Google Workspaceの2段階認証を全社に強制する方法とセキュリティキーの運用
Google Workspaceのアカウントが侵害される最大の原因は「パスワードだけの認証」です。2段階認証（2FA）を全社に強制するだけで、アカウント乗っ取りのリスクを劇的に低減できます。
強制する前に洗い出すもの
設定自体は数クリックですが、強制した瞬間に動かなくなるものがあります。先に確認してください。
- アプリパスワードで動いている連携 — 古いメールソフト、スキャン送信、外部システムからのSMTP送信など。2FA強制後もアプリパスワードは使えますが、管理者が組織全体で無効化していると止まります
- 共有アカウント — 「info@」「support@」など。誰の端末で2FAを登録するのかを決めていないと、有効化と同時に誰も入れなくなります。可能なら共有アカウントを廃止し、メールのエイリアスや委任に切り替えるのが根本的な解決です
- サービスアカウント・API連携 — カレンダー予約システム、勤怠、CRMなど。管理者が把握していない連携が動いていることがあります
- 退職者・休職者のアカウント — 猶予期間が過ぎるとサインインできなくなり、必要になったときに慌てます。この機会に棚卸ししてください
- スマートフォンを持たない社員 — 工場・店舗・現場スタッフに多くあります。セキュリティキーを支給する前提で人数を数えておく必要があります
2段階認証の強制設定
管理コンソール（admin.google.com）→「セキュリティ」→「認証」→「2段階認証プロセス」から設定します。
設定のポイント：
適用範囲： 組織全体に適用するのが原則です。特定のOU（組織部門）にのみ先行適用し、段階的に全社展開する方法もあります。
猶予期間： 強制を有効にする際、「新規ユーザーの登録猶予期間」を設定できます。入社直後のユーザーが2FAを設定する猶予として、1〜7日を設定するのが一般的です。
許可する認証方法： 「すべて」「セキュリティキーを除くすべて」「セキュリティキーのみ」から選択できます。最低限「すべて」で開始し、管理者アカウントには「セキュリティキーのみ」を推奨します。
認証方法の選択肢と強度
セキュリティキー（FIDO2）： 最も強度が高い。フィッシング耐性あり。YubiKey等の物理キーを使用。管理者アカウントに推奨。
Google認証アプリ（TOTP）： スマートフォンの認証アプリが生成するワンタイムコード。フィッシング耐性はないが、パスワードのみより大幅に安全。一般ユーザーの標準設定に推奨。
Googleプロンプト： Googleアプリがインストールされたスマートフォンにプッシュ通知が届き、タップで承認。利便性が高い。
SMS / 音声通話： SIMスワッピングのリスクがあり非推奨。他の方法が使えないユーザーの最終手段。
「2段階認証を入れた」だけでは不十分な理由がここにあります。 TOTPやプロンプトは、偽サイトが本物のログイン画面を中継する中間者型（AiTM）フィッシングでは突破されます。攻撃者は認証後のセッションごと奪うため、ユーザー側からは正常にログインできたようにしか見えません。
セキュリティキーとパスキーは、アクセス先のドメインを検証する仕組みを持つため、偽サイトでは成立しません。全社一斉が難しくても、特権管理者と経営層、経理担当には優先的に適用してください。対象が少なく、被害額が大きい範囲から固めるのが効率的です。
バックアップコードの扱いにも注意が必要です。 印刷して財布に入れる運用は、紛失時にそのまま突破口になります。発行するなら施錠保管し、使用したら再発行するルールにしてください。
セキュリティキーの運用
管理者アカウント（特権管理者）には、FIDOセキュリティキーの使用を強制することを強く推奨します。
キーの配布： 1人あたり2本（メイン＋バックアップ）を支給。バックアップキーは安全な場所に保管。
紛失時の対応： 管理者が一時的に2FAの強制を解除し、新しいキーを登録してもらう。または管理コンソールからバックアップコードを発行。
登録の確認： 管理コンソール→「レポート」→「ユーザー」で、各ユーザーの2FA登録状況を確認可能。未登録ユーザーを一覧で特定できます。
キーの選定： 端末の接続口に合わせて選びます。USB-CのノートPCとUSB-Aのデスクトップが混在している環境では、NFC対応のキーにすると、スマートフォンでも同じキーを使えます。数千円程度から購入できるため、対象者が数十名でも予算化しやすい範囲です。
キーの管理台帳を作ってください。 誰にどのキーを何本渡したかを記録しないと、退職時に回収漏れが起きます。回収できなかったキーは、管理コンソールから該当ユーザーの登録を解除すれば無効化できます。
管理者が締め出される事故を防ぐ
特権管理者は必ず2名以上にしてください。1名しかいない状態でその人がキーを紛失すると、組織の設定を誰も変更できなくなります。
- 特権管理者を2名以上置く（うち1名は経営層でも可）
- 各自がメイン＋バックアップの2本を持つ
- アカウントの再設定用の連絡先（電話番号・予備のメールアドレス）を最新に保つ
- バックアップキーは別の場所に施錠保管する。同じカバンに2本入れていては意味がありません
導入のステップ
Step 1： 管理者アカウントに先行してセキュリティキーを設定（1週間）
Step 2： 全社員に「2FA登録のお願い」を通知。登録手順のマニュアルを配布（2週間の猶予）
Step 3： 管理コンソールで2FAの強制を有効化。猶予期間を7日に設定
Step 4： 猶予期間終了後、未登録ユーザーはサインインできなくなる。ヘルプデスクで個別対応
強制を有効化する日は、月曜の朝を避けてください。 週明けは業務が立て込み、問い合わせ対応と重なります。火曜〜木曜の午前中に切り替え、その日はIT担当者が対応に専念できる状態にしておくと混乱が少なくなります。
ヘルプデスクで発生する問い合わせへの備え
強制後に必ず発生するのは、機種変更とスマートフォンの紛失です。手順を決めておかないと、その場の判断でリセットすることになり、なりすましによる不正なリセット要求に対応できません。
- 本人確認の経路を決める — 上長からの申請、社内の申請フォーム、対面での確認など。電話1本でリセットしない
- リセットを実行できる管理者を複数名にする — 1人に集中すると不在時に止まります
- 機種変更の予定は事前申告制にする — 変更前に一時的なバックアップ手段を渡しておけば、当日の混乱を避けられます
- 対応の記録を残す — 誰の要求で、誰が、いつリセットしたか。監査でも確認される項目です
2FA以降に進める設定
2FAが行き渡ったら、次のステップも検討対象になります。
- 上位エディションで利用できるアクセス制御 — 端末やIPアドレスの条件でアクセスを制限する機能があります。自社のエディションで使えるかを管理コンソールで確認してください
- 管理者向けの警告ルール — 不審なログイン、大量ダウンロード、外部共有の急増などを通知します。通知先を「誰も見ていない管理者アドレス」にしないことが肝心です
- アカウント侵害時の初動手順 — セッションの取り消し、転送ルールの確認、アプリ連携の確認まで含めて手順化します（インシデント対応の実務手順）
まとめ
- 強制前にアプリパスワード連携・共有アカウント・API連携・スマホ非所持者を洗い出す
- 共有アカウントは、可能ならエイリアスや委任に切り替えて廃止するのが根本解決
- TOTPとプロンプトは中間者型フィッシングで突破される。原理的に防げるのはキーとパスキー
- 特権管理者・経営層・経理から優先的にセキュリティキーを適用する
- バックアップコードは施錠保管し、使用したら再発行する。財布に入れる運用は突破口になる
- キーはNFC対応だとPCとスマホで併用できる。配布台帳を作らないと退職時に回収漏れが起きる
- 特権管理者は2名以上、各自2本。バックアップキーは別の場所に保管する
- 強制の切り替えは火曜〜木曜の午前に。月曜は問い合わせが重なる
- MFAリセットの本人確認経路を決め、対応記録を残す。電話1本でリセットしない
- 警告ルールの通知先を、実際に見る担当者に設定する
2FAの全社強制は、GWSセキュリティの最優先設定です。管理コンソールから数クリックで設定でき、アカウント侵害のリスクを劇的に下げられます。管理者にはセキュリティキー、一般ユーザーにはGoogle認証アプリを標準とするのがバランスの良い運用です。
情シス365では、Google Workspaceのセキュリティ設定を支援しています。お気軽にご相談ください。