Microsoft 365の多要素認証とは？必要な理由や設定・運用方法を解説

Microsoft 365では、アカウントを保護するための認証強化が進んでおり、多要素認証への対応を検討する企業も増えています。しかし、実際に導入を進めようとしても、「どの認証方法を選ぶべきか」「どの範囲まで適用すべきか」などと迷ってしまうことも多いのではないでしょうか。

本記事では、Microsoft 365で多要素認証を導入・運用するうえで押さえておきたいポイントや併せて見直したいセキュリティ対策を解説します。

多要素認証とは

多要素認証（MFA）とは、異なる種類の認証要素を組み合わせて本人確認を行う方法です。認証要素には、パスワードなどの「知識情報」、スマートフォンやセキュリティキーなどの「所持情報」、指紋や顔などの「生体情報」があります。

これらのうち、2種類以上を組み合わせることで一つの認証要素だけに依存しない認証を行えるようになります。

二段階認証との違い

二段階認証は、本人確認を2回に分けて行う認証方法です。最初にパスワードを入力し、その後に秘密の質問へ回答するなど、異なる段階で本人確認を行う仕組みになっています。

一方、多要素認証では知識情報と生体情報といった異なる種類の要素を組み合わせて本人確認を行う認証方法です。二段階認証は認証の回数、多要素認証は認証要素の組み合わせを基準としている点に大きな違いがあります。

Microsoft 365で多要素認証が必要とされる理由

Microsoft 365は、メールやファイルなど複数の業務で利用されるため、アカウントが不正利用された際の影響は大きくなります。そのため、パスワードだけに依存せず、複数の要素で本人確認を行う多要素認証が重要です。

ここでは、Microsoft 365で多要素認証が必要とされる理由として以下の5つを紹介します。

• Microsoft 365環境を狙ったサイバー攻撃が発生している

• フィッシングによって認証情報が狙われている

• パスワードだけでは不正アクセスを防ぎにくい

• アカウントの乗っ取りによる被害が発生している

• Microsoft 365で多要素認証の適用が進められている

Microsoft 365環境を狙ったサイバー攻撃が発生している

近年、Microsoft 365の認証環境を狙ったサイバー攻撃が相次いでいます。具体例としては、Office 365のサインイン画面を装ったサイトへ誘導して認証情報を盗み取るフィッシングや、セッションCookieを窃取して認証済みのセッションを悪用するAiTMフィッシングなどが挙げられます。

こうした攻撃では、IDやパスワードだけでなく認証後の情報まで狙われるため、Microsoft 365を利用する企業では認証環境を含めたセキュリティ対策が求められています。

フィッシングによって認証情報が狙われている

フィッシングでは、利用者を偽のWebサイトなどへ誘導し、IDやパスワードといった認証情報を入力させる手口が用いられます。どれだけ複雑なパスワードを設定していても、利用者自身が認証情報を渡してしまうと不正利用を防ぐことは難しくなります。

Microsoft 365では、フィッシングによる認証情報の漏えいに備えるためにパスワードとは別の認証要素を組み合わせる多要素認証が必要とされています。

パスワードだけでは不正アクセスを防ぎにくい

パスワードは、使い回しや推測などによって第三者に知られる可能性があるため、それだけを本人確認の手段とするには限界があります。特に、Microsoft 365を含む複数のクラウドサービスを利用する企業では、従業員が多くのパスワードを管理する中で似た文字列を設定したり使い回したりするケースも少なくありません。

異なる認証要素を組み合わせることで、一つの情報が知られただけでは認証を完了できないため、パスワードに依存した状態から脱却できます。

アカウントの乗っ取りによる被害が発生している

Microsoft 365のアカウントにはメールやファイルなど、業務で扱うさまざまな情報へのアクセス権限が紐づいています。そのため、アカウントが乗っ取られてしまうと情報の閲覧や不正なメール送信など、複数の業務へ影響が広がるおそれがあります。

アカウントの侵害による被害を防ぐには、パスワードが第三者に知られた場合でも本人確認を突破されにくい仕組みが必要です。こうした背景から、多要素認証によってサインイン時の認証を強化することが重要になっています。

Microsoft 365で多要素認証の適用が進められている

Microsoftでは、クラウドサービスのセキュリティ強化に向けて多要素認証の適用範囲を段階的に広げています。Microsoft 365管理センターでは、2025年2月からMFAの適用が世界中のテナントへ順次拡大されています。

多要素認証への対応は一部の利用者だけの話ではなく、Microsoft 365を運用する企業にとって現実的な検討事項になっています。

参考：必須の Microsoft Entra 多要素認証 (MFA) を計画する

Microsoft 365で利用できる主な多要素認証の方法

Microsoft 365で利用できる多要素認証として、以下の方法が挙げられます。

• Microsoft Authenticatorによる認証

• パスキー・FIDO2セキュリティキーによる認証

• Windows Hello for Businessによる認証

• SMS・音声通話による認証

ここでは、それぞれの認証の特徴について解説します。

Microsoft Authenticatorによる認証

Microsoft Authenticatorは、スマートフォンに専用アプリをインストールし、通知の承認や確認コードを使って本人確認を行う方法です。普段から業務でスマートフォンを利用している企業であれば従業員にも導入しやすく、幅広いユーザーへ展開しやすいのが特徴です。

一方で、端末の紛失や機種変更時には再登録などの対応が必要になります。導入時には利用方法だけでなく、端末変更時の運用もあらかじめ整理しておくことが肝心です。

パスキー・FIDO2セキュリティキーによる認証

パスキーやFIDO2セキュリティキーは公開鍵暗号を利用し、パスワードを入力せずに本人確認を行う認証方法です。認証情報を偽サイトへ入力する必要がないのでフィッシングへの耐性が高く、安全性の高い認証方法として活用されています。

パスワードの入力負担を減らせるため、日常的な利用のしやすさとセキュリティを両立したい環境でも取り入れやすいでしょう。

Windows Hello for Businessによる認証

Windows Hello for Businessは、Windows端末に登録した顔や指紋、PINなどを使って本人確認を行う方法です。端末に紐づく認証情報を利用するため、パスワードを毎回入力せずにサインインでき、認証情報を外部へ入力する機会も減らせます。

パスワード入力の手間を減らしながら安全性を高められるため、会社支給のWindows端末を中心に利用している企業にも取り入れやすい認証方法です。

SMS・音声通話による認証

SMS・音声通話では、登録した電話番号へ届くコードや自動音声を利用して本人確認を行います。専用アプリやセキュリティキーを用意しなくても利用できるため、比較的導入しやすい方法です。

ただし、SMSや音声通話はフィッシングなどへの耐性が低く、他の認証方法と比べて安全性は高くありません。新たに認証環境を整える場合はSMS・音声通話を第一候補とせず、他の方法を優先して検討すると良いでしょう。

Microsoft 365で多要素認証を設定・運用する方法

Microsoft 365で多要素認証を活用するには、対象ユーザーの設定やトラブル時の対応、導入後の確認まで含めた運用が欠かせません。利用環境によって適した設定は異なるため、自社の端末や働き方、管理体制に合わせて考えることが大切です。

ここでは、設定・運用する際に押さえておきたいポイントとして以下の5つを解説します。

• 利用環境に合った認証方法を選ぶ

• 対象ユーザーに多要素認証を設定する

• 段階的に適用して利用状況を確認する

• 端末変更や紛失時の対応方法を決めておく

• サインイン状況を確認して設定を見直す

利用環境に合った認証方法を選ぶ

多要素認証はセキュリティ強度だけでなく、利用する端末や働き方、社内の管理体制まで踏まえて選ぶことが重要です。従業員が無理なく利用できるかに加え、端末管理や問い合わせ対応など、管理部門が継続して運用できるかも確認しておきましょう。

認証方法だけを基準に決めるのではなく、実際の業務環境に無理なく組み込めるかまで考えることがポイントです。

対象ユーザーに多要素認証を設定する

多要素認証を利用するには、Microsoft Entra IDなどでMFAの適用対象となるユーザーやグループを指定する必要があります。そのため、「全社員を対象とするのか」「特定の部門や役職者に限定するのか」など、自社の方針に合わせて対象範囲を決めておきましょう。

また、条件付きアクセスを利用すれば、ユーザーやグループに加えて利用するアプリなどの条件に応じてMFAを要求する設定も可能です。こうした条件を整理しておくことで、必要な範囲に合わせた設定を行いやすくなります。

段階的に適用して利用状況を確認する

多要素認証を設定する際は、最初から全ユーザーへ一斉に適用するのではなく、一部の対象者で動作を確認してから範囲を広げる方法が有効です。実際に利用している端末やアプリで問題なくサインインできるかを確認すれば、本格的な適用前に設定上の問題を把握できます。

併せて利用者からの問い合わせや操作上の課題を確認し、必要な対応を済ませてから適用範囲を広げることで全社展開時の混乱も抑えやすいでしょう。

端末変更や紛失時の対応方法を決めておく

スマートフォンなどを認証に利用する場合は、機種変更や故障、紛失によって認証できなくなった際の対応方法を事前に決めておくことが重要です。新しい端末への認証方法の再登録や旧端末に紐づく情報の削除など、復旧までの手順を明確にしておくことでトラブル発生時にもスムーズに対応できます。

さらに、「本人確認を誰が行うのか」「利用者がどこへ申請するのか」などを決めておけば、担当者ごとに対応が変わるのを防ぎ、安全性を保ったまま復旧を進めやすくなります。

サインイン状況を確認して設定を見直す

多要素認証の設定後はサインイン状況を定期的にチェックし、現在の設定が適切に機能しているかを把握しましょう。Microsoft Entra IDのサインインログでは、サインインの結果や認証方法などを確認できるため、不審なアクセスや認証エラーの把握に活用できます。

認証の失敗が特定のユーザーや端末で続いている場合は、利用環境や設定内容に問題がないかを見直します。こうした状況をもとに設定を調整することで、導入後も実際の運用に合った状態を維持できます。

多要素認証と併せて見直したいMicrosoft 365のセキュリティ対策

Microsoft 365を安全に利用するには多要素認証だけでなく、以下のようなセキュリティ面も併せて見直すことが大切です。

• 条件付きアクセスの設定を見直す

• Microsoft Defender for Office 365などで脅威に備える

• 通信やデータを暗号化して保護する

• 機密データの外部流出を検知・制御する

• 運用設計に迷う場合は外部支援を検討する

ここでは、見直すべきセキュリティ対策について解説します。

なお、Microsoft 365のセキュリティ対策に関しては、以下の記事でも詳しく解説しています。

Microsoft 365のセキュリティ対策とは？主な機能やリスクを解説

条件付きアクセスの設定を見直す

多要素認証を導入する際は、現在利用している条件付きアクセスの設定も併せて見直すことが大切です。ユーザーや端末、場所などに応じたアクセス条件がMFA導入後の運用方針と合っていない場合、必要以上に認証を求めたり反対に制御が不十分になったりする可能性があります。

既存のルールが現在の働き方や端末管理に合っているかを確認し、MFAとの組み合わせを踏まえて設定内容を調整することで、必要な場面で適切なアクセス制御を行いやすくなるでしょう。

Microsoft Defender for Office 365などで脅威に備える

多要素認証を設定していても、フィッシングメールやマルウェア、不正なURLといった脅威そのものを防げるわけではありません。そのため、メールやコラボレーション環境を狙った攻撃への対策も併せて見直す必要があります。

こうした脅威への対策には、Microsoft Defender for Office 365などのセキュリティソリューションが有効です。これらを活用すれば不審なメールや添付ファイル、URLを検知でき、フィッシングやマルウェアによる被害を防ぎやすくなります。

Microsoft 365を利用する際は認証だけに頼らず、利用者へ攻撃が届く段階でも防御する仕組みを整えておくことが大切です。

通信やデータを暗号化して保護する

Microsoft 365には、通信中や保存時のデータを暗号化して保護する仕組みが備わっています。一方で、顧客情報や社外秘資料など機密性の高い情報については、標準の保護だけでなく追加の暗号化や利用制限も検討する必要があります。

多要素認証によってアカウントを保護するだけでなく、扱う情報の重要度に応じてデータ自体の保護も強化することで、万が一情報が流出した際のリスクを抑えやすくなるでしょう。

機密データの外部流出を検知・制御する

多要素認証は、正規ユーザーによる誤送信や不適切な共有まで防げるわけではありません。そのため、顧客情報や社外秘情報などの機密データが外部へ流出しないよう、共有や送信を制御する仕組みも併せて見直すことが大切です。

こうした対策には、Microsoft PurviewのDLPなどを活用できます。保護対象となる情報を検知し、条件に応じて外部共有や送信を制御することで、機密データを適切に扱える環境を整えやすくなります。

運用設計に迷う場合は外部支援を検討する

Microsoft 365のセキュリティ対策は、認証やアクセス制御、脅威対策、データ保護などを自社の環境に合わせて組み合わせる必要があります。利用している機能やライセンス、運用体制によって適した対策も異なるため、自社だけでは判断が難しいケースもあるでしょう。

そのような場合は、外部の専門家に現在の設定や運用状況を確認してもらい、必要な対策や優先順位を整理する方法が有効です。導入後の運用まで含めて相談することで、自社で継続しやすいセキュリティ体制を整えられます。

社内IT環境の見直しならICへ

引用元：システム開発のIC

ICでは、社内IT環境の最新化・最適化やセキュリティ課題に関するITコンサルティングを行っています。課題が明確になっていない段階から対応でき、現状と理想のギャップを整理したうえでお客様ごとに実現可能な解決策を提案します。

また、コンサルティングだけで終わらず、必要に応じてシステムの開発・構築から運用まで一貫して支援できる点もICの強みです。Microsoft 365の多要素認証をきっかけに、現在のセキュリティ設定や社内IT環境を見直したい場合は、ぜひICへご相談ください。

まとめ

Microsoft 365を安全に利用するうえで、多要素認証はアカウントを保護するための重要な対策です。パスワードだけに頼らず、利用環境に合った認証方法を取り入れることで、不正アクセスへの備えを強化できます。

多要素認証を効果的に活用するには、対象ユーザーや適用条件、端末変更時の対応なども含めて運用方法を整えることが大切です。併せて条件付きアクセスや脅威対策、データ保護なども見直すことで、Microsoft 365全体のセキュリティ強化につながるでしょう。

自社に合った設定や運用方法の整理が難しい場合は、社内IT環境の見直しやセキュリティ課題に関する支援を行っているICの活用を検討してみてはいかがでしょうか。