パスキーとは｜フィッシングに強い仕組みと、中小企業がパスワードレス化を進める5ステップ

「パスワードは定期的に変えましょう」「使い回しはやめましょう」——何年も言い続けてきたのに、現場では付箋に書かれたパスワードが今日もモニターの横に貼られています。これは社員の意識の問題というより、人間に長くて複雑な文字列を何十個も覚えさせる仕組みそのものに無理があるからです。

その前提を変えるのが「パスキー（Passkey）」です。パスワードの代わりに、スマートフォンやPCの指紋・顔認証でログインする方式で、Apple・Google・Microsoftの3社が共通規格として対応を進めた結果、2026年現在ではGoogle WorkspaceやMicrosoft 365といった中小企業の基幹クラウドでも標準的に使えるようになりました。しかも多くの場合、追加費用はかかりません。

この記事では、パスキーの仕組みとパスワード・多要素認証との違いを整理したうえで、社員数十名規模の中小企業がパスワードレス化を現実的に進める5ステップと、端末紛失・共有PC・退職時といった「つまずきやすい場面」の対処を解説します。

パスキーとは｜パスワードとの違いと仕組み

パスキーは、業界団体のFIDO（ファイド）アライアンスが策定した標準規格「FIDO2」にもとづく認証方式です。利用者が覚えるべき「文字列」は存在せず、代わりに端末に安全に保管された暗号鍵と、それを取り出すための本人確認（指紋・顔・PIN）の組み合わせでログインします。

公開鍵暗号で「秘密」を外に出さない

パスキーを登録すると、端末はサービスごとに固有の「鍵のペア」を作ります。片方の「秘密鍵」は端末の中に留まり、もう片方の「公開鍵」だけをサービス側に預けます。ログイン時、サービスは「この課題に署名してください」という問いを投げ、端末は本人確認を経て秘密鍵で署名し、サービスは公開鍵で署名が正しいか検証します。

ポイントは、サービス側には秘密の情報が一切保存されないことです。パスワード方式では、サービスから利用者情報が流出すると、その文字列が他のサービスへの不正ログインに使われます。パスキーでは公開鍵が流出しても、それだけでは何もできません。

ドメインに結びつくからフィッシングが成立しない

もう1つの特徴は、パスキーが登録したサービスのドメイン（Webサイトのアドレス）と紐づいていることです。偽のログイン画面にアクセスしても、ブラウザやOSが「登録時と違うドメイン」と判断し、秘密鍵を使いません。利用者がどれだけ巧妙な偽サイトに騙されても、認証情報が渡らない——これが「フィッシング耐性がある」と言われる理由で、人の注意力に頼ってきた従来の対策と決定的に異なる点です。

同期パスキーとデバイス固定型パスキー

• 同期パスキー：iCloudキーチェーン、Googleパスワードマネージャー、Microsoft Authenticatorなどに暗号化して保存され、同じアカウントの複数端末で使える。機種変更時も引き継がれるため、一般社員の日常利用に向く
• デバイス固定型パスキー：YubiKeyなどのハードウェアセキュリティキーや特定の端末から外に出ない。管理者アカウントや共有PC、より厳格な管理が求められる場面に向く

なぜ今、中小企業にパスキーが必要なのか

「うちは狙われるほどの会社ではない」という声をよく聞きますが、攻撃者は会社の規模ではなく侵入しやすさで標的を選びます。IPA（情報処理推進機構）が公表した「情報セキュリティ10大脅威 2026」の組織編では、1位「ランサム攻撃による被害」、2位「サプライチェーンや委託先を狙った攻撃」が4年連続で上位を占め、3位には初めて「AIの利用をめぐるサイバーリスク」が入りました。

これらの脅威に共通する入口の1つが、盗まれた、あるいは推測されたIDとパスワードです。ランサムウェアの多くはVPNやリモートデスクトップの認証情報から侵入し、サプライチェーン攻撃では取引先の従業員のアカウントが踏み台になります。さらに生成AIの普及によって、日本語として自然な偽メールや、本物と見分けがつかない偽サイトを大量に作ることが容易になり、従来のサイバー対策の要だった「怪しいメールを見抜く力」への依存はますます危うくなっています。

東京都のサイバーセキュリティ支援サイトでも、パスキー導入が中小企業のセキュリティ向上と業務効率化の両面で有効だと紹介されており、パスワード管理は「社員のマナー」から「会社の仕組み」で解く段階に入ったと言えます。当社がAIエージェントのID管理で取り上げたように、AIが人の代わりに業務システムへアクセスする時代には、人のログインも機械のログインも「誰が本当に操作しているか」を証明する土台がなければ成り立ちません。パスキーはその土台の、最も導入しやすい一歩です。

パスキーのメリットと注意点

導入で得られる4つのメリット

• フィッシングと使い回しが構造的に消える：覚える文字列がないため、付箋も使い回しも「できなくなる」。教育に頼らない対策
• ログインが速くなる：パスワード入力と認証コードの転記がなくなり、指紋や顔認証だけで完了する。1回あたり数十秒でも、1日に何度も繰り返す作業では無視できない差になる
• パスワードリセット対応が減る：情シス担当や総務が兼務で対応している「パスワードを忘れました」が減り、管理側の負担が下がる
• 多くの場合、追加費用がかからない：Google Workspace、Microsoft 365とも標準機能として提供され、社員の手持ち端末で登録できる

導入前に知っておくべき4つの注意点

• 非対応のシステムがある：自社開発の業務システムや古い勤怠・会計ソフトなど、FIDO2非対応のサービスでは使えない。当面はパスワード＋多要素認証が残る
• 端末の紛失・故障時の手順が必要：同期パスキーなら引き継げるが、デバイス固定型は再登録が要る。予備の認証手段を用意しておかないとログインできなくなる
• 共有端末との相性：複数人で使う店舗や工場のPCでは、個人の生体認証が使えない。ハードウェアキーの併用など運用の工夫が必要
• 「生体情報を会社に渡す」という誤解への説明：指紋や顔のデータは端末内で照合されるだけで、会社にもサービスにも送られない。この点を丁寧に説明しないと社員の抵抗が起きやすい

中小企業がパスワードレス化を進める5ステップ

パスキーは全社一斉に切り替えるものではなく、影響の大きいサービスから順に「パスワードを不要にしていく」取り組みです。次の5ステップで進めることをおすすめします。

ステップ1：ログインが必要なサービスを棚卸しする

社員が業務で使うクラウドサービスを一覧にし、「パスキー対応か」「会社の重要情報を扱うか」「利用人数」の3点で整理します。メール・ファイル共有・チャット・会計・勤怠・顧客管理あたりが中心になるはずです。シャドーAIと同じで、会社が把握していないサービスが必ず出てきますから、この棚卸し自体が対策になります。

ステップ2：基幹クラウドで管理者側の設定を有効にする

優先すべきは、メールとファイル共有を担うGoogle WorkspaceまたはMicrosoft 365です。

• Google Workspace：管理コンソールのセキュリティ設定で、利用者がパスキーでログイン時にパスワードを省略できるよう許可します。社員は自分のGoogleアカウントの設定画面からパスキーを作成します
• Microsoft 365（Microsoft Entra ID）：認証方法のポリシーで「パスキー（FIDO2）」を有効化し、対象グループを指定します。社員はMicrosoft Authenticatorアプリ、またはWindows Helloでパスキーを登録します。2026年に正式提供されたパスキープロファイル機能を使うと、グループごとに同期型・デバイス固定型などの条件を細かく決められます

いずれも設定手順は各社の公式ヘルプに日本語で公開されており、専門業者に頼まなくても半日程度で完了できる内容です。

ステップ3：管理者と数名の社員でパイロット運用する

最初の対象は、管理者権限を持つ人（乗っ取られた場合の被害が最も大きい）と、部門をまたぐ3〜5名です。iPhone・Android・Windows・Macが混在するよう選ぶと、機種ごとの登録画面の違いや、つまずくポイントが早く見つかります。2〜4週間ほど使い、「登録手順の社内マニュアル」と「困ったときのQ&A」をこの段階で作ります。

ステップ4：紛失・機種変更・退職時のルールを決める

パスワードレス化で最も重要なのは、実は「ログインできなくなったとき」の設計です。次の3点を文書化してから全社展開に進みます。

• 予備の認証手段を最低1つ登録する：スマートフォンのパスキーに加え、PCのWindows Hello、またはハードウェアキーなど、別の経路を必ず用意する
• 紛失時の連絡先と管理者の操作手順：誰に連絡し、管理者が旧端末のパスキーをどの画面で無効化するかを決めておく
• 退職・異動時のアカウント停止：パスキーは端末に残るため、アカウント自体を停止しないと退職者の端末からログインできてしまう。退職手続きのチェックリストにアカウント停止を組み込む

ステップ5：全社展開し、パスワードログインを段階的に閉じる

パイロットで作ったマニュアルをもとに全社員が登録したら、最後にパスワードでのログインを制限します。Google Workspace、Microsoft 365とも「パスキー登録済みの利用者にはパスワードを求めない」「パスワードでのログインを禁止する」といった段階的な設定が可能です。ここまで到達して初めて、フィッシングで社員が騙されても被害が出ない状態になります。棚卸しで見つかった非対応サービスは、乗り換え候補としてAIツールの選定基準と同じくセキュリティ観点で見直す時期を決めておきましょう。

導入でつまずきやすいポイントと対処法

実際にパスキー導入を進めた企業でよく起きる問題と、その対処をまとめます。

• 「会社に指紋を取られる」と社員が不安がる：生体情報は端末内で照合されるだけで、サービスにも会社にも送られないことを、導入説明の最初に伝える。スマートフォンのロック解除と同じ仕組みだと言えば理解されやすい
• 店舗や工場の共有PCで使えない：共有端末は社員ごとのハードウェアキー（数千円程度）を配布するか、共有端末からアクセスできるサービスを限定し、個人端末からのアクセスにパスキーを必須にする。ISO 27001の認証取得を検討している企業なら、アクセス制御の証跡としても活かせる
• 個人のスマートフォンを業務認証に使うことへの抵抗：会社支給端末がない場合は、パスキーを個人端末に置く代わりに、PC側のWindows HelloやMacのTouch IDを主な手段とし、個人端末は予備にとどめる運用も可能
• 古い業務システムが残る：非対応システムは無理に変えず、そこだけ強固なパスワード＋認証アプリの多要素認証を残す。「パスワードが残っている場所」を一覧にしておくことで、次の更新時に優先的に対応できる
• 導入後に元に戻ってしまう：登録は済んだのに、パスワードログインを閉じていないためにパスワードを使い続ける社員が出る。ステップ5の「パスワードログインの制限」まで実行して初めて効果が出ることを、経営者が最初に理解しておく

こうした課題の多くは技術ではなく、説明と運用ルールの問題です。逆に言えば、生成AI時代の情報漏洩対策と同じく、社員数十名の企業のほうが大企業より速く、確実に切り替えられます。

まとめ：パスワードを「頑張って守る」時代から、「なくす」時代へ

• パスキーはFIDO2規格にもとづく認証方式。秘密鍵は端末から出ず、ドメインと結びつくため、フィッシングと使い回しが構造的に成立しない
• IPAの10大脅威2026ではランサム攻撃・サプライチェーン攻撃・AI利用のリスクが上位。いずれも盗まれた認証情報が入口になりやすい
• Google Workspace・Microsoft 365は標準機能として対応。多くの中小企業は追加費用なしで始められる
• 進め方は「棚卸し → 管理者設定 → パイロット → 紛失・退職ルール → 全社展開とパスワード制限」の5ステップ
• つまずきの多くは生体情報への誤解・共有PC・非対応システム。技術より説明と運用ルールで解決できる

株式会社Sei San Seiでは、クラウドサービスの棚卸しやアカウント管理の見直しを含め、地方の中小企業が無理なくDXを進めるためのご支援を行っています。「どのサービスから手をつければよいか分からない」「兼務の担当者だけで進められるか不安」といった段階からでも、お気軽にご相談ください。

よくある質問

Q1. パスキーとは何ですか？パスワードと何が違うのですか？

パスキーは、パスワードの代わりにスマートフォンやPCの指紋・顔認証・PINでログインする認証方式です。FIDOアライアンスが策定した標準規格にもとづき、公開鍵暗号を使ってサービスごとに固有の鍵のペアを作ります。秘密鍵は利用者の端末から外に出ず、サービス側には公開鍵しか保存されないため、サービスから情報が流出しても悪用されません。覚える必要がなく、使い回しも起こらない点がパスワードとの本質的な違いです。

Q2. パスキーはなぜフィッシングに強いのですか？

パスキーは登録したサービスのドメイン（Webサイトのアドレス）と結びついており、偽サイトでは認証が成立しないためです。従来のパスワードやSMS認証コードは、本物そっくりの偽サイトに入力すると攻撃者に渡ってしまいますが、パスキーは利用者が偽サイトに誘導されても、ブラウザやOSがドメインの不一致を検知して秘密鍵を使いません。人の注意力に頼らず、仕組みとしてフィッシングを無効化できる点が最大の特長です。

Q3. 中小企業がパスキーを導入するのに追加費用はかかりますか？

Google WorkspaceやMicrosoft 365を利用している企業であれば、原則として追加費用なしで始められます。両サービスとも管理者側でパスキーによるログインを有効化する設定を備えており、社員は手持ちのスマートフォンやPCの生体認証を使って登録できます。共有PCや生体認証のない端末で使う場合は、数千円程度のハードウェアセキュリティキーを用意するケースがあります。導入のコストは主にツール代ではなく、棚卸しと社員への説明にかかる時間です。

Q4. スマートフォンを紛失したり機種変更したりした場合、パスキーはどうなりますか？

iCloudキーチェーンやGoogleパスワードマネージャーに保存される「同期パスキー」であれば、同じアカウントで新しい端末にログインすると自動的に引き継がれます。端末に固定される「デバイス固定型」の場合は再登録が必要です。いずれの場合も、企業としては紛失時に管理者が旧端末のパスキーを無効化する手順と、ハードウェアキーや別端末など予備の認証手段を最低1つ登録しておくルールを決めておくことが重要です。

Q5. 多要素認証（MFA）をすでに使っていても、パスキーに切り替える必要はありますか？

SMSや認証アプリの6桁コードによる多要素認証は、パスワードのみより安全ですが、偽サイトにコードを入力させる手口や、通知を連打して誤って承認させる手口には破られる可能性があります。パスキーはこれらの攻撃に構造的に強く、ログインの手間も減るため、主要なクラウドサービスから順に切り替える価値があります。ただし一斉に置き換える必要はなく、パスキー非対応のシステムでは当面、従来の多要素認証を併用するのが現実的です。