中小企業の多要素認証を始める前の確認表｜対象・復旧・担当を決める

多要素認証（MFA）を有効にする前に、「誰がどのサービスへ入るか」「認証に使う端末を失ったら誰が対応するか」を整理しておきます。設定を急ぐと、重要な管理者アカウントの復旧方法が分からず、業務が止まることがあります。この記事は製品ごとの設定手順ではなく、小規模組織で導入前に決める運用項目を扱います。

IPAの中小企業の情報セキュリティ対策ガイドライン第4.0版は、情報の重要性に応じて認証方法と管理ルールを定め、多要素認証を活用する方針を示しています。MFAを入れれば不正アクセスがなくなる、という意味ではありません。

1. 対象のアカウントを棚卸しする

まず、メール、会計、クラウドストレージ、サイト管理など、停止時の影響が大きいサービスを挙げます。各サービスについて利用者、管理者、委託先、共用の有無を確認し、どこから導入するかを決めます。退職時の権限確認は退職者アカウントの確認表で扱っています。ここでは在職中の認証方法と復旧責任に絞ります。

表にパスワード、回復コード、認証用QRコードを記載しません。保管が必要な秘密情報は組織の承認された保管方法へ分離します。

2. 予備の方法と本人確認の流れを決める

認証アプリを入れたスマートフォンを紛失した場合に備え、サービスが認める別の認証方法や復旧手段を確認します。MicrosoftのMFA導入資料も、主たる方法が使えない場合に備えて複数の方法を有効にするよう勧めています。ただし、利用できる方法はサービスと契約によって異なります。

「連絡を受けたら即座にMFAを解除する」という運用にはしません。申請者の本人確認、承認者、作業記録、復旧後の再登録を決めます。管理者自身が入れない場合の連絡先も用意します。緊急手段を設ける場合は、常用せず、アクセス範囲と利用記録を管理します。

3. 小さく試してから対象を広げる

利用者の少ないサービスか管理下のテスト用アカウントで、登録、通常のサインイン、端末交換時の連絡を確認します。実在の認証情報を記事や検証記録に載せません。業務時間帯の一斉切替は避け、失敗時の相談先と戻し方を関係者へ伝えてから対象を広げます。具体的な操作は各サービスの公式手順と組織の変更管理に従います。

この表は説明用の運用例であり、特定企業での導入実績ではありません。

まとめ

MFA導入の準備は、製品選びだけでなく、対象、予備手段、本人確認、復旧担当を揃えることです。決められない項目は「未確認」と残し、無理に完了扱いしません。外部へ相談する場合はセキュリティ相談前の整理シートにサービスと未決事項をまとめてください。

参考資料

• IPA：中小企業の情報セキュリティ対策ガイドライン第4.0版
• Microsoft：MFA導入時の考慮事項