SCS評価制度の要求事項4-4-4「セキュリティパッチ・アップデートの手続」とは：14日以内の更新と、更新できないときの4つの対策

4-4-4は何を求めているか：評価基準3項目の中身

要求事項4-4-4の原文は、「情報機器、OS及びソフトウェアへのセキュリティパッチ及びアップデートの適用に係る手続を定めること。」の1文です。何をすれば満たしたことになるかは、3つの評価基準に分けて書かれています（ ★3・★4 要求事項・評価基準 、経済産業省・IPA、2026年3月27日版）。

★3で求められるのは4-4-4-1から4-4-4-2までの2項目で、4-4-4-3は★4で加わります。内容を要約すると次のとおりです。

大分類「攻撃等の防御」の中分類「プラットフォームセキュリティ」に含まれます。★3と★4の違い、取引先に何を確認するかは SCS評価制度とは にまとめています。

この項目で用意するもの（★3）

4-4-4で用意するものは、手続・設定・記録の3つです。

• 文書：更新の手続。対象の一覧、更新情報を確認する担当、14日以内に適用する手順、間に合わないときの代替策（4-4-4-2）
• 設定：サポート中のOSとソフトウェアだけを使い、可能なものは自動更新を有効にする（4-4-4-1）
• 記録：更新を適用した日と、間に合わなかったときに取った代替策（4-4-4-2）

落とし穴1：重大度が書かれていない更新も、14日以内の対象

重大度が分からない更新を、後回しにはできません。

4-4-4-2（重大な更新を14日以内に）で14日以内に適用するのは、ベンダーが「重大」「高リスク」と説明するもの、CVSS（脆弱性の深刻度を示す指標）の基本値が7.0以上のもの、そして修正する脆弱性のレベルがベンダーから示されていないものです。

脆弱性は実際の事故の入口になっています。 シャープ は、通販サイトのソフトウェアの脆弱性を突かれ、203人の個人情報が流出したと公表しています。

落とし穴2：14日を過ぎるなら、代替策が要る

14日以内に適用できなくても、代わりの対策を取れば4-4-4-2は満たせます。

動作検証が間に合わないなどの場合は、適用までの間、次のいずれかを実施します。

• 脆弱性の対象となる機能を無効にする
• ベンダーが推奨する回避策を実施する
• 対象の機器を、適用範囲内のネットワークから切り離す
• 対象の機器との通信を監視し、脆弱性を悪用する不正な通信を遮断する機器やソフトを入れる

どれを取ったかと、いつ本来の更新を適用したかを記録しておきます（編集部の整理）。

落とし穴3：サポートが切れたものは、使い続けられない

サポートが終わったOSやソフトを、そのまま使い続けることは認められていません。

4-4-4-1（サポート中のものだけ使う）は、サポートが終了したシステムやソフトウェアを、削除するか、インターネットとの全ての通信を遮断して適用範囲から外すことを求めています。更新が出なくなった機器は、14日以内のルールを守りようがないからです。

特に気をつけたいのは、社外とつながるVPN機器などです。 イセトー はVPN経由の不正アクセスでランサムウェアの被害を受け、再発防止策としてVPNの利用停止を挙げています。

進め方（30人規模の記入例）

編集部の記入例です。数字や名称は、自社で決めます。

1. 更新の対象一覧に、会社支給のパソコン（OS、ブラウザ、Officeソフト）、サーバ（OSとミドルウェア＝データベースなどの基盤ソフト）、会社支給のスマートフォン、インターネットとの境界にあるルーターやファイアウォールを書く
2. 週1回、メーカーの更新情報を確認する担当者と代理を決める
3. 重大度が高い、または不明な更新は、リリース日から14日以内に適用し、適用日を記録する
4. 間に合わない場合は、上の4つの代替策のどれを取ったかを記録する

★4で加わること

★4では、境界の機器に重大な脆弱性が残っていないこと自体が問われます。

4-4-4-3（境界の機器に重大な脆弱性を残さない）は、インターネットとの境界にあるネットワーク機器のOSとファームウェアに、CVSS基本値7.0以上の脆弱性がない状態を求めています。★3の「14日以内に更新する手続」に加えて、その時点で未対応の脆弱性がないことが確認されます（編集部の読み方）。