二段階認証はどこから設定する？設計事務所の多要素認証の手順

二段階認証は「メールと図面の保管先」から設定する

二段階認証（ログイン時にパスワードに加えて、もう一段の確認を求める仕組み）は、パスワードが盗まれても不正ログインを止めるための対策です。設計事務所で最初に設定すべきなのは、業務メールと、図面やBIMモデルを置くクラウドの二つです。メールは他のサービスのパスワード再設定の入口になり、図面の保管先は漏えいしたときの影響が最も大きいからです。

IPAの「情報セキュリティ6か条」は、VPNや重要なシステムを使う場合は強固なパスワードに加えて、可能な場合は多段階認証、多要素認証、パスキーなどの認証強化機能を利用するよう求めています。本記事では、言葉の違いを押さえたうえで、少人数の設計事務所が設定を進める順番と、つまずきやすい復旧手順をまとめます。

二段階認証と多要素認証の違い

総務省は、多要素認証を「知識情報」「所持情報」「生体情報」の三要素のうち二つ以上を組み合わせて認証することと説明し、二つの要素を使うものを二要素認証と呼んでいます。

二段階でも、パスワードの後に「秘密の質問」を答える方式は、どちらも知識情報です。確認が二回あっても、要素は一種類のままです。サービスの設定画面に「2段階認証」と書かれていても、実際に何と何を組み合わせているかを確認します。

設定する順番を決める

一度に全サービスへ設定しようとすると、途中で止まります。届く情報の大きさと、他サービスへの影響で順番を決めます。

警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等について」では、令和7年にランサムウェア被害に遭った組織へのアンケートで、侵入経路はVPN機器が6割以上を占めたとされ、漏えいした認証情報や簡易なパスワードが悪用されると説明されています。在宅や現場から事務所のNASへ入る経路がある場合は、優先度を上げます。

方式ごとの強さと注意点

多要素認証にもいくつかの方式があります。IPAの6か条の解説編は、SMSで送られるワンタイムパスワードを盗もうとするフィッシングの手口も確認されていると注意し、パスキー（スマホやPCと指紋・顔認証・PINを組み合わせる方式）はパスワードやSMSのコードを入力しないため、フィッシングによる認証情報の盗み取りに強いと説明しています。

警察庁の同じ資料でも、令和元年頃から、偽サイトに入力させた情報をその場で本物のサイトへ転送する「リアルタイム型フィッシング」で二段階認証を突破する手口が横行していると書かれています。つまり、多要素認証を設定しても、偽のログイン画面に確認コードまで入力してしまえば防げません。

方式は、サービスが対応している範囲で選びます。全サービスを同じ方式にそろえる必要はありません。管理者アカウントから、より強い方式に切り替えます。

少人数の事務所で設定を進める手順

1. パスワード管理の台帳から、多要素認証に対応しているサービスを洗い出す。
2. 管理者が自分のアカウントで先に設定し、ログイン、端末の追加、復旧の流れを試す。
3. 業務用スマホを使うか、私物スマホを使うかを決める。私物を使う場合は、退職時に認証を外す手順も決める。
4. 全員の設定日を決め、設定会を短時間で行う。設定できたかは管理画面で確認する。
5. 復旧コードの保管場所と、スマホを失ったときの連絡先を全員に伝える。
6. 新しくサービスを契約したときは、台帳に載せる段階で多要素認証の有無を確認する。

スマホ紛失・機種変更のときに困らないために

多要素認証で多い失敗は、認証用のスマホを失って、本人も管理者もログインできなくなることです。次の準備をしておきます。

• 復旧コード（予備のログイン用コード）は、本人の手帳やスマホのメモではなく、事務所が決めた安全な保管場所に置く。
• 管理者アカウントは最低二人分を用意し、片方が不在でも復旧できるようにする。
• 機種変更の前に、認証アプリの移行手順をサービスごとに確認する。
• 紛失したら、まず管理者へ連絡し、そのスマホに紐づく認証を無効にする。

業務用スマホそのものの紛失対策はMDMと紛失対策で扱います。

共有アカウントと外部の人の扱い

一つのアカウントを複数人で使っていると、多要素認証の確認が一人のスマホにしか届かず、他の人がログインできなくなります。この問題をきっかけに、共有アカウントを個人アカウントへ分けます。どうしても共有する窓口アドレスは、代理アクセスや共有受信箱の機能で、各人が自分のアカウントから見られるようにします。

構造事務所、設備事務所、パース制作会社などの外注先には、事務所のアカウントを貸さず、相手のアカウントへフォルダを共有します。共有先のアカウントに多要素認証を求められるかは、利用しているサービスの設定で確認します。施主に図面を見せる場合も、閲覧の範囲と期限を決めたうえで共有します。

設定状況の確認表

月に一度この表を更新し、未設定の人やサービスが残っていないかを確認します。

よくある質問

毎回の確認が面倒だと言われたらどうしますか

サービスによっては、信頼できる端末で一定期間確認を省く設定があります。事務所の共用PCではこの設定を使わないなど、端末ごとに決めます。

二段階認証をしていればパスワードは簡単でよいですか

よくありません。IPAの6か条は、パスワードの強化と多要素認証などの認証強化を並べて求めています。片方だけに頼らないことが前提です。

認証の承認通知が何度も届きます

自分がログインしていないのに届くなら、パスワードが他人に知られている可能性があります。承認せず、管理者へ連絡してパスワードを変更します。

出典・参考

• 総務省「国民のためのサイバーセキュリティサイト」安全なパスワードの設定・管理（多要素認証）
• IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版と情報セキュリティ6か条（解説編）
• 警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」

設定の順番表と確認表は、上記の資料をもとに設計事務所向けに整理した運用例です。各サービスの対応方式は提供元の最新情報で確認してください。

関連記事

• パスワード管理はどうする？設計事務所で使い回しを止める方法
• 設計事務所のクラウドはどう選ぶ？共有と復元の比較ポイント
• 設計資料は誰に共有する？社内・外注先・施主の権限設定