしにくいのが実情です。Windows Helloの顔認証・指紋認証・PINはログインを簡単にする手段で、パスワードでのサインインも残るため、それだけでは2要素認証になりません。PCのログインそのものを二段階にするには、サインイン画面に2つ目の確認を追加する認証ソフトを入れます。方式の違いは「PCログインの2要素認証の主な方式」で比べています。
Q. 2要素認証を入れると、毎回のログインが面倒になりませんか？
A. 方式によって操作の手間は異なります。スマートフォンでワンタッチするだけの方式であれば、数秒で完了します。パスワード入力を省ける方式なら、かえってログインが楽になることもあります。導入前に実際の操作感を確認することをおすすめします。
Q. ハードウェアキーとは何ですか？
A. USBやNFCでPCに接続する物理的な認証デバイスです。差し込む（またはかざす）だけで本人確認ができ、スマートフォンを持たない・業務で使わない従業員でも導入しやすい点が特徴です。デバイスを物理的に所持していない限り認証できないため、リモートからの攻撃やフィッシングに強い方式です。
Q. スマートフォンを業務で使っていない従業員がいます。
A. ハードウェアキーやICカードなど、スマートフォン以外の方式を併用できる場合があります。全員に同じ方式を適用する必要はありません。
Q. クラウドサービスには2要素認証を入れています。それで十分ではないですか？
A. 重要な一歩ですが、社内サーバーやPCへのOSログインはパスワードだけのままという状態が残ります。報告されている被害では、社内サーバーが暗号化されて業務が止まる例が多くあります。会計データや共有ファイルがあるサーバーから順に見直すと進めやすくなります。
Q. 中小企業でも導入すべきですか？
A. 取引先を経由した攻撃の踏み台として、企業規模を問わず被害の報告があります（サプライチェーン攻撃）。サーバー1台からでも始められるため、優先度の高い端末から着手することをおすすめします。優先順位の付け方は 中小企業がやるべき不正アクセス対策チェックリストもご覧ください。
Q. まず何から確認すればよいですか？
A. 自社のWindows PC・サーバーへのログインが、現在どこまでID・パスワードのみに依存しているかの把握から始めるのが確実です。
PCの入れ替えのときにログインの方式も見直す
Windows 10からWindows 11への移行のように、PCを入れ替える機会は、ログインの方式を見直しやすいタイミングです。入れ替えが終わらずに古い端末が残る場合は、端末ごとではなくその端末で使われているアカウントを基準に優先順位を決めます。管理者のアカウントや、顧客情報・設計データを扱うアカウントでログインする端末から先に、2要素認証を入れていくと効果が大きくなります。
関連する論点
ディスクの暗号化と認証はどちらも「PCを守る」対策ですが、守っている対象が違います。違いは BitLockerと認証の違いで整理しています。
1台のPCを複数人で使っている環境では、認証の入れ方が変わります。 共有PCの認証を参照してください。PCを入れ替えるときの進め方は、本記事の「PCの入れ替えのときに、ログインの方式も見直す」で扱っています。
Windows Hello を導入済みでも、それだけでは2要素認証になっていません。理由は Windows Hello for Businessの限界で整理しました。スマートフォンを業務で持たせていない現場での選択肢は スマートフォンなしの多要素認証、 通信が届かない場所での運用は オフライン環境の多要素認証を参照してください。
リモートデスクトップで社外から接続している場合は、接続経路によって適用範囲が変わります。設定漏れが起きやすい構成は RDPの2要素認証で扱っています。Active Directory を運用していない会社での進め方は ADがない会社の認証整備にまとめました。
2要素認証を入れる前に、いまの状態を確かめておくと優先順位を決めやすくなります。誰がいつ・どこからログインしているかは ADでユーザーのログオン履歴を確認する方法、 パスワードだけで入れる標準の管理者アカウントが残っていないかは 既定のAdministrator・Guestを無効にする手順で確認できます。
いまの運用を棚卸ししてみる
applippliの無料棚卸しでは、10問・約3分に答えるだけで、Windows PC・Windows Serverのログインまわりで、いま何をやっていて何が手つかずのまま残っているかが項目ごとの一覧になります。どこから手をつけるかを決める材料としてお使いください。結果はPDFレポートでもお届けします。
ログイン不要・個人情報の入力も不要でご利用いただけます。
会社全体の不正アクセス対策をどこから進めるかは、不正アクセス対策とは 侵入経路別の優先順位で、2026年の統計と事例をもとに整理しています。