ツール・DX約12分で読めます

二段階認証・多要素認証とは｜電気工事会社の設定の優先順位

2026年10月14日

多要素認証とは、ログインのときに「知っているもの（パスワード等）」「持っているもの（スマホ、ICカード等）」「本人自身に関するもの（指紋、顔等）」の3つの要素のうち2つ以上を組み合わせて本人を確かめる方法です。二段階認証は確認を2回に分ける方法で、2回とも同じ種類の要素（例：パスワードと秘密の質問）だと多要素にはなりません。

パスワードが漏れても、もう1つの要素がなければログインされにくくなるのが利点です。この記事では、電気工事会社が「どのアカウントから設定するか」を、現場の持ち物と取引の流れに合わせて整理します。

多要素認証と二段階認証の違い

IPA（情報処理推進機構）の「中小企業の情報セキュリティ対策ガイドライン第4.0版」は、多要素認証を「３つの要素（①知っているもの②持っているもの③本人自身に関するもの）のうち、２つ以上の要素を用いて行う技術」と説明しています。

要素	例	電気工事会社の身近な例
知っているもの	パスワード、PIN、秘密の質問	メールのパスワード、電子入札ICカードのPIN
持っているもの	スマホの認証アプリ、SMS、ICカード	社用スマホ、電子入札のICカード
本人自身に関するもの	指紋、顔	現場タブレットの顔認証・指紋認証

二段階認証は「段階の数」、多要素認証は「要素の種類の数」に着目した呼び方です。サービスの画面では「2段階認証」と表示されていても、実際はパスワードのあとにスマホへ届くコードを入れる仕組み（知っているもの＋持っているもの）であることが多く、その場合は多要素認証にもなっています。

なぜ今、多要素認証が必要か

IPAの「企業組織を狙う攻撃メールの手口とその対策」（2026年8月3日）は、組織が事前に定めるルールとして、インターネットから直接アクセスできるサービスやシステム（SaaS、メール等）は多要素認証を必須とすることを挙げています。SaaS（ソフトウェアをインターネット経由で使うサービスのこと）は、場所を問わずログインできる便利さの裏で、パスワードさえ分かれば誰でも入れてしまうからです。

また、警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等について」は、ランサムウェア被害の侵入経路としてVPN機器が6割以上を占め、攻撃者が漏えいした認証情報や簡易なパスワードを悪用すると述べています。IPAのガイドラインも、VPNや重要なシステムでは「多段階認証、多要素認証、パスキーなどの認証強化機能を利用する」よう対策例に挙げています。

電気工事会社が設定する優先順位

全部を一度に設定する必要はありません。漏れたときの被害が大きく、社外からログインできるものから順に進めます。

優先度	対象	理由
1	事務所のVPN、リモートデスクトップ	社内ネットワーク全体への入口になる
2	会社のメール	取引先へのなりすましや、他サービスのパスワード再設定に悪用される
3	工事写真・図面のクラウド、共有フォルダ	発注者の施設情報や竣工図が保存されている
4	会計ソフト、ネットバンキング	お金が直接動く
5	受変電・デマンドの遠隔監視クラウド	顧客設備の情報と、機種によっては設定変更の権限がある
6	安全書類の提出サイト、チャット	協力会社の作業員名簿などの個人情報が集まる

電子入札は、もともとICカード（持っているもの）とPIN（知っているもの）を組み合わせる仕組みです。ICカードとPINのメモを同じ封筒に入れて保管すると2つの要素が一度に盗まれるので、カードとPINは別の場所に保管します。

施工計画書や入札書類の作成に、毎回時間を取られていませんか？

施工計画書・入札書類・積算（実行予算/見積）の作成にかかる時間を、PattoAI で大幅に短縮できます。

詳しく見る無料デモで確認する

現場ならではの悩みと対処

共用タブレットで認証コードを誰が受けるか

現場で複数人が使うタブレットに多要素認証をかけると、認証コードが届くスマホを誰が持つかが問題になります。対処の考え方は次のとおりです。

共用をやめて1人1アカウントにできないか、まず検討する
共用せざるを得ない場合は、現場代理人など責任者のスマホで認証し、ログイン状態を保つ期間をサービスの設定で決める
タブレット本体には画面ロックをかけ、紛失時に遠隔でロックできるようにする（MDMの記事で解説）

協力会社のアカウント

自社のクラウドに協力会社を招待している場合、協力会社側のアカウントに多要素認証がなければ、そこが弱点になります。招待するときに設定を依頼し、取引が終わったら招待を外すところまでを手順にしておきます。

機種変更とスマホ紛失への備え

認証アプリを入れたスマホを紛失・機種変更すると、本人もログインできなくなります。設定時に表示されるバックアップコード（予備のログイン用コード）を印刷して金庫に保管し、どのサービスに設定したかを台帳に残しておきます。台帳の作り方はパスワード管理の記事を参照してください。

多要素認証でも防げない手口

IPAの同資料は、偽サイトに入力させたID・パスワードとワンタイムパスワードをその場で抜き取って正規サイトに入力する「リアルタイムフィッシング」が増えていると注意を促しています。SMSや認証アプリの多要素認証も、偽サイトに自分でコードを入れてしまえば突破されます。

メールやSMSのリンクからログイン画面を開かない（ブックマークや公式アプリから開く）
自分がログインしていないのに認証コードや承認通知が来たら、承認せずに管理者へ報告する
対応しているサービスでは、パスキー（端末の生体認証などを使い、パスワードを入力しない認証方式のこと）の利用も検討する

不審なメールの見分け方はメール経由の事故の記事でまとめています。

【独自】設定状況のチェックリスト

VPN・リモートデスクトップに多要素認証を設定した
全社員の会社メールに多要素認証を設定した
工事写真・図面のクラウドで、社員と協力会社の両方に設定した
ネットバンキングの認証を最も強い方式にした
遠隔監視クラウドの管理者アカウントに設定した
バックアップコードを金庫に保管し、台帳に記録した
身に覚えのない認証通知が来たときの報告先を全員に伝えた
退職者・取引終了の協力会社のアカウントを停止する手順を決めた

まとめ

多要素認証は「知っているもの・持っているもの・本人自身に関するもの」のうち2つ以上で本人を確かめる方法で、パスワードが漏れたときの最後の防波堤になります。電気工事会社では、VPNとメールから始め、工事写真・図面のクラウド、遠隔監視の管理画面、協力会社とのやり取りへと広げていくのが現実的です。ただし偽サイトにコードを入れれば突破されるので、メールのリンクからログインしない習慣とセットで運用してください。

出典・参考

独立行政法人情報処理推進機構（IPA）「中小企業の情報セキュリティ対策ガイドライン第4.0版」（2026年3月27日）https://www.ipa.go.jp/security/guide/sme/about.html
IPA セキュリティセンター「企業組織を狙う攻撃メールの手口とその対策」（2026年8月3日）https://www.ipa.go.jp/security/support/rcu1hd0000019vmo-att/20260803_1.pdf
警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf