多要素認証（MFA）とは — 方式の違いと導入・復旧のチェックリスト

MFAとは：異なる種類の要素を組み合わせる認証

多要素認証（MFA）は、知識・所持・生体など異なる種類の要素を組み合わせる認証です。パスワードと秘密の質問のように、知識を二つ確認するだけでは多要素とは言えません。

パスワードだけの認証より保護を強められますが、どの方式でもすべての侵害を防げるわけではありません。方式の特性、利用者の操作、復旧経路を一緒に確認します。

• 認証方式

  異なる要素か、フィッシング耐性があるか。

• 復旧経路

  紛失した時、誰が何を確認して再登録するか。

• 運用とログ

  登録変更、不審な通知、復旧の履歴を把握する。

SMS・認証アプリ・FIDOの違い

方式	確認する特性	実務上の注意
SMSコード	電話番号宛てのコードを確認	番号の不正移転や手入力コードのフィッシングに注意
認証アプリのTOTP	所持するアプリで時間ベースのコードを生成	コードを偽サイトへ入力しない。移行・復旧方法も確認
プッシュ通知	登録端末で要求を承認	操作していない要求を承認しない。通知連打は報告する
FIDO・パスキー	認証先との結び付きを検証する方式	認証器の管理、同期、復旧、サービスの要件を確認

NIST SP 800-63B-4は、手入力するOTPとフィッシング耐性を持つ暗号学的な認証方式を区別しています。SMSやTOTPを「無意味」と扱うのも、FIDOを「絶対安全」と扱うのも適切ではありません。

個人が導入前に確認すること

• 公式アプリやブックマークから設定画面を開く。
• 重要なメール、管理者アカウント、同期アカウントを優先する。
• 対応する方式と代替認証器の登録可否を調べる。
• 回復コードが提供される場合は、他人が読めず自分が取り出せる場所に保管する。
• スマートフォン紛失・機種変更時の復旧を確認する。
• 設定した後、正規のログインと代替経路が使えるか確認する。

情シス・SaaS管理者の確認ポイント

利用者だけでなく、管理者・サービスアカウント・緊急用アカウントの扱いを整理します。一律の設定変更で自動処理や復旧経路を止めないよう、例外、期限、承認者、監視を記録してください。

ヘルプデスク経由の再登録では、メールや電話の依頼だけで本人と断定しない運用が必要です。登録・解除・復旧のログと、不審なログインや権限変更のログを照合します。

不審な通知・入力後の初動

自分が操作していない通知は承認せず、組織の窓口へ報告します。コードを入力した、不明な要求を承認した場合は、信頼できる管理経路でセッション、認証器、復旧先、アプリ同意を確認し、失効や再登録を判断します。

パスワード変更だけでは、すでに発行されたセッションやアプリ権限が失効しない場合があります。フィッシング報告プレイブックに沿って、時刻・操作・対象アカウント・確認結果を記録してください。コードや回復情報の値は記録しません。

次に学ぶページ

パスキーの同期型と固定型、認証と認可、MFA Fatigue、フィッシング対策へ進めます。