パスキーの一般消費者向け解説記事は数多く存在しますが、企業の情報システム担当者が実際に直面する運用上の疑問——「デバイスを紛失したらどうするのか」「退職者の資格情報はどう整理するのか」といった実務的な問いに答える情報は、意外と多くありません。本記事では、企業導入の現場でよく寄せられる質問を、情シス担当者の目線でQ&A形式にまとめました。
1. デバイス紛失時の対応
Q. 社員がパスキー登録済みのスマートフォンを紛失した場合、何をすべきですか？
まず、紛失したデバイスに登録されている資格情報を、IdP（Microsoft Entra ID等）の管理コンソールから即座に無効化します。パスキーは秘密鍵がデバイス内に保管される仕組みのため、デバイスが物理的にロックされていれば（画面ロック等）第三者による悪用リスクは低いものの、念のため速やかな無効化が推奨されます。その上で、事前に登録しておいたバックアップ認証器（別のデバイスや予備のセキュリティキー）で業務を継続しながら、新しいデバイスでのパスキー再登録を行います。
Q. バックアップ認証器を登録していない社員が紛失した場合は？
本人確認を経た上で、情シス部門または承認された管理者が、一時的な代替認証手段（緊急用のワンタイムコード等）を発行し、本人確認済みの新デバイスでパスキーを再登録するフローが必要です。この「緊急時の本人確認プロセス」を事前に定義しておかないと、紛失のたびに場当たり的な対応になり、なりすましのリスクも高まります。
2. 退職者・異動時の対応
Q. 退職者のパスキーは、どのように削除すればよいですか？
基本的には、IdP側でアカウントを無効化すれば、そのアカウントに紐づくパスキーも認証に使用できなくなります。ただし、退職者個人のスマートフォンに「資格情報」自体は物理的に残り続けるため、情報の完全性を重視する場合は、CTAP2のCredential Management機能などを使い、デバイス側からも資格情報を削除する運用を検討します。
Q. 異動時にアクセス権限も自動的に見直されますか？
パスキー自体は認証（本人確認）の仕組みであり、認可（何にアクセスできるか）の仕組みではありません。異動時の権限見直しは、IDライフサイクル管理やSCIMによる自動プロビジョニングの仕組みと組み合わせて対応する必要があります。パスキー導入だけで権限管理の課題まで解決するわけではない点に注意してください。
退職者対応・棚卸しまで含めた運用設計をKeyperで
Net PeaceのKeyperは、FIDO2/パスキー認証に加え、IDライフサイクル管理と組み合わせた退職者アカウントの自動無効化・棚卸し機能を提供します。
3. 同期型パスキーと端末紐付け型の違い
Q. 「同期型パスキー」と「端末紐付け型パスキー」は何が違うのですか？
同期型パスキーは、Google・Apple・Microsoftなどが提供するパスワードマネージャー機能を通じて、複数デバイス間でパスキーが暗号化された状態で同期される方式です。一つのデバイスで登録したパスキーを、同じアカウントでログインした別のデバイスでもすぐに使えるという利便性があります。一方、端末紐付け型（デバイスバウンド）パスキーは、生成された秘密鍵がその認証器（セキュリティキー等）の外に一切出ない方式で、クラウド同期を経由しないため、より高いセキュリティ水準を求める用途に適しています。
| 項目 | 同期型パスキー | 端末紐付け型パスキー |
|---|---|---|
| 利便性 | 高い（複数デバイスで自動的に使える） | デバイスごとに個別登録が必要 |
| 紛失時の影響 | 他デバイスで即座に継続利用可能 | バックアップ認証器がなければ業務停止のリスク |
| 鍵の保管場所 | プラットフォーマーのクラウド（暗号化同期） | 認証器内のセキュアな領域のみ |
| 想定される利用シーン | 一般的な業務システムへのログイン | 特権アカウント・機密性の高いシステムへのアクセス |
Q. 企業ではどちらを採用すべきですか？
多くの企業では、一般的な業務システムには利便性の高い同期型パスキーを、特権アカウントや機密情報にアクセスするシステムには端末紐付け型（ハードウェアセキュリティキー等）を使い分ける「ハイブリッド運用」が現実的な選択肢です。全社員に同一の方式を強制するのではなく、アクセス対象のリスクレベルに応じて認証方式を使い分ける設計を推奨します。
4. 複数デバイスでの利用・バックアップ
Q. 1人の社員が複数のパスキーを登録することは問題ないですか？
むしろ推奨される運用です。スマートフォンとノートPCの両方にパスキーを登録しておく、あるいは予備のセキュリティキーを1本追加登録しておくことで、いずれか一方のデバイスを紛失・故障した場合でも業務を継続できます。多くのFIDO2対応サービスは、1アカウントに対して複数の認証器を登録できる設計になっています。
5. BYOD環境での注意点
Q. 私物端末（BYOD）にパスキーを登録させても問題ないですか？
パスキーの秘密鍵自体はデバイス内のセキュアな領域に保管されるため、業務システム側の情報が私物端末上に平文で残るわけではありません。ただし、同期型パスキーの場合、個人のプラットフォームアカウント（Googleアカウント等）に業務用パスキーが同期される点は、企業のガバナンス方針次第で許容できるかどうかが分かれます。BYODでの利用を許可する場合は、退職時にその個人アカウントから業務用パスキーを確実に削除するプロセスをあわせて設計する必要があります。
6. 監査・棚卸しの実務
Q. パスキーの利用状況を監査する際、何を確認すればよいですか？
- 各アカウントに登録されている認証器の数と種類（同期型・端末紐付け型）
- 最終利用日が古い、休眠状態の認証器の有無
- 退職者・異動者のアカウントに紐づく認証器が適切に無効化されているか
- ユーザー検証（PIN・生体認証）が必須化されているか、タップのみの弱い設定になっていないか
SCS評価制度など第三者評価を受ける組織では、これらの棚卸し結果を証跡として提示できる状態にしておくことが求められます。
その他のよくある質問
Q1: パスキーはパスワードマネージャーと何が違うのですか？
パスワードマネージャーは「既存のパスワード」を安全に保管・入力する仕組みですが、パスキーはそもそもパスワードという概念自体を廃止し、公開鍵暗号方式による本人確認に置き換える技術です。フィッシングサイトに誘導されても、秘密鍵が窃取される仕組みが技術的に存在しないため、フィッシング耐性の水準が根本的に異なります。
Q2: 社員が個人のApple ID・Googleアカウントを持っていない場合はどうなりますか？
同期型パスキーの利用には個人のプラットフォームアカウントが前提となりますが、端末紐付け型（会社支給のセキュリティキー等）を使えば、個人アカウントの有無に関わらずパスキーを利用できます。個人アカウントへの依存を避けたい企業は、端末紐付け型を標準とする運用も選択肢になります。
Q3: パスキー移行後もパスワードは完全に廃止すべきですか？
緊急時のフォールバック手段として、当面はパスワード認証を残しておく企業も少なくありません。ただし、パスワードが残っている限りフィッシングによる窃取リスクは残るため、移行が完了した部門・システムから段階的にパスワード認証自体を無効化していくことが理想的です。
7. まとめ
企業がパスキーを運用する上で押さえておくべきポイントを振り返ります。
- デバイス紛失時に備え、バックアップ認証器の事前登録を標準の運用フローとする
- 退職者対応は、IdP側の無効化とデバイス側の資格情報削除の両面で検討する
- 同期型パスキーは利便性、端末紐付け型はセキュリティ水準に優れ、リスクレベルに応じた使い分けが現実的
- BYOD環境では、退職時の個人アカウントからの削除プロセスをあわせて設計する
- 監査・棚卸しでは、休眠認証器の有無やユーザー検証設定の強度を定期的に確認する
Net PeaceのKeyperは、こうした企業特有の運用課題を踏まえたFIDO2/パスキー導入を支援します。