SCS評価制度の要求事項4-1-4「アカウントロック制御」とは：パソコン・スマホの画面ロックは、10回失敗でロックか試行間隔の延長、6文字以上

4-1-4は何を求めているか：評価基準2項目の中身

要求事項4-1-4の原文は、「パソコン及びスマートデバイスにはロック制御を行うこと。」の1文です。何をすれば満たしたことになるかは、2つの評価基準に分けて書かれています（ ★3・★4 要求事項・評価基準 、経済産業省・IPA、2026年3月27日版）。

2項目とも★3の段階から求められ、★4で増える項目はありません。内容を要約すると次のとおりです。

大分類「攻撃等の防御」の中分類「アイデンティティ管理、認証、アクセス制御」に含まれます。★3と★4の違い、取引先に何を確認するかは SCS評価制度とは にまとめています。

最初にやること

1. 会社のパソコンとスマートフォンの、画面ロックの設定を確認する
2. 10回失敗でロック（または試行間隔の延長）を設定する
3. パスワードとPINの長さを決める

この項目で用意するもの（★3）

4-1-4で用意するものは、端末の設定と、設定を決めた文書の2つです。

• 設定：パソコンとスマートデバイスの、入力の失敗への制限。試行間隔を延ばす設定か、10回失敗でロックする設定（4-1-4-1（入力の失敗への制限））
• 設定：パスワードまたはPINの最低の長さ6文字以上（4-1-4-2（最低の長さ））
• 文書：端末の種類ごとに、どちらの設定を使うかを書いた一覧。設定できない端末の代わりの対策も書く（4-1-4-1）

一覧という形は評価基準に書かれていません。取引先から確認されたときに示すための、編集部の整理です。

落とし穴1：2つの設定のうち、どちらか1つでよい

4-1-4-1（入力の失敗への制限）が求めるのは、「試行が失敗するたびに試行間隔が長くなる」設定と、「10回以上失敗すると端末をロックする」設定の、どちらかです。両方を入れる必要はありません。

「少なくとも10回以上失敗すると」の数え方は、評価基準の文言だけでは確定しません。10回以内でロックする設定にしておくと、確実です（編集部の読み方）。

落とし穴2：設定できない端末は、より強いパスワードで補う

端末によっては、どちらの設定もできないことがあります。その場合、4-1-4-1は、4-1-5（パスワード設定ルール）で求められるよりも強度の高いパスワードを使うなどの代わりの対策を求めています。

4-1-5の基準は、多要素認証（パスワードに加えて別の方法でも本人を確かめる仕組み）か「10回失敗でロック」がないときは、英大文字・小文字・数字を含む10文字以上です。それより強くするので、10文字を超える長さにするのが目安になります（編集部の読み方）。詳しくは 4-1-5の記事 にあります。

設定できない端末があること自体を、一覧に書いておきます。理由と代わりの対策が書いてあれば、取引先にも説明できます。

落とし穴3：6文字は最低ライン。パスワードの長さは4-1-5でも決まる

4-1-4-2（最低の長さ）の「最低でも6文字以上」は、パソコンのログオンとスマートデバイスのロック解除の、最低の線です。パスワードの長さは、4-1-5-3（文字数などの保護対策）でも、8文字または10文字と決まっています。

パソコンのログオンにパスワードを使うなら、4-1-5の基準にも合わせる必要があります（編集部の読み方）。6文字が使えるのは、スマートデバイスのPINなど、パスワードではない場合です。

4-1-5-3は、多要素認証を使うか「10回失敗でロック」で制限したうえで、8文字以上と定めています。4-1-4-1で10回失敗のロックを入れれば、4-1-5-3の8文字の条件にも使えます（編集部の読み方）。

進め方（30人規模の記入例）

編集部の記入例です。端末と設定は、自社のものに置き換えます。

1. 端末を種類別に分け、一覧にする。会社のパソコン、スマートフォン、タブレット
2. 端末ごとに、画面ロックの設定を確認する。試行間隔が延びるか、10回失敗でロックされるか
3. 設定できる端末は設定する。設定できない端末は、より強いパスワードにし、その旨を一覧に書く
4. パスワードとPINの長さを決める。パソコンは8文字以上（4-1-5に合わせる）、スマートフォンのPINは6桁以上