MFA（多要素認証）を「全員・全アプリに強制」することの功罪：現場のスマホ事情と情シスの譲れない一線 | The Fortress of a Solo IT Manager

情シス界隈の飲み会でよく聞く言葉です。確かに、セキュリティ教科書的（NISTガイドライン的）には、MFA（Multi-Factor Authentication：多要素認証）は絶対正義です。パスワードリスト攻撃を防ぎ、フィッシングのリスクを劇的に下げる。ID管理の「銀の弾丸」であることは間違いありません。

しかし、いざ100人、200人の全社員に対して、全業務アプリでMFAを強制しようとすると、そこには教科書には書かれていない「泥臭い現実」が立ち塞がります。

「私用スマホに認証アプリを入れたくない」という拒絶
「スマホを家に忘れました」という始業前の電話
「現場の共用PCでログインできない！」という悲鳴

MFA万能論を一度脇に置き、「どこまで強制し、どこで妥協すべきか」という、実務運用におけるグレーゾーンの歩き方を考察します。

なぜMFAは「嫌われる」のか

セキュリティ担当者にとっての「正義」は、現場社員にとっての「手間（Friction）」です。「1日に何回スマホを取り出させるんだ」「会議中に通知音が鳴るのが嫌だ」

特に深刻なのが、「個人のスマートフォン利用（BYOD）」問題です。会社支給のスマホがない中小企業では、個人のスマホにGoogle AuthenticatorやMicrosoft Authenticatorを入れてもらう必要があります。これに対し、「プライバシー侵害だ」「通信料はどうなる」「もし紛失してリモートワイプされたら個人の写真も消えるのか」といった懸念が出るのは当然です。

この感情的な摩擦を無視して「ルールですから」で押し切ると、シャドーIT（自分のGmailに業務データを転送するなど）への逃避を招き、かえってセキュリティリスクが高まります。

「全アプリ強制」は現実的か？

全てのSaaSに個別にMFAを設定するのは、管理コストの観点からも悪手です。 30個のSaaSを使っていれば、スマホの認証アプリには30行のコードが並び、機種変更時の移行作業は「地獄」となります。

解決策：SSOの入り口だけを固める

ここでも「IdP（Identity Provider）」が鍵になります。 Google WorkspaceやMicrosoft 365のアカウント（IdP）のみを鉄壁のMFAで守り、他のSaaSへはそこからのSSO（シングルサインオン）でログインさせる。これなら、ユーザーは朝イチの1回だけMFAを通せば済みます。

「全アプリMFA」ではなく「入り口（Gateway）のみMFA」。これが、利便性とセキュリティを両立させる第一の妥協点です。

適用範囲を分ける視点

では、対象ユーザーはどうすべきか。「全員一律」ではなく、リスクベースでグラデーションをつけます。

ゾーン1：絶対強制（例外なし）

対象: 特権管理者（情シス）、経営層、経理・人事担当者
理由: 彼らのIDが乗っ取られた時の被害が甚大だからです。
運用: ここには情けをかけません。「社長だろうとMFA必須です。できなければログインさせません」と断言します。スマホがない場合は、ハードウェアトークン（YubiKeyなど）を物理支給してでもやらせます。

ゾーン2：推奨または条件付き強制

対象: 一般社員（営業、開発など）
運用:
- 社外からのアクセス: MFA必須。
- 社内IPからのアクセス: MFA免除（条件付きアクセス）。多くのIdP（Microsoft Entra IDなど）でこの設定が可能です。「会社に来れば楽にログインできる」というメリットを提示することで、MFAの心理的ハードルを下げます。

ゾーン3：配慮が必要な層（グレーゾーン）

対象: アルバイト、パート、工場・倉庫の現場スタッフ
課題: 個人のガラケーを使っていたり、そもそもスマホをロッカーに預けて作業場に入る（手元にない）ケース。
解決策:
- **共有アカウント運用（**本来はNGですが、現場では避けられない場合）：IP制限ガチガチにかける代わりにMFAは外す。
- FIDO2キー: USBポートに挿すだけの物理キーを支給し、スマホ不要にする。
- SMS認証: アプリよりはハードルが低いが、コストとセキュリティ強度（SIMスワップ攻撃など）のバランスを見る。

正解はない、あるのは「合意」だけ

MFAの導入において、「100%全適用」を目指して疲弊する必要はありません。

「重要データ（個人情報・機密情報）にアクセスしないアカウントなら、MFAなしでも（リスク受容として）OKとする」
「その代わり、パスワードは20文字以上に強制する」

このように、「MFAを入れない代替として、別の不便さを許容してもらう」というトレードオフを整理します。。

最終的に重要なのは、「どこまでリスクを許容するか」を経営層と合意することです。「パートさんのスマホに強制できないので、彼らのアカウントだけMFAを外します。その代わり、もし彼らのIDが漏れても、アクセスできるのは『今日のお弁当注文システム』だけになるよう、権限を絞っています」

これなら、誰も不幸になりません。

結論：MFAは「武器」だが「万能薬」ではない

MFAは強力ですが、運用を間違えれば「業務の邪魔者」になります。情シスの役割は、ツールを入れることではなく、そのツールを使って「安全かつスムーズに仕事ができる環境」を作ることです。

「セキュリティのため」という錦の御旗を振りかざして、現場の生産性を殺してはいけません。時には「社内ネットワーク内ならMFAなし」という、抜け道（利便性）を用意する優しさも、情シスの重要なスキルです。

厳しさ（Security）と優しさ（Usability）。この天秤を揺らしながら、あなたの会社にとっての「ちょうどいいMFA」を探してみてください。正解は教科書の中ではなく、現場の社員の顔色の中にあります。

目次