同期パスキーで足りる会社、ハードウェアキーが必要な会社

多くの企業では、Windows HelloやMicrosoft Authenticatorなどの同期パスキーで多要素認証の要件を満たせます。ハードウェアキーが必要になるのは、特定の環境的・組織的な制約がある場合に限られます。

結論

判断基準は「個人のスマートフォンやPCに認証情報を紐づけられるかどうか」です。紐づけられる社員は同期パスキーで足ります。紐づけられない、または紐づけるべきでない事情がある社員にだけ、ハードウェアキーを配布してください。全社一律の判断ではなく、社員ごと・部署ごとに分けて考えることが、コストと運用負荷を抑える鍵になります。

ハードウェアキーが必要な7つのケース

環境	推奨	理由
個人所有デバイスがあり、業務アプリのインストールを許可している	同期パスキーで可	追加調達なしで要件を満たせる（このケース以外が右記7つ）
スマホ持込禁止の区画で業務する	ハードウェアキー	そもそもスマートフォンを認証に使えない
共用端末・キオスク端末を複数人で使う	ハードウェアキー	端末ではなく人に紐づく認証手段が必要
社用スマホが未支給で、私物スマホの業務利用も禁止している（BYOD禁止）	ハードウェアキー	認証アプリを入れられる端末がない
特権アカウント（管理者権限）を持つ	ハードウェアキー	侵害時の影響が大きく、より高い認証強度が求められる
委託先・派遣スタッフなど、社給端末の対象外の要員	ハードウェアキー	個人所有デバイスへの依存を避けたい
Windowsログオンや、ネットワーク接続前の認証が必要	ハードウェアキー	オフライン・ログオン前はスマートフォン側の認証が使えない場面がある
FIPS認定など特定の調達要件がある	ハードウェアキー（該当認定モデルを選定）	同期パスキーには対応する認定の概念がない

該当するケースについて、詳しい対応方法は次のページも参考にしてください。

• スマホ持込禁止の区画 → スマートフォン持込禁止の環境でのMFA
• 共用端末・Windowsログオン → 共用PC・キオスク端末の認証

必要本数の考え方

ハードウェアキーが必要な社員について、本番用とバックアップ用で1名2本、予備10%が標準構成です。100名なら220本。PIV・OTPなど上位機能が必要な場合はiShield Key 2 Proページの計算機、FIDO2のみで足りる場合は無印iShield Key 2ページの計算機で人数から本数と概算が出ます。