管理画面に二要素認証（2FA）を入れるチェックリスト

入れる前に（ここが本体です）

• 予備コード（リカバリコード）を発行し、そのシステムの外に保管したか
• 予備コードの「置き場所」を引き継ぎ資料に1行書いたか（コード自体は書かない）
• 予備の管理者アカウントを1つ用意し、別端末か別手段で入れるようにしたか
• cron・バッチ・API連携・外形監視が、その管理画面のアカウントを使っていないか確認したか
• 共有IDを複数人で使っていないか（使っているなら、先に個人IDへ分ける算段をつけたか）
• サーバーとスマホの時刻同期が正常か確認したか

有効化するとき

• まず自分の1アカウントだけで有効化したか（全員一斉にしていないか）
• 有効化後、一度ログアウトして入り直せることを確認したか
• 予備コードでも1回入れることを確認し、使った分を再発行したか
• 認証アプリを、機種変更しても引き継げる状態にしたか（同期またはキーの控え）
• 変更管理の記録に「いつ・どこに・誰の分を」1行残したか

落ち着いたら（無理なら飛ばしてよい）

• 機械が使っていたログインを、APIキーやサービスアカウントへ置き換えたか
• 対応しているシステムで、パスキー（WebAuthn）を追加したか
• SMSを使っている箇所を、認証アプリへ寄せられないか検討したか
• 半年〜1年ごとの棚卸しに「予備コードの所在確認」「不要アカウントの停止」を入れたか
• 設定手順を1枚にまとめ、次の担当者が自力で登録できるようにしたか

「入れる前に」の6つが埋まっていれば、締め出しの事故はほぼ防げます。残りに○が付かなくても大丈夫です。