SCS評価制度の要求事項4-1-5「パスワード設定ルール」とは：社内ルールで定める4つの内容と、周知の対象

4-1-5は何を求めているか：評価基準5項目の中身

要求事項4-1-5の原文は、「パスワード設定に関するルールを定め、周知すること。」の1文です。何をすれば満たしたことになるかは、5つの評価基準に分けて書かれています（ ★3・★4 要求事項・評価基準 、経済産業省・IPA、2026年3月27日版）。

5項目とも★3の段階から求められ、★4で増える項目はありません。内容を要約すると次のとおりです。

大分類「攻撃等の防御」の中分類「アイデンティティ管理、認証、アクセス制御」に含まれます。★3と★4の違い、取引先に何を確認するかは SCS評価制度とは にまとめています。

この項目で用意するもの（★3）

4-1-5で用意するものは、社内ルールと周知の記録の2つです。

• 文書：パスワードの社内ルール。初期パスワードの変更、推測されやすい単語の禁止、文字数、使い回しの禁止の4つを入れる（4-1-5-1〜4-1-5-4）
• 記録：役員、従業員、派遣社員、受入出向者に周知した日と方法（4-1-5-5）

この項目で問われるのは、ルールを定めて伝えることです。パスワードの設定を実際に強制する仕組みは、 要求事項4-1-3 （認証の強度・実装方法の決定）で扱います（編集部の整理）。

落とし穴1：定期的な変更は、求められていない

パスワードを3か月ごとに変える、といったルールは要りません。

5つの評価基準に、パスワードを定期的に変えることを求める項目はありません。求められているのは、初期パスワードの変更、推測されやすい単語の禁止、文字数などの保護対策、使い回しの禁止と、その周知です。

パスワードが狙われるのは、使い回しや、だまし取られた場合です。 KADOKAWA の事故では、フィッシングなどで従業員のアカウント情報が盗まれたことが根本原因と推測され、盗まれたアカウントで社内ネットワークに侵入されたと公表されています。

落とし穴2：文字数は、対策によって8文字か10文字

必要な文字数は、ほかの対策を併用するかどうかで変わります。

4-1-5-3（文字数などの保護対策）は、多要素認証（パスワードに加えて別の方法でも本人を確かめる仕組み）を使うか、10回失敗したらロックする制限をかけたうえで、8文字以上にすることを求めています。

どちらもできない機器やサービスでは、英大文字・小文字・数字を含めた10文字以上です。社内ルールには、両方の場合を書いておきます。

落とし穴3：周知は、派遣社員と受入出向者まで

正社員に配っただけでは、4-1-5-5（ルールの周知）は満たせません。

4-1-5-5が周知の対象に挙げるのは、役員、従業員、派遣社員、受入出向者です。派遣社員や出向者は社内のメール配信の対象から漏れやすいので、配布先の一覧で確かめます（編集部の整理）。

進め方（30人規模の記入例）

編集部の記入例です。禁止する単語の例は、自社で決めます。

1. 社内ルールを1枚にまとめる：初期パスワードは使い始める前に変更する／社名・誕生日・連番など推測されやすい単語は使わない／8文字以上にして多要素認証かアカウントロックを併用する（どちらもできないものは10文字以上で英大文字・小文字・数字を含める）／他のサービスと同じパスワードを使い回さない
2. 全員にメールで配り、朝礼でも説明する。派遣社員と受入出向者にも同じ内容を渡す
3. 配った日と対象者を記録する