Microsoft 365のSMS認証終了、中小企業はどう対応する？新たな認証運用を考える

みなさん、こんにちは。

埼玉県ふじみ野市のITサポートSORAの関口です。

最近は、Microsoft 365を導入している企業も増えているのではないでしょうか。

その一方で、Microsoft 365のアカウントを狙った不正アクセスへの対策も、ますます重要になっています。

先日も、某大学で学生のMicrosoft 365アカウントが乗っ取られ、悪用される事例が報告されました。

こうしたアカウントの乗っ取りを防ぐためにも重要になるのが、パスワードだけに頼らず、もう一つの方法で本人確認を行うMFA（多要素認証）です。

そのような中、Microsoftは、Microsoft 365のMFA（多要素認証）の一つとして利用されてきた電話・SMSによる認証を、一般ユーザーについて2027年2月1日に終了すると発表しました。

これまで電話やSMSによる認証を利用してきた会社では、今後の認証方法だけではなく、パソコンの交換や認証トラブルが発生したときの復旧方法についても考えておく必要があります。

私のお客様でも、この問題について検討することになりました。

Microsoftにも問い合わせながら実際の運用を考えていった結果、たどり着いたのが、Temporary Access Pass（TAP）を、必要なときの復旧手段として利用する方法でした。

今回は、会社支給のスマートフォンがない中小企業で、どのようにこの問題を考えたのか、その経緯を書いてみたいと思います。

普段はWHfBのPINで問題ない

私のお客様では、パソコンをMicrosoft Entra IDに参加させ、Windows Hello for Business（WHfB）のPINを利用しています。

普段の業務では、社員はWHfBのPINを入力してWindowsにサインインします。

この運用自体を大きく変更したいわけではありません。

問題になるのは、

• 新しいパソコンへ交換するとき
• 何らかの原因でWHfBのPINが利用できなくなったとき
• WHfBの再登録が必要になったとき

です。

これまでは、SMSなどを使った本人確認によってPINの再設定を行うことができました。

しかし、今後その方法に頼れなくなることを考えると、「では、WHfBのPINが使えなくなったとき、どうやって復旧するのか？」という問題が出てきます。

ここが今回、私が一番悩んだところでした。

「Microsoft Authenticatorを使えばいい」で終わらなかった

Microsoft 365の認証方法として、まず考えられるのがMicrosoft Authenticatorです。

スマートフォンにアプリを入れて、本人確認に利用する方法です。

ところが、中小企業では必ずしも社員全員に会社からスマートフォンを支給しているとは限りません。

今回のお客様も、社員用スマートフォンを配付していません。

では、「個人のスマートフォンにAuthenticatorを入れてもらえばいいのでは？」という考え方もあります。

しかし、会社の業務に必要な認証を社員の私物スマートフォンに依存してよいのか、という別の問題が出てきます。

Microsoftにも問い合わせたところ、電話・SMS認証に代わる認証方法として、次のような選択肢があることを回答をいただきました。

• FIDO2セキュリティキー
• ブラウザー拡張のAuthenticator
• iCloudに同期するパスキー
• Googleに同期するパスキー

選択肢はいくつかあります。

しかし、重要なのは「利用できる方法があるか」ではなく、「その方法を実際に会社で運用できるか」だと思います。

例えば、FIDO2セキュリティキーを全社員に配付するのであれば

• 機器の購入
• 初期設定
• 社員への配付
• 保管・管理
• 紛失や故障時の対応

なども考えなければなりません。

そこで、一度発想を変えてみることにしました。

本当に必要なのは「普段の認証方法」なのか？

ここでもう一度、問題を整理してみました。

普段はWHfBのPINで普通に仕事ができています。

つまり、今回本当に解決したい問題は、「全社員に新しい認証方法を持たせること」というより、「パソコンを交換するときや、WHfBのPINが使えなくなったときに、どうやって復旧するか」なのではないかと考えました。

この二つは似ているようですが、会社の運用として考えると大きく違います。

そこで検討したのが、Microsoft Entra IDのTemporary Access Pass（TAP）でした。

Temporary Access Pass（TAP）とは？

Temporary Access Pass、略してTAPは、その名前のとおり一時的に利用する認証方法です。

今回考えたのは、社員が毎日TAPを使ってWindowsへサインインするという運用ではありません。

普段はこれまでどおりWHfBのPINを使う。

そして、パソコンの交換やWHfBのPINに問題が起きたときなど、必要な場合に管理者がTAPを発行して認証に利用する。という考え方です。

つまり、普段の使い方はなるべく変えずに、「もしものときの手段」を会社として用意しておくということです。

今回検討した運用は比較的シンプルです。

通常時は、社員 → WHfBのPINでWindowsにサインインこれまでと大きく変わりません。

そして、パソコンの交換やWHfBのPINに問題が発生した場合には、

• パソコン交換、PINトラブル発生
• 社員が管理担当者へ連絡
• 管理者が本人確認
• 管理者がTAPを発行
• 社員がTAPを使用して認証
• WHfBを登録・再登録
• PINを設定

という流れにします。

ポイントは、TAPを普段の認証方法として利用するのではなく、必要なときに利用するということです。

この方法なら全社員にスマートフォンやFIDO2キーを配る必要がない

TAPをこのような場面で利用するメリットは、現在の環境を大きく変更せずに済むことです。

今回のような会社であれば、

• Microsoft Authenticatorのためにスマホを配付する必要がない
• FIDO2セキュリティキーなどの追加機器を全社員分用意しなくてよい
• 現在のMicrosoft 365環境を活用できる
• トラブル発生時の対応方法を会社として決めておける

といったメリットがあります。

もちろん、デメリットもあります。

社員だけで復旧作業を完結することはできず、管理担当者によるTAPの発行が必要になります。

そのため、「TAPを誰が発行するのか？」 「その担当者が休みだったら誰が代わりに対応するのか？」 「本人確認はどのように行うのか？」といったことまで決めておく必要があります。

ここまで来ると、単なるMicrosoft 365の設定の話ではありません。

会社としての運用ルールの話になってきます。

Microsoft 365は「設定」より「運用」を考える方が難しい

今回、この問題を調べながら改めて感じたことがあります。

Microsoft 365は技術的な設定そのものよりも、「その機能を実際の会社でどう運用するのか」を考える方が難しいということです。

• Microsoft Authenticatorを使う。
• FIDO2セキュリティキーを使う。
• TAPを使う。

技術的な選択肢はいくつもあります。

しかし、実際の会社では、

• 会社支給のスマートフォンはあるのか？
• 個人のスマートフォンを業務の認証に使ってもらうのか？
• FIDO2セキュリティキーを全社員に配るのか？
• トラブルが発生したら誰が対応するのか？

という、技術とは別の問題が出てきます。

特に中小企業の場合、専任のIT担当者がいるとは限りません。

社長や総務担当者が、パソコンやMicrosoft 365の管理も兼任している会社もあると思います。

だからこそ、新しい仕組みを導入するときには、「この機能が使える」だけではなく、「実際にトラブルが起きたとき、誰がどう対応するのか」まで考えておく必要があります。

技術の変化にどう対応するか

ITの世界では、新しい技術が次々と登場します。

当然、セキュリティを強化するために、これまで利用してきた仕組みが変更されることもあります。

しかし、中小企業の現場から見ると、「Microsoftが認証方式を見直しました」だけでは終わりません。

• 新しい方法が自社に合っているのか。
• 社員が実際に使えるのか。
• 新しい機器を購入する必要があるのか。
• 自社でどこまで運用ができるのか。
• トラブルが起きたとき誰が対応するのか。

そこまで考えて、初めて会社の仕組みとして利用できます。

技術はこれからも変わっていきます。

大切なのは、新しい技術をただ追いかけることではなく、「この変化に対して、自分たちの会社ではどう対応するのか」 という視点を持ち続けることなのだと思います。

まとめ

今回検討した運用をシンプルにまとめると、

普段はWHfBのPINを使う。

パソコンの交換やWHfBのトラブルが発生したら、本人確認のうえ管理者がTAPを発行して対応する。

というものです。

結論だけを見ると、とてもシンプルです。

しかし、この結論にたどり着くまでには、Microsoftへ何度か問い合わせ、Microsoft Authenticator、FIDO2セキュリティキー、パスキー、TAPなどの認証方法について検証しました。

さらに、実際に会社で運用することを考えると、管理者向けと社員向けの手順書を作成し、担当者へ操作方法を説明し、「誰が対応するのか」 まで決めておく必要があります。

Microsoft 365は、導入したらそれで終わりではありません。

その仕組みを会社で長く安心して使っていくためには、こうした地味な「もしものときの運用」をあらかじめ考えておくことが、意外と大切なのだと思います。

---