MFA（多要素認証）はもう必須？SaaSの認証強化で問われる会社の認証管理 

Salesforceをはじめ、Microsoft 365やGoogle Workspaceなど主要なSaaSで認証強化が進んでいます。MFA（多要素認証）は、もはや「あった方がよいセキュリティ対策」ではなく、クラウドサービスを利用するための前提条件になりつつあります。
しかし、本当に重要なのはMFAを導入することだけではありません。企業が向き合うべき課題は、「認証を会社として管理できているかどうか」です。 

本記事では、認証強化が進む背景とともに、中小企業が見落としがちな認証管理の課題について解説します。 

なぜ今、MFA（多要素認証）が必須になっているのか 

企業の業務は、メールやファイル共有、顧客管理など、多くの領域でクラウドサービスを利用する時代になりました。業務のクラウド化が進んだことで、アカウントの乗っ取りによる不正アクセスリスクも高まっています。
そこで普及が進んでいるのがMFA（多要素認証）です。MFAとは、パスワードに加えてスマートフォンへの通知や認証アプリ、生体認証などを組み合わせて本人確認を行う仕組みです。 

 Salesforce・Microsoft 365・Google Workspaceで進むMFA必須化 

認証強化の代表例がSalesforceです。Salesforceは以前からMFAの利用を推奨していましたが、現在は認証要件をさらに強化し、MFAを前提とした運用へ移行しています。これはSalesforceだけの話ではありません。Microsoft 365やGoogle Workspaceなど、多くのSaaSでも認証強化が進められています。その背景には、パスワード認証だけでは企業の情報資産を守りきれなくなっている現実があります。 

• 漏えいしたID・パスワードの悪用 
• 複数サービスでのパスワードの使い回し 
• フィッシングによる認証情報の窃取 

MFAを利用することで、「パスワードを知っているだけではログインできない状態」を作ることができ、不正アクセスのリスクを低減できます。こうした動きからも分かるように、MFAは「導入した方がよい対策」から、「サービスを利用するための前提条件」へと変わり始めているのです。 

MFAが使えないと業務も止まる 

もし認証の問題でSaaSにログインできなくなったら、次のような影響が発生します。 

• メールを確認できず、顧客対応が止まる 
• 共有ファイルにアクセスできず、資料の確認や作成ができない 
• 顧客管理システムを利用できず、営業活動に支障が出る 
• 会計システムに入れず、経理業務が滞る 
• 社内外とのコミュニケーションが取りづらくなる 

一つひとつは小さなトラブルに見えるかもしれません。しかし、業務の多くがSaaSに依存している現在、こうした問題が同時に発生すると企業活動そのものに大きな影響を与えます。 

認証はセキュリティ対策の一部として語られることが多いものの、実際には業務を支える重要な基盤です。だからこそ、MFAは単なるセキュリティコストではなく、事業継続を支える仕組みとして考える必要があります。 

フィッシング耐性MFAが求められる理由 

MFAは不正アクセス対策として非常に有効ですが、導入しただけですべての攻撃を防げるわけではありません。近年は、偽のログイン画面へ誘導して認証情報を盗み取るフィッシング攻撃が高度化しており、従来型の認証方式では対応が難しいケースも増えています。 

例えば、攻撃者が本物そっくりのログイン画面を用意し、ID・パスワードだけでなく認証コードまで入力させることで、不正ログインを行う手口も確認されています。こうした攻撃への対策として注目されているのが「フィッシング耐性MFA」です。これは、偽サイトなどによる認証情報の窃取に強い認証方式を指します。代表的な認証方式には、次のようなものがあります。 

認証方式	特徴
パスキー	パスワード不要。フィッシングに強い。
セキュリティキー	USBやNFCなどの物理キーを利用。高い安全性。
Windows Hello・Face ID	生体認証を利用したパスキー認証。

これらの認証方式は、認証コードを入力する必要がないため、偽サイトへ認証情報を入力させるタイプのフィッシング攻撃に強いことが特徴です。 

Salesforceでは、管理者や特権ユーザーに対して、フィッシング耐性のあるMFAの利用を求める方針を打ち出しています。これは「MFAを導入しているか」だけではなく、「どのような認証方式を利用しているか」も重視され始めていることを示しています。
クラウドサービスの認証要件は今後も変化していく可能性があります。そのため企業には、MFAを導入するだけでなく、認証環境を継続的に見直し、運用・管理できる体制づくりが求められています。 

「認証の私物化」という、中小企業が見落としてきた構造問題 

MFAを導入する企業は年々増えています。しかし、実際の運用を見てみると、多くの企業が別の課題を抱えています。それが、「認証の私物化」です。 

MFAは導入していても管理できていない 

例えば、Google AuthenticatorやMicrosoft Authenticatorなどの認証アプリを、社員個人のスマートフォンにインストールして運用している企業は少なくありません。一見すると問題なく運用できているように見えますが、次のような状態になっていないでしょうか。 

• 社員個人のスマートフォンで認証を管理している 
• 誰がどのサービスにMFAを設定しているか分からない 
• 認証に利用している端末を把握できていない 
• トラブル発生時の対応方法が決まっていない 

こうした状態では、会社として認証の状況を把握できません。MFAを導入していることと、認証を適切に管理できていることは別の話です。認証が個人任せになっていると、いざという時に管理者が対応できず、思わぬリスクにつながる可能性があります。 

退職・異動・端末紛失で何が起きるか 

認証の私物化は、普段は大きな問題として表面化しません。しかし、次のような場面で課題が顕在化します。 

• 退職した社員の認証設定が残ったままになっている 
• 認証アプリが入ったスマートフォンを紛失してしまう 
• 担当者しか設定内容を把握しておらず引き継ぎができない 

こうした状況が発生すると、アカウント管理や認証の復旧に時間がかかるだけでなく、セキュリティリスクにもつながります。 

では、自社の状況はどうでしょうか。会社で利用しているSaaSの認証情報について、次の項目にすぐ答えられるでしょうか。 

もし答えに迷う項目があるなら、認証の管理体制が個人任せになっている可能性があります。
認証トラブルの影響を受けるのは個人ではなく会社全体です。だからこそ、「誰が認証を使うか」だけでなく、「誰が認証を管理するか」が重要になっています。 

「認証の私物化」が企業リスクになる理由 

オフィスの鍵やサーバールームの鍵を、会社が管理していないということは通常ありません。しかし、SaaSへのログイン認証については、気付かないうちに個人任せの運用になっているケースがあります。認証は、メールや業務システム、顧客情報などへアクセスするための入口です。その管理が会社の手を離れてしまうと、退職者対応や権限管理、セキュリティ対策のすべてに影響が及びます。 

MFAの導入が進んだ今、本当に重要なのは「MFAを使っているかどうか」だけではありません。認証という重要な仕組みを、会社として管理できているかどうか。それこそが、これからの企業に求められる認証管理の課題なのです。 

認証を、会社のインフラにする。AuthPointという選択肢

認証の私物化を防ぐためには、認証を個人任せにするのではなく、会社として管理できる仕組みが必要です。
AuthPointは、SaaSやVPN、PCログインなどの認証を一元管理できる認証基盤です。利用者や認証方式、アクセス状況を組織として把握できるため、認証管理の属人化を防ぎながら、安定した運用を実現できます。 

幅広い認証を一元管理できる 

Microsoft 365やGoogle Workspace、SalesforceなどのSaaSだけでなく、VPN接続やWindows ・Mac端末へのログイン認証にも対応しています。 

対応領域	主な対象
SaaS認証	Microsoft 365、Google Workspace、Salesforce など
VPN認証	リモートワーク時のVPN接続
PCログイン認証	Windows・Mac端末へのログイン

それぞれを個別に管理するのではなく、一つの認証基盤でまとめて管理できることがAuthPointの大きな特徴です。 

管理状況を「見える化」できる 

AuthPointでは、認証状況を管理画面から確認できます。 

• 誰が認証を利用しているか 
• いつ認証したか 
• どこからアクセスしたか 
• どのサービスへログインしたか 

認証状況を可視化できることで、不審なアクセスの早期発見や退職者アカウントの整理、トラブル発生時の対応も行いやすくなります。 

運用まで含めて支えるMALUTO MFA 

認証管理は、一度導入すれば終わりではありません。社員の入退社や端末変更、新しいSaaSの追加など、日々の運用が発生します。また、SaaSの認証要件は今後も変化していく可能性があります。現在は問題なく利用できていても、将来的に追加の認証要件への対応が求められるケースも考えられます。 

MALUTO MFAでは、AuthPointの導入だけでなく運用面も含めてサポートしています。導入後の設定変更や利用者管理、新しいSaaSへの対応に加え、こうした認証要件の変化にも対応しながら、継続的な認証運用を支援できる点が特徴です。 

認証管理の見直しは、何から始めればよいのか 

ここまで見てきたように、認証管理はもはやIT担当者だけの課題ではありません。まずは、自社の認証環境がどのような状態になっているのかを確認することから始めてみましょう。 

まずは自社の認証状況を把握する 

最初に確認したいのは、「誰が、どのサービスの認証を管理しているのか」です。まずは、次の項目をチェックしてみましょう。 

一つでも不安がある場合は、認証管理の見直しが必要かもしれません。認証管理の課題は、現状を把握することで初めて見えてきます。まずは自社の運用状況を整理することから始めてみましょう。 

利用中のSaaSの認証要件を確認する 

次に確認したいのが、利用中のSaaSで今後予定されている認証要件の変更です。Salesforceをはじめ、多くのSaaSで認証強化が進んでいます。現在の認証方式で問題ないのか。今後、追加対応が必要になる予定はないのか。こうした情報を定期的に確認しておくことで、突然の仕様変更にも対応しやすくなります。 

認証を会社のインフラとして考える時代へ 

MFAの普及や認証要件の強化によって、認証は企業活動を支える重要な基盤になりました。これから求められるのは、単にMFAを導入することではなく、認証を継続的に運用・管理できる体制を整えることです。
まずは、自社の認証管理が個人任せになっていないかを確認してみてください。認証を「利用者のもの」ではなく、「会社のインフラ」として管理することが、SaaSを安全かつ継続的に活用するための第一歩になります。