SCS評価制度の要求事項4-4-1「情報機器、OS及びソフトウェアの安全な構成」とは：許可したソフトだけ、USBの自動実行オフ、設定変更の承認

4-4-1は何を求めているか：評価基準6項目の中身

要求事項4-4-1の原文は、「情報機器、OS及びソフトウェアの安全な構成を確立し、維持すること。」の1文です。何をすれば満たしたことになるかは、6つの評価基準に分けて書かれています（ ★3・★4 要求事項・評価基準 、経済産業省・IPA、2026年3月27日版）。

★3の段階から求められるのは3項目で、★4で3項目が加わります。内容を要約すると次のとおりです。

大分類「攻撃等の防御」の中分類「プラットフォームセキュリティ」に含まれます。★3と★4の違い、取引先に何を確認するかは SCS評価制度とは にまとめています。

最初にやること

1. 業務で使うソフトの許可リストを作る
2. USBメモリを使うパソコンの自動実行・自動再生を無効にする
3. サーバとルータの設定変更を、申請・承認制にする

この項目で用意するもの（★3）

4-4-1で用意するものは、ソフトの許可リスト、端末の設定、承認の記録の3つです。

• 一覧：利用を許可するソフトの一覧、または勝手にインストールできない設定（4-4-1-1（許可したソフトだけを使う））
• 設定：外部記録媒体を使う端末の、自動実行・自動再生の無効化（4-4-1-2（自動実行の無効化））
• 記録：サーバとネットワーク機器の設定変更の申請書と承認（4-4-1-3（設定変更の承認））

落とし穴1：「許可していないソフト」は、2つの方法のどちらかで防ぐ

4-4-1-1（許可したソフトだけを使う）は、許可していないソフトを削除・無効にするか、許可したソフト以外を自由にインストールできないようにするか、どちらかを求めています。

前者は、入っているソフトを点検して消す方法です。後者は、一般のユーザの権限ではインストールできない設定にする方法です。どちらを選んでも、「何を許可するか」を決めた一覧は必要になります（編集部の読み方）。

パソコンとサーバに入っているソフトの把握は、別の要求事項3-1-1（情報機器、OS及びソフトウェアに関する情報の把握）です。詳しくは 3-1-1の記事 にあります。管理者権限を絞る話は 4-1-2の記事 にあります。

落とし穴2：自動実行の無効化は、外部記録媒体の利用禁止ではない

4-4-1-2（自動実行の無効化）が求めるのは、外部記録媒体（USBメモリなど）を使う端末で、挿したときに自動でプログラムが動く設定を無効にすることです。対象は、外部記録媒体を使う端末です。

外部記録媒体の利用そのものを制限するのは、別の要求事項4-1-9（可搬媒体の制限）で、★4から求められます。★3では、使う場合に、挿しただけでは動かない状態にしておきます。設定の場所は、OSの種類と版で違います。管理しているOSの公式の手順で確認します。

落とし穴3：設定変更の承認は、サーバとネットワーク機器が対象

4-4-1-3（設定変更の承認）の対象は、サーバとネットワーク機器です。パソコンの設定変更は含まれません。

設定の誤りが事故につながった例があります。 ファーストリテイリング は、委託先のネットワーク設定ミスにより、不正アクセスを受けたと公表しています。変更の内容と理由を、申請・承認の記録に残しておけば、誰がいつ何を変えたかをさかのぼれます（編集部の読み方）。

トヨタ自動車 の事案は、クラウド環境の設定の誤りです。クラウドの設定は、4-4-1-3の文言（サーバ、ネットワーク機器）には書かれていません。クラウドの設定変更も同じ流れにするかは、自社で決めます（編集部の読み方）。

進め方（30人規模の記入例）

編集部の記入例です。ソフト名と担当者は、自社のものに置き換えます。

1. 業務で使うソフトを洗い出し、許可リストを作る
2. 一般の従業員のパソコンでは、ソフトをインストールできない設定にする。必要なときは、総務担当に申請する
3. USBメモリを使うパソコンで、自動実行・自動再生を無効にする。設定した日を記録する
4. サーバとルータの設定を変えるときは、申請書に変更の内容、理由、実施日を書き、総務部長が承認する

★4で加わること

• 4-4-1-4（不要なサービスの無効化）：パソコンとサーバで、不要なサービスとプロトコルを無効にする
• 4-4-1-5（初期のユーザID）：初期設定のユーザIDの利用をやめるか、ログインに多要素認証などの強い認証を使う
• 4-4-1-6（標準構成）：利用するOSとソフトウェアの標準の構成・設定のルールを定める