【連載第4回】多要素認証（MFA）完全ガイド ― Microsoft 365での設定手順と運用のコツ
Microsoftの調査によると、多要素認証（MFA）を有効にするだけでアカウント侵害の99.9%を防げるとされています。コストゼロで導入可能な最強のセキュリティ対策です。
MFAとは何か
MFAは「知っているもの（パスワード）」に加え、「持っているもの（スマートフォン）」や「本人の特徴（指紋）」を組み合わせて認証する仕組みです。パスワードが漏洩しても、2つ目の要素がなければログインできません。
MFAでも防げない攻撃がある
導入前に、限界も知っておいてください。MFAを有効にしていても突破される攻撃が実際に発生しています。
- 中間者型（AiTM）フィッシング — 偽サイトが本物のログイン画面を中継し、入力されたパスワードとワンタイムコード、さらに認証後のセッション情報まで盗む手口です。ユーザーは正常にログインできてしまうため気づけません
- MFA疲労攻撃 — 攻撃者が承認通知を大量に送りつけ、根負けしたユーザーが「承認」を押してしまうのを狙います
対処は難しくありません。
- 番号一致（Number Matching）を有効にする — 画面に表示された数字をアプリに入力させる方式です。通知をタップするだけの承認より、誤操作が起きにくくなります
- フィッシング耐性のある方式を上位アカウントに適用する — FIDO2セキュリティキーやパスキー、証明書ベースの認証は、偽サイトでは原理的に成立しません。まず管理者アカウントから適用してください
「MFAを入れたから安全」ではなく、方式によって強度が違うという前提で設計します。
有効化する前に確認すること
いきなり全社で有効にすると、認証が通らなくなる仕組みが出てきます。次を先に洗い出してください。
- 複合機・スキャナからのメール送信 — SMTP認証でM365のアカウントを使っている場合、MFAに対応できません。送信専用の設定に切り替えるか、SMTP AUTH を許可する例外を設計する必要があります
- 基幹システムや業務ツールからのメール送信・カレンダー連携 — 保守ベンダーが設定したアカウントが動いていることがあります
- 共有アカウント — 誰のスマートフォンで登録するのかを決めないと、有効化と同時に使えなくなります
- 古いメールソフト・古いOfficeからの接続 — レガシー認証を使っている場合、MFA対象外の抜け道になっている一方、遮断すると業務が止まります
これらは「MFAを止める理由」ではなく「先に段取りする対象」です。 見つけた時点で、代替手段（送信専用のコネクタ設定、アプリパスワードの限定利用、機器の更新）を決めてから展開日を決めてください。
Microsoft 365でのMFA設定手順
管理者側の設定
- Microsoft Entra管理センターにアクセス
- 「保護」→「認証方法」→「ポリシー」を選択
- 「Microsoft Authenticator」を有効化
- 対象ユーザーを「すべてのユーザー」に設定
- 「セキュリティの既定値群」を有効にする（最も簡単な方法）
ユーザー側の設定
- Microsoft Authenticatorアプリをスマートフォンにインストール
- Microsoft 365にログイン → MFA設定画面が自動表示
- QRコードをアプリでスキャン
- テスト通知を承認して完了
社内展開のコツ
よくある抵抗と対処法
- 「面倒くさい」: ログイン頻度は実際には減る（セッション維持設定を適切にすれば）
- 「スマホを持っていない社員がいる」: ハードウェアセキュリティキー（FIDO2）やSMS認証を代替手段として用意
- 「スマホを失くしたらどうする」: 管理者がリセットできる手順を事前に整備
私物スマートフォンの問題は先に整理する
「業務のために私物のスマホにアプリを入れさせるのか」という指摘は、実際によく出ます。議論になってから対応を考えると展開が止まるため、先に方針を決めておいてください。
- アプリは端末を管理するものではないことを説明する — 認証アプリのインストールで、会社が私物端末の中身を見たり初期化したりできるわけではありません。誤解が抵抗の主因になっていることが多くあります
- 代替手段を用意する — FIDO2セキュリティキー（数千円程度の物理キー）を会社支給する、Windows Hello を使う、といった選択肢を示します
- 拒否できる余地を残す — 代替手段があれば、「私物を使いたくない」という要望に応えつつ全員をMFA対象にできます
代替手段を用意せずに強制すると、例外アカウントが増えます。 例外は放置され、そこが侵入口になります。
ヘルプデスクの準備
展開初日に問い合わせが集中します。次を事前に決めておいてください。
- 本人確認の方法 — 「スマホを機種変更したので再登録したい」という電話に、どう本人確認するか。なりすましによるMFAリセット要求は実際にある攻撃手口です。上長経由での申請、社内システムでの申請など、経路を決めておきます
- リセットの実行権限を誰が持つか — IT担当者1人に集中すると、不在時に業務が止まります
- 手順書の配布形式 — スマホの画面を撮った画像付きの手順が最も問い合わせを減らします
展開スケジュールの例
- Week 1: IT担当者・経営層で先行導入
- Week 2: 各部門の代表者に拡大
- Week 3-4: 全社展開（部門ごとに段階的に）
期限を設けないと登録は進みません。 「◯月◯日以降は未登録だとサインインできなくなる」と明示し、未登録者の一覧を週次で確認してください。管理センターのレポートで登録状況を出せます。判定は「案内した人数」ではなく「未登録者0人」です。
条件付きアクセスとの組み合わせ
Microsoft 365 Business Premium以上のプランでは、条件付きアクセスポリシーを設定できます。「社外ネットワークからのアクセス時のみMFAを要求」「管理者ロールは常にMFA必須」といった柔軟な設定が可能です。
「セキュリティの既定値群」と条件付きアクセスは併用しない
両方を同時に使うことはできません。 既定値群を有効にしたまま条件付きアクセスを組もうとして詰まるケースがよくあります。切り分けは次のとおりです。
| 方式 | 向いている規模 | 特徴 |
|---|---|---|
| セキュリティの既定値群 | 数十名まで、例外が不要 | オンにするだけ。細かい制御はできない |
| 条件付きアクセス | 例外や段階展開が必要 | 柔軟だが、設計と検証が要る。上位プランが必要 |
迷ったら既定値群で始めてください。 何も有効になっていない状態が最も危険です。要件が出てきた時点で条件付きアクセスへ移行します。
社内IPからのMFAスキップは慎重に
「社内からのアクセスはMFA不要」という設定は利便性が高い一方、攻撃者が社内ネットワークに入った時点で無効化されます。VPN経由の接続も社内IPとして扱われることが多く、想定より広い範囲が除外されます。
除外を設定する場合は、対象を限定し、除外している事実を記録に残してください。 「なぜこの除外があるのか」が分からなくなると、誰も消せなくなります。
締め出しに備える
条件付きアクセスの設定ミスで、管理者全員がサインインできなくなる事故が起きています。ポリシーを作る前に、条件付きアクセスの対象から除外した緊急用アカウントを1つ用意してください（アカウント運用のルール）。
また、新しいポリシーはいきなり「オン」にせず「レポート専用」モードで影響を確認してから有効化します。
次回は、パスワード管理とアカウント運用のベストプラクティスを解説します。
まとめ
- MFAでもAiTMフィッシングとMFA疲労攻撃は突破される。方式によって強度が違う
- 番号一致を有効化し、管理者にはFIDO2やパスキーなどフィッシング耐性のある方式を適用する
- 有効化前に複合機のSMTP送信・業務システム連携・共有アカウント・レガシー認証を洗い出す
- 私物スマホ問題は代替手段（FIDO2キー等）を用意して解く。強制すると例外アカウントが増える
- MFAリセット要求の本人確認方法を決めておく。なりすまし要求は実際の攻撃手口
- 展開には期限を設け、未登録者0人で判定する。「案内した」では終わらない
- セキュリティの既定値群と条件付きアクセスは併用不可。迷ったら既定値群で始める
- 社内IPのMFA除外は、攻撃者が社内に入った時点で無効になる。除外は限定し記録に残す
- ポリシーはレポート専用モードで影響確認してから有効化し、緊急用アカウントを除外しておく
← 前回: 【連載第3回】チェックリスト20項目 ｜ 次回: 【連載第5回】パスワード管理とアカウント運用 →
まとめ・ご相談
セキュリティ対策の強化をご検討の方は、Security365（セキュリティ運用・SOCライト）をご覧ください。
貴社のIT課題について、まずは60分の無料相談でお気軽にご相談ください。