パスキーと2FA：インドのリモート経理チームのためのERPセキュリティ

経理チームが自宅や顧客先、別の州にある支社からシステムにログインするとき、監査人が最初に尋ねる質問は単純です。誰が、どこからログインし、それが本人だとどうやって証明できるのか。インドの多くの中小企業にとって、率直な答えは心地よいものではありません。ログインは共有のメールアドレスとパスワードであり、チャットで回し使いされ、システムにはある会計士と別の会計士を区別する手段がありません。

これは些細な運用上の問題ではありません。GST（物品サービス税）の電子インボイス制度が年商5クロール（約5,000万ルピー）以上の事業者に義務化され、インボイス登録ポータル（IRP）への提出が30日以内という厳しい期限に縛られるいま、経理のログインは法規制の対象となるアクセスポイントになりました。そのポイントでの共有パスワードは、いずれ監査で指摘される弱点そのものです。本稿では、パスキーログインと二段階認証（2FA）がこのギャップをどう埋めるか、有効化した日に何が変わるか、そしてそれがインドでクラウドERPを動かす企業にとってなぜ重要なのかを説明します。

経理における共有パスワードの問題

多くの経理チームが共有ログインを選んだのは、怠慢からではありません。もう一つの選択肢が遅かったからです。月曜に入社した新しい会計士、金曜が月末決算の締め日。新しいアカウントの発行を待つ時間はありません。そこでシニア会計士がマスターログインを渡します。1年のうちに、その一つのログインは5台のノートPC、2台のスマートフォン、そして机の付箋に行き着きます。

リスクはあっという間に積み上がります。仕訳を投稿したのがどのユーザーか分かりません。なぜなら、全員の記録が「admin」になるからです。誰かが会社を去るときパスワードを変えても、すべての端末で保存された資格情報が消えたことを確信できません。そしてGSTの担当官が、特定の担当者と特定のインボイスを紐づけるアクセス履歴を求めたとき、お見せできる実体がありません。監査証跡は存在しますが、それは人間ではなく汎用アカウントを指しています。

リモートワークはこれをさらに悪化させます。社内LANからのログインと、自宅のWi-Fi、コワーキングスペース、モバイルホットスポットからの同じログインでは、暴露の度合いが全く異なります。フィッシング攻撃が経理スタッフを狙うのは、盗んだパスワード一つで帳簿全体が開けるからです。GSTの申告、買掛金の支払い、銀行口座の明細を保持する基幹システムは、4人が知っているパスワード以上の保護に値します。

パスキーと2FAを有効化すると何が変わるか

モダンなERPは、利便性と安全性のどちらかを選ぶ必要はありません。両方を重ね合わせて提供でき、各ユーザーがテキストの文字列を共有することなく本人性を証明します。ここで主役を演じるのは二つの機能で、いずれもプラットフォームに組み込まれており、後付けではありません。

パスワードを使わないパスキーログイン

パスキーは、パスワードをユーザー自身の端末に存在する資格情報に置き換えます。ユーザーはノートPC、スマートフォン、セキュリティキーを一度登録すれば、以降は指紋、顔認証、端末のPINでサインインできます。サーバーは資格情報の秘密鍵を一切見ないため、漏洩事件で攻撃者に盗まれるものはなく、フィッシングで騙し取ることもできません。それぞれのパスキーは特定のユーザーと特定の端末に紐づくため、共有ログインは構造上機能しなくなります。仕訳を投稿した人物は、その端末のロックを解除した人物本人です。

システムでは各ユーザーが複数のパスキーを登録でき、ラベルを付けて（「社用MacBook」と「個人電話」を区別できるように）管理でき、一台を取り消しても他に影響を与えません。ログイン自体は二つの方式で動作します。メールアドレスを指定すればユーザー名優先フローが始まり、指定しなければ、その端末で利用可能なアカウントを一覧表示する検出可能な資格情報フローが始まります。いずれにしても、握手はその都度生成されるチャレンジに対して行われるため、コピーして再利用した資格情報は失敗します。

第二の層としての二段階認証

パスワードを使い続けるアカウント、そしてパスキーアカウントに対する追加の関門として、2FAは認証アプリからの時間制限付きコードを追加します。システムはTOTPシークレットを生成し、QRコードと手動入力キーを表示し、一回性のバックアップコードのセットを発行します。標準的な認証アプリでQRを読み取り、6桁のコードを一つ入力してアプリの設定を確認すれば、2FAが有効になります。ユーザーが電話を失くした場合は、XX-XX-XX-XX形式のバックアップコードで復旧でき、各コードは1回使うと消費されます。

重要なのは、プラットフォームがパスキーと2FAを「どちらか」ではなく「連鎖」として扱う点です。パスキーログインであっても、完了には2FAコードを要求できます。つまり、リモートの会計士は端末に紐づくパスキーでサインインし、さらにローテーションするコードで確認できるため、盗まれたノートPCだけではログインを完了できません。2FAをオフにするにはアカウントのパスワードを再入力する必要があり、乗っ取られたセッションが密かに安全性を低下させるのを防ぎます。

監査ログではどう見えるか

すべてのログインが名前のある個人に解決されるようになります。すべてのインボイス承認、すべての買掛金支払い、すべてのGST申告記録の背後には実在するユーザーIDがあります。外部の公認会計士が、ある夜に一括で処理された電子インボイスの担当者を尋ねたとき、答えは共有文字列ではなく「人」になります。コンプライアンスにとって意味があるのは、まさにこの変化です。

実際のシナリオ

プネーにある中堅の商社を考えてみましょう。従業員は約140名、年商は約40クロール（約4億ルピー）。9名の経理チームが買掛金、GST申告、仕入先照合を担当し、半数近くが週2日自宅からログインするハイブリッド勤務です。変更前はチーム全体で「finance admin」という単一のアカウントを使い、シニア会計士がパスワードを管理していました。

GSTの突合作業中、ある一連のインプットタックスクレジットの仕訳が、同じ共有ログインで2人の異なる人物によって二重に取り消されていたことが発覚しました。誰が何をしたか再構築するのに、3日分のメールの考古学調査が必要でした。その後、CFOは二つのルールを定めました。第一に、経理の全ユーザーに個人アカウントを付与すること。第二に、全アカウントで主要端末にパスキーを設定し、第二ステップとして2FAを有効にすること。

最初の1ヶ月以内に、チームは資格情報の共有を完全にやめました。パスキーでサインインする方が、昔のパスワードを打ち込むよりも速かったからです。監査法人は、アクセス履歴が各投稿記録に対して個人を名指ししていることを確認し、長年指摘されていた監査上の問題を解消しました。潜在的なコンプライアンス罰金の回避効果は約15万ルピーと試算され、さらに大きかったのは、「誰がやったか」の調査に失われていた日数を取り戻せたことです。

インドの企業にとって重要性が高い理由

いま強力なログインセキュリティがインドでとりわけ急務となる理由は、三つの力によります。

GSTと電子インボイスの網

電子インボイスの対象となる年商のしきい値は、多くの事業者で5クロールまで引き下げられ、IRPへの報告は30日以内という窓に縛られています。これにより、何千もの中小企業が、すべてのインボイスに証跡の連鎖が求められる規制プロセスに取り込まれました。アクションを個人に帰属させられない経理のログインは、その連鎖における構造的な弱点です。パスキーと2FAは、ログインを監査可能なIDに変え、それこそがGSTの枠組みが暗黙に期待するものです。

リモートとハイブリッド勤務は恒久化した

週5日オフィスに戻った経理チームは例外であり、標準ではありません。ハイブリッドの勤務形態は、同じユーザーが同じ週のうちに社内ネットワーク、自宅のルーター、モバイル回線の三つから基幹システムにアクセスすることを意味します。パスワードのみの認証は、そうした移動を前提に設計されていません。端末に紐づくパスキーはそれを前提にしています。資格情報が端末から一切外に出ず、ログインのたびにチャレンジが新しくなるため、安全に移動できます。

中小企業の規律と監査人の期待

インドの中小企業は、銀行、投資家、法定監査人から、成果だけでなく内部統制の証拠を求められるようになっています。名前のあるユーザー、二段階認証の確認、取り消し可能な端末を示す整ったアクセス履歴は、統制上の弱点を強みに変える種類の証拠です。それはまた、購買や支払のワークフローで監査人がすでに求めている職務分掌の原則とも整合します。

あなたのビジネスに合致するか

次のいずれかが当てはまる場合、このアプローチは適合します。

経理チームが自宅や支社など、複数の場所からログインしている。
現在2人以上の会計士で単一のログインを共有している。
GSTの申告を行っており、特定の操作を特定の人物に紐づける必要がある。
アクセス制御に関する監査指摘を受けた、あるいは避けたい。
銀行審査、デューデリジェンス、ISO系認証に向けて準備中の中小企業である。

経理業務のすべてが、一人の人間が使う社内の単一ロックダウン端末で完結しているなら、緊急度は低くなります。しかし2人目の人間、あるいはリモートの日が一枚でも加わった瞬間、計算は変わります。共有ログインのインシデントがもたらす罰金リスクと調査時間のコストは、パスキーと2FAに切り替えるコストをはるかに上回ります。

よくある質問

2FAは日常の経理業務を遅くしますか？

実運用ではそうなりません。端末にパスキーを一度登録すれば、サインインは指紋か顔認証一回で済み、パスワードを打つより速いです。認証アプリからの2FAコードは同じ電話に数秒で表示されます。切り替えたチームは、ログインが遅くなるどころか速くなり、パスワードの再設定作業から完全に解放されるのが一般的です。

パスキーを入れた電話を失くしたらどうなりますか？

各ユーザーは複数のパスキーを登録できるため、予備の端末があれば業務を継続できます。2FAのバックアップコードも復旧経路を提供し、一回性のコード一つが失くした認証アプリの代わりになります。管理者は失くした端末の資格情報を取り消せば即座に無効化でき、ユーザーの他の端末には影響しません。

経理チーム全体で一つの共有ビューを維持できますか？

IDを共有せずに、データの可視性だけは共有できます。各会計士には独自のパスキーと2FAを持つ個人ログインが与えられ、役割に基づいて同じ元帳やインボイスを全員が閲覧できます。変わるのは、すべての操作が名前のある個人に帰属することです。情報への共有アクセスのために、共有ログインは必要ありません。

ポイント

共有パスワードは、インドのほとんどの経理チームにおける最大のアクセス制御の弱点であり、GSTの電子インボイス規則はその弱点をコンプライアンス上の責任に変えました。パスキーログインがパスワードを排除し、2FAが第二の証明を加え、両者が合わさって、すべての経理の操作を監査で説明できる個人の行為に変えます。これは床ではなく、基礎の床であり、贅沢ではありません。

Kikan System をはじめる

Kikan System は、GST対応の経理、整った監査証跡、リモートワーク下でも持ちこたえるログインセキュリティを必要とするチーム向けに構築された、モジュラー型のクラウド基幹システムです。パスキーログインとTOTP二段階認証は標準で組み込まれており、経理チームは端末に紐づく資格情報でサインインし、ローテーションするコードで確認し、共有パスワードを手放せます。無料プランはクレジットカード不要で最大2ユーザーまで対応し、実際の月末ワークフローに対してアクセス制御を評価するには十分です。はじめるからワークスペースを設定するか、Kikan System が安全なログインを基幹システムの他の機能とどう連携しているかをご確認ください。

-> 関連：経理チームのためのパスキーログインとパスワードレスアクセス

-> 関連：役割ベースの権限とGSTの職務分掌

-> 関連：経理のための監査証跡と内部統制