SCS評価制度の要求事項4-1-3「認証の強度・実装方法の決定」とは：多要素認証が必須になる範囲と、パスワードの長さ

4-1-3は何を求めているか：評価基準5項目の中身

要求事項4-1-3の原文は、「システム及び情報の重要度に応じて認証の強度及び実装方法を決定すること。」の1文です。何をすれば満たしたことになるかは、5つの評価基準に分けて書かれています（ ★3・★4 要求事項・評価基準 、経済産業省・IPA、2026年3月27日版）。

★3で求められるのは4-1-3-1から4-1-3-4までの4項目で、4-1-3-5は★4で加わります。内容を要約すると次のとおりです。

大分類「攻撃等の防御」の中分類「アイデンティティ管理、認証、アクセス制御」に含まれます。★3と★4の違い、取引先に何を確認するかは SCS評価制度とは にまとめています。

この項目で用意するもの（★3）

• 設定：重要な機密情報を扱うクラウドサービス（メール、ファイル共有、会計など）で、ユーザーと管理者の全員に多要素認証を有効にする。多要素認証で使うパスワードは8文字以上にする
• 一覧：どのサービスを「重要な機密情報を扱う」と判断したかと、多要素認証の方式（例：パスワード＋スマートフォンの認証アプリ）
• 記録：有効にした日と、確認した人

評価基準が求めているのは、認証の強さと方法を「決定する」ことと、その設定です。一覧と記録は、決めた内容を示すための用意です（編集部の整理）。★3と★4の違い、取引先に何を確認するかは SCS評価制度とは にまとめています。

落とし穴1：パスワードを2回入れても、多要素認証にはならない

「2種類以上」は、要素の種類の数です。パスワードを2回入力させても、どちらも知識情報なので1種類のままです。パスワードの次にスマートフォンのコードや認証アプリの承認を組み合わせれば、知識情報と所有情報の2種類になります（編集部の読み方）。

4-1-3-3は、次の要素から2種類以上を選ぶことを求めています。

所有情報のワンタイムパスワードには注記があり、利用者のメールアドレスや電話番号にワンタイムパスワードを送って入力させる方法と、スマートフォンへの認証要求を使った方式も含むとされています。

落とし穴2：「全員・全システムに多要素認証」ではない

★3で常に多要素認証を求めているのは、重要な機密情報を取り扱うクラウドサービスへのアクセスです（4-1-3-2）。それ以外のIDは、IDごとの認証情報（パスワード等）で認証できれば足ります（4-1-3-1）。重要度で線を引き、重要なものに強い認証を求める作りです。

★4では、社内環境へのインターネット経由の接続や、管理者のアクセスなどにも広がります（下の「★4で広がる範囲」）。

落とし穴3（SSOを使う会社）：「常に」は、まだ国の解釈待ち

4-1-3-2は「常に」多要素認証を使うと書いています。SSO（一度の認証で複数のサービスに入る仕組み）を使うと、最初のログインで多要素認証を行い、セッションの有効期間内は再認証を省くのが一般的です。このため、制度の意見募集では、「常に」がアクセスのたびの認証と読まれると運用と合わなくなるとして、再認証を省くことを否定しない旨の注釈を付けてはどうか、という意見が出ています。

国の回答は、要求事項と評価基準を具体的に解説するガイダンス資料等を今後整備するので、意見はその作成の参考にする、というものです。注釈を加えると決めたとは書かれていません。評価基準の文言は現時点で「常に」のままで、SSOを使った運用がどこまで認められるかは、ガイダンス資料の公表を待って確認する必要があります（編集部の整理）。

進め方（30人規模の記入例）

編集部の記入例です。どのサービスが重要な機密情報を扱うかは、自社で判断します。

1. 重要な機密情報を扱うクラウドサービスを洗い出す。判断の例：取引先の図面や見積書を置くファイル共有、会計、人事・給与、メール
2. 洗い出したサービスの管理画面で、ユーザーと管理者の全員に多要素認証を有効にする（例：パスワード＋スマートフォンの認証アプリ）
3. 使っている方式が2種類以上の要素になっているかを確かめる（落とし穴1）
4. パスワードの最小文字数を8文字以上に設定する
5. 一覧に「サービス名、重要と判断した理由、多要素認証の方式、有効にした日、確認した人」を記録する
6. ★4を目指す場合は、社内環境へのVPN（社外から社内ネットワークにつなぐ仕組み）など、インターネット経由の接続と管理者のアクセスにも多要素認証を掛ける

★4で広がる範囲

4-1-3-5は、重要な機密情報を取り扱うシステムで、4-1-3-2のクラウドサービスへのアクセスに加えて、次の場合にも常に多要素認証を求めます。

• インターネットを経由して社内環境へ接続する場合
• 管理者がインターネット経由でシステムにアクセスする場合
• ユーザーがインターネット経由で重要な機密情報を取り扱うシステムにアクセスする場合

★3は「重要な機密情報を取り扱うクラウドサービス」が対象で、★4はそこに、社内環境への遠隔接続や、管理者のアクセスといった入口が加わります。

パスワードは何文字にすればよいか

多要素認証を入れていれば、8文字以上で足ります（4-1-3-4）。

4-1-3-4は、多要素認証の知識情報として使うパスワードを8文字以上にすると定めています。多要素認証を使わないパスワード認証については、別の要求事項4-1-5「パスワード設定ルール」（4-1-5-3）が、次のいずれかを求めています。

• 多要素認証を使うか、試行が少なくとも10回失敗したらアカウントをロックする制限をかけたうえで、パスワードを8文字以上にする
• 多要素認証も試行回数の制限もできない場合は、英大文字・小文字と数字を含めた10文字以上にする