SCS評価制度の要求事項4-1-1「ユーザIDの管理手続」とは：申請・承認制、共有IDの扱い、退職時の速やかな削除

4-1-1は何を求めているか：評価基準4項目の中身

要求事項4-1-1の原文は、「ユーザIDの発行・変更・削除の手続を定めること。」の1文です。何をすれば満たしたことになるかは、4つの評価基準に分けて書かれています（ ★3・★4 要求事項・評価基準 、経済産業省・IPA、2026年3月27日版）。

4項目とも★3の段階から求められ、★4で増える項目はありません。内容を要約すると次のとおりです。

大分類「攻撃等の防御」の中分類「アイデンティティ管理、認証、アクセス制御」に含まれます。★3と★4の違い、取引先に何を確認するかは SCS評価制度とは にまとめています。

この項目で用意するもの（★3）

4-1-1で用意するものは、2つの手続と記録です。

• 文書：ID（ログイン用のアカウント）の付与・変更・削除の申請と承認の手続（4-1-1-1）
• 文書：退職・長期間の未使用・異動のときに、IDや権限を削除・無効化する期限と担当（4-1-1-3、4-1-1-4）
• 記録：申請と承認の記録

落とし穴1：共有IDは、禁止ではない

共有IDを使っていても、使った人を特定できれば4-1-1-2（IDを共有しない）は満たせます。

評価基準はIDを共有しないことを原則にしつつ、システムの仕様で人数分のIDを作れないときなど、やむを得ない場合の共有を認めています。そのときの条件が、共有IDを使ったユーザーを特定できるようにすることです。

たとえば複合機や共用パソコンでは、日時と利用者を書く利用記録表を残す方法があります（編集部の記入例）。

落とし穴2：「速やかに」削除の日数は、自社で決める

退職した人のIDを何日以内に消すかは、評価基準に書かれていません。

4-1-1-3（不要なIDの削除）は、退職や長期間の未使用でIDが不要になったときに「速やかに」削除または無効化することを求めています。日数の指定はないので、自社で期限を決めて手続に書きます。

退職日にIDを止めるのが最も分かりやすい決め方です。総務から担当者へ退職の連絡が自動で届く流れを作っておくと、消し忘れを防げます（編集部の整理）。

落とし穴3：IDの削除と、権限の見直しは別の項目

IDを消すことと、要らなくなった権限を外すことは、別々に問われます。

4-1-1-4（不要な権限の削除）は、異動などでIDは使い続けても、不要になったアクセス権を速やかに削除または無効化することを求めています。退職のときだけでなく、異動のたびの見直しが必要です。

見る必要のない情報が見える状態は、実際の事故にもつながっています。 関西電力送配電 では、システム改修時の設計の見落としで、関西電力の社員などが新電力の顧客情報を閲覧できる状態になっていました。

管理者IDの手続は、別の 要求事項4-1-2 （管理者IDの管理手続）で定められています。

進め方（30人規模の記入例）

編集部の記入例です。期限や様式は、自社で決めます。

1. 申請：紙1枚またはフォームに、対象者、必要なサービス、開始日を書き、部長が承認し、IT担当がIDを作る
2. 共有ID：複合機の宛先帳や共用パソコンで必要なときは、利用記録表を残す
3. 退職：総務からIT担当に連絡し、退職日にIDを停止する（期限は社内で決める）
4. 異動：異動日に、不要になった権限を見直す