【2026年版】Google Workspaceの2段階認証ガイド｜管理者の必須化から全社展開の手順・パスキーまで

Googleは、Google Workspaceの管理者アカウントに対する2段階認証の適用を段階的に進めています。公式ヘルプによると、対象はすべての管理者アカウントで、現在はWorkspace for EducationやCloud Identity、サードパーティSSOを利用するEnterpriseエディションなどから適用が始まっており、今後数年かけて対象が拡大されていきます。中小企業に多いBusinessエディションへの適用日はまだ発表されていませんが、方向性ははっきりしています。

• 適用前に通知が来る — 特権管理者には約90日前、その他の管理者には約60日前にメールで通知されます
• 放置すると使えなくなる — 適用開始後も未設定のままだと、15日後にモバイルアプリ、30日後にはウェブアプリへのアクセスがブロックされます（2段階認証を登録するまで）
• 新しく管理者になった人は即時対象 — 組織で適用が始まっていれば、管理者に任命された時点で設定が求められます

効果も裏付けがあります。Googleが2019年に発表した調査では、スマホへの通知で承認する方式（Googleからのメッセージ）だけで自動化された乗っ取りボットを100%、一斉型のフィッシングを99%ブロックできたと報告されています。また2022年のGoogle発表では、1億5,000万人以上に2段階認証を自動有効化した結果、アカウント侵害が50%減少したとされています。通知が来てから慌てるのではなく、管理者だけでなく全社員に先回りで広げておくのが合理的です。

私用のPC・スマホ（BYOD）で使うときの注意

気をつけたいのが、業務アカウントのパスキーを私用のPC・スマホに設定するケースです。私用端末でもフィッシングに強いという認証の強度自体は得られますが、会社が管理しきれない領域が残るため、無条件におすすめはできません。

• 退職時に端末内の鍵は回収できない — 管理者はアカウント側からパスキーを削除し、以降のログインを止められます（操作は管理ログに記録されます）。ただし、私用端末やその個人クラウドに残ったパスキー自体を会社が消すことはできません
• 共有端末・緩い画面ロックが弱点になる — パスキーの安全性は端末のロック解除（生体・PIN）に依存します。家族と共有している端末や画面ロックが緩い端末では、端末を操作できる人が業務アカウントに入れてしまうおそれがあります
• 重要なアカウントほど会社の管理下に置く — 管理者など特に守りたいアカウントは、会社支給の端末やセキュリティキーを基本にするのが安全です。私用端末でパスキーを使う場合は、画面ロック必須・端末を他人と共有しない、を最低条件にします

STEP1：まず管理者自身が設定する

myaccount.google.com の「セキュリティ」→「2段階認証プロセス」から、画面の指示に従って有効化します。5〜10分で終わります。必須化の対象になるのは管理者アカウントが最初なので、ここが最優先です。あわせてバックアップコードの保存（後述）も済ませます。

STEP2：社内に告知して登録期間を設ける

いきなり強制するとログインできない社員が出るため、まず告知して各自に設定してもらいます。期限は「2週間後」程度が現実的です。

STEP3：登録状況を確認する

管理コンソール（admin.google.com）の「レポート」→「ユーザーレポート」→「セキュリティ」で、誰が登録済みかを確認できます。レポートへの反映には時間差が出ることがあるため、期限の数日後に確認し、未登録者には個別に声をかけます。

STEP4：強制（適用）をオンにする

全員の登録を確認したら、管理コンソールの「セキュリティ」→「認証」→「2段階認証プロセス」で適用をオンにします。適用は「今すぐ」か「指定した日付から」を選べ、反映には24〜48時間かかることがあります。未登録者が残ったまま強制すると、その人はログインできなくなるので、必ずSTEP3の確認を済ませてから実行してください。新しく入社する人向けには「登録期間」（1日〜6か月で設定可能）を設けておくと、入社直後のロックアウトを防げます。

2段階認証で実際に起きるトラブルのほとんどは、攻撃ではなく「自分が入れなくなる」ロックアウトです。次の運用をセットで決めておきます。

• バックアップコードを保存する — 8桁のコードが10個発行され、それぞれ1回だけ使えます。Googleは印刷して重要書類と同じ場所に保管することを勧めています。スマホを紛失してもこれでログインできます
• 認証手段を2つ以上登録する — メインのスマホに加えて、バックアップの電話番号やセキュリティキーなど複数の手段を登録しておくと、1つ失っても詰みません
• 機種変更の前に確認する — 旧端末を手放す前に、新端末で認証できること（またはバックアップコードが手元にあること）を確認するルールにします。「機種変更で入れなくなった」は最も多い相談の1つです
• 退職・入社の手続きに組み込む — アカウントの停止・発行と合わせて2段階認証の状態も確認する項目を、入退社チェックリストに加えます

入退社まわりの手続き全体は入社・退職時のチェックリスト記事で、担当者を置けない会社のIT運用の考え方は情シスがいない会社のIT運用の記事でそれぞれ詳しく解説しています。

• Google Workspaceでは管理者アカウントへの2段階認証の適用（必須化）が段階的に進行中。適用の90日/60日前に通知が届き、放置すると15日でモバイル、30日でウェブが使えなくなる
• 2段階認証は費用ゼロで効果が大きい。Googleの2019年調査では通知承認方式だけで自動ボットを100%、一斉フィッシングを99%ブロック
• 方式はパスキー・セキュリティキー・Googleからのメッセージが本命。SMSは公式も傍受リスクを注意喚起しており最後の手段
• 全社展開は「管理者が設定→告知と登録期間→レポートで確認→強制オン」の4ステップ。確認前の強制はログイン不能者を生むので厳禁
• バックアップコードの印刷保管・複数手段の登録・機種変更前チェックをルール化すればロックアウトはほぼ防げる

2段階認証の全社展開や管理コンソールの初期設定は、Google Workspace導入支援の一環として当社が代行・伴走しています。「うちのアカウント、いま誰が2段階認証済みか分からない」という状態の棚卸しからでもご相談ください。