ニュース・記事

事故・脆弱性のニュースと、情報システム担当者向けの対策ガイドです。

2026/10/16 対策ガイド SCS評価制度の要求事項4-1-6「パスワード管理ルール」とは：安全な保管方法、漏えいの疑いがあるときの変更手順、周知の対象要求事項4-1-6は、パスワードの扱い方を社内ルールにして、全員に伝える項目で、★3から求められます。定めるのは、安全な保管方法（紙に書いて施錠保管、パスワード管理アプリなど）と、漏えいが分かったとき、または疑いがあるときに速やかに変更する手順の2つです。役員、従業員、派遣社員、受入出向者に周知します。
2026/10/16 対策ガイド SCS評価制度の要求事項4-1-4「アカウントロック制御」とは：パソコン・スマホの画面ロックは、10回失敗でロックか試行間隔の延長、6文字以上要求事項4-1-4は、パソコンへのログオンとスマートデバイスのロック解除に、あてずっぽうの入力を止める仕組みを入れる項目で、★3から求められます。試行が失敗するたびに間隔が長くなる設定、または10回以上失敗したらロックする設定のどちらかを使い、パスワードかPINは6文字以上にします。どちらの設定もできない端末では、より強いパスワードなどの代わりの対策を使います。
2026/10/16 対策ガイド SCS評価制度の要求事項4-4-1「情報機器、OS及びソフトウェアの安全な構成」とは：許可したソフトだけ、USBの自動実行オフ、設定変更の承認要求事項4-4-1は、パソコン・サーバ・スマートデバイスの設定を、安全な状態にして保つ項目で、★3から求められます。★3は3つで、許可していないソフトを消すか勝手に入れられないようにすること、外部記録媒体の自動実行・自動再生を無効にすること、サーバとネットワーク機器の設定変更を申請・承認制にすることです。
2026/10/16 対策ガイド SCS評価制度の要求事項4-1-7「アクセス権の管理ルール」とは：申請・承認制、必要な範囲への限定、棚卸し、台帳要求事項4-1-7は、システムやパソコン、機密上の配慮が必要な部屋に、誰がどこまで入れるかを決めるルールの項目で、★3から求められます。★3の評価基準は1つで、発行・変更・削除を申請・承認制にする、範囲を必要な範囲に限る、棚卸しのやり方を定める、申請書か台帳で管理する、の4点です。年1回以上の棚卸しの実施は★4からです。
2026/10/16 対策ガイド SCS評価制度の要求事項7-1-1「事業継続要件に沿った復旧準備」とは：目標復旧レベルの決め方と、システムが止まったときの業務の続け方要求事項7-1-1は、サイバー攻撃で重要なシステムが止まったときに、業務をどこまで戻すかを決めて備える項目で、★3から求められます。決めるのは業務の目標復旧レベルで、予備機やクラウドの待機系でシステムを使い続ける方法と、電話・FAXなど人手で続ける方法を用意します。★4では、バックアップから決めた時間内に戻せるかを確かめます。
2026/10/16 対策ガイド SCS評価制度の要求事項4-5-1「ネットワーク境界防護」とは：ルータ・ファイアウォールのパスワード、通信ルール、設定変更の認証要求事項4-5-1は、社内ネットワークとインターネットの境目にあるルータとファイアウォールを守る項目で、★3から求められます。初期の管理パスワードの変更（または遠隔操作の無効化）、外から入る通信の遮断とルールの整備、不要なルールの削除、設定をインターネット経由で変えるときの多要素認証か接続元の制限が中心です。
2026/10/16 対策ガイド SCS評価制度の要求事項6-1-1「インシデント対応手順」とは：5つの手順、連絡先、報告フォーマット、年1回の点検と共有要求事項6-1-1は、セキュリティインシデントが起きたときの対応手順と体制を決めておく項目で、★3の段階から求められます。手順には発見報告、初動、調査・対応、復旧、最終報告の5つを含め、連絡先と報告ルート、役員と担当部署の役割、報告フォーマットを決めます。体制の点検と事例の共有は、年1回以上が必要です。
2026/10/16 対策ガイド SCS評価制度の要求事項4-4-5「マルウェア感染からの保護」とは：全パソコン・サーバへの導入、スキャンの範囲と頻度、パターンファイルの更新要求事項4-4-5は、システムをマルウェア（ウイルスなどの悪意あるソフト）の感染から守る項目です。★3では、ネットワークに接続しているすべてのパソコンとサーバにマルウェア対策ソフトを導入し、機器ごとにスキャンの範囲と頻度を定めて実行し、パターンファイルをベンダーの推奨に従って更新します。不正なWebサイトへのアクセス制限とメールのマルウェアチェックは、★4で加わります。
2026/10/16 対策ガイド SCS評価制度の要求事項4-4-4「セキュリティパッチ・アップデートの手続」とは：14日以内の更新と、更新できないときの4つの対策要求事項4-4-4は、OSやソフトウェアのセキュリティパッチ（修正プログラム）とアップデートの適用手続を定める項目です。★3では、重大度が高い、またはCVSS（脆弱性の深刻度を示す指標）基本値が7.0以上の脆弱性（ソフトの欠陥・弱点）を修正する更新を、公開から14日以内に適用することを求めています。重大度が示されない更新も14日の対象で、期限内に適用できない場合は、機能の無効化などの対策が必要です。
2026/10/16 対策ガイド SCS評価制度の要求事項4-3-4「適切なバックアップ」とは：決めておく3つのことと、遠隔地バックアップの対象要求事項4-3-4は、データのバックアップを取り、復元できるようにしておく項目で、★3の段階から求められます。評価基準は3項目で、取得対象・頻度・保管期間を決めてバックアップを取ること、重要な機密情報は遠隔地にも取ること、バックアップ対象ごとにリストア（復元）手順書を整えることです。頻度や保管期間の数字は公式の評価基準に書かれておらず、復元できるかの確認は★4の別の項目（7-1-1-2）で求められます。
2026/10/16 対策ガイド SCS評価制度の要求事項4-1-5「パスワード設定ルール」とは：社内ルールで定める4つの内容と、周知の対象要求事項4-1-5は、パスワードの設定に関する社内ルールを定めて周知する項目です。ルールに入れる内容は、初期パスワードの変更、推測されやすい単語の禁止、文字数などの保護対策、使い回しの禁止の4つで、★3の段階から求められます。周知の対象は、役員、従業員、派遣社員、受入出向者です。
2026/10/16 対策ガイド SCS評価制度の要求事項4-1-3「認証の強度・実装方法の決定」とは：多要素認証が必須になる範囲と、パスワードの長さ要求事項4-1-3は、システムや情報の重要度に応じて認証の強さを決める項目です。★3では、すべてのIDをパスワード等で認証し、重要な機密情報を取り扱うクラウドサービスには常に多要素認証（パスワードに加えてスマートフォンのコードなど、2種類以上の方法で本人を確かめる仕組み）を使い、その際のパスワードは8文字以上にすることを求めています。★4では、重要な機密情報を取り扱うシステムへのインターネット経由の接続などにも多要素認証が加わります。
2026/10/16 対策ガイド SCS評価制度の要求事項4-1-2「管理者IDの管理手続」とは：管理者を絞り、最小限の権限にして、持っている人を把握する8項目要求事項4-1-2は、管理者IDの発行・変更・削除の手続を定める項目で、8項目すべてが★3の段階から求められます。管理者権限を持つ人を限定し、IDは原則共有せず、用途に必要な最小限の権限だけを与え、誰が持っているかを把握できる仕組みを整えます。付与・変更・削除は申請・承認制で、不要になったIDは速やかに削除または無効化します。
2026/10/16 対策ガイド SCS評価制度の要求事項4-1-1「ユーザIDの管理手続」とは：申請・承認制、共有IDの扱い、退職時の速やかな削除要求事項4-1-1は、ユーザIDの発行・変更・削除の手続を定める項目で、★3の段階から求められます。IDの付与・変更・削除を申請・承認制にし、共有IDは原則使わず、使う場合は利用者を特定できるようにします。不要になったIDとアクセス権は、速やかに削除または無効化します。
2026/10/16 対策ガイド SCS評価制度の要求事項3-1-1「情報機器、OS及びソフトウェアに関する情報の把握」とは：パソコンとサーバの台数・OSの把握と、管理ルールの年1回の点検要求事項3-1-1は、会社の機器とソフトウェアを把握する項目です。★3では、パソコン・サーバ（仮想サーバを含む）の製造元、OS、台数を把握する仕組みを整え、導入・設置・ネットワーク接続・パッチ適用の管理ルールを定めて、その遵守状況を年1回以上点検します。スマートデバイスと重要システムの設定情報の把握は、★4で加わります。
2026/10/16 対策ガイド SCS評価制度の要求事項1-3-1「セキュリティ対応方針の策定」とは：方針を定め、いつでも読める状態にして、改正を周知する要求事項1-3-1は、自社のセキュリティ対応方針を定めて周知する項目です。★3では、方針を定めること、役員・従業員・派遣社員・受入出向者が常に最新の方針を参照できるようにすること、改正時にその内容を周知することが求められます。方針を年1回以上点検することは、★4で加わります。
2026/10/16 対策ガイド SCS評価制度の要求事項1-2-1「セキュリティ推進活動部門」とは：役員と担当部署の役割・連絡先を決め、年1回点検する要求事項1-2-1は、セキュリティを担当する部署と役員を決め、責任と権限を割り当てる項目です。★3では、統括する役員と担当部署の役割・責任、連絡先リストを定め、その平時の体制を年1回以上点検することを求めています。★4では、経営層が参加して経営判断ができる体制（情報セキュリティ委員会など）の設置が加わります。
2026/10/14 対策ガイド SCS評価制度は義務？取らないとどうなるか：取引の条件になる場合と、まだ取れない期間の対応義務ではありません。経済産業省はSCS評価制度を任意の制度とし、★の取得は取引先との契約で決まるもので、制度として規制を課すものではないと説明しています。ただし、発注者が契約で★3・★4の取得や要求事項への対応を条件にすれば、取引の条件として求められます。申請受付は2027年3月からの予定で、それまでは誰も★を持っていません。
2026/10/14 対策ガイド SCS評価制度とは：★3と★4の違い、2027年3月の申請受付までの流れと登録料 SCS評価制度は、発注者が委託先に求めるセキュリティ対策の水準を★3・★4で示し、満たしているかを公的な台帳で確かめられるようにする、IPA運営の任意の制度です。★3は要求事項26件（評価基準81項目）をSCSセキュリティ専門家の確認付きで自己評価し、★4は43件（153項目）を評価機関（★4の審査を行う機関）が審査します。IPAは2027年3月に申請受付を始める予定で、IPAへの登録料は★3が1年1万円、★4が3年6万円（税込、2028年3月31日までの申請）です。