取引先から「アメリカのセキュリティ基準に対応してください」と言われた。
けれど自社にあるのはワークグループのパソコンだけ。サーバーも、IT担当者もいない。
そこで止まっていた会社のための答えです
はじまりは、1本のお問い合わせでした。
求めてきたのは防衛関連ではありません。日常的にお取引のある大手企業・上場企業です。その会社が、サプライチェーン全体に向けて「この基準を満たしてほしい」と連絡しているとのことでした。
しかも、求められたのは ISO 27001 でも、日本国内のセキュリティ基準でもありませんでした。名指しで指定されたのが、アメリカの NIST SP 800-171 だったのです。
同じご相談がその後も続きました。当社がこの基準を知ったのは、お客様からです。
NIST SP 800-171 は、アメリカ政府（NIST ＝ 米国国立標準技術研究所）が定めたセキュリティ基準です。政府が扱う重要情報を、政府以外の組織が預かるときの守り方を定めています。
この基準が米国防総省（ペンタゴン）の調達先に適用されることから、事実上の「防衛産業の基準」として世界に広まりました。そして、それを日本の防衛装備庁が同じ水準で取り入れたものが「防衛産業サイバーセキュリティ基準」です（2022年3月策定、2023年度の契約から適用）。
アメリカ政府が定めた基準。米国防総省の調達先に適用され、事実上の防衛産業基準として世界に広まりました。
上記を日本の防衛装備庁が同水準で取り入れたもの。2022年3月策定、2023年度の契約から適用されています。
日本側のこの基準は、第三者が与える「認証」ではなく契約に付く条件（特約条項）です。そして下請・再委託先にも要求が降りていきます。
だから、防衛省ともアメリカとも関係のない会社に、ある日「アメリカの基準に対応してください」という連絡が届きます。対応できないなら取引を見直します——いま当社にいただくご相談で、最も多いのがこの話です。
多要素認証について定めているのが要件 03.05.03（Rev.2 では 3.5.3）です。最新版（Rev.3）の原文はこうなっています。
ここに「リモートからの場合は」という限定はありません。Rev.3 では、ローカルアクセスとネットワークアクセスの区別そのものが無くなりました。ひとつ前の Rev.2 は、こう書かれていました。
つまり Rev.2 でも、特権アカウント（管理者ID）のローカルアクセスは対象でした。そして Rev.3 では、すべてのユーザーのアクセスが対象になっています。どちらの版で見ても、社内のパソコンのログインは外れません。
ここが見落とされがちです。「多要素認証はリモートアクセスの話」と思われていることが多いのですが、原文には local access がはっきり書かれています。そのパソコンの前に座って行う、いつものWindowsログインが対象です。
つまり——社内にあるワークグループのパソコンだからといって、対象から外れることはありません。
多くの多要素認証の仕組みは、Active Directory や Microsoft Entra ID があることを前提に作られています。しかし実際の中小企業は、こうなっていることのほうが圧倒的に多いはずです。
当社にご相談くださったお客様の言葉が、この状況をよく表しています。
アプリップリキーは、Active Directory も専用サーバーも使いません。パソコンにインストールして、お手元のスマートフォンを登録するだけです。
種類の違う2つの要素を組み合わせているので、2段階認証であると同時に、2要素認証（多要素認証・MFA）です。これが要件 03.05.03 が求めている形そのものです。
ドメインでもワークグループでも同じように動きます。ネットワーク構成を変える必要がありません。
デバイスライセンス。最低契約台数も最低契約期間もありません。対象の範囲から始められます。
設定画面に沿って進めるだけ。専門知識は要りません。その日から使えます。
すでにお持ちのスマートフォンを使います。ハードウェアキーを人数分そろえる費用がかかりません。
しかも、毎日のログインはパスワード入力から、スマホのワンタッチに変わります。対策を入れたのに仕事が遅くなる、ということがありません。ログインが簡単になる仕組みを見る →
NIST SP 800-171 が求めるのは多要素認証だけではありません。監査とアカウンタビリティ（要件 03.03系。Rev.2 では 3.3系）——誰がいつ何をしたかを記録し、必要なときに取り出せること——も求められます。
保存期間の設定を設けていないため、10年分でも残せます。「何年分残せますか」と聞かれたときに答えられます。
監査で求められた期間だけを切り出して確認できます。
フォレンジック調査や監査資料の提出に、そのまま使えます。
不審なアクセスを検知すると、そのパソコンを使うご本人のLINEへ約1秒で届きます。自動でIPを遮断します。
別々の製品を2つ買う必要がありません。多要素認証とログ、両方の要件に1つで届きます。
はっきり書いておきます。NIST SP 800-171 は、組織の管理体制に対する基準です。製品が認証を取得する仕組みはありません。どのメーカーであっても「この製品を買えば 800-171 に適合する」ということは成り立ちません。
要件を満たすのはお客様の組織であり、当社がお渡しするのはその手段です。アプリップリキーは、多数ある要件のうち要件 03.05.03（多要素認証）を満たすための実装手段としてお使いいただけます。あわせて要件 03.03系（監査とアカウンタビリティ）にも寄与します。
NIST SP 800-171 への対応について、お問い合わせの多いご質問をまとめています。認証を取得しているのか／Active Directory が無くても満たせるのか／要件 03.05.03 はリモートアクセスだけの話ではないのか——6つの問答を「よくある質問」のページに置いています。
