パスキー認証を社内システムに導入するメリット・導入手順・成功事例を徹底解説
株式会社インターナショナルシステムリサーチ
社内システムの認証に「パスキー認証」が注目されている理由
不正アクセスは企業にとって非常に大きなリスクです。特に、パスワードの漏洩や使い回しを突いた不正ログイン被害や、ワンタイムパスワード（OTP）認証がリアルタイムフィッシング攻撃によって破られる事例が多数報告されています。
図は過去数年にわたる国内のフィッシング情報の届け出件数の推移です。2024年下半期から急激に報告件数が増加しています。
このため、クラウドサービスや社内で独自に作成したサービスなどの認証に「パスキー」を用いて、パスワードレス認証を導入する企業が増えてきました。
この記事では、パスキー認証を社内の認証に導入する価値、導入時に直面しやすい課題への対策、全社展開を成功に導くポイントについて解説します。
パスキー（Passkey）とは | 用語集
なぜ「パスキー認証の社内システム導入」が必要なのか？
導入によるメリットを解説
セキュリティ強化と業務の利便性をどう両立させるかは悩みの種ではないでしょうか。この課題に対する有効な選択肢が、FIDO2認証仕様に基づくパスキー認証です。
パスワード漏洩への根本対策
現在、企業はパスワード漏洩に起因する巨大な経営リスクを抱えています。しかし、どんなにルールを徹底しても、パスワードが漏洩するリスクを完全には排除できません。だからこそ、パスワードに依存した認証からの脱却が必要です。
パスキー認証であれば、第三者による窃取や利用者の意図しない漏洩のリスクを、パスワードに比べて大幅に低減できます。パスキー認証はFIDO2認証仕様に基づく公開鍵暗号方式を採用しています。サーバー側には検証用の公開鍵のみを保存します。認証時に秘密鍵そのものは通信経路でやり取りせず、検証用の署名のみやりとりします。そのため、サーバーへの攻撃や通信の傍受による認証情報の漏洩リスクを根本から排除できるのが大きな特長です。
FIDO2（Web認証）は、W3CのWeb認証仕様（WebAuthn）とFIDOアライアンスのデバイス間連携仕様（CTAP）から成る技術仕様で構成され、生体認証デバイスなどを利用してWebブラウザを通じたオンラインサービスへの安全なログインを実現します。 FIDO2を利用した認証では、パスワードの代わりとしてFIDO2に対応した認証デバイスを使用することで、パスワードを使わない認証が可能になります。
リアルタイムフィッシング攻撃への対策
近年、証券会社の口座を標的にしたリアルタイムフィッシング攻撃の被害が拡大したように「ID/パスワード ＋ OTP」による多要素認証では安全とは言い切れません。OTPコードがリアルタイムで窃取され、本物のサイトへの不正ログインを許してしまう可能性があるためです。
パスキー（秘密鍵）には認証対象となる正規サイトの識別子が含まれます。そのため、仮に偽サイト（フィッシングサイト）から認証リクエストが送信されても、認証器は偽のリクエストに反応しない仕組みになっています。
利用者の生産性向上
パスワードの運用はほとんどが利用者の記憶かメモ頼りであり、使い回しによるセキュリティリスクに加え、認証エラーによる業務の中断や、メモや運用ルールの確認で時間が奪われています。
パスキー認証の社内導入により、利用者はパスワードを覚える必要がなくなり、社内ルールを確認する時間や定期的なパスワード変更から解放され業務効率が向上します。
管理者のパスワード管理とパスワード忘れ対応の
負担解消
「ログインできない」「アカウントがロックされた」といった問い合わせ対応。情シス部門の業務時間を奪う大きな原因になっていませんか？
パスキー認証に切り替えれば、手入力や暗記によるミスはなくなり業務がスムーズになり、かつ管理部門の問い合わせ対応の削減につながります。
パスキー認証による管理工数削減の事例
株式会社ウエディングパーク様： 月間約200回発生していたログイン失敗が、導入後に0件へ減少（参考：FIDO Alliance 事例紹介（ウエディングパーク様）、株式会社ウエディングパーク様 導入事例 | CloudGate UNO）。
馬淵建設株式会社様： 社内でのパスキー認証の利用率が98%を超え、パスワード関連の問い合わせがゼロに（参考：馬淵建設株式会社様 導入事例 | CloudGate UNO）。
「定期的なパスワード変更」の見直し
定期的なパスワード変更は一般的なセキュリティ対策でした。しかしNIST（米国標準技術研究所）のガイドライン『NIST Special Publication 800-63B-4 Digital Identity Guidelines』では、「パスワードは長くて推測不可能なものを設定し、パスワード変更は漏洩の疑いがある場合のみ実施すべき」とされています。
頻繁な変更をルール化すると、短く推測しやすい文字列に依存しがちです。結果として、かえってリスクが高まるのです。
パスワード変更の依頼と対応が、意味なく日々の業務を圧迫しています。
パスキー認証の社内システムへの導入で直面する課題と解決策
パスキー認証の導入にはいくつかの課題があります。
課題1：認証器・認証基盤のコスト
パスキー認証が使用できないPCおよびネットワーク（Active Directory環境のポリシーによってWindows Helloの利用が制限されている場合など）を使用している場合や、セキュリティ上スマートフォンの持ち込みを制限している工場、コールセンター、官公庁などでは、別途、認証器（PC・スマートデバイス・セキュリティキーなど）の購入が必要な場合があります。
また、パスキー認証に対応した認証基盤（利用者の認証情報と認証先を一元管理する仕組み。IdP）の導入・運用を必要とする場合が多く、これらの費用がパスキー認証導入への障壁となります。
解決策：セキュリティキーの部分導入とパスキー認証対応IDaaSの活用
スマートフォンの購入やネットワークの変更ではなく、USBタイプのセキュリティキーを配布する運用にすれば、全体の初期投資を最小限に抑えることが可能です。
また、認証基盤は月額400円/ユーザー（税込440円）からスモールスタートできる「CloudGate UNO」のようなIDaaSを採用すれば、初期の導入コストや運用の人的負荷を最適化できます。
課題2：認証器の紛失など緊急時の対応
「認証器を紛失した、あるいは自宅に忘れた」といった緊急時の対応（アカウントリカバリー）を検討する必要があります。代替となる認証方法を完全に廃止してしまうと、業務が完全にストップしてしまうという懸念があります。
解決策：複数の認証器の事前登録と代替認証手段の確立
シンプルな解決策は「一人の利用者に複数の認証器（パスキー）をあらかじめ登録させておくこと」です。例えばIDaaS「CloudGate UNO」では複数の認証器を登録でき、メインで利用する「社用PC（Windows Hello）」に加え、バックアップとして「社用スマートフォン（生体認証）」や「セキュリティキー」を事前に複数登録させておくことで、万が一PCを紛失したり壊したりした場合でも、別の認証器から安全に認証できます。
さらに、以下の運用を組み合わせることが推奨されます。
- パスキー認証でのPINコードの設定
- 同期パスキーの利用可否検討
- 管理者による緊急用ワンタイムパスワード（OTP）の発行フロー策定
同期可能なパスキーと端末に紐づくパスキーの違い
要件に応じて以下の2種類のパスキーから、自社や部門に適したパスキーを選びましょう。
同期可能なパスキー（synced passkeys）
特定のクラウドサービスアカウントを利用して、同じプラットフォームの端末間で共有出来るパスキーを指します。例えば、同じ Apple ID を持つiOSを搭載した端末であれば、 iCloudキーチェーンを経由して認証資格情報の同期が可能です。仮に紛失・破損により端末を変更する必要が生じても、同じApple IDを使用することで認証資格情報を引き続き利用することができるため、認証情報の再登録やバックアップなどの手間を解消することが期待されます。
端末に紐づくパスキー（device-bound passkeys）
YubiKeyなどの外部認証器を利用した場合のパスキーを指します。認証に利用するパスキーが保存されているのはその認証器1つであると特定出来るメリットがあります。
セキュリティキーについて詳しく知る課題3：サービスごとのパスキー認証への対応状況のバラつき
Google WorkspaceやMicrosoft 365など主要なクラウドサービスがパスキー認証の対応を進める一方で、自社開発サービスや一部のSaaSでは未対応のケースが見られます。
一部のサービスだけパスキー認証を設定しても、セキュリティ水準を一定に保てず、かえって管理が煩雑化する恐れもあります。
シングルサインオン（SSO）へ認証を集約すれば、個々のサービスがパスキー認証に未対応であっても、利用者はSSOを経由して統一されたパスキー認証を行えます。
認証器の管理負担など検討の結果、パスキー認証の導入が合理的でない場合もあります。それでもセキュアな認証を利用するため、認証基盤が代替となる多要素認証を提供できるか確認しましょう。
解決策：認証基盤へ認証を集約
各サービスの認証を認証基盤へ集約することが必要です。これを実現する仕組みとして、シングルサインオン（SSO : Single Sign On）の活用が代表的でしょう。
SSOとは、1回の認証で複数のクラウドサービスや社内サービスを利用可能にする仕組みです。
課題4：社内の心理的ハードルとサポートへの負荷
認証方法を変えることに対して、現場や経営陣から懸念の声が上がる場合があります。パスキー認証の設定や運用の疑問を事前に解消できるマニュアルと、配慮の行き届いた社内コミュニケーションが欠かせません。
解決策：部門ごとの段階的な導入
ITリテラシーの高い開発部門などから段階的に展開する計画を立てれば、管理側は検証期間に余裕を持てます。組織全体でパスキー認証と認証器の取り扱いに慣れていけるため、相互の負担を抑えられます。
アドバイスを得られるパスキー認証の導入実績が豊富なベンダーに相談しましょう成功事例から学ぶ社内システムへのパスキー認証導入のポイント
導入に成功した企業には、現場の負担を抑える工夫がありました。
Point 1：利用サービスおよび認証器の確認とリカバリー手順の設計
利用中のサービスおよびPC・スマートフォンのバージョンや、Windows Hello・Touch IDなどのパスキー認証が利用可能かを把握します。
利用中の認証器（PC端末等）がパスキー認証に対応していない場合は、セキュリティキーの導入や、パスキー認証以外での認証の代替案を検討します。
あわせて、端末の故障や紛失に備えた「リカバリー手順」の策定が必須です。管理者による認証方法の変更手順や、予備の認証器による認証フローを整備します。
SSO「CloudGate UNO」であれば、パスキー認証対応セキュリティキーでの認証および、専用スマートフォンアプリによる認証を全プランで提供できます。
Point 2：部門単位での段階的なパスキー認証導入とマニュアル改善
ITリテラシーの高い開発部門や情シスで先行導入し、マニュアルを改善したうえで営業・事務部門へ広げていく方法がおすすめです。
- 先行導入（IT部門・情シス）：トラブル時に自力対処しやすい部署で運用を開始。
- 課題抽出とマニュアルの改訂：端末ごとの登録手順の差やエラー時の挙動を整理し、FAQを更新。
- 部門ごとの順次展開：部門ごとの定例会議で導入背景を丁寧に説明しつつ順次展開。認証器未登録者への個別フォローを並行実施。
株式会社ウエディングパーク様は疑問点を先行部署で解決し、完成度の高いマニュアルを他部門に展開したことでパスキー認証のスムーズな定着を実現しました。月に約200回発生していたログイン失敗を0件に抑え込む成果を得ています。
Point 3：親しみやすい工夫で心理的ハードルを下げる
馴染みのない仕組みやサービスは、現場に敬遠されがちです。導入をスムーズに進めるには、利用者の心理的なハードルを下げる工夫が欠かせません。
その好例が、馬淵建設株式会社様の取り組みです。同社では、SSOサービス「CloudGate UNO」の公式キャラクター「くらげちゃん」をマニュアルに活用しました。心理的抵抗感を減らす導入設計が実を結び、パスキー認証の利用率98%以上を達成。業務時間の17〜20％を占めていたパスワード関連の問い合わせ対応がゼロになりました。
馬淵建設様公式キャラクターうまぶちくん
CloudGate UNO公式キャラクターくらげちゃん
パスキー認証の導入を支えるSSOの選定基準と
SSO「CloudGate UNO」の特徴
パスキーでのパスワードレス認証を実現する際、「どの認証基盤（SSO/IDaaS）を選ぶか」は非常に重要な判断です。パスキー認証への対応と、現場の運用のしやすさを両立できるかが成功の鍵となります。
全プランでパスキー認証に対応しているか、また代替となるセキュアな認証方法を利用できるか
パスキー認証がオプションとなっているSSO/IDaaSでは、導入に二の足を踏んでしまいます。 CloudGate UNOではすべてのプランで追加料金なしでパスキー認証を利用できます。また、専用スマートフォンアプリでの認証も全プランでご利用いただけます。
CloudGate UNOの価格表CloudGate UNOのMFA（多要素認証）
同期パスキーをサポートしているか
利用者の利便性向上とスムーズなアカウント復旧（アカウントリカバリー）のために「同期パスキー（synced passkeys）」への対応状況は重要です。 CloudGate UNOは、AppleのiCloudキーチェーン、Googleアカウントなどを介した同期パスキーの利用に対応しています。
柔軟なアクセス制限をかけられるか
パスキーによるパスワードレス認証の仕組みだけでは、機密情報にアクセスする場所や端末を制限できません。これらをチェックし、アクセスを許可または拒否する「アクセス制限」を組み合わせた多層的な認証環境が必要です。
CloudGate UNOでは端末・IPアドレス・時間帯・国・利用サービスといった条件を組み合わせたアクセス制限が可能です。デバイス証明書は、端末固有識別子に紐づく「Cybertrustデバイス証明書」および専用チップ（SE、TPM）で発行する「CloudGate証明書」に対応。許可されていない私有端末や社外PCからのアクセスを遮断できます。
CloudGate UNOのアクセス制限機能
利用できる認証器を制限できるか
パスキー認証を全社的に導入する際「BYODは登録不可としたい」といったガバナンスの検討が発生します。そのため、SSO/IDaaSの選定においては、登録できる認証器の種類を識別し、制限をかけられるかどうかが重要な基準となります。
CloudGate UNOでは、パスキーを作成・保存する認証器を管理者サイト側で管理・制限することができます。管理者が把握していないデバイスや、未許可の認証器が登録されるリスクを防ぎます。
検討から運用まで寄り添うサポート体制があるか
「成功事例から学ぶ社内システムへのパスキー認証導入のポイント」の通り、パスキー認証の導入には技術面以外のノウハウが必要です。 CloudGate UNOでは検討段階から展開・運用まで、実績豊富なサポートチームが伴走します。
CloudGate UNOの導入事例
稼働率と利用者の満足度は高いか
SSOが止まると業務全体が止まってしまうため、高い稼働率の実績やBCP対策が必須です。また、実際の利用者からのレビューを確認し、サポートを含め信頼できるかを確認しましょう。
CloudGate UNOは万全の稼働率99.99%以上の安定性を誇り、15年以上にわたりサービスを提供しています。外部レビューでも数多くの満足のお声をいただいており、安心して検討いただけます。
CloudGate UNOの安全への取り組み
CloudGate(運営：株式会社インターナショナルシステムリサーチ)
はFIDOアライアンスのメンバーです。
FIDOアライアンス エグゼクティブ・ディレクターのアンドリュー・シキアー（Andrew Shikiar）氏よりコメントを頂戴しました。
We greatly appreciate ISR’s commitment to supporting FIDO2 protocols through CloudGate UNO and encourage ISR customers to leverage this functionality as soon as possible.
業界では、パスキーのサポート発表が増えるにつれ、パスワードレス認証の採用率が
劇的に上昇すると考えています。
我々は、ISRがCloudGate UNOを通じてFIDO2プロトコルをサポートするというコミットメントを
大いに評価し、ISRのお客様ができるだけ早くこの機能を活用することを推奨します。
パスキー認証の社内システム導入時のよくある疑問
よくある質問
回答：リスクが全くないわけではありませんが、パスキー認証では端末（所持情報）に加え、指紋（生体情報）かPIN（知識情報）の組み合わせが必要なため、第三者が不正ログインできる可能性は低いと言えます。また、CloudGate UNOでは管理者側で該当端末の登録解除や一時アクセスコードの発行を行うことで、迅速にアクセスを遮断・復旧できます。
パスキーによるパスワードレス認証導入に向けて
パスキー認証の導入は、セキュリティ強化と業務負担の削減を同時に達成できます。
CloudGate UNOを活用すれば、パスワード再設定をはじめとする問い合わせ対応の負担を軽減できます。実際の操作感や設定画面は、30日間の無料トライアルや資料請求でお確かめください。
CloudGate UNO（クラウドゲート ウノ）はシングルサインオン（SSO）・アクセス制限・IAM・多要素認証（MFA）で安全性と利便性を両立させた、国産IDaaSプラットフォームです。
TEL：03-5942-8314（平日10:00 ～ 18:00）
FAX：03-5942-8313（24時間受付）
お問合せ
