MFAのシステム開発の発注/外注/依頼/委託方法について

MFAのシステムを発注・外注するなら、認証方式だけでなく、既存システムとの連携、利用者登録・復旧、監査ログ、運用体制までを要件に含めて、IDaaSの設定支援か個別開発かを選ぶことが重要です。

Microsoft 365やGoogle Workspaceを使っている企業でも、VPN、オンプレミスの業務システム、VDI、販売管理・会計システムまで同じMFAで守れるとは限りません。この記事では、MFAのシステム開発を外部へ委託するときの発注形態、RFPと要件整理、契約形態、費用相場、委託先の選び方、見積書の比較方法を、実際のプロジェクトで判断しやすい順番に解説します。

▼全体ガイドの記事
・MFAのシステム開発の完全ガイド

MFAのシステムを発注・外注する前に押さえる全体像

MFAの発注で最初に決めることは、どの認証アプリを使うかではなく、どの業務を、誰から、どの条件で守るかです。既存の認証基盤に設定を追加するだけで済むケースもあれば、SAMLやOIDCに対応していない古いシステムを中継サーバーや認証ゲートウェイで接続するケースもあります。

業務システムのMFAでは、ログイン時の追加コードだけでなく、認証器の登録、端末紛失時の再登録、退職者の失効、管理者の承認、緊急用アカウント、認証失敗の通知まで設計します。たとえば認証アプリを登録したスマートフォンを紛失したとき、本人確認をせずに電話一本で解除できる運用にすると、MFAそのものより回復窓口が弱点になります。

要素の選択も重要です。SMSやメールのワンタイムパスワードは始めやすい一方、SIMスワップ、メールアカウント侵害、リアルタイム型フィッシングの影響を受けます。管理者、VPN、財務情報、個人情報を扱うシステムでは、FIDO2やパスキー、セキュリティキー、端末証明書など、フィッシング耐性を持つ方式を優先する設計が現実的です。NISTの「SP 800-63B-4」は2025年7月に公開され、認証器の保証レベルだけでなく、登録・管理・失効を含む認証器管理を整理しています（出典: NIST、2025年）。

発注形態は大きく三つに分けられます。第一は、Microsoft EntraやOktaなど既存のIDaaSを契約済みで、条件付きアクセス、認証アプリ、グループ設定、操作マニュアルの整備を外注する方法です。対象がMicrosoft 365など標準対応のサービスだけなら、個別の認証機能を作らずに始められます。Microsoftの公式資料でも、基本的なMFAは追加料金なしで使える場合がある一方、条件付きアクセスや高度な制御はライセンス条件の確認が必要と説明されています（出典: Microsoft Learn、2025年時点掲載情報）。

第二は、独自Webアプリやオンプレミス環境をIDaaSへSAML、OIDC、LDAP、RADIUSなどで連携する方法です。認証のコア機能は製品に任せ、業務側のログイン連携、ユーザー同期、権限マッピング、ログ連携だけを開発するため、スクラッチ開発よりも保守負担を抑えやすいです。第三は、複数拠点・数千人以上の利用者、複数の認証方式、24時間運用、災害対策まで含む認証基盤を構築する方法です。費用は大きくなりますが、全社のIDライフサイクルと監査を統一したい企業には適しています。

MFAのシステム発注・外注はどのように進めますか？

結論として、MFAの外注は「現状棚卸しとリスク分類」「RFPと要件整理」「PoCと段階導入」「運用引き継ぎ」の順で進めると失敗を減らせます。いきなり製品や開発会社を決めると、古いプロトコルへの対応や、端末紛失時の復旧などが後から追加され、見積もりと納期が膨らみやすくなります。

企画段階では、対象システム名、利用者数、社内・社外ユーザーの別、管理者アカウント数、接続元端末、現行の認証方式、ユーザー情報の管理元を一覧にします。SAMLやOIDCに対応しているSaaSと、ID・パスワードを画面内で直接照合する古いシステムでは、必要な対応がまったく異なります。VPNやVDIではRADIUS、証明書、端末管理製品との連携が必要になることもあります。

次に、特権管理者、リモート接続者、財務・個人情報を扱う担当者、外部委託先などを高リスク群に分類します。全員に同じ方式を適用するのではなく、高リスク群にはパスキーやFIDO2を優先し、一般利用者には認証アプリを併用するなど、業務停止リスクと安全性を両立させます。プッシュ通知を採用する場合も、連続通知を承認させるプッシュ爆撃への対策として、番号照合や通知回数制限を要件に含めます。

RFPには、対象ユーザー数と増加見込み、対象アプリ数、認証の必須方式、許容する代替方式、SSOの要否、Active Directoryや人事マスタとの同期、SCIMなどのライフサイクル連携、ログの保存期間、SIEMへの転送、可用性、障害通知、問い合わせ窓口を記載します。「MFAに対応すること」だけでは提案会社ごとに解釈が分かれるため、「管理者はフィッシング耐性のある方式を必須とする」「退職処理から何分以内にアクセスを停止する」といった受入条件に落とし込むことが大切です。

また、登録・解除・再登録の画面や申請フロー、本人確認の方法、バックアップ認証器、緊急用アカウントの利用記録、管理者権限の分離もRFPに含めます。納品物はソースコードだけでなく、設定一覧、連携仕様書、テスト結果、運用手順、障害時の切り戻し手順、教育資料、ログ項目一覧まで明記します。これらを先に揃えると、見積価格だけでは比較できない運用品質を評価できます。

提案を受けたら、代表的な一つのシステムと少人数の利用者でPoCを実施します。確認するのは正常なログインだけではありません。端末紛失、スマートフォンの機種変更、ネットワーク断、認証サーバー障害、時刻ずれ、アカウントロック、退職者の即時無効化、管理者の交代、利用者が登録に失敗した場合のヘルプデスク対応まで試します。成功率、ログイン時間、問い合わせ件数、復旧時間を測定すると、導入後の負担を具体的に見積もれます。

本番展開は、認証基盤の管理者、IT部門、特定部署、全社の順に広げます。各段階で認証失敗率、登録完了率、問い合わせ件数、復旧に要した時間、例外申請数を確認し、次の段階へ進む基準を決めます。全社一斉に必須化する場合でも、緊急用アカウントの保管、オフライン時の代替手段、切り戻しの期限を事前に定めておくと、業務停止を抑えられます。

MFAのシステム開発費用の相場とコスト内訳

MFAの受託開発だけを切り出した公開見積は少ないため、以下は業務システム一般の規模別相場と、認証API・本人確認系の公開相場を組み合わせた推定レンジです。利用者数だけでなく、連携するアプリ数、既存システムの改修可否、認証器の運用、可用性、監査要件で金額が変わるため、予算計画では前提条件とセットで扱います。

既存IDaaSの設定・小規模展開であれば、初期費用は0〜60万円程度の推定レンジです。自社で設定する場合は外注費が発生しないこともありますが、ポリシー設計、管理者教育、テスト、マニュアル作成を外注する場合は費用が加わります。1つの独自Web業務システムにMFAを追加する場合は、登録・解除・回復画面、APIやSDK連携、監査ログ、受入テストを含めて100万〜500万円程度が推定の目安です。

SSOとAD連携を含む複数システム展開では、300万〜1,500万円程度が推定レンジになります。5〜20システムを対象に、ユーザー同期、権限マッピング、段階移行、ヘルプデスク設計まで含めると、単一アプリの追加より工数が増えます。複数拠点・数千〜数万人の利用者、高可用性、SIEM連携、端末証明書、災害対策、24時間運用まで含む全社認証基盤では、1,000万〜5,000万円以上の規模になる可能性があります。いずれもMFA固有の公表価格ではなく、前提付きの推定です。

初期開発費だけを比較すると、導入後に想定外の請求が発生します。費用項目は、IDaaSや認証基盤の月額ライセンス、SMSや音声OTPの送信料、FIDO2キーの購入・交換費、端末証明書、ログ保存・SIEM、監視、ヘルプデスク、利用者教育、脆弱性対応、障害時の支援に分けて見積もります。Oktaの公式価格ページでは、Workforce IdentityのStarterが1ユーザー月額6米ドルから、Essentialsが17米ドルからと示されていますが、年契約や契約条件があるため、そのまま円換算して予算を断定してはいけません（出典: Okta公式価格ページ、2026年確認）。

Microsoft Entraでは、セキュリティの既定値による基本的なMFAを追加費用なしで利用できる場合があります。一方、条件付きアクセスでユーザー、場所、端末状態、リスクに応じたルールを設定する場合は、P1やP2などライセンスの確認が必要です（出典: Microsoft Learn、2025年掲載情報）。既存契約に含まれる機能を確認してから、追加ライセンスと設定支援を切り分けると、二重契約を防ぎやすくなります。

見積書は「MFA機能一式」ではなく、要件定義、基本設計、認証基盤設定、アプリ連携、ユーザー同期、登録・回復画面、ログ・監視、テスト、移行、教育、保守の単位で確認します。業務システム一般では、要件定義・設計が10〜24%、実装が48〜50%、テストが15〜17%程度という配分を仮置きする考え方がありますが、MFAでは認証器の登録・回復テストと連携試験を削ると品質に直結します（出典: NotebookLM Q&A「業務システム全般_16」、2026年作成ノート）。

利用者数、対象アプリ数、開発対象のプロトコル、SMS送信量、ログ保存期間、冗長化、休日・夜間対応の有無を、単価とは別に変動条件として記載してもらいます。保守運用費は初期開発費の年15〜25%程度を仮置きできますが、ライセンスやSMS、キー交換費は別に積算します。このようにしておくと、安い初期見積もりが実は運用範囲を含んでいないという比較ミスを避けられます。

委託先の選定と見積比較で確認するポイント

委託先は、MFA製品を販売できるかだけでなく、既存の業務と運用に落とし込めるかで評価します。IDaaSの設定に強い会社、オンプレミスやネットワーク連携に強いSIer、FIDO2や端末証明書など認証技術に強い会社では、得意な領域が異なります。RFPを同じ条件で渡し、技術、体制、金額、将来の変更容易性を分けて比較します。

提案会社には、対象と似た認証連携の実績を、製品名の羅列ではなく構成図と課題で説明してもらいます。確認項目は、SAML、OIDC、WebAuthn、RADIUS、LDAP、SCIM、Active Directory、人事マスタ、SIEMとの連携経験です。古い業務システムの場合は、画面改修、リバースプロキシ、認証ゲートウェイ、端末証明書など、複数の選択肢を比較できる会社が向いています。

方式の安全性も見積比較に含めます。SMSやメールOTPを単に「二要素だから安全」と扱っていないか、プッシュ爆撃、SIMスワップ、フィッシング、リプレイ、認証器の不正登録をどのように防ぐかを質問します。NTTデータは2026年4月にFIDO2準拠のパスキー対応サービスを開始し、既存MFAや端末証明書との併存、段階導入、24時間365日運用を案内しています（出典: NTTデータ、2026年4月）。このように、今のMFAだけでなく将来のパスワードレス化まで提案できるかも評価材料になります。

見積比較では、合計金額の順位だけで決めないことが重要です。各社の見積書を、要件定義、設計、設定、個別開発、テスト、データ移行、教育、リリース支援、保守、ライセンス、外部サービス従量課金に分解し、含む・含まないを表にします。特に「既存環境がSAML対応であること」「利用者情報が正しく整備済みであること」「顧客側がテストデータを用意すること」などの前提条件は、金額の下に隠れやすい項目です。

価格差が大きい場合は、安い会社を選ぶ前に、対象アプリ数、テストシナリオ、ログ保存、障害対応時間、納品物、責任範囲を確認します。現場ヒアリングが少ない見積もりは、後から追加開発になりやすいです。反対に、過剰な冗長化や使わない機能が含まれている場合は、段階導入に切り分けることで初期費用を抑えられます。

要件が固まった範囲は請負契約で成果物、納期、受入条件を明確にし、既存環境の調査やPoC、段階導入の改善作業は準委任契約で柔軟に進める方法があります。すべてを請負にすると、未知の連携条件を含んだまま責任範囲が曖昧になり、変更時の費用調整で対立しやすくなります。逆に、すべてを準委任にすると、成果物や完了基準が曖昧になり、予算上限を管理しにくくなります。

契約では、認証情報やログの所有権、個人情報の取扱い、再委託、脆弱性が見つかった場合の対応、SLA、障害時の連絡経路、設定・ソースコード・ドキュメントの引渡し、ベンダー変更時の移行支援を確認します。MFAは止まると利用者全体がログインできなくなるため、復旧目標、切り戻し方法、緊急用アカウントの扱いを契約書や運用合意書に残す必要があります。

よくある質問

MFAのシステムを発注する際に、特に相談が多い疑問をまとめます。自社の環境によって最適な方式と費用が変わるため、回答をそのまま当てはめるのではなく、RFPの前提条件を整理する材料として活用してください。

既存IDaaSの設定支援なら0〜60万円程度、1つのWeb業務システムへのMFA追加なら100万〜500万円程度、SSO・AD連携を含む複数システム展開なら300万〜1,500万円程度が推定の目安です。全社認証基盤、高可用性、SIEM、24時間運用まで含めると1,000万〜5,000万円以上になる可能性があります。これらは公開されたMFA単体の定価ではなく、連携数や運用要件を前提にした推定レンジです。

Microsoft 365など標準対応サービスだけを保護するなら、既存ライセンスの設定と利用者教育だけで始められる場合があります。ただし、VPN、オンプレミス業務システム、VDI、独自Webアプリ、端末証明書、SIEM連携まで対象にするなら、追加の設計・連携開発・テストを外注する価値があります。まず対象システムのプロトコルとユーザー情報の管理元を棚卸しし、設定支援で済む範囲と個別開発が必要な範囲を分けてください。

導入のしやすさだけならSMS認証が候補になりますが、重要な管理者操作や機密情報を扱う環境では、フィッシング耐性のあるFIDO2・パスキー・セキュリティキーを優先します。SMSやメールOTPを完全に禁止できない場合でも、高リスク操作には使用させない、バックアップ手段を厳格に管理する、回復時の本人確認を強化するという段階的な設計が可能です。利用者の端末状況、オフライン利用、紛失時の復旧方法まで含めて、方式を決めてください。

対象範囲と受入条件が固まっている設定・連携開発は請負契約、現状調査、PoC、段階導入、運用改善は準委任契約が検討しやすいです。実際には、調査・PoCを準委任で行い、要件が固まった本番開発を請負で契約する組み合わせもあります。契約形式よりも、成果物、完了基準、変更手続き、障害時の責任、設定とソースコードの引渡しを明文化することが重要です。

まとめ

MFAのシステムを発注・外注するときは、認証アプリの導入費だけを比べてはいけません。対象システム、利用者、管理者権限、認証方式、ユーザー同期、登録・回復、監査ログ、障害対応を一つの要件として整理し、既存IDaaSの設定支援、個別の連携開発、全社認証基盤構築のどこまでが必要かを決めます。

RFPには、SAML・OIDC・WebAuthnなどの連携条件、フィッシング耐性、認証器の登録と失効、紛失時の復旧、ログ保存、SLA、教育、納品物を具体的に書きます。見積書は初期開発費、ライセンス、従量課金、保守、教育に分け、含むものと含まないものを同じ条件で比較してください。金額の安さより、導入後に利用者が安全に使い続けられるかを基準にすることが大切です。

最初から全社一斉のMFA必須化を目指すのではなく、管理者や高リスクの業務から対象を選び、代表システムでPoCを行うと、連携の難所と問い合わせ量を確認できます。MFAは製品を入れて終わる仕組みではなく、認証器のライフサイクル、管理者権限、回復フロー、監査、将来のパスキー移行まで含めて運用する仕組みです。自社の環境を整理したうえで、複数の委託先へ同じRFPを渡すことから始めてください。

▼全体ガイドの記事
・MFAのシステム開発の完全ガイド

会社紹介

株式会社riplaでは、お客様の事業・ユーザー・業務に最適化したオーダーメイド型システムを、構想策定・要件定義から開発・改善まで一気通貫で支援。事業会社でIT・DXを経験したプロフェッショナルによる高い要件定義力・システム設計力を活かし、事業成果の最大化に伴走します。

また、当社独自の開発テンプレート「Boxシリーズ」による標準機能の高速開発と、AI駆動開発の独自フレームワーク「GoDD」による独自機能のAI実装を組み合わせることで、低コスト・短期間で開発を実現いたします。

もし、システム開発やプロダクト開発に関するご要望がございましたら、お気軽にお問い合わせください。

株式会社riplaの会社HPはこちら

・サービス概要資料のURLはこちら >>>
・お問合せページのURLはこちら >>>
・お役立ち資料のURLはこちら >>>

執筆者プロフィール

張田谷凌央

株式会社ripla 代表取締役CEOとして、システムパッケージ活用、システム開発、データ分析、生成AI活用、SaaS開発、アプリ開発、EC構築など、幅広い領域で企業のDX推進と事業成長を支援している。事業会社でIT・DXを経験したプロフェッショナルが集う株式会社riplaにおいて、お客様の事業・ユーザー・業務に最適化したオーダーメイド型システムを構想策定・要件定義から開発・改善まで一気通貫で支援し、単なるシステム納品にとどまらず、クライアントと同じ目線で事業成果の最大化に向けた伴走支援を行う。早稲田大学卒業後、ラクスル株式会社、LINEヤフー株式会社にて事業開発やDX推進などに従事した後、株式会社riplaを創業。