経営・DX約13分で読めます

二段階認証・多要素認証とは｜建設会社が先に守るアカウント

2026年10月14日

多要素認証とは、ログインのときに「知っているもの（パスワードなど）」「持っているもの（スマートフォンやICカードなど）」「本人自身に関するもの（指紋や顔など）」の3つの要素のうち、2つ以上を使って本人を確かめる仕組みです。二段階認証は、確認を2回の段階に分けるやり方を指し、2回とも同じ種類の要素（たとえばパスワードと秘密の質問）でも成り立ちます。異なる種類の要素を組み合わせる多要素認証のほうが、パスワードが漏れたときの守りとして確実です。

建設会社で最初に多要素認証をかけるべきなのは、メール、図面や書類を置くクラウドストレージ、社外から社内につなぐVPN（暗号化した専用の通り道）の3つです。この記事では、元請の建設会社が「どのアカウントから、どう運用するか」を順に整理します。

二段階認証と多要素認証の違い

用語	意味	例
多要素認証	3つの要素のうち2つ以上を使う認証	パスワード＋スマートフォンの認証アプリ
二要素認証	多要素認証のうち、2つの要素を使うもの	パスワード＋ICカード
二段階認証	認証を2回の段階に分けるもの。要素の種類は問わない	パスワード＋秘密の質問（どちらも「知っているもの」）

総務省の「国民のためのサイバーセキュリティサイト」の用語集と、IPA（情報処理推進機構）の「中小企業の情報セキュリティ対策ガイドライン第4.0版」は、多要素認証を、3つの要素のうち2つ以上の要素を用いて行う認証として説明しています。各サービスの設定画面では「2段階認証」と表示されていても、中身はパスワードとスマートフォンを組み合わせた二要素認証になっていることがよくあります。設定するときは名前ではなく、2回目の確認に何を使うかを見てください。

建設会社の3要素を具体的に並べると

要素	建設会社での例	注意点
知っているもの	パスワード、PIN（暗証番号）	漏れると誰でも使える
持っているもの	社用スマートフォンの認証アプリ、ICカード、セキュリティキー（USBなどに挿す認証用の鍵）	紛失したときの代替手段を決めておく
本人自身に関するもの	指紋、顔	手袋やヘルメットで読み取りにくい場面がある

現場で使う端末では、手袋をしたままでは指紋が読めない、ヘルメットとマスクで顔認証が通りにくいといったことが起こります。作業所では「持っているもの」を中心に組み立て、生体認証は事務所のPCで使うなど、場所によって使い分けると定着しやすくなります。

先に多要素認証をかける順番

すべてのサービスに一度にかけようとすると、現場から苦情が出て止まります。被害が大きい入口から順に進めます。

1. メール

元請の建設会社は、協力会社からの請求書、発注者からの指示、設計変更の連絡をメールで受けています。メールのアカウントを乗っ取られると、取引先になりすましたメールを送られる危険があります。IPAはビジネスメール詐欺（取引先や経営者になりすまして偽の振込先に送金させる詐欺）の対策として、メールシステムでの多要素認証の導入を検討するよう挙げています。手口と見分け方は標的型攻撃メール・誤送信対策で解説しています。

2. 図面・書類を置くクラウドストレージ

設計図書、施工図、BIM（建物を3次元のモデルとして設計・管理する手法）のデータ、発注者の情報、施工体制台帳の控えなどを置くクラウドストレージは、乗っ取られると一度に大量の情報が流出します。協力会社と共有フォルダを使っている場合は、元請側の管理者アカウントから先に設定します。

3. VPN・リモートデスクトップ

警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等について」は、ランサムウェアの侵入経路としてVPN機器が6割以上を占めると報告しています。IPAのガイドラインも、VPNや重要なシステムでは強固なパスワードに加え、多段階認証、多要素認証、パスキーなどの認証強化機能を使うよう求めています。社外から作業所や本社のサーバーにつなぐ仕組みがある会社は、ここを後回しにしないでください。

4. 会計・ネットバンキング・施工管理アプリ

支払いや原価に関わるシステム、協力会社と共有する施工管理アプリが続きます。ネットバンキングは多くの金融機関が独自の認証手段を用意しているので、取引銀行の案内に沿って設定します。

実行予算の作成や数量の拾い出しに、毎回時間を取られていませんか？

図面からの数量拾い出し・実行予算書・施工計画書の作成にかかる時間を、PattoAI で大幅に短縮できます。

詳しく見る無料デモで確認する

作業所と協力会社でつまずくところ

つまずき	起きること	対処
共有アカウント	認証用スマートフォンが1台に縛られ、持っている人がいないとログインできない	個人IDに切り替えてから設定する（パスワード管理のルール参照）
スマートフォンの紛失・機種変更	2回目の確認ができず締め出される	予備の確認手段（バックアップコードなど）を本人と管理者で保管する手順を決める
協力会社への展開	元請だけ設定しても、協力会社のアカウントから入られる	共有フォルダの利用条件として、協力会社のアカウントにも設定を求める
圏外の現場	確認コードが届かない	通信がなくても使える認証アプリやセキュリティキーを選ぶ
退職・異動	本人のスマートフォンに認証が残る	アカウント停止と合わせて、認証の登録も解除する

社用スマートフォンを認証に使う場合は、端末そのものの管理も欠かせません。紛失したときに遠隔でロック・消去できる仕組みについてはMDMとはで解説しています。

【チェックリスト】導入前に決めること

対象にするサービスと、設定する順番（メール、クラウドストレージ、VPNの順を目安に）
2回目の確認に使う手段（認証アプリ、セキュリティキー、ICカードなど）
認証に使う端末は社用か個人所有か。個人所有を使うなら本人の同意と、退職時の解除手順
端末を紛失した・機種変更したときの連絡先と復旧手順
協力会社のアカウントにも求めるかどうかと、その伝え方
設定済みかどうかを確認する担当者と、確認の頻度

よくある質問

Q. 二段階認証と多要素認証は、どちらを選べばよいですか。 A. 選べる場合は、異なる種類の要素を組み合わせる多要素認証を選びます。サービスの画面に「2段階認証」と書かれていても、2回目にスマートフォンの認証アプリなどを使う設定であれば、多要素認証になっています。

Q. 多要素認証をかければ、パスワードは簡単でもよいですか。 A. よくありません。IPAのガイドラインは、強固なパスワードを設定したうえで多要素認証などの認証強化機能を使うことを求めています。両方そろえて初めて守りになります。

Q. 現場の職人さんにも設定してもらう必要がありますか。 A. 図面や書類を共有するサービスにアカウントを発行しているなら、そのアカウントも対象です。全員に一度に求めるのが難しい場合は、職長や協力会社の担当者など、共有フォルダに書き込める人から始めてください。

まとめ

多要素認証は、パスワードが漏れても入られにくくするための仕組みです。建設会社ではメール、クラウドストレージ、VPNの順に設定し、作業所の共有アカウントを個人IDに切り替えてから運用に乗せるとつまずきが少なくなります。協力会社と情報を共有する元請だからこそ、自社だけでなく共有の入口まで含めて設定を確かめてください。

出典・参考

総務省「国民のためのサイバーセキュリティサイト」用語集（多要素認証）: https://www.soumu.go.jp/main_sosiki/cybersecurity/kokumin/glossary/ja_04/
IPA（情報処理推進機構）「中小企業の情報セキュリティ対策ガイドライン第4.0版」（2026年3月27日）用語・技術的対策例、付録の自社診断の対策例: https://www.ipa.go.jp/security/guide/sme/about.html
IPA「ビジネスメール詐欺の対策について知る」: https://www.ipa.go.jp/security/bec/bec_measures.html
警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」: https://www.npa.go.jp/publications/statistics/cybersecurity/index.html

※ 2026年10月14日時点で各資料を確認しています。