Google Workspaceの2段階認証の設定手順｜管理者の準備と社員の設定を画面つきで

社内の Google アカウント、パスワードだけで守っていませんか？ 2段階認証は、パスワードに加えて、スマートフォンなどで本人であることを確かめる仕組みです。パスワードが他人に知られても、2つ目の確認を通らなければログインできません。

会社の Google Workspace で始めるときは、管理者と社員の両方に作業があります。管理者が管理コンソールで設定を許可し、社員が自分のアカウントで設定する、という分担です。社員の立場で読んでいる方は、目次の3「社員がやること」から読み始めても大丈夫です。

いま2段階認証を急ぐ理由

最近のニュースでも、IDとパスワードを入口にした被害の公表が続いています。

2025年10月19日には、アスクルがランサムウェアの被害を受けました。ランサムウェアは、会社のデータを使えない状態にして身代金を求める攻撃です。同社が12月12日に公表した第13報によると、侵入に使われたのは業務委託先に渡していた管理者アカウントと推定されています。このアカウントには例外的に多要素認証を適用しておらず、IDとパスワードが漏れて不正に使われました（INTERNET Watchの報道による）。多要素認証は、2段階認証と同じくパスワード以外の確認を組み合わせる仕組みです。「このアカウントだけは例外で」という設定に、心当たりはないでしょうか。ほかのアカウントに設定していても、例外として残した1つが入口になりえます。

警察庁が2026年9月に公表した令和8年上半期の統計では、ランサムウェア被害の報告は123件で、令和2年下半期に統計を取り始めてから、半期として最多でした。内訳は大企業79件、中小企業31件、団体等13件です（警察庁の発表。数値は@ITの報道による）。

偽のログイン画面にパスワードを入力させる「フィッシング」の報告も続いています。フィッシング対策協議会の報告によると、2026年9月の報告は94,661件で、前月より12,323件増えました。偽サイトのアドレスに docs.google.com など正規サービスのドメインが使われる例も、多く見られたとしています。アドレスに気をつけるだけでは、偽物と見分けるのが難しくなっています。

IPAの「情報セキュリティ10大脅威 2026」でも、組織編の1位は「ランサム攻撃による被害」です。10大脅威に選ばれたのは11年連続です。

2段階認証を設定しておけば、パスワードが盗まれても、それだけではログインされにくくなります。もちろん、これで被害がなくなるわけではありません。それでも、パスワードだけに頼る状態よりは、入口のリスクを下げられます。

Google も、Workspace の管理者アカウントへの2段階認証の義務化を段階的に進めています。2026年10月時点のGoogle Workspace 管理者ヘルプには、すでに適用が始まった組織の種類が挙がっていますが、Business プランの適用時期は書かれていません。発表を待たずに社内で進めておけば、期限に追われずに済みます。

管理者がやること（管理コンソールでの設定）

ここからは、会社の Google Workspace を管理している方に向けた話です。社員の方は、次の「社員がやること」まで読み飛ばしてかまいません。設定には特権管理者のアカウントを使います。とはいえ、最初から全員に強制するわけではありません。Google の公式ヘルプでも、次の順で進める流れが示されています。

1. 社員に、2段階認証を始めることを予告する
2. 社員が2段階認証を設定できるように許可する（まだ強制しない）
3. 社員に設定してもらう
4. 登録状況を確かめる
5. 強制する

設定を許可する（強制はまだしない）

保存しても、社員のログインはまだ何も変わりません。社員が自分で設定できる状態になるだけなので、ここは気負わずに進めてください。部署ごとに設定を変えたいときは、左側で組織部門を選び、「オーバーライド」で個別に設定します。

同じ画面にある3つの設定

ここで迷う方が多いのが「方法」です。決め方は2通りあります。1つは「制限なし」で始めて、全員の設定がそろってから見直す進め方です。後から方法を絞るときは、その方法を登録していない社員がいないかを先に確かめておきます。

もう1つは、最初から「テキスト メッセージや音声通話で受け取った確認コード以外」にする進め方です。Google Workspace 管理者ヘルプは、偽サイトに強い方法としてパスキーとセキュリティ キーを挙げています。その代わり、全員がスマートフォンに会社のアカウントでログインしておくなど、ほかの方法を使える準備が要ります。「セキュリティ キーのみ」は、物理的な鍵を全員に配る場合の選択肢です。この設定にすると、社員は自分でバックアップ コードを作れなくなる点に気をつけてください。

登録状況を確かめる

案内の期限が近づいたら、管理コンソールの「レポート」→「ユーザー レポート」→「セキュリティ」を開きます。社員ごとに2段階認証の登録状況が出るので、誰がまだ設定していないかが分かります。

強制する

全員の登録が済んだら、「2 段階認証プロセス」の画面の「適用」で、「今すぐ強制」か「指定した日付から適用を有効にする」を選びます。日付を指定した場合は、その日から24〜48時間以内に適用が始まります。

切り替える前に、レポートで未登録の人がいないことをもう一度確かめてください。もし期限に間に合わなかった社員がいても、管理者がバックアップ確認コードを発行すれば、その社員はログインして設定できます（注意点の4）。管理者ご自身のアカウントにも、忘れずに2段階認証を設定しておきましょう。

社員がやること（パソコンでの設定手順）

ここからは、社員のみなさんが自分のパソコンで行う作業です。かかる時間は数分程度なので、手が空いたときに進めてみてください。用意するのは、会社の Google アカウントでログインできるパソコンと、いつも使っているスマートフォンの2つです。

次回のログインから

設定が済むと、ログインのしかたが少し変わります。新しいパソコンやブラウザでログインするときは、パスワードを入れた後に2つ目の確認があります。「Google からのメッセージ」の場合は、スマートフォンに届いた確認で、自分のログインなら「はい」を押します。身に覚えがないときは「いいえ、ログインしません」です。「電話番号」の場合は、届いた6桁のコードをパソコンの画面に入力します。

いつも使う自分のパソコンなら、確認の画面で「このコンピュータでは次回から表示しない」にチェックを入れると、次からは確認を省けます。毎回スマートフォンを取り出すのが手間なら、この設定が使えます。ただし、共用のパソコンではチェックを入れないようにしましょう。

スマートフォンが手元にないとき

スマートフォンを家に忘れた日でも、バックアップ コードがあればログインできます。ログイン画面で「別の方法を試す」をクリックし、「8 桁のバックアップ コードのいずれかを入力する」を選びます。保管しておいたコードを1つ入力すればログインできます。

2つ目の手順の選び方

どの方法を使えばいいのか、表で比べてみます。「2 つ目の手順」の画面には、手順5の画像のとおり5つの項目が並びます。Google のヘルプでは、このほかに QR コードを読み取る方法も挙げられています。

迷ったら、「Google からのメッセージ」を基本にしてみてください。私が社員の方におすすめしているのも、この方法です。届いた確認で「はい」を押すだけなので、コードを打ち込む手間がありません。予備には、バックアップ コードを紙で持っておいてもらいます。

パスワードの代わりに指紋や顔でログインする「パスキー」も、2つ目の手順として登録できます。設定方法はパスキーとは？Google Workspaceのパスキー設定手順に書いています。気になる方は、あわせてどうぞ。

導入してみて分かった注意点

私が社員向けの手順書を作り、2段階認証の導入を手伝ったときに、つまずきやすかった点をまとめました。これから始める方は、設定の前に目を通しておいてください。

1. 管理者の「許可」を先に済ませる

許可の前に社員へ案内すると、「設定の項目が出てこない」「設定できない」という問い合わせが来ます。社員へ案内を送るのは、管理者の手順のうち「許可」まで済ませたあとにします。

2. 手順書に「画面の案内のとおりに進める」と書く

手順書には、画面を1枚ずつ載せたくなりますよね。ただ、2段階認証を有効にするまでの画面は、人によって表示が少し違います。何枚載せても、全員の画面とは一致しません。表示が分かれる部分は「画面に出る案内のとおりに進めてください」と書いておくと、迷う人が減りました。

3. 期限を決め、未登録の人にだけ案内し直す

期限を決めて全員に案内し、期限の前に管理コンソールのレポートで未登録の人を確認します。案内を送り直すのは、その人たちだけにします。全員にもう一度送る必要はありません。

4. スマートフォンを替えたとき・なくしたときの連絡先を決めておく

社員がスマートフォンを替えたりなくしたりすると、2つ目の確認ができなくなることがあります。いざというときに慌てないよう、設定を始める前に、そのとき誰に連絡するかを社内で決めて、手順書に書いておきます。

連絡を受けた管理者は、管理コンソールの「ディレクトリ」→「ユーザー」で対象の社員を選び、「セキュリティ」→「2 段階認証プロセス」→「バックアップ確認コードを取得」でコードを発行できます。社員はパスワードとこのコードでログインし、新しいスマートフォンを登録し直します。管理者アカウントのコードは、特権管理者が発行します（Google Workspace 管理者ヘルプ）。

5. バックアップ コードは紙で保管してもらう

コードはスマートフォンのメモに残しておけば手軽、と思うかもしれません。ただ、スマートフォンが使えないとき、社員が自分でログインできる手段はバックアップ コードしか残らないことがあります。メモに保存したコードは、スマートフォンをなくしたときに一緒に使えなくなります。紙で保管してもらうのはそのためです。

よくある質問

スマートフォンを替えた、またはなくしたときはどうすればいいですか？

手元にバックアップ コードがあれば、ログイン画面の「別の方法を試す」から入力してログインできます。コードが無いときは、社内の管理者に連絡してください。管理者は管理コンソールで、その社員のバックアップ確認コードを発行できます。

テキスト メッセージを受け取れない電話番号でも設定できますか？

設定できます。電話番号の登録では「コードを音声メッセージで受け取る」も選べます。テキスト メッセージを受け取れない電話番号でも、音声でコードを受け取れます。

2段階認証とパスキーは何が違いますか？

2段階認証は、パスワードに加えてもう1つの方法で本人確認をする仕組みです。パスキーは、その「もう1つの方法」の1つです。指紋・顔・PINで本人確認をするもので、「2 つ目の手順」として登録できます。

参考にした公式情報

• 2 段階認証プロセスを導入する（Google Workspace 管理者ヘルプ・2026年10月確認）
• 2 段階認証プロセスで保護されているアカウントを復元する（Google Workspace 管理者ヘルプ・2026年10月確認）
• 管理者アカウントへの 2 段階認証プロセスの適用について（Google Workspace 管理者ヘルプ・2026年10月確認）
• 2 段階認証プロセスを有効にする（Google アカウント ヘルプ）
• バックアップ コードを使用してログインする（Google アカウント ヘルプ）
• Google からのメッセージを使用してログインする（Google アカウント ヘルプ）
• サイバー空間をめぐる脅威の情勢等（警察庁）
• 令和8年上半期のランサムウェア被害の報道（@IT・2026年9月17日）
• アスクルの第13報に関する報道（INTERNET Watch・2025年12月16日）
• 2026/09 フィッシング報告状況（フィッシング対策協議会）
• 情報セキュリティ10大脅威 2026（IPA）

まとめ

Google Workspace の2段階認証は、「許可する → 社員が設定する → 登録状況を確かめる → 強制する」の順で進めます。いきなり強制せず、許可と案内から始めると、ログインで困る社員を出さずに切り替えやすくなります。社員の2つ目の手順は「Google からのメッセージ」を基本にし、バックアップ コードを紙で保管してもらいます。スマートフォンを替えたときやなくしたときの連絡先も、設定を始める前に決めておいてください。まずは管理コンソールで「許可」を済ませるところから、始めてみてください。