7月22日 東京にて、FIDOボードメンバーであり、FIDO Japan WGのメンバー企業でもある2社が、次なる重要なフロンティアである「エンタープライズ市場へのパスキー導入」について対談を行いました。この1時間にわたる対談は、耐フィッシング認証や新たに登場しているAI関連のユースケースを中心に、エンタープライズ領域全体でパスキーを拡大していく上での主要な課題と機会を明らかにすることを目的として開催されました。
RSA側からはフィールドCTOのIngo Schubert氏、SE ManagerのMohamed Zohny氏らが参加し、FIDO Japan WG 共同副座長でメルカリCISOの市原尚久氏と対談を行いました。本対談の主な目的はグローバルの知見を共有し、日本のみならず世界全体でエンタープライズ環境におけるパスキー導入をいかに加速できるかを探ることです。
コンシューマー市場における成功の基盤：目覚ましい成果
日本におけるコンシューマー向けパスキーの普及は目覚ましいものがあります。C2Cマーケットプレイスをリードするメルカリは、約2,300万の月間アクティブユーザーを抱え、そのうちすでに1,300万近いアカウントがパスキーを利用しています。このパスワードレス認証への大胆なアプローチは、従来のSMSを用いたOTP（ワンタイムパスワード）と比較して、極めて高いサインイン成功率を実現しています。
さらに、日本の金融業界においては、2025年に発生した証券会社をターゲットとした大規模なフィッシング攻撃を背景に金融庁（FSA）が2025年に発行した厳格な監督指針により、金融業界全体での耐フィッシング認証の採用を強く促す規制圧力となっており、業界全体のより安全な認証方式への移行を後押ししています。
しかし、このコンシューマー領域での成功をエンタープライズ領域へ適応させるには、業界全体で取り組むべき独自の技術的・運用上の課題が存在します。
「同期パスキー」のジレンマ
クラウド経由で同期される同期パスキー（Synced Passkeys）は、コンシューマーの利便性においては非常に有効ですが、企業環境においては特有のセキュリティ課題をもたらします。対談では、認証情報の管理をサードパーティの同期フレームワークに委ねることで、個人の家族用タブレットなど、企業の管理外デバイスに認証情報が意図せず拡散してしまうリスクが指摘されました。
強固なエンタープライズセキュリティを実現するためには、特定の企業ペルソナに対して「デバイスバウンド（特定の端末に紐づく）」なキーを強制する、きめ細やかなポリシー制御が必要です。これにより、認証が企業の管理境界内に厳密にとどまることを保証します。
アイデンティティ・ライフサイクルの保護と不正対策
暗号学的にどれほど強固な認証方法であっても、それを囲む周辺のワークフローが脆弱であれば、安全性は担保されません。昨今の大規模な侵害事件でも顕著なように、攻撃者はITヘルプデスクに対するソーシャルエンジニアリング手法を用いてMFAを回避する傾向を強めています。
パスワードレス認証への移行は、企業がアイデンティティ基盤をエンドツーエンドで再構築するための重要なトリガーとなります。対談では、入社時の厳格な本人確認（KYC）から、自動化されつつも極めてセキュアなアカウント・リカバリープロセスに至るまで、認証器のライフサイクル全体を保護することが、真のゼロトラスト達成において不可欠であると強調されました。
AIエージェント：新たなトラスト・バウンダリーの定義
自律型AI（Agentic AI）の時代に突入する中、新たな運用上の課題が浮上しています。「自律型AIエージェントは、いかにして人間に代わって安全に認証を行い、アクションを実行できるのか？」という点です。
市原氏は、財務チームが企業の銀行送金や購買タスクをAIエージェントに委任するようなB2Bオペレーションにおいて、安全性の確保されたAIへの委任が今後ますます重要になると強調しました。
生のFIDO認証情報をそのままAIに渡すことは、説明責任の連鎖を断ち切ることを意味します。この問題に対処するため、業界ではAgent Payments Protocol（AP2）などのプロトコルの活用が進んでいます。AP2はもともとGoogleが開発し、オープンでプラットフォームに依存しないガバナンスを実現するため2026年4月にFIDOアライアンスへ寄贈されたプロトコルで、Verifiable Intentの枠組みと組み合わせることで、人間の承認を安全にAIのアクションへ紐づけます。
さらに、セキュリティ業界はブラックボックス化されたシステムではなく「決定論的（Deterministic）AIモデル」を利用し、自動化されたセキュリティ上の意思決定が完全に説明・監査可能であることを保証し、企業の信頼を維持する必要性についても議論されました。
レジリエンスとクラウドからの独立性
欧州のデジタルオペレーショナルレジリエンス法（DORA）などの規制を背景に、今後はクラウドに依存しないアイデンティティ基盤への世界的な需要が高まっています。重要インフラを管理する企業は、大規模なクラウド障害や地政学的危機の際にも認証システムが稼働し続ける保証を求めています。運用のレジリエンスと厳密なデータ主権（データソブリンティ）を確保する「オンプレミス型FIDOソリューション」の必要性が、業界全体でますます認識されつつあります。
結論
パスキーへの移行は、単なるログイン方法の置き換えではありません。企業が自社のアクセス管理アーキテクチャを根本から再評価するための戦略的な契機です。FIDO Japan WGのようなグループ内で継続的に知見を共有し協力し合うことで、メンバー企業は世界中のエンタープライズにとってより安全でパスワードレスな未来への道を切り拓いています。
