導入の優先順位は、①VPN・リモートデスクトップなど外部からの入口、②メール・クラウドサービス、③管理者アカウントです。方式は、可能ならフィッシングに強いもの（パスキー、セキュリティキー）を選び、例外のアカウントを残さないことが重要です。
方式の選び方
| 方式 | 強さ | 注意点 |
|---|---|---|
| セキュリティキー・パスキー | フィッシングに強い | 紛失時の手順、予備のキー |
| 認証アプリ（プッシュ通知・番号入力） | 強い | 承認ボタンを連打させる攻撃に注意。番号照合を有効に |
| 認証アプリ（6桁コード） | 強い | 偽サイトへの入力に注意 |
| SMS | 中 | SIMの乗っ取り・偽サイト（解説） |
つまずきやすい点
- 例外アカウント：古いシステム連携用、共有アカウント、緊急用アカウントにMFAがない
- 旧式の認証方式：MFAに対応しない古いプロトコルでのログインが残っている
- MFA疲労攻撃：承認通知を大量に送り、うっかり承認させる。番号照合と回数制限で対策
- 再登録の手続き：端末紛失時の本人確認が弱いと、そこを突かれる