「重要な機密情報を扱うクラウドサービスで、多要素認証を使っていますか」の答え方｜確認先・回答例・証拠の例

公開：2026年10月23日／最終更新：2026年10月23日／Moshiru 岡﨑悠太

こんなときに役立ちます

取引先から届いたチェックシートに、この設問があったとき
社内の誰に、何を確かめればよいか分からないとき

読み終えたあと、社内でこう言えます

「確認先に文面を送りました。回答は実態に合わせて、足りないところは予定と一緒に書きます」

この設問は何を聞いているか：パスワードに加えて、スマホの確認コードや指紋など、もう1つの確認を必ず求める設定にしているか、を聞いています。★3では、重要な機密情報を扱うクラウドサービスでは常に多要素認証を使うことが求められます。

ここまでやれば答えられます：確認先に下の文面を送って実態を確かめ、多要素認証を必須にした設定画面の写しのような記録を1つ用意できれば、「はい」か「一部」で具体的に答えられます。足りないところは「いつまでに何をするか」を書けば十分です。

取引先に対策を求める大企業は88.2%、求められた中小企業の43.2%にできていない対策がある、という調査があります（ミツモア、2026年10月）。回答期日は2〜3営業日が最も多く、1週間以内が76%です（SecureNavi社、2026年2月発表）。できていない項目があるのは珍しくありません。短い期日でも、確認先を先に決めれば間に合います。

社内の誰に確認すればよいか

クラウドサービスの管理者設定を見られる社内の担当者（メールや業務ソフトの管理者）に確認します。外部の業者が管理しているときは、その業者に聞きます。下の文面は、そのまま送れるように書いています。【】の部分を置き換えてください。

件名：多要素認証の設定状況の確認のお願い

【担当者名】さん

取引先からセキュリティのチェックシートが届き、次の点を確認しています。

■メール、ファイル共有、会計など、機密情報を扱うクラウドサービスの一覧
■そのうち、多要素認証（パスワード＋確認コードなど）を必須にしているサービスと、そうでないサービス
■管理者のアカウントにも多要素認証をかけているか

【期日】までに、分かる範囲で教えてください。

回答例（はい／一部／いいえ）

書き方の例です。御社の実態に合わせて書き換えてください。実態と違う内容を写すことはしないでください。

回答	回答例
はい	「機密情報を扱うクラウドサービスはすべて、ユーザーと管理者に多要素認証を必須にしている。方式は認証アプリ（またはSMS）としている。」
一部	「メールと会計ソフトは多要素認証を必須にしているが、ファイル共有サービスは任意設定のまま。【年月】までに必須にする予定。」
いいえ	「多要素認証は未導入。【年月】までに、メールと管理者のアカウントから必須にする予定。それまでは、パスワードの使い回し禁止と、ログイン通知の確認で補っている。」

「いいえ」のときは、どう書けばよいか

全部を一度に直す必要はありません。まず、メールと管理者のアカウント、次に会計やファイル共有の順に必須にする計画を書くと、取引先が判断しやすくなります。「検討中」だけで終わらせず、いつまでに何をするかと、それまでの代わりの対策を書くと、取引先は判断しやすくなります。

迷いやすいケース

ガラケーや、スマホを持たない社員がいる：SMSやメールで送る確認コード、または会社が貸す端末を使う方法があります。使える方式は、設問の要求事項の文面と取引先の指定で確かめてください。
共用のアカウントを使っている：共用アカウントは、確認コードが1台に集まり、使った人も特定できません。個人ごとのアカウントに分けるのが先です（設問11・12とも関係します）。
サービスが多要素認証に対応していない：代わりの対策（社内ネットワークからの接続に限る、管理者のみが使うなど）と、乗り換えの時期を書きます。「いいえ」の理由だけより、予定を書いたほうが伝わります。

証拠を求められたら、何を出せばよいか

多要素認証を必須にした設定画面の写し（アカウント名は消す）
対象のクラウドサービスの一覧と、設定の有無
認証方式（認証アプリ、SMSなど）を書いたルール

パスワードや、管理画面のURLが写った部分は消してから出してください。

SCS評価制度の★3では、どう求められているか

★3に入る項目です。この設問は、★3の要求事項「4-1-3 認証の強度・実装方法の決定」にあたります。評価基準は4項目です（IPA公開のExcelの原文）。

すべてのユーザID及び管理者IDについて、システム及び情報機器へのアクセスを許可する前に、ユーザIDごとに設定されている認証情報(パスワード等)でユーザを認証すること。（4-1-3-1）
重要な機密情報を取り扱うクラウドサービスにおいて、ユーザ及び管理者がサービスにアクセスする場合は、常にNo.4-1-3-3で示す認証要素を利用した多要素認証を使用すること。（4-1-3-2）
多要素認証の使用に当たっては、以下のいずれかの要素から2種類以上を選択し、利用すること。 - 知識情報(例：ID・パスワード) - 所有情報(例：ワンタイムパスワード※又は証明書) - 生体情報(例：指紋、顔、虹彩又は静脈) - その他の情報(例：IPアドレス) ※利用者のメールアドレス、電話番号等に対してワンタイムパスワードを送信して利用者に入力させる方法及びスマートフォンへの認証要求を利用した認証方式を含む。（4-1-3-3）
多要素認証の知識情報として用いるパスワードは、8文字以上とすること。（4-1-3-4）

くわしくは、チェックシート「多要素認証を導入していますか」の回答例、AitB・MITB・中間者攻撃：多要素認証をすり抜ける手口にまとめています。

次に読む

シートごと送れば、回答はこちらで作ります

届いたチェックシートをそのまま送ってください。設問ごとの回答と、確認が要る点の一覧をお返しします。初めての1枚目は、30問まで無料です。打合せはなく、メールだけで進みます。

シートを送る初めての1枚目は無料ほかの設問の答え方手引き