SCS評価制度★3の多要素認証とは？対象範囲・認証要素・パスワード基準を解説

「取引先からSCS評価制度の★3を求められたけど、多要素認証ってどこまでやればいいの？」と悩んでいませんか。

結論から言うと、★3で多要素認証が必須になるのは「重要な機密情報を取り扱うクラウドサービス」です。社内のすべてのシステムに入れなければならないわけではありません。ただし、パスワードの長さやアカウントロックなど、多要素認証とセットで確認される基準がいくつかあります。

この記事では、★3の評価基準の原文をもとに、多要素認証まわりで中小企業がやるべきことを整理します。

この記事でわかること

★3で多要素認証が必要になる範囲
認められている認証要素（SMSやスマホ通知はOKか）
多要素認証とセットで求められるパスワードの基準
Microsoft 365やGoogle Workspaceでの進め方

私は情報処理安全確保支援士の資格を持つセキュリティマネージャーで、勤務先で★3の評価基準のチェックを完了しています。その経験をもとに、できるだけ専門用語を使わずに解説します。SCS評価制度の全体像はSCS評価制度とは？★3の要求事項と中小企業がやることを解説をご覧ください。

Contents

★3で多要素認証が求められるのはどこか
1. まず「重要な機密情報」を決める
認められる認証要素：SMSやスマホ通知もOK
1. 「IPアドレス制限」も要素として数えられる
多要素認証とセットで確認されるパスワード基準
中小企業の進め方：4ステップ
よくある質問
まとめ

★3で多要素認証が求められるのはどこか

多要素認証は、★3の要求事項「4-1-3 認証の強度・実装方法の決定」に含まれています。中心になるのは次の評価基準です。

重要な機密情報を取り扱うクラウドサービスにおいて、ユーザ及び管理者がサービスにアクセスする場合は、常にNo.4-1-3-3で示す認証要素を利用した多要素認証を使用すること。（4-1-3-2）

ポイントは3つです。

対象はクラウドサービス：メール、ファイル共有、会計・販売管理などのクラウドサービスが中心です。
「重要な機密情報」を扱うもの：どの情報が「重要な機密情報」かは、自社で決める機密区分（3-1-4）とつながっています。区分を決めていないと、対象範囲も決められません。
ユーザも管理者も「常に」：管理者だけ、社外からのアクセスだけ、という運用では基準を満たさない点に注意してください。

まず「重要な機密情報」を決める

多要素認証の範囲を決める前に、自社の情報を「重要な機密情報」「機密情報」「公開情報」などに区分しておく必要があります。区分の作り方は★3対応テンプレート集の「情報区分表」を使うと早く進められます。

実務では、取引先から預かった図面や仕様書、顧客の個人情報、見積・原価などを置いているサービスは、ほぼ対象になると考えておくのが安全です。

認められる認証要素：SMSやスマホ通知もOK

評価基準4-1-3-3では、次の4つの要素から2種類以上を組み合わせることを求めています。

要素	例（評価基準より）	よくある実装
知識情報	ID・パスワード	通常のパスワード
所有情報	ワンタイムパスワード、証明書	認証アプリ、SMS・メールのコード、スマホへの承認通知、端末証明書
生体情報	指紋、顔、虹彩、静脈	Windows Hello、スマホの顔認証
その他の情報	IPアドレス	会社のIPアドレスからのみ許可

評価基準の注記では、メールアドレスや電話番号にワンタイムパスワードを送る方法や、スマートフォンへの認証要求（承認通知）も所有情報に含まれると明記されています。つまり、SMS認証やスマホ通知でも★3の基準上は認められます。

ただし、SMSやメールのコードはフィッシングで盗まれる手口もあるため、選べるなら認証アプリやパスキーなど、より強い方式をおすすめします。

「IPアドレス制限」も要素として数えられる

「その他の情報」としてIPアドレスが例示されているので、「パスワード＋会社のIPアドレスからのみ許可」という組み合わせも、評価基準の文面上は多要素認証として扱えます。テレワークがなく、社内からしか使わないサービスでは現実的な選択肢です。ただし、外出先やスマホから使う運用がある場合は、認証アプリなどを併用しないと「常に」を満たせなくなる点に注意してください。

多要素認証とセットで確認されるパスワード基準

多要素認証を入れても、パスワードの基準がなくなるわけではありません。★3では次のような数字の基準があります。

評価基準	内容（要約）
4-1-3-4	多要素認証の知識情報として使うパスワードは8文字以上
4-1-5-3	多要素認証か「10回失敗でロック」を使うなら8文字以上。どちらもできない場合は英大文字・小文字・数字を含めた10文字以上
4-1-5-1	機器やクラウドサービスの初期パスワードを変更するルール
4-1-5-2	推測されやすい単語を禁止するルール
4-1-5-4	機器・サービス間でパスワードを使い回さないルール
4-1-5-5	上記ルールを役員・従業員・派遣社員などに周知
4-1-4-2	パソコンのログオンやスマホのロック解除は6文字以上のパスワードかPIN

「ルールを定める」「周知する」が多いのが特徴です。設定だけでなく、パスワードルールを文書にして、全員に伝えた記録を残しておきましょう。ルールのひな形はテンプレート集の「パスワードルール」にあります。

中小企業の進め方：4ステップ

ステップ1：クラウドサービスを洗い出す

社内で使っているクラウドサービスを一覧にし、それぞれで扱っている情報の区分を書き込みます。部署ごとに勝手に契約しているサービス（無料のファイル共有など）も漏れやすいので、経理の支払い記録やブラウザのブックマークを見ながら確認すると見つけやすくなります。この一覧は、★3の「外部情報サービスの管理（3-1-3）」の対応にもそのまま使えます。

ステップ2：対象サービスの多要素認証の設定方法を確認する

主要なサービスでは、管理者が全ユーザに多要素認証を強制する設定があります。

Microsoft 365：Microsoft Entra IDの「セキュリティの既定値群」を有効にすると、全ユーザに多要素認証の登録が求められます。より細かく制御したい場合は条件付きアクセス（上位ライセンスが必要）を使います。
Google Workspace：管理コンソールで2段階認証プロセスを「適用」に設定します。適用までの猶予期間を設定できるので、社員の登録期間を確保できます。
その他のSaaS：多要素認証に対応していない場合は、Microsoft 365やGoogleのアカウントでログインするシングルサインオン（SSO）に切り替えられないか確認します。

各サービスの画面や名称は変わることがあるため、設定前に各社の公式ヘルプを確認してください。

ステップ3：管理者アカウントから先に設定する

いきなり全社に強制すると、問い合わせが殺到しがちです。まず管理者アカウントで設定し、手順書を作ってから一般ユーザに展開すると混乱が少なくなります。スマホを持っていない社員がいる場合は、ハードウェアトークンやパソコンの生体認証など代わりの方法も用意しておきましょう。

ステップ4：記録を残す

★3では自己評価のあとにセキュリティ専門家の確認が入ります。「どのサービスを対象にし、いつから多要素認証を強制しているか」を説明できるよう、対象サービスの一覧と設定画面のスクリーンショットを残しておくと安心です。

よくある質問

Q. 社内のファイルサーバにも多要素認証が必要ですか？
4-1-3-2の対象は「クラウドサービス」です。社内のファイルサーバやパソコンへのログインには、認証（4-1-3-1）とロック制御（4-1-4）、パスワードルール（4-1-5）の基準が適用されます。

Q. 機密情報を扱わないクラウドサービスは対象外ですか？
4-1-3-2の多要素認証の必須対象からは外れます。ただし、パスワードルールや使い回し禁止の基準は、多要素認証の対象かどうかにかかわらず確認されます。管理者アカウントなど乗っ取られると影響が大きいものは、対象外でも多要素認証を入れておくことをおすすめします。

Q. ファイアウォールの管理画面はどうなりますか？
ファイアウォールのルールをインターネット経由で変更する場合は、多要素認証か、信頼できるIPアドレスへのアクセス制限が求められています（4-5-1-7）。ルーターやUTMの管理画面がインターネットから開ける状態になっていないかも確認しておきましょう。