回答: 不動産業務システム側の認証強化は、2026年に入って公開発表の形で進んでいます。ただし、ベンダーが多要素認証（MFA）やパスキーを用意しても、自社側に共有アカウントや退職者のアカウントが残っていれば効き目は限られます。先に自社の「共有アカウント」「MFAの有効範囲」「退職・異動時の手順」の3点を棚卸しし、そのうえでベンダーが提供している認証方式に合わせるのが順番です。とくに当てはまるのは、業務システムやポータルの管理画面を複数人・複数店舗で使っている会社です。利用者が1人ならIDの共有を整理する必要はありませんが、認証そのものの優先度は人数ではなく、扱う情報と権限、いま設定されている認証方式から判断します。
この記事でわかること
- 不動産業務システムの認証まわりで、いま何が公開発表されているか
- MFA・SSO・パスキーがそれぞれ何を解決し、何を解決しないか
- 自社で今日確認できる3点と、記入できる棚卸し表
- 認証を強くする前に洗い出しておくべき「自動ログインしている仕組み」
いま何が起きているか
不動産業界向けのシステムで、ログイン方式に関する発表が続いています。ここでは各社の公開リリースに書かれている範囲だけを並べます。
いい生活（2026年10月15日発表）
全プロダクト共通の認証基盤「いい生活アカウント」で、パスワードレス認証「Passkeys（パスキー）」の標準提供を開始したと発表しています。対象は業務クラウドシリーズと不動産流通プラットフォーム「いい生活Square」。パスキーを単体のオプションとして販売することはせず、利用中の全顧客が使えるとしています。同社は2026年8月に多要素認証（MFA）を標準提供しており、今回はその次の段階という位置づけです。対応端末や採用プロトコルについては、リリースに記載がありません。
ZISEDAI LAND（2026年10月15日発表）
タスキホールディングスのグループ会社・ZISEDAIが提供するクラウド型物件情報管理サービス「ZISEDAI LAND」が、シングルサインオン（SSO）機能を実装し、第1弾としてHENNGE Oneとの連携を開始したと発表しています。こちらのSSOはLANDのオプション機能として提供され、利用環境やセキュリティポリシーに応じて選べる体制を整える予定、とされています。今後は各種IDaaSとの連携を順次拡大する方針も示されています。
同じ時期の発表でも、「全顧客に標準で提供する」側と「オプションとして選べるようにする」側の両方がある点がポイントです。自社が使っているシステムがどちらの出し方をしているかで、やることが変わります。標準提供なら「有効になっているか確認する」、オプションなら「申し込むかどうかを判断する」から始まります。
出典:
- いい生活「いい生活、全プロダクト共通認証基盤「いい生活アカウント」でパスワードレス認証「Passkeys」を標準提供」（PR TIMES, 2026年10月15日） https://prtimes.jp/main/html/rd/p/000000283.000003214.html
- タスキホールディングス「クラウド型物件情報管理サービス【ZISEDAI LAND】が【HENNGE One】とシングルサインオン連携を開始」（PR TIMES, 2026年10月15日） https://prtimes.jp/main/html/rd/p/000000174.000051940.html
MFA・SSO・パスキーは何が違うのか
答え: MFAは認証の要素を増やし、SSOは認証の入口をまとめ、パスキーはパスワードそのものを置き換えます。目的が違うので、「何を解決して、何を解決しないか」で整理します。
| 仕組み | すること | 解決すること | 解決しないこと |
|---|---|---|---|
| MFA（多要素認証） | パスワードに加えて、アプリの確認コードや生体認証など別の要素を求める | パスワードが漏れただけでは入れなくなる | 誰がそのアカウントを使っているか。共有アカウントなら「全員で1つの確認コード」になりがち |
| SSO（シングルサインオン） | 認証の入口を1か所にまとめ、そこから各システムへ入る | ID・パスワードを個別に覚える負担。入口側でまとめて止められる経路が増える | 入口そのものの強さ。各サービスへの直接ログイン経路や、すでに開いているセッションが残る場合がある |
| パスキー | パスワードの代わりに、デバイスのロック解除と同じ方法（生体認証やPIN）でサインインする | フィッシングや、使い回したパスワードによる不正ログイン | アカウントを誰に配るか、辞めた人の分をいつ消すか |
パスキーはFIDOアライアンスとW3Cが策定した業界標準で、同アライアンスの説明では、サインインを求められたときにスマートフォンやPCのロック解除に使うのと同じ生体認証またはPINで承認する仕組みとされています。パスワードそのものを入力しないため、フィッシングやクレデンシャルスタッフィング（使い回した認証情報による不正ログイン）といった遠隔からの攻撃に強い、と説明されています（FIDO Alliance）。
3つとも方向性は同じですが、どれも「社内の誰が、どのアカウントを、いつまで持っているか」までは面倒を見てくれません。そこは会社側の運用です。
なぜ不動産会社で優先度が上がるのか
答え: 扱う情報が重く、人の出入りで権限が動くからです。
不動産会社の業務システムには、氏名・連絡先・勤務先・年収・借入状況・売却理由といった情報が集まります。反響1件の中身を見ればわかるとおり、量より中身が重い情報です。
制度面でも、漏えいが起きたときの扱いが決まっています。個人情報保護委員会は、報告が必要になる類型のひとつとして「不正の目的をもって行われたおそれがある行為による漏えい等」を挙げており、この類型には件数の条件がありません。不正アクセスはその例として示されています。報告は速報と確報に分かれ、確報の期限は原則30日以内、不正の目的によるおそれがある場合は60日以内とされています（個人情報保護委員会「漏えい等の対応と報告等」）。つまり、1件でも不正アクセスの疑いがあれば、報告するかどうかの判断と準備が走ります。
加えて、不動産会社では店舗異動と人の出入りが前提です。店舗異動のたびにアカウントを作り直す運用になっていると、退職時の削除が追いつかないことがあります。ポータルの管理画面のように「店舗で1つのIDを共有している」状態も起きやすく、ここはMFAやパスキーを入れても濁ったままになります。
関連記事:
今日できる3つの確認
答え: 共有アカウント、MFAの有効範囲、退職・異動時の手順の3点です。ツールを増やす前に、現状を書き出すところから始めます。かかる時間はシステムの数と管理状況によるので、まず利用者の多いシステムから埋めてください。
1. 共有アカウントがどこにあるか
システムごとに「発行しているIDの数」と「実際に使っている人数」を並べます。数が合わないところは確認のきっかけになりますが、休眠IDや管理用IDが理由のこともあり、数が同じでも共有している場合があります。最終的には、1つずつIDと利用者を対応づけて確かめます。ポータルの管理画面、レインズ、会計、チャット、ファイル共有のあたりは確認しておきたい箇所です。
2. MFAが提供されているか、全員に効いているか
「提供されているか」と「全員が有効にしているか」は別の話です。管理者だけ有効、本人任せ、という状態だと、弱いところから入られます。ベンダーが標準提供に切り替えている場合は、すでに使える状態になっていることがあるので、まず管理画面を見ます。
3. 退職・異動のときに誰が何をするか
手順が決まっているか、そして実行する人が決まっているかを確認します。「情シス担当がいないので、気づいた人がやる」は手順がないのと同じです。
棚卸しに使う表の例です。そのまま社内の表計算ソフトに作って構いません。
| システム名 | 発行ID数 | 実利用者数 | 共有の有無 | MFA | パスキー | 退職時の手順 | 最終棚卸し日 |
|---|---|---|---|---|---|---|---|
| 例：ポータル管理画面A | 1 | 6 | あり | 未設定 | — | 未定 | 2026-10-21 |
| 例：業務システムB | 12 | 12 | なし | 全員有効 | 提供あり | 退職日に総務が利用停止・セッション失効を確認、引き継ぎ後に削除 | 2026-10-21 |
埋まらない列と、共有ありの行が残ります。そこが次に確認する場所です。どれから手を付けるかは、そのシステムが扱う情報と、付いている権限の大きさで決めます。
メールの転送先や通知先を含めた棚卸しをまとめてやりたい場合は、自作したメール転送、止めずに運用できていますか ― 20項目の棚卸しチェックリストの観点も使えます。
先に洗い出しておくこと：自動ログインしている仕組み
答え: 認証方式を変える前に、人ではなくプログラムがログインしている経路と、そのアカウントを一覧にします。
認証を強くするときに、見落とされやすいのがここです。
社内に、人ではなくプログラムがログインしている仕組みがあると、MFAを有効にした時点で止まることがあります。たとえば、媒体の管理画面に代理でログインして情報を取ってくる仕組み、RPA、自作スクリプト、スクレイピングなどです。
止まる・止まらないは構成によるので「必ず止まる」とは言えませんが、切り替え前に一覧を作っておくかどうかで、復旧にかかる時間が変わります。確認する内容は3つです。
- どのシステムに、どの仕組みが、どのアカウントでログインしているか
- そのアカウントにMFAやパスキーを有効にしたとき、提供元はどう案内しているか（連携用アカウントを別枠で用意している場合があります）
- 止まったときに気づける状態か（エラー通知の宛先が退職者になっていないか）
なお、媒体の管理画面に代理ログインして情報を取得する仕組みは、媒体ごとにログイン方式・画面構造・セッションの扱いが違い、媒体側の仕様変更やMFA導入のたびに追従が必要になります。自社で組んでいる場合は、追従する担当者を決めておくところまでが運用です。
向かないケース
- システムが1つ、利用者も1人：優先度は下がります。先にバックアップや端末の紛失対策を見たほうが効きます。
- ベンダーがまだ提供していない：パスキーは利用するサービス側が対応していないと使えません。提供されていないシステムについては、共有アカウントの解消とパスワードの使い回し防止が現実的な打ち手です。
- 今まさに繁忙期：認証の切り替えは、止まったときに業務が止まります。切り替え日は繁忙期を外します。
よくある質問
パスキーを使い始めると、パスワードは使わなくなりますか
サービスによります。各社のリリースでは「パスワードレス認証の提供を開始」と書かれていますが、既存のパスワードを即時に廃止するとまでは書かれていないことが多く、しばらく併用になるのが一般的です。自社が使っているサービスの管理画面やマニュアルで、パスワードを無効化できるかどうかを確認してください。
SSOを入れればMFAは不要になりますか
いいえ。SSOは入口を1か所にまとめる仕組みなので、その入口の認証が弱ければ、まとめた分だけ影響が大きくなります。SSOを入れる場合は、入口側（IdP）でMFAやパスキーをどう設定するかをセットで決めます。
ポータルサイトの管理画面はどうすればよいですか
媒体側が提供している認証方式の範囲でしか設定できません。まずは、各媒体の管理画面で何が選べるかを確認します。共有せざるを得ないIDについては、誰が知っているかを記録したうえで、異動・退職のタイミングで、媒体の仕様に応じてパスワードの変更、認証手段の見直し、開いているセッションの失効まで行います。名簿を更新するだけでは、知っている人からのアクセスは止まりません。
社内にIT担当がいない場合、どこから手を付けますか
棚卸し表の「共有の有無」の列だけ先に埋めてください。共有している行が見つかったら、そのシステムについて利用者・権限・認証設定の3つを確認します。そのあとでMFAの有効範囲と、退職・異動時の手順に進みます。どのシステムの何が決まっていないかが言えるようになれば、ベンダーに相談するときの話も具体的になります。
まとめ
- 業務システム側の認証強化は、標準提供・オプション提供の両方の形で進んでいる
- MFA・SSO・パスキーは、どれも「アカウントを誰が持っているか」までは解決しない
- 自社でやることは、共有アカウントの棚卸し、MFAの有効範囲の確認、退職・異動時の手順の明文化
- 切り替え前に、プログラムが自動ログインしている箇所を一覧にしておく
まずは棚卸し表の1行目を埋めるところからで十分です。埋まらない列が、次に確認する項目になります。
—
—
この記事を書いた会社
7plus株式会社 不動産会社向けの営業DX支援を行うITソリューションプロバイダーです。反響対応を即時化する「Mail2Link」「Mail2Link×AI」、ノーコード業務アプリ「BizBlock」の開発・提供に加え、Salesforce認定パートナーとして不動産特化型Salesforceパッケージの導入・定着コンサルティングも行っています。
詳しくはこちら → https://7plus.jp/
