PJ-T&C合同会社

※この記事は2026年3月にリライトされました。

はじめに：この記事で分かること

パスワードの流出やフィッシング詐欺による被害が年々増加しています。IPA（情報処理推進機構）の調査でも、不正アクセスの原因の大半は「パスワードの窃取・推測」であり、従来のID・パスワード認証だけでは組織を守ることが難しくなっています。

こうした背景から注目を集めているのが、FIDO2セキュリティキーを使った「パスワードレス認証」です。YubiKeyに代表される物理デバイスを使うことで、フィッシングサイトへの誤入力が物理的に成立しない仕組みを実現できます。

この記事では、以下の内容を体系的に解説します。

• FIDO2・パスキー・セキュリティキーの違い（用語の整理）
• 認証の仕組みとフィッシング耐性の根拠（技術的な裏付け）
• 導入メリットと製品の選び方（購買・意思決定の判断軸）
• 主要サービスへの設定手順と組織導入ロードマップ（実務対応）

この記事の読み方ガイド：FIDO2やパスキーが初めての方は①〜④を、導入を具体的に検討しているIT担当者は⑤〜⑦を重点的にお読みください。各セクションは社内資料へそのまま引用できる構成としています。

——

＼＼＼企業で導入できるセキュリティソリューションをお探しの方は、専門ページからお問合せください／／／
https://security.pj-tc.com/contact/

——

① FIDO2・セキュリティキー・パスキーの基本用語を整理する

1-1. FIDO2とは何か――業界標準規格の全体像

FIDO2（ファイド・ツー） とは、「FIDO Alliance（ファイド・アライアンス）」という業界団体が策定した、パスワードレス認証のための国際標準規格です。Google・Apple・Microsoft・YubiKeyメーカーのYubicoなど、主要なテクノロジー企業が加盟しており、事実上の業界標準となっています。

技術的には、WebAuthn（ブラウザとサービス間の通信仕様）と CTAP2（セキュリティキーなどの外部デバイスとの通信仕様）という2つの仕様を組み合わせたものです。難しく聞こえますが、要するに「ブラウザ・サービス・認証デバイスが連携してパスワードなしでログインできる共通ルール」と理解しておけば十分です。

FIDO2の最大の特徴は、公開鍵暗号方式を採用している点です。

💡 社内説明用の一言：「公開鍵暗号方式」とは、「合鍵（公開鍵）」と「本物の鍵（秘密鍵）」をペアで使う仕組みです。サービス側には合鍵しか渡さず、本物の鍵はデバイスの中に厳重に保管されます。サーバーが攻撃されて合鍵が盗まれても、本物の鍵がなければ不正ログインはできません。

これにより、サーバー側にパスワードや秘密情報を保存しないため、サービス側のデータベースが漏洩しても認証情報の流出リスクがゼロになります。

前身規格「FIDO U2F」との違いも重要です。

U2Fは「パスワードの補助役」でしたが、FIDO2では物理キーが「主役」として機能します。この進化によって、パスワードそのものを廃止できる環境が整いました。

1-2. セキュリティキーとは何か――ハードウェアトークンの役割

セキュリティキーとは、USB・NFC・Bluetoothなどで端末に接続する物理的な認証デバイス（ハードウェアトークン）のことです。YubiKeyはその代表製品であり、親指ほどの小さなUSBデバイスとして広く普及しています。

認証の仕組みはシンプルです。

• 所持（セキュリティキーを持っている）＋知識（PINを知っている）＝2要素認証の完成

💡 社内説明用の一言：「銀行のATMカード（所持）とPIN（知識）の組み合わせと同じ考え方です。カードを盗まれてもPINが分からなければ引き出せません。」

スマートフォンのパスキーとの主な違いは、「秘密鍵の保存場所」です。セキュリティキーは専用のハードウェア内に秘密鍵を格納しますが、スマートフォンのパスキーはクラウドと同期されます。用途や環境に応じた使い分けが重要です（次節で詳述）。

1-3. パスキーとは何か――セキュリティキーとの関係を整理

パスキー（Passkey） とは、FIDO2規格に基づくクレデンシャル（認証情報）の総称です。「FIDO2クレデンシャルの一形態」と理解すると整理しやすくなります。

パスキーには大きく2種類があります。

2025年時点では、Google・Apple・MicrosoftがOSおよびブラウザへのパスキー標準搭載を完了しており、多くの主要サービスでパスキーによるログインが利用可能になっています。FIDO Allianceの報告によれば、対応サービス数は急速に拡大を続けています（passkeys.directory参照）。

1-4.【用語まとめ表】FIDO2・U2F・パスキー・セキュリティキーの関係

社内資料への引用を想定し、階層関係を1枚の表で整理します。

補足：TOTPアプリ（Google Authenticator等）はFIDO2と互換性がなく、フィッシング耐性もFIDO2より低い点に注意が必要です。移行検討時は、TOTPからFIDO2への切り替えを計画的に進めることを推奨します。

② FIDO2セキュリティキーを使う仕組み――認証フローを分かりやすく解説

2-1. 認証の流れ（ステップ・バイ・ステップ）

FIDO2セキュリティキーでのログインは、以下のステップで完結します。

【FIDO2認証フロー】

① サービスがブラウザ経由で「チャレンジ（使い捨ての乱数）」を送信
         ↓
② ユーザーがYubiKeyをUSB挿入またはNFCでタッチ
         ↓
③ PINまたは生体認証でユーザー本人確認（デバイス内でのローカル処理）
         ↓
④ YubiKey内の秘密鍵でチャレンジに署名し、サービスへ送信
         ↓
⑤ サービスが事前登録済みの公開鍵で署名を検証→認証完了

💡 社内説明用の一言：「チャレンジ」とは、サービス側が毎回ランダムに発行する「お題」のことです。セキュリティキーはそのお題に対して、自分だけが持つ秘密鍵でサインして返します。毎回異なるお題なので、盗聴されても再利用できません。

重要なのは、PINの検証はデバイス内だけで完結し、ネットワーク経由で送信されない点です。ネットワーク上を流れるのは「署名済みのチャレンジ」だけであり、PINもパスワードも流れません。

2-2. なぜフィッシングに強いのか――技術的根拠の解説

FIDO2のフィッシング耐性の核心は、オリジンバインディングという仕組みです。

💡 社内説明用の一言：「オリジンバインディング」とは、セキュリティキーが「どのURLのサービスに対して署名するか」を厳密に確認する仕組みです。偽サイト（例：g00gle.com）から認証を求められた場合、本物のGoogleのURL（google.com）と一致しないため、署名が自動的に拒否されます。

これを「鍵と錠前」で説明すると：

• あなたの家の鍵（秘密鍵）は、あなたの家の錠前（正規サービスのURL）にしか合わない
• 偽物の錠前（フィッシングサイト）には物理的に差さらない

ユーザーが騙されてフィッシングサイトのURLをクリックしてしまっても、セキュリティキーが正規サイトかどうかを自動判別して拒否するため、ユーザーの知識や注意力に依存せずにフィッシングを防げます。これが「フィッシング耐性99.9%以上」とYubicoが主張する技術的な根拠です。

2-3. FIDO U2Fとの違い――「補助」から「主役」への進化

FIDO2に対応しているサービスの設定画面では、「FIDO2」と「FIDO U2F」が別項目として表示されることがあります。この違いを把握しておくことが、正しい設定のために重要です。

YubiKey Managerでの設定時に「FIDO2を有効化する」手順が必要なのは、このFIDO2によるパスワードレス認証を使うためです。設定手順の詳細は⑤で解説します。

③ FIDO2セキュリティキーを導入する5つのメリット

3-1. パスワード管理コストの削減

パスワードに関連するヘルプデスク対応（リセット・ロック解除）は、多くの企業で対応工数の上位を占めます。Garterの試算では、ヘルプデスクへの問い合わせの20〜50%がパスワードリセット関連とも言われています。

FIDO2セキュリティキーに移行することで、ユーザーは「パスワードを覚える・管理する・定期変更する」負荷から解放され、IT部門はリセット対応工数を大幅に削減できます。パスワードマネージャーの導入・管理コストも不要になります。

3-2. フィッシング・リスト型攻撃への完全耐性

• フィッシング耐性：前節で解説したオリジンバインディングにより、偽サイトへの誤入力が物理的に成立しません。
• リスト型攻撃（パスワードリスト攻撃）への耐性：FIDO2ではパスワード自体が存在しないため、流出したパスワードリストを使った攻撃が無効化されます。
• DB漏洩リスクのゼロ化：サーバー側に保存されるのは公開鍵のみ。秘密鍵はデバイス内に封じ込められており、データベースが漏洩しても認証情報は守られます。

3-3. スマートフォン持込禁止エリアでの運用継続

これはセキュリティキー型パスキーならではの強みです。

データセンター・工場・医療機関・ゲーム開発のセキュリティルームなど、スマートフォンの持込が禁止・制限されている環境では、スマホを使ったSMS認証・TOTP認証・クラウド同期型パスキーが利用できません。

YubiKeyなどのセキュリティキーはスマートフォン不要で単体動作するため、こうした制限エリアでも確実に多要素認証を実現できます。モバイルデバイス管理（MDM）の対象外となる作業者でも、均一なセキュリティレベルを維持できるのです。

3-4. ダウンタイムの最小化とシンプルな操作性

• ドライバーインストール不要：YubiKeyはUSBに挿すだけで即動作します（プラグ＆プレイ）。IT部門によるセットアップ作業が不要で、展開コストが下がります。
• タッチ1回で認証完了：複雑な操作手順がないため、操作ミスによる認証失敗・ロックアウトが発生しにくくなります。
• 故障率の低さ：YubiKeyは可動部品がなく、耐衝撃・防水性能（IP68相当）を持つ製品もあり、現場環境での耐久性が高いです。認証デバイスの故障によるダウンタイムリスクを最小化できます。

3-5. コンプライアンス・規制対応への貢献

FIDO2セキュリティキーは、主要なセキュリティ規制への対応手段として認められています。

金融・医療・政府関連システムを扱う組織においては、規制要件を満たす認証手段として積極的に採用を検討する価値があります。

④ 主要FIDO2セキュリティキー製品の比較と選び方

4-1. YubiKeyシリーズの特徴と最新ラインナップ（2025-2026）

YubiKeyはYubico社（スウェーデン）が製造するFIDO2セキュリティキーで、エンタープライズ市場での実績・エコシステムの豊富さが最大の強みです。FIDO2に加え、TOTP・PIV（スマートカード）・OpenPGPなど複数の認証プロトコルを1本のキーで使えるマルチプロトコル対応が特徴です。

主要モデルの比較表

YubiKey Bioについて補足：指紋テンプレートはデバイス内のセキュアエレメントにのみ保存され、クラウドや端末には送信されません。PIN入力すら不要なフリクションレス認証を実現し、操作研修コストを下げたい組織に適しています。2025年進化版ではUSB-C/NFC対応が強化され、指紋認識精度も向上しています。50個の指紋を登録可能だとされています。

4-2. YubiKey以外の主要製品との比較

YubiKey以外にも、用途・予算・環境に応じた選択肢が存在します。

主要製品の比較表

各製品の詳細補足

GoTrust Idem Keyは、FIDO2のレジデントキー（デバイス内にパスキーを保存する機能）を最大30個まで保存できる点が強みです。YubiKey 5シリーズの25個を上回る保存容量と、PIN入力による認証に対応しています。複数のサービスのパスキーを1本にまとめて管理したいユーザーに適しています。

ATKey.Proは指紋認証（生体認証）に特化したセキュリティキーです。Windows Helloとの親和性が高く、Windows環境への導入がスムーズです。指紋センサーの精度が高く、PINを設定・記憶することなく生体認証のみで運用できる点が特徴で、生体認証を初めて組織導入する際の選択肢として検討価値があります。

VinCSS Touch1は、FIDO Alliance認定を取得した新興ブランドのセキュリティキーです。FIDO2の基本機能を高いコストメリットで提供しており、大量調達や予算を抑えた初期導入に向いています。

Swissbit iShield Keyは、産業用途に特化した高信頼性セキュリティキーです。耐環境性（温度・振動・湿度耐性）を重視した設計で、工場ラインや産業機器オペレーターが使用する過酷な環境でも安定稼働が期待できます。Swissbitは産業用ストレージ分野での信頼実績を持つスイスのメーカーです。

4-3. 利用シーンで選ぶ「セキュリティキー選択ガイド」

スペックだけでなく、利用シーン別の選び方を整理します。

• 個人利用・コスト重視 → YubiKey 5 NFC（USB-A）またはVinCSS Touch1
• MacBook・iPhone・USB-C端末メイン → YubiKey 5C NFC
• 指紋認証でPIN入力を省きたい → ATKey.Pro（Windows中心）またはYubiKey Bio
• 政府・金融・FIPS・AAL3必須 → YubiKey 5 FIPSまたはSwissbit iShield Key
• 多数のアカウントを1本に集約したい → GoTrust Idem Key（30クレデンシャル保存）
• 工場・産業現場・過酷環境での運用 → Swissbit iShield Key
• 企業一括大量導入でコスト最優先 → VinCSS Touch1またはGoTrust Idem Keyとの比較検討を推奨

4-4. 導入前に確認すべき選定チェックリスト

• 利用端末のUSB形状（A/C）・NFC対応を確認済みか
• 対応IdP（Azure AD/Entra ID・Okta・Google Workspace等）との互換性を確認済みか
• コンプライアンス要件（FIPS・AAL3等）の有無を把握しているか
• 1人あたり2本（本番用＋バックアップ用）の調達計画を立てているか
• スマホ持込禁止エリアでの運用要件がある場合、クラウド同期型ではなくデバイスバインド型を選んでいるか
• 生体認証の導入要否を決定しているか

⑤ FIDO2セキュリティキーの設定手順――主要サービス別ガイド

5-1. 事前準備：YubiKey Managerを使ったFIDO2有効化

YubiKeyをパスワードレス認証（FIDO2）で使用するには、まずFIDO2インターフェースが有効になっていることを確認し、PINを設定する必要があります。

手順

1. YubiKey Manager（無料の公式管理ツール、yubico.comからダウンロード）をインストール
2. YubiKeyをPCのUSBポートに挿入
3. YubiKey Managerを起動し、「Applications」→「FIDO2」を選択
4. ステータスが「Enabled」になっていることを確認（「Disabled」の場合は有効化）
5. 「Set PIN」からPINを設定（6〜64桁推奨。PINはデバイス内でのみ検証され、ネットワークに送信されない）
6. 設定完了後、FIDO2ステータスが「Enabled」であることを再確認

注意：FIDO U2F（旧規格）とFIDO2（新規格）は別のインターフェース設定です。パスワードレス認証を実現するには、FIDO2の有効化が必要です。

5-2. Googleアカウントへの登録手順

1. Googleアカウント（myaccount.google.com）にログイン
2. 「セキュリティ」→「2段階認証プロセス」→「セキュリティキーを追加」を選択
3. YubiKeyをUSBに挿入、またはスマートフォンにNFCでタッチ
4. PIN入力（初回）→キーのタッチ部分に触れて登録完了
5. 登録後、バックアップコードを必ず保存・保管する

5-3. Microsoft Entra ID（旧Azure AD）への登録手順

管理者側の設定

1. Entra ID管理センター→「セキュリティ」→「認証方法」→「FIDO2セキュリティキー」を有効化
2. 条件付きアクセスポリシーで「認証強度：FIDO2セキュリティキー」を設定
3. 必要に応じてAALレベル（AAL2/AAL3）を指定

ユーザー側の設定

1. Myサインイン画面（mysignins.microsoft.com）にアクセス
2. 「セキュリティ情報」→「サインイン方法を追加」→「セキュリティキー」
3. YubiKeyをUSBに挿入→PIN入力→タッチで登録完了

5-4. 1Passwordへの登録手順

1. 1Passwordアカウント設定→「セキュリティ」→「セキュリティキーを追加」
2. YubiKeyをUSBに挿入またはNFCタッチ
3. FIDO2が有効化されていれば、ブラウザからPIN入力→タッチで登録完了
4. 2本目のバックアップキーも同様の手順で登録推奨

ポイント：1Passwordでは「パスキー」としてFIDO2認証情報を管理することもできます。マスターパスワードの代替としてセキュリティキーを登録することで、フィッシング耐性のある堅牢な認証が実現します。

5-5. その他主要サービスへの対応状況一覧

最新の対応状況は、FIDO Alliance公式の「passkeys.directory」で確認できます。

⑥ 導入時の注意点とよくあるトラブルシューティング

6-1. キー紛失時のリカバリー設計（最重要）

FIDO2セキュリティキー導入で最も重要な運用設計がこのリカバリーフローです。

物理デバイスであるセキュリティキーは、紛失・破損のリスクがあります。事前対策を怠ると「本人でもアカウントにアクセスできない」事態が発生します。

必須の事前対策

1. バックアップキーの事前登録：本番キーとは別に、2本目のセキュリティキーを主要サービスに事前登録しておく。1人2本体制が基本です
2. リカバリーコードの保管：サービスが発行するバックアップコードを安全な場所（金庫・パスワードマネージャー等）に保管
3. 管理者リセット手順の確認：組織導入の場合、IT管理者がユーザーのセキュリティキー登録を無効化・リセットできる手順を事前に確認・文書化

紛失時の対応手順

1. 速やかにアカウントの「登録済みセキュリティキー一覧」から紛失キーを無効化
2. バックアップキーでログインし、新しいキーを再登録
3. 管理者へ報告・記録

6-2. 組織導入時のよくある落とし穴

USBデバイス制限のMDMポリシー

セキュリティポリシーでUSBストレージデバイスを禁止しているケースがあります。YubiKeyはUSBストレージとは異なる「HIDデバイス」として動作しますが、MDMポリシーの設定によっては制限される場合があります。導入前にMDM設定の確認と必要に応じた除外設定が必要です。

従業員への展開方法の使い分け

ヘルプデスク対応フローの事前整備

「PINを忘れた」「認識されない」などの問い合わせに対応できるよう、ヘルプデスク担当者向けの対応フロー（FAQ・エスカレーションルート）を展開前に準備することを強く推奨します。

6-3. よくある技術的トラブルと解決策

⑦ 企業・組織向け導入ロードマップ

7-1. フェーズ1：導入前アセスメント

まず現状を把握します。

• 現状認証方式の棚卸し：パスワード単体・SMS OTP・TOTP・VPN証明書など、利用中の認証手段を全サービス分でリスト化
• 保護対象システムの優先度付け：インターネット公開系・特権アカウント・機密データアクセス系を最優先に設定
• コンプライアンス要件の確認：FIPS・NIST AAL3・ISMAPなどの規制要件の有無を法務・コンプライアンス部門と確認

7-2. フェーズ2：パイロット導入

推奨構成：IT部門＋主要管理者・特権ユーザーで先行導入（20〜50名規模）

KPI設定例

検証ポイント：IdP（Entra ID・Okta等）との連携動作・MDM環境での動作・バックアップキーによるリカバリーの実効性を必ず確認します。

7-3. フェーズ3：全社展開

• ユーザー教育資料の整備：FIDO Alliance公式の日本語資料（fidoalliance.org）を活用。「なぜセキュリティキーを使うのか」を含む背景説明を入れることで定着率が上がります
• SOP（標準業務手順書）の策定：調達・配布・初期登録・紛失報告・廃棄の各フローを文書化
• ライフサイクル管理の仕組み化：退職者のキー回収・登録抹消・ファームウェア更新（YubiKey Managerで確認可能）の定期実施ルールを設ける

7-4. 導入コスト目安と投資対効果（ROI試算）

初期調達コストの目安（2025年参考価格）

※1人あたり2本体制を推奨。100名規模の場合、YubiKey 5 NFC換算で約200〜240万円が初期調達の目安。
※YubiKeyは国内正規代理店（Gold Certified Reseller）ソフト技研社、GoTrust idem KeyおよびVinCSS Touch1は国内正規代理店PJ-T&C合同会社の販売価格。

ROI試算モデル（参考）

• ヘルプデスクのパスワードリセット対応：1件あたり30〜60分の工数削減
• フィッシング被害1件の平均損失（インシデント対応・信用失墜含む）：数百万〜数千万円規模
• 導入初年度でのコスト回収シナリオ：ヘルプデスク工数削減＋フィッシング被害ゼロ件の効果が、キー調達コストを上回るケースが多い

補足：IT導入補助金や中小企業向けセキュリティ投資支援制度の活用可能性についても、導入前に専門家または所管省庁（IPA等）にご確認ください。

⑧ 2026年のFIDO2最新動向とこれからのパスワードレス認証

8-1. パスキーの急速な普及とエコシステムの拡大

2023〜2025年にかけて、Google・Apple・MicrosoftがOSとブラウザへのパスキー標準搭載を完了しました。現在ではAmazon・PayPal・Adobe・GitHubなど数百を超える主要サービスがパスキーに対応しており、普及は急加速しています。

重要なのは、クラウド同期型パスキーとセキュリティキー型パスキーは対立するものではなく、共存できる点です。一般ユーザーにはクラウド同期型パスキーを、特権ユーザー・スマホ制限エリアの従業員にはセキュリティキーを組み合わせるハイブリッドモデルが現実的な導入形態として普及しつつあります。

8-2. YubiKey Bioが示す「生体認証＋ハードウェア」の方向性

生体認証とハードウェアセキュリティキーを組み合わせた製品が進化しています。YubiKey Bioでは：

• 指紋認証がデバイス内のセキュアエレメントで完結（クラウド非送信・PC非保存）
• PIN入力すら不要な「フリクションレス認証」を実現
• 2025年進化版でUSB-C・NFC対応を強化、認識精度を向上

ATKey.ProやWindows Hello互換デバイスの普及も相まって、「生体認証＋ハードウェア固定」という組み合わせが次世代のセキュリティキー標準になりつつあります。

8-3. FIPS・AAL3対応が求められる規制強化の流れ

米国政府の動向：CISAとNSAによるゼロトラスト移行指令を受け、フィッシング耐性のある認証（Phishing-Resistant MFA）の義務化が進んでいます。FIDO2は「フィッシング耐性のあるMFA」として公式に認定されており、政府機関・連邦請負業者への導入が加速しています。

日本国内の動向：政府情報システムのISMAP対応やDX推進の文脈で、強固な認証手段への需要が高まっています。金融機関でもFIDO2対応への移行が進みつつあります。

NIST SP 800-63B改訂（Revision 4）の影響：現在改訂作業中のNIST SP 800-63Bでは、SMSによる認証（OTP）の位置付けが見直される可能性があり、FIDO2セキュリティキーへの移行圧力がさらに高まると予測されます。

8-4. 今後の注目技術：FIDO2を超える次の展開

• **Passkey for Enterprise（エン