SCS評価制度の要求事項4-1-6「パスワード管理ルール」とは：安全な保管方法、漏えいの疑いがあるときの変更手順、周知の対象

4-1-6は何を求めているか：評価基準3項目の中身

要求事項4-1-6の原文は、「パスワードの管理に関するルールを定め、周知すること。」の1文です。何をすれば満たしたことになるかは、3つの評価基準に分けて書かれています（ ★3・★4 要求事項・評価基準 、経済産業省・IPA、2026年3月27日版）。

3項目とも★3の段階から求められ、★4で増える項目はありません。内容を要約すると次のとおりです。

大分類「攻撃等の防御」の中分類「アイデンティティ管理、認証、アクセス制御」に含まれます。パスワードの設定のしかたは、別の要求事項4-1-5（パスワード設定ルール）です。★3と★4の違い、取引先に何を確認するかは SCS評価制度とは にまとめています。

最初にやること

1. パスワードの保管方法を1つ決める（管理アプリか、施錠した引き出し）
2. 漏えいの疑いが出たときの連絡先と、変更の手順を書く
3. 全員に配り、配った日を記録する

この項目で用意するもの（★3）

4-1-6で用意するものは、社内ルールと周知の記録の2つです。

• 文書：パスワードの保管方法と、漏えい時の変更手順を書いた社内ルール（4-1-6-1（安全な保管）、4-1-6-2（漏えい時の変更手順））
• 記録：役員、従業員、派遣社員、受入出向者に周知した日と方法（4-1-6-3（周知））

落とし穴1：紙に書くこと自体は、禁じられていない

4-1-6-1（安全な保管）は、パスワードを紙に書いて施錠保管する方法を、パスワード管理アプリと並べて挙げています。紙に書くことを禁止する項目ではありません。

問われるのは、安全に保管できているかです。付箋でパソコンに貼る、机の上に置いたままにする、といった状態は、「施錠保管」にあたりません（編集部の読み方）。社内ルールには、使ってよい保管方法と、使ってはいけない状態を書きます。

落とし穴2：変更手順を求められるのは、漏えいが分かったときと、疑いがあるとき

4-1-6-2（漏えい時の変更手順）は、パスワードの漏えいが判明した場合に加えて、疑いがある場合にも変更する手順を求めています。確定してからでは遅いという考え方です（編集部の読み方）。

手順には、誰に連絡するか、誰がどのサービスから変更するか、変更したことを誰が確認するかを書きます。定期的に変えることは、この項目では求められていません。

社外のサービスが漏えいしたときにも、手順が必要になります。同じパスワードを使い回していなければ、変更するサービスは1つで済みます。使い回しの禁止は、 4-1-5の記事 にあります。

従業員のアカウント情報の窃取が、事故の入口になった例があります。 KADOKAWA では、フィッシング（偽のメールやサイトでパスワードをだまし取る手口）などで従業員のアカウント情報が盗まれたことが根本原因と推測され、盗まれたアカウントで社内ネットワークに侵入されたと公表されています。

落とし穴3：周知の対象は、派遣社員と受入出向者まで

4-1-6-3（周知）の対象は、役員、従業員、派遣社員、受入出向者です。正社員に配っただけでは満たせません。

4-1-5（パスワード設定ルール）と同じルール文書にまとめて、同時に周知しても構いません。評価基準が求めているのは、それぞれの内容を定めて周知することで、文書を分けるかどうかは決められていません（編集部の読み方）。

進め方（30人規模の記入例）

編集部の記入例です。保管方法と連絡先は、自社で決めます。

1. 保管方法を決める。パスワード管理アプリを使うか、紙に書いて鍵のかかる引き出しで保管するか。使ってよい方法を限る
2. 漏えいの疑いが出たときの手順を書く。発見者は、すぐ総務担当に連絡する。総務担当は、該当のサービスの管理者に連絡して、パスワードを変更する
3. 手順を1枚にまとめ、全員にメールで配る。派遣社員と受入出向者にも同じ内容を渡す
4. 配った日と対象者を記録する