SCS評価制度の要求事項4-5-1「ネットワーク境界防護」とは：ルータ・ファイアウォールのパスワード、通信ルール、設定変更の認証

4-5-1は何を求めているか：評価基準9項目の中身

要求事項4-5-1の原文は、「ネットワークを適切に分離し、境界部分を防護すること。」の1文です。何をすれば満たしたことになるかは、9つの評価基準に分けて書かれています（ ★3・★4 要求事項・評価基準 、経済産業省・IPA、2026年3月27日版）。

★3の段階から求められるのは7項目で、★4で2項目が加わります。ここでいう「境界」は、インターネットとの境目にあるルータ（社内とインターネットをつなぐ機器）と、通信を許可・遮断するファイアウォール（またはその機能を持つネットワーク機器）です。内容を要約すると次のとおりです。

9つは、機器そのものを守る（4-5-1-1、2、3）、通信の通し方を決める（4-5-1-4、5、6）、設定を変える手段を守る（4-5-1-7）、★4の追加（4-5-1-8、9）の4つに分けて考えると整理しやすくなります（編集部の整理）。

大分類「攻撃等の防御」の中分類「技術インフラのレジリエンス」に含まれます。★3と★4の違い、取引先に何を確認するかは SCS評価制度とは にまとめています。

最初にやること

1. ルータとファイアウォール機能付きの機器を洗い出す（保守会社に聞くと早い）
2. 初期パスワードのままの機器は、変更する
3. 外から入る通信のルールを書き出し、理由の分からないものを保守会社に確認する

この項目で用意するもの（★3）

4-5-1で用意するものは、機器の一覧、通信ルールの一覧、手順書の3つです。

• 一覧：ルータとファイアウォールの一覧。機器名、設置場所、管理者、管理パスワードを変えた日、リモートアクセスを使っているかを書く（4-5-1-1（管理パスワードの初期値））
• 一覧：外から入る通信のルール。何のために開けたか、誰が決めたか、いつ見直したかを書く（4-5-1-5（通信のルール）、4-5-1-6（不要なルールの削除））
• 文書：管理パスワードを変更する手順（4-5-1-2（パスワードの変更手順））と、設定をインターネット経由で変えるときの認証方法（4-5-1-7（設定変更の認証））

機器の一覧という形は評価基準に書かれていません。管理する機器を漏れなく押さえるための、編集部の整理です。

落とし穴1：初期パスワードのままでも、遠隔操作を完全に無効にすれば足りる

4-5-1-1（管理パスワードの初期値）は、初期の管理パスワードを変えるか、リモートアクセスを完全に無効にするか、どちらかを求めています。

「一意」は、機器ごとに別のパスワードにして、使い回さないという意味に読めます（編集部の読み方）。遠隔管理を使わない機器なら、無効にすれば足ります。ただし「完全に」とあるので、保守会社が遠隔から入る設定が残っていないかを確かめます。

境界の機器は、実際に侵入の入口になっています。 イセトー はVPN（社外から社内ネットワークに入るための接続）経由の不正アクセスで、情報処理センターと全国の営業拠点のサーバー・パソコンが暗号化され、再発防止策に「VPNの利用停止」と「認証の強化」を挙げました。

アサヒグループ は、グループ拠点のネットワーク機器から侵入されたと公表しています。

自社でも、境界の機器が最後にいつ更新されたかを確かめます。

落とし穴2：パスワードの強さは、4-1-5と同じ基準で測られる

4-5-1-3（認証の強さ）は、ファイアウォールとルータの認証が、4-1-5（パスワード設定ルール）の評価基準を満たすことを求めています。

4-1-5-3（文字数などの保護対策）では、多要素認証か「10回失敗したらロック」を使えば8文字以上、どちらもできなければ英大文字・小文字・数字を含めた10文字以上です。詳しくは 4-1-5の記事 にあります。

機器の管理画面に多要素認証も回数制限もない場合は、後者の10文字以上になります（編集部の読み方）。社内ルールには、機器ごとにどちらを使うかを書いておきます。

落とし穴3：設定を変える手段にも、認証の条件がある

4-5-1-7（設定変更の認証）は、ファイアウォールのルールをインターネット経由で変更する場合の条件です。多要素認証を使うか、信頼できるIPアドレスだけに制限します。

多要素認証（たとえば、パスワードに加えてスマートフォンへの確認通知を使う方法）は、4-1-3-3で示される認証要素（知識情報、所有情報、生体情報、その他の情報）から2種類以上を使う方法です。詳しくは 4-1-3の記事 にあります。事務所の中からだけ変更するなら、この条件は問われません（編集部の読み方）。

保守会社が自宅や外出先から遠隔で設定を変えている場合は、この項目が問われます。接続元のIPアドレスを保守会社の固定の接続元だけにするか、多要素認証を入れます。

進め方（30人規模の記入例）

編集部の記入例です。機器や会社名は、自社のものに置き換えます。

1. ルータとファイアウォールを洗い出し、一覧表を作る。事務所のルータ、拠点のルータ、ファイアウォール機能付きの機器を含める
2. 初期パスワードのままの機器は変更する（10文字以上、英大文字・小文字・数字を含め、機器ごとに別のものにする）。遠隔管理を使わない機器は無効にする
3. 外から入る通信のルールを書き出す。目的が書けないルールは、保守会社に確認して、不要なら無効にする
4. パスワードの変更手順を決める。変更する担当、保管場所、変えるきっかけ（担当者が代わったとき、漏えいの疑いがあるとき）を書く

通信ルールの一覧は、次のような形にします。

一覧にあるルールを毎年見直し、不要なものを削除した日を残します。見直しの頻度は評価基準に書かれていないので、年1回などと自社で決めます（編集部の整理）。

★4で加わること

• 4-5-1-8（ソフトウェアファイアウォール）：使っているOSが対応していない場合を除き、すべてのパソコンとサーバでソフトウェアファイアウォールを有効にする
• 4-5-1-9（ネットワークの分離）：社外に公開するサーバと、重要な機密情報を扱うサーバを、それぞれ専用のネットワークセグメントに置き、内外のアクセスを必要最小限にする