二段階認証とは｜土木工事会社が先に設定すべきアカウント
二段階認証・多要素認証とは、IDとパスワードに加えて、スマートフォンに届くコードや指紋・顔などでもう一度本人を確かめるログインの仕組みです。 総務省は、認証の3要素である「知識情報」「所持情報」「生体情報」のうち2つ以上を組み合わせることを多要素認証と呼び、利用するシステムで設定できる場合は積極的に使うよう呼びかけています。土木工事会社では、会社のメール、クラウドストレージ、インターネットバンキング、本社への遠隔接続（VPN）から先に設定するのが効果の大きい順番です。
この記事では、二段階認証と多要素認証の違い、方式ごとの強さと注意点、設定する順番、山間部やトンネルの現場で困らないための備えをまとめます。パスワードそのものの作り方はパスワード管理の記事をご覧ください。
多要素認証と二段階認証の違い
総務省とIPAは、認証に使う要素を次の3つに分けています。
| 要素 | 意味 | 例 |
|---|---|---|
| 知識（知っているもの） | 覚えている情報 | パスワード、PINコード |
| 所持（持っているもの） | 手元にある物 | スマートフォン、ICカード、ワンタイムパスワードの機器 |
| 生体（本人に関するもの） | 身体の特徴 | 指紋、静脈、顔 |
多要素認証は、この3つのうち2つ以上を組み合わせるものです。二段階認証は、ログインの確認を2回に分けることを指す言葉で、総務省のサイトでも多要素認証と並べて「より安全性を高めた認証の方式」として紹介されています。
この定義に当てはめると、「パスワードを入れた後にスマートフォンに届くコードを入れる」方式は、段階が2つで要素も2つ（知識と所持）です。一方、「パスワードの後に秘密の質問に答える」方式は段階は2つでも要素は知識の1種類だけなので、多要素認証にはなりません。設定するときは、2つ目の確認に「持っているもの」か「本人の特徴」が入っているかを見ると迷いません。
電子入札のICカードも、カード（所持）とPIN（知識）を組み合わせてログインするので、多要素の考え方でできています。
方式ごとの強さと注意点
| 方式 | 仕組み | 注意点 |
|---|---|---|
| SMSのコード | 携帯電話番号にショートメッセージで届く数字を入力する | IPAは、SMSのワンタイムパスワードを盗もうとするフィッシングの手口も確認されているとしている。電波がないと届かない |
| 認証アプリのコード | スマートフォンのアプリに表示される数字を入力する | 機種変更・紛失のときの引継ぎ手順を決めておく |
| プッシュ通知の承認 | スマートフォンに届く「ログインしますか」を承認する | 自分がログインしていないときの通知は承認しない |
| パスキー | スマートフォンやパソコンと、指紋・顔・PINの組み合わせで本人確認する | IPAは、パスワードやSMSのコードを入力しないためフィッシングによる認証情報の窃取に強い方式としている |
| ICカード | カードを読み取り、PINを入力する | カードの保管場所と、PINを知る人を限る |
IPAが2026年8月に公表した「企業組織を狙う攻撃メールの手口とその対策」は、偽サイトでパスワードに続けてワンタイムパスワードまで入力させ、その場で悪用して多要素認証を突破する「リアルタイムフィッシング」の手口を紹介しています。多要素認証を設定しても、メールのリンクから開いたログイン画面にコードを入れてしまえば破られることがあるので、ログインはブックマークや公式アプリから行う習慣とセットにします。メールの見分け方はメール誤送信・標的型攻撃メール対策の記事で扱います。
土木工事会社が先に設定すべきアカウントの順番
すべてを一度に設定しようとすると止まります。被害が大きく、設定が難しくないものから進めます。
| 順番 | アカウント | 先に設定する理由 |
|---|---|---|
| 1 | 会社のメール（特に管理者アカウント） | 乗っ取られると、取引先への偽の請求や、ほかのサービスのパスワード再設定に使われる |
| 2 | インターネットバンキング・会計 | お金に直結する。振込の承認者のログインは最優先 |
| 3 | 本社への遠隔接続（VPN）・リモートデスクトップ | 警察庁の令和7年の統計（被害組織へのアンケート）では、ランサムウェアの侵入経路はVPN機器が6割以上を占めた（令和8年上半期の版では約5割） |
| 4 | クラウドストレージ | 設計図書、3次元設計データ、点群、工事写真など工事の成果が集まる |
| 5 | 施工管理・写真管理などの業務アプリ | 協力会社のアカウントが多いので、元請側から設定を求める |
| 6 | 発注者が指定するシステム | 設定できるかどうかは発注者側のシステムの仕様による |
IPAの同じ資料は、組織のルールとして、インターネットから直接アクセスできるサービス（メールやクラウドのサービスなど）では多要素認証を必須にすることを挙げています。
山間部・トンネル・河川の現場で困らないための備え
土木の現場は、携帯電話の電波が弱い場所も少なくありません。二段階認証を入れたら現場で業務アプリに入れなくなった、ということが起きないように準備します。
| 困りごと | 備え |
|---|---|
| 圏外でSMSが届かない | 電波がなくても数字を表示できる認証アプリやパスキーを使えるサービスでは、そちらを選ぶ |
| 認証に使うスマートフォンを落とした・壊した | サービスが発行する予備のコード（バックアップコード）を事務所で施錠保管する |
| 社員が私物のスマートフォンを認証に使っている | 退職時に認証を外す手順を決める。会社支給の端末に寄せる |
| 1つのIDを複数人で使っていて、誰のスマホで認証するか決まらない | 共用IDをやめ、1人1IDにする |
| 機種変更のたびに入れなくなる | 機種変更前に認証アプリの移行をする、と社内の手順書に書く |
導入の進め方
- アカウントを洗い出す：会社で使っているサービスを一覧にし、二段階認証を設定できるかを確かめる（パスワード管理の記事の棚卸し表が使えます）
- 管理者から設定する：会社のメールやクラウドの管理者アカウントを先に守る
- 社員向けの手順書を1枚作る：使う認証アプリ、予備コードの保管場所、機種変更・紛失時の連絡先
- 全社員に広げる：朝礼後や月例の安全会議などで、その場で一緒に設定すると漏れが少ない
- 協力会社にもお願いする：元請のクラウドや業務アプリに入る協力会社のアカウントにも設定を求める
設定状況のチェックリスト
| No. | 確認すること | できていれば |
|---|---|---|
| 1 | 会社のメールの管理者アカウントに多要素認証を設定した | ☐ |
| 2 | インターネットバンキングの承認者に多要素認証を設定した | ☐ |
| 3 | VPN・リモートデスクトップに多要素認証を設定した | ☐ |
| 4 | クラウドストレージの全利用者に多要素認証を設定した | ☐ |
| 5 | 予備のコードを会社で保管する場所を決めた | ☐ |
| 6 | 圏外の現場でも認証できる方式を選んだ | ☐ |
| 7 | 退職・機種変更のときに認証を外す・移す手順を決めた | ☐ |
| 8 | ログインはメールのリンクから開かない、と周知した | ☐ |
よくある質問
Q. 二段階認証と二要素認証は同じものですか。 A. 同じとは限りません。段階が2つあっても、パスワードと秘密の質問のように両方が「知っていること」なら1要素です。総務省の定義では、知識・所持・生体のうち2つ以上を組み合わせるのが多要素認証です。
Q. SMSの認証は使わないほうがよいですか。 A. 設定しないよりは安全です。ただし、IPAはSMSのコードを盗もうとするフィッシングの手口も確認されているとしています。サービスが認証アプリやパスキーに対応していれば、そちらを優先してください。
Q. 現場の作業員にも二段階認証を求めるべきですか。 A. 会社のクラウドや業務アプリにログインする人には求めます。ログインしない人のアカウントは、そもそも発行しないのが一番です。
まとめ
- 多要素認証は、知識・所持・生体のうち2つ以上を組み合わせるログインの仕組み
- メール、銀行、VPN、クラウドストレージの順に設定すると効果が大きい
- 多要素認証も、偽サイトにコードを入れると破られる。ログインはブックマークから
- 圏外の現場、端末の紛失、退職と機種変更に備えた手順を先に決める
出典・参考
- 総務省「国民のためのサイバーセキュリティサイト」安全なパスワードの設定・管理（多要素認証の定義、積極的な利用）
https://www.soumu.go.jp/main_sosiki/cybersecurity/kokumin/security/business/staff/06/ - 総務省「国民のためのサイバーセキュリティサイト」推測できる簡単なパスワードを利用しないようにしよう（多要素認証と二段階認証、3つの要素の例）
https://www.soumu.go.jp/main_sosiki/cybersecurity/kokumin/security/end_user/general/01/ - 独立行政法人情報処理推進機構（IPA）「情報セキュリティ6か条 解説編」2026年9月（No.3 多要素認証とは、パスキーとは）
https://www.ipa.go.jp/security/guide/sme/about.html - IPA「企業組織を狙う攻撃メールの手口とその対策」2026年8月3日（リアルタイムフィッシング、組織のルールとしての多要素認証）
https://www.ipa.go.jp/security/support/rcu1hd0000019vmo-att/20260803_1.pdf - 警察庁サイバー警察局「令和7年におけるサイバー空間をめぐる脅威の情勢等について」令和8年3月（ランサムウェアの侵入経路）
https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf - 警察庁サイバー警察局「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」令和8年9月（ランサムウェアの侵入経路）
https://www.npa.go.jp/publications/statistics/cybersecurity/data/R8kami/R08_kami_cyber_jousei.pdf
いまの課題に近いものはどれですか？
選んだお悩みに最適なサービスのご案内ページへ移動します。
お使いの業務に合う機能と、無料体験の内容をご確認いただけます。
