Lockiron / The Fortress of a Solo IT Manager | 一人情シスの砦
| | Columns

MFA（多要素認証）を「全員・全アプリに強制」することの功罪：現場のスマホ事情と情シスの譲れない一線

#セキュリティ #MFA #ID管理 #運用負荷 #情シス

「とりあえずMFA入れとけば大丈夫っしょ」

情シス界隈の飲み会でよく聞く言葉です。 確かに、セキュリティ教科書的（NISTガイドライン的）には、MFA（Multi-Factor Authentication：多要素認証）は絶対正義です。 パスワードリスト攻撃を防ぎ、フィッシングのリスクを劇的に下げる。ID管理の「銀の弾丸」であることは間違いありません。

しかし、いざ100人、200人の全社員に対して、全業務アプリでMFAを強制しようとすると、そこには教科書には書かれていない「泥臭い現実」が立ち塞がります。

  • 「私用スマホに認証アプリを入れたくない」という拒絶
  • 「スマホを家に忘れました」という始業前の電話
  • 「現場の共用PCでログインできない！」という悲鳴

本稿では、MFA万能論を一度脇に置き、**「どこまで強制し、どこで妥協すべきか」**という、実務運用におけるグレーゾーンの歩き方を考察します。

なぜMFAは「嫌われる」のか

セキュリティ担当者にとっての「正義」は、現場社員にとっての「手間（Friction）」です。 「1日に何回スマホを取り出させるんだ」 「会議中に通知音が鳴るのが嫌だ」

特に深刻なのが、「個人のスマートフォン利用（BYOD）」問題です。 会社支給のスマホがない中小企業では、個人のスマホにGoogle AuthenticatorやMicrosoft Authenticatorを入れてもらう必要があります。 これに対し、「プライバシー侵害だ」「通信料はどうなる」「もし紛失してリモートワイプされたら個人の写真も消えるのか」といった懸念が出るのは当然です。

この感情的な摩擦を無視して「ルールですから」で押し切ると、シャドーIT（自分のGmailに業務データを転送するなど）への逃避を招き、かえってセキュリティリスクが高まります。

「全アプリ強制」は現実的か？

全てのSaaSに個別にMFAを設定するのは、管理コストの観点からも悪手です。 30個のSaaSを使っていれば、スマホの認証アプリには30行のコードが並び、機種変更時の移行作業は「地獄」となります。

解決策：SSOの入り口だけを固める

ここでも「IdP（Identity Provider）」が鍵になります。 Google WorkspaceやMicrosoft 365のアカウント（IdP）のみを鉄壁のMFAで守り、他のSaaSへはそこからのSSO（シングルサインオン）でログインさせる。 これなら、ユーザーは朝イチの1回だけMFAを通せば済みます。

「全アプリMFA」ではなく**「入り口（Gateway）のみMFA」**。 これが、利便性とセキュリティを両立させる第一の妥協点です。

適用範囲を分ける視点

では、対象ユーザーはどうすべきか。 「全員一律」ではなく、リスクベースでグラデーションをつけます。

ゾーン1：絶対強制（例外なし）

  • 対象：特権管理者（情シス）、経営層、経理・人事担当者
  • 理由：彼らのIDが乗っ取られた時の被害が甚大だからです。
  • 運用：ここには情けをかけません。「社長だろうとMFA必須です。できなければログインさせません」と断言します。スマホがない場合は、ハードウェアトークン（YubiKeyなど）を物理支給してでもやらせます。

ゾーン2：推奨または条件付き強制

  • 対象：一般社員（営業、開発など）
  • 運用：
    • 社外からのアクセス：MFA必須。
    • 社内IPからのアクセス：MFA免除（条件付きアクセス）。 多くのIdP（Microsoft Entra IDなど）でこの設定が可能です。「会社に来れば楽にログインできる」というメリットを提示することで、MFAの心理的ハードルを下げます。

ゾーン3：配慮が必要な層（グレーゾーン）

  • 対象：アルバイト、パート、工場・倉庫の現場スタッフ
  • 課題：個人のガラケーを使っていたり、そもそもスマホをロッカーに預けて作業場に入る（手元にない）ケース。
  • 解決策：
    • 共有アカウント運用（本来はNGですが、現場では避けられない場合）：IP制限ガチガチにかける代わりにMFAは外す。
    • FIDO2キー：USBポートに挿すだけの物理キーを支給し、スマホ不要にする。
    • SMS認証：アプリよりはハードルが低いが、コストとセキュリティ強度（SIMスワップ攻撃など）のバランスを見る。

正解はない、あるのは「合意」だけ

MFAの導入において、「100%全適用」を目指して疲弊する必要はありません。

  • 「重要データ（個人情報・機密情報）にアクセスしないアカウントなら、MFAなしでも（リスク受容として）OKとする」
  • 「その代わり、パスワードは20文字以上に強制する」

このように、**「MFAを入れない代替として、別の不便さを許容してもらう」**というトレードオフを提示します。

最終的に重要なのは、「どこまでリスクを許容するか」を経営層と合意することです。 「パートさんのスマホに強制できないので、彼らのアカウントだけMFAを外します。その代わり、もし彼らのIDが漏れても、アクセスできるのは『今日のお弁当注文システム』だけになるよう、権限を絞っています」

これなら、誰も不幸になりません。

結論：MFAは「武器」だが「万能薬」ではない

MFAは強力ですが、運用を間違えれば「業務の邪魔者」になります。 情シスの役割は、ツールを入れることではなく、そのツールを使って**「安全かつスムーズに仕事ができる環境」**を作ることです。

「セキュリティのため」という錦の御旗を振りかざして、現場の生産性を殺してはいけません。 時には「社内ネットワーク内ならMFAなし」という、抜け道（利便性）を用意する優しさも、情シスの重要なスキルです。

厳しさ（Security）と優しさ（Usability）。 この天秤を揺らしながら、あなたの会社にとっての「ちょうどいいMFA」を探してみてください。 正解は教科書の中ではなく、現場の社員の顔色の中にあります。

AIに相談するためのプロンプト（テンプレート）

MFA導入における「総論賛成・各論反対（現場の抵抗）」を乗り越え、現実的な「例外ルール」を設計するためのプロンプトです。

あなたはユーザー体験（UX）とセキュリティのバランスを重視するコンサルタントです。
全社へのMFA（多要素認証）適用を進めていますが、現場からの抵抗が強く、一律適用が困難です。
記事にある「リスクベースでの区分け」に基づき、セキュリティ強度を落としすぎずに運用を回すための「妥協案（ポリシー）」を作成してください。

# 抵抗の状況
*   [例: 工場のパート社員が「私用スマホにアプリを入れたくない」と言っている]
*   [例: 営業担当が「運転中に通知が来ても対応できない」とクレーム]

# 検討中の緩和策
*   [例: 社内ネットワークからのアクセス時はMFA免除]
*   [例: 特定のアプリ以外はSMS認証でもOKとする]

# 出力してほしい内容
1.  **セグメント分け**: 社員属性（役員、一般、現場など）ごとの「推奨MFA設定」のマトリクス表。
2.  **規定の条文案**: 「原則は必須とするが、以下の条件では例外を認める」という、逃げ道を用意したセキュリティ規定の文言。
3.  **説得ロジック**: 「なぜ一部の社員だけ緩いのか」と他社員から不公平感を指摘された時の説明。
ホームに戻る