SCS評価制度の要求事項4-4-5「マルウェア感染からの保護」とは：全パソコン・サーバへの導入、スキャンの範囲と頻度、パターンファイルの更新

4-4-5は何を求めているか：評価基準5項目の中身

要求事項4-4-5の原文は、「システムをマルウェア感染から保護すること。」の1文です。何をすれば満たしたことになるかは、5つの評価基準に分けて書かれています（ ★3・★4 要求事項・評価基準 、経済産業省・IPA、2026年3月27日版）。

★3で求められるのは4-4-5-1から4-4-5-3までの3項目で、4-4-5-4から4-4-5-5までは★4で加わります。内容を要約すると次のとおりです。

大分類「攻撃等の防御」の中分類「プラットフォームセキュリティ」に含まれます。★3と★4の違い、取引先に何を確認するかは SCS評価制度とは にまとめています。

この項目で用意するもの（★3）

4-4-5で用意するものは、導入・スキャン・更新の3つの設定と、その決めごとです。

• 設定：ネットワークに接続しているすべてのパソコンとサーバに、マルウェア対策ソフトを入れる（4-4-5-1）
• 文書：機器ごとのスキャンの範囲と頻度（4-4-5-2）
• 設定：パターンファイルを、ベンダーの推奨に従って更新する（4-4-5-3）

落とし穴1：「すべての」パソコンとサーバ

一部の機器に入れただけでは、4-4-5-1は満たせません。

4-4-5-1（全台に対策ソフト）の対象は、ネットワークに接続しているすべてのパソコンとサーバです。スマートフォンは、この項目の対象に書かれていません。

1台でも対策が抜けていると、そこから広がるおそれがあります。 富士通 は、国内の業務パソコン49台にマルウェアが広がり、ファイルが持ち出された可能性があると公表しています。

落とし穴2：スキャンの頻度の数字は、評価基準にない

毎日スキャンするか週1回にするかは、自社で決めてかまいません。

4-4-5-2（スキャンの範囲と頻度）は、機器ごとにスキャンの範囲と頻度を「定めて」実行することを求めていますが、毎日・週1回といった数字は書かれていません。

決めた頻度を文書に書き、そのとおりに動いているかを管理画面などで確かめられるようにしておきます（編集部の整理）。

落とし穴3：製品の種類は指定されていない

有料の製品を買い足さなくても、4-4-5-1は満たせる場合があります。

4-4-5-1は「マルウェア対策ソフトウェアを導入すること」とだけ書いていて、特定の製品や方式は指定していません。OSに付いている対策機能も含め、全台で有効になっているかが問われます（編集部の読み方）。

進め方（30人規模の記入例）

編集部の記入例です。数字や名称は、自社で決めます。

1. 対象：ネットワークに接続しているパソコン全台とサーバ
2. スキャン：パソコンは週1回のフルスキャン、サーバは夜間（この頻度は例で、自社で決めます）
3. パターンファイルは自動更新にし、更新されていない端末がないかを月1回確認する

★4で加わること

★4では、感染の入口であるWebとメールでの対策が加わります。

• パソコンやWebゲートウェイで、不正なWebサイトへのアクセスを制限する（4-4-5-4（不正なWebサイトの制限））
• メールゲートウェイやメールサーバ等で、メール経由の感染を防ぐためのマルウェアチェックを行う（4-4-5-5（メールのマルウェアチェック））