AI時代のセキュリティ対策｜中小企業でのパスキー管理と注意点

最終更新：2026年10月17日 ／ 執筆：中川智裕

なぜ今、中小企業にパスキーなのか

結論から言うと、パスキーはフィッシングやパスワード窃取による不正ログインを大幅に減らせる、中小企業にとって費用対効果の高いセキュリティ投資です。ただし、パスキーを入れただけで情報漏洩が防げるわけではありません。

最近の情報漏洩は、大企業だけの話ではなくなっています。取引先経由や、委託先のサービス経由で中小企業が巻き込まれるケースも珍しくありません。

さらにAIの普及で、攻撃側の手口が変わりました。自然な日本語のフィッシングメールや、本物そっくりのログイン画面が簡単に作れるようになり、「怪しい日本語で見抜く」という従来の対策はもう通用しにくくなっています。

この記事では、専任のIT担当者がいない中小企業でも回せるパスキー管理の形と、導入時に見落としがちな注意点を整理します。

パスキーで防げるもの、防げないもの

パスキーは、パスワードの代わりにスマホやPCの指紋・顔認証・PINでログインする仕組みです。秘密鍵は端末または暗号化されたパスキープロバイダーに保管され、登録したサイトやアプリにだけ反応するため、偽サイトでは使えません。

つまりパスキーは「玄関の鍵を最強にする」対策です。玄関以外の侵入口は、別の手当てが必要になります。

中小企業向けパスキー管理の基本設計

基本方針は、Google WorkspaceやMicrosoft 365など会社が管理するID基盤に認証方針を集約することです。パスキーは利用端末ごとに複数登録する場合がありますが、管理対象のアカウントを集約すれば運用はシンプルになります。

1. 入口をひとつにまとめる

Google WorkspaceやMicrosoft 365など、全員が持っている会社アカウントでパスキーを利用できるようにします。他のSaaSや社内ツールは「Googleでログイン」「Microsoftでログイン」などのSSOで入る形にそろえます。

こうすると、サービスごとに個別の認証情報を増やさず、主要なID基盤でまとめて管理できます。管理画面でパスキーやFIDO2セキュリティキーを優先または必須にし、SMSやメールだけで復旧できる弱い経路も見直します。

2. パスキーの保存先を会社管理にする

社員の個人iCloudや個人Googleアカウントだけにパスキーが保存されると、退職時の回収や利用停止を会社側で管理しにくくなります。会社管理端末の認証機能や、1Password・Bitwardenなど組織管理機能のあるビジネス向けパスキープロバイダーを使い、退職時には対象サービス側のパスキー削除とアカウント停止を行うのが基本です。

3. 管理者だけは物理キーを使う

社長と管理者アカウントは、YubiKeyなどのFIDO2対応物理セキュリティキーを1人2本用意します。1本は普段使い、もう1本は金庫などに保管します。

あわせて、普段は使わない「緊急用の管理者アカウント」を1つ作って封印しておくと、管理者が不在のときや全員が締め出されたときの保険になります。

4. 共有アカウントは別扱いにする

ECモールの店舗管理画面など、複数人で使うアカウントやパスキー非対応のサービスもあります。これらはビジネス向けパスワード管理ツールの共有保管庫で管理し、利用者を必要最小限に絞ります。可能ならパスワードと2段階認証コード（TOTP）は分けて管理し、同じ保管庫に置く場合もアクセス権限と監査ログを確認します。

5. 紛失と退職の手順を決めておく

この3つの手順さえ決まっていれば、専任の情シスがいなくても回ります。

導入時によくある落とし穴

一番多い失敗は「パスキーを追加したのに、古いログイン方法を消していない」ことです。攻撃者は一番弱い入口を探すので、強い鍵を足しても弱い鍵が残っていれば意味がありません。

• 復旧手段の放置：パスワード＋SMSやメールでのリセットが生きたままになっている。パスキー移行後は、予備の手段を見直して弱いものを外します。
• 個人端末への保存：社員の私物スマホや個人アカウントにパスキーが入り、退職時に回収できない。
• 管理者が1人だけ：その人が端末をなくしたり不在になったりすると、会社全体が締め出される。管理者は最低2人、または緊急用アカウントを用意します。
• 端末そのものの対策不足：パスキーは端末に鍵を置く仕組みなので、端末がマルウェアに感染すると、ログイン後のセッションを盗まれます。OSの更新、ウイルス対策、怪しいソフトや拡張機能を入れない運用はセットで必要です。
• 「パスキーにしたから安心」という油断：パスキーはログインの防御です。委託先の漏洩や設定ミスによる公開事故は防げません。

AI時代ならではの注意点

AIで業務ツールを内製したり、AIエージェントに作業を任せたりする会社では、「人のログイン」以外の鍵が一気に増えます。パスキーで守れるのは人の入口だけなので、こちらの鍵管理が新しい弱点になります。

もうひとつ大事なのが「誰が全部の鍵を知っているか」です。内製化を進めると、特定の社員や外注エンジニアに鍵が集中しがちです。

どのサービスに、誰が、どの権限で入れるのかを台帳にしておけば、担当者が変わっても引き継げますし、社長に何かあったときにも会社が止まりません。

まとめ：今日からできるチェックリスト

パスキーは導入コストが低く効果が大きい対策ですが、本当に効くのは「弱い入口を消す」「鍵の置き場所を会社で把握する」とセットにしたときです。まずは次の項目から確認してみてください。

• ☐ 全員の会社アカウント（Google Workspace等）でパスキーまたはセキュリティキーを必須にした
• ☐ SMSやメールだけで復旧できる弱いログイン手段を外した
• ☐ 社長・管理者に物理セキュリティキーを2本ずつ用意した
• ☐ 緊急用の管理者アカウントを作り、保管場所を決めた
• ☐ 社内ツールや主要SaaSを会社アカウントのSSOにそろえた
• ☐ 共有アカウントをパスワード管理ツールの共有保管庫に移した
• ☐ 紛失・退職・機種変更の手順を決めた
• ☐ APIキー・トークン・AIエージェントの接続先を一覧にした
• ☐ 社員PCのOS更新とウイルス対策を確認した

全部を一度にやる必要はありません。上から順に、1週間に1項目ずつでも進めれば、多くの中小企業より一段上の守りになります。

参考資料

• FIDO Alliance Overview
• Google Workspace 管理者向けパスキー設定
• Microsoft Entra IDでパスキーを有効にする方法
• CISA Mobile Communications Best Practice Guidance