スマートフォン持込禁止の環境でのMFA

工場、コールセンター、金融機関のディーリングルーム、医療機関の機密区画など、スマートフォンの持込みが禁止された環境では、認証アプリやSMSを前提としたMFAが使えません。持ち込める機器に合わせて認証方式を選ぶことになり、セキュリティキーが有力な選択肢になります。

結論

スマホ持込禁止区画で認証が必要な社員には、スマートフォン以外の認証手段が要ります。セキュリティキーは有力な選択肢ですが、唯一の選択肢ではありません。区画内に社用PCを持ち込めるなら、端末内の認証器（Windows Hello for Business）や、スマートカード・証明書認証も候補になります。ハードウェアOTPトークンは、FIDO2 と同じフィッシング耐性を持ちません（入力したコードを中継されると突破されます）。区画への出入りの有無だけでなく、持ち込める機器と対象システムで判断してください。

ハードウェアキーが必要なケース、不要なケース

環境	推奨	理由
区画外で通常業務し、私物スマホの携帯・利用が可能	端末内の認証器や同期パスキーで足りることが多い	認証アプリが問題なく使える
スマホ持込禁止の区画で、共用PCを使う／社用PCを持ち込めない	個人に割り当てたセキュリティキー	認証アプリ・SMSが使えず、端末側に個人の認証情報も置けない
スマホ持込禁止の区画だが、個人に割り当てた社用PCを持ち込める	Windows Hello for Business やスマートカード・証明書認証も候補	端末と個人が1対1なら、端末内の認証器で足りる場合がある

USB-A/CとNFCの選び方

区画内のPCの接続端子に合わせて選びます。デスクトップPCが中心で入れ替えの少ない環境ではUSB Type-A、ノートPCやUSB-C専用機が中心の環境ではUSB Type-Cを選んでください。スマートフォンの持込みができない前提であれば、NFC対応の優先度は下がります。ただしPC用のNFCリーダーを設置して非接触で運用する構成もあり、その場合はNFC対応が必要です。

共用PCと組み合わせる場合

区画内に個人専用PCがなく、複数人でPCを共用する場合は、共用PC・キオスク端末の認証もあわせてご確認ください。

必要本数の考え方

当社の推奨構成は、本番用とバックアップ用で1名2本、加えて未登録の在庫として予備10%です（FIDO2 の規格要件ではありません）。2本目は、利用するサービスにあらかじめ別の認証器として登録して初めてバックアップとして機能します。予備10%は未登録の在庫で、紛失・破損・中途入社のときに登録して使います。必要数は「区画の入場者数」ではなく、対象システムに個人として認証する人数と、復旧方針から算出してください。100名が個人認証するなら220本が目安です。忘れて出勤する・区画内で紛失するケースに備え、バックアップ本数は削らないでください。製品ページの計算機で人数から本数と概算が出ます。