建設会社の多要素認証導入で失敗しない実務上の注意点と対策

「会社メールの多要素認証を設定したら、スマートフォンの機種変更後にログインできなくなった」。このようなトラブルに備えていますか。

建設会社では、事務所だけでなく、現場監督や営業担当者が外出先からメール、図面共有、工事管理システムなどを利用します。多要素認証は不正ログインを防ぐために重要な対策ですが、設定するだけで安全な運用が完成するわけではありません。

認証に使う端末の紛失、担当者の異動、管理者不在などに備えなければ、必要なときに業務システムを利用できなくなるおそれがあります。この記事では、建設会社が多要素認証を導入するときに確認したい実務上の注意点を解説します。

1．多要素認証を導入する目的

多要素認証とは、パスワードだけでなく、スマートフォンやセキュリティキーなど、異なる種類の認証要素を組み合わせて本人確認する仕組みです。パスワードが第三者に知られても、それだけではログインできないようにすることで、不正アクセスの危険を減らします。

建設会社では、メールや工事管理システム、図面共有クラウドなどに顧客情報や工事資料が保存されています。これらのアカウントを保護することは、情報漏えいだけでなく、業務停止や取引先への影響を防ぐうえでも重要です。

2．多要素認証の仕組みと認証方式

認証に使う要素には、パスワードなどの「知識」、スマートフォンやセキュリティキーなどの「所持」、指紋や顔などの「生体情報」があります。異なる種類の要素を組み合わせることが、多要素認証の基本です。

単にパスワードを2回入力することは、異なる要素を使った多要素認証とは限りません。利用サービスによって認証方法や名称が異なるため、管理画面や公式の説明を確認する必要があります。

フィッシングへの耐性は方式によって異なります。利用可能であれば、サービスの仕様を確認したうえで、パスキーやセキュリティキーなどのフィッシングに強い方式を優先することも検討しましょう。

参考：IPA「不正ログイン対策特集ページ」

3．導入前に確認したい業務システム

多要素認証を導入する前に、会社が利用している業務システムを洗い出しましょう。建設会社では、事務所のパソコンだけでなく、現場監督のスマートフォンや協力会社との共有サービスも対象になる場合があります。

重要なのは、すべての社員へ同じ設定を一度に適用することではありません。サービスの重要度、利用端末、現場の通信環境、復旧手順を確認し、段階的に進めることです。

まずは管理者と一部の利用者で動作確認し、問題がなければ対象を広げます。現場作業に支障が出ないよう、導入日と問い合わせ先も事前に周知しましょう。

4．認証アプリとスマートフォンの管理

認証アプリを使う場合、どの端末へ設定するかを決める必要があります。会社支給のスマートフォンを使うのか、私物端末の利用を認めるのかによって、管理や復旧の手順が変わります。

私物端末を利用する場合は、社員の同意、業務情報との分離、紛失時の連絡先なども確認しましょう。認証アプリの登録状況を会社として把握できないまま導入すると、担当者の退職や端末変更で対応に困る可能性があります。

導入時に確認したいこと

• 認証に使用する端末は会社支給か私物か
• 端末の画面ロックが設定されているか
• 認証アプリの設定担当者は誰か
• 機種変更時の引き継ぎ手順があるか
• 端末紛失時の報告先が決まっているか

5．機種変更・紛失・故障への備え

現場監督が使用するスマートフォンを機種変更した際、認証アプリの設定が引き継がれていなければ、業務システムへログインできなくなる場合があります。端末が故障したり、紛失したりした場合も同様です。

そのため、機種変更の前に認証手段の移行方法を確認し、必要に応じて管理担当者が立ち会う運用が有効です。端末が使えなくなった場合の復旧方法も、事前に決めておきましょう。

サービスによって利用できる復旧方法は異なります。認証設定を始める前に、必ずサービス提供元の公式手順を確認してください。

6．バックアップコードと復旧手順

一部のサービスでは、認証端末が使えない場合に備えてバックアップコードや予備の認証手段を登録できます。これらはログインを回復するために重要ですが、第三者に知られると不正利用される危険もあります。

バックアップコードを利用できる場合は、会社の管理ルールに従い、アクセスできる人を限定して安全に保管しましょう。誰でも見られる共有フォルダや机の上に置く運用は避ける必要があります。

復旧手順に含めたい内容

1. 社員がログインできない場合の連絡先
2. 本人確認を行う担当者
3. 予備の認証手段やバックアップコードの保管場所
4. 認証端末を無効化・再登録する手順
5. 復旧作業を記録する方法

7．管理者アカウントの保護

管理者アカウントは、一般の社員より広い設定権限を持つ場合があります。そのため、管理者アカウントが不正利用されると、複数の利用者や業務システムに影響が及ぶ可能性があります。

管理者アカウントには、サービスが対応する強固な多要素認証を設定し、日常業務用のアカウントと分けることを検討しましょう。管理者権限を持つ社員を必要最小限にし、定期的に見直すことも大切です。

緊急用の管理者アカウントを設ける場合も、認証を無効にしたまま放置することは避け、アクセス制限、監視、保管、利用記録などを含めて厳格に管理する必要があります。

8．不審な認証通知と偽サイトへの注意

多要素認証を設定していても、すべての不正アクセスを防げるわけではありません。攻撃者が偽のログイン画面で認証コードを盗もうとしたり、利用者へ繰り返し承認通知を送ったりする可能性があります。

身に覚えのない認証通知が届いた場合は、承認しないでください。ログインを試みていないのに通知が続く場合は、管理担当者へ速やかに報告することが重要です。

社員へ周知したい3つの基本

• 自分でログインしていない認証要求は承認しない
• 電話やメールで認証コードを求められても伝えない
• 不審な通知や偽サイトへの入力に気づいたらすぐ報告する

参考：IPA「情報セキュリティ白書2024」

9．退職・異動・協力会社の権限管理

多要素認証を導入していても、退職した社員のアカウントが有効なままでは適切な管理とはいえません。社員の異動や退職、協力会社との取引終了に合わせて、利用権限と登録された認証手段を見直す必要があります。

例えば、以前の現場で使っていた図面共有クラウドへのアクセス権限が残っていないか確認しましょう。個人別アカウントを基本とし、共有アカウントがある場合は、利用者と認証手段を明確に管理します。

退職者の端末だけを回収しても、クラウド上のアカウントやログイン状態が残る場合があります。サービスの管理機能を使い、必要な停止処理が完了したことを確認しましょう。

10．導入時に決めたい5つの運用ルール

多要素認証は、設定方法だけでなく、誰が管理し、問題が起きたときにどう対応するかまで決めておくことが重要です。特に建設会社では、現場勤務や外出が多い社員にも対応できる運用が必要です。

1. 会社メールと管理者アカウントから優先して設定する
2. 認証アプリや端末の管理責任者を決める
3. 紛失・故障・機種変更時の復旧手順を用意する
4. 不審な認証通知を承認せず、報告する
5. 退職・異動時に認証手段とアクセス権限を見直す

導入前に社員へ操作方法を説明し、少人数で動作確認を行いましょう。全社員への設定が完了した後も、問い合わせ先と復旧方法を定期的に確認することが望まれます。

11．朝礼でできる5分間の教育

多要素認証を導入するときは、社員が仕組みを理解していることも重要です。特に、現場監督が外出先で認証通知を受け取ったとき、どのように判断するかを確認しておきましょう。

朝礼では「自分でログインしていないのに認証通知が届いたらどうしますか」と質問してみてください。そのうえで、承認せず管理担当者へ報告する手順を共有します。

12．多要素認証導入10項目チェックリスト

次の10項目を、社長、総務、情報管理担当者、工事部で確認してください。設定済みであっても、復旧方法や退職時の管理が決まっていなければ、運用を見直す必要があります。

13．まとめ｜認証設定と復旧手順をセットで整える

多要素認証は、建設会社のメールや工事管理システムを守るための重要な対策です。しかし、設定することだけを目的にすると、機種変更や端末紛失、管理者不在などの場面で業務に支障が出る可能性があります。

大切なのは、認証方式の選定、管理責任者、復旧手順、社員への周知、退職時の権限管理まで一体で考えることです。現場と事務所の双方で使いやすく、安全な運用を整えましょう。

参考資料：IPA「中小企業の情報セキュリティ対策ガイドライン第4.0版」、IPA「不正ログイン対策特集ページ」、IPA「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」。

建設会社の実務的なサイバー対策は、パキラのサイバーリスク情報サイトでも紹介しています。

※本記事は2026年10月25日時点の公的情報を参考にした一般的な情報提供です。多要素認証の設定や復旧手順はサービスによって異なります。実際の変更は提供元の公式手順と会社の管理ルールに従って実施してください。