SCS評価制度への対応を考えている中小企業が、最初からMFA製品を比較する必要はありません。
★3を目指すなら、顧客情報や人事情報などを扱うクラウドサービスを洗い出し、利用者と管理者の多要素認証が有効になっているか確認してください。★4を目指すなら、それに加えてVPN、リモートデスクトップ、保守会社の遠隔接続も確認します。
未対応のシステムが見つかっても、自社で技術的な対応方法を決める必要はありません。システム会社へ「MFAに対応できるか」「VPNや認証基盤で対応できるか」「改修と移行はいくらか」を確認すれば、次の経営判断に進めます。
放置して制度開始直前に確認すると、古い自社サーバーの改修や入れ替えが必要になり、想定外の費用と時間が発生する可能性があります。この記事では、2026年8月時点の正式基準に基づき、まず確認することと、社内・ベンダーへの依頼内容を先に示します。
結局、SCSの多要素認証対応で何をすればよいのか
最初に行うことは次の5つです。
- 経営者または責任者が、★3と★4のどちらを目指すか決める
- 顧客情報、人事情報、設計情報などを扱うクラウドサービスを一覧にする
- 各サービスの利用者・管理者でMFAが有効か確認する
- ★4を目指す場合は、VPN、遠隔保守、管理者のリモート接続も確認する
- 未対応部分を一覧にして、システム会社へ対応方法と費用を問い合わせる
★3を目指すだけなら、最初から社内の全システムを改修する必要はありません。まず重要な機密情報を扱うクラウドサービスを確認することが、最短の着手方法です。
30分でできる確認
次の質問に答えられるか確認してください。
- 顧客情報や人事情報を保存しているクラウドサービスは何か
- そのサービスを使う社員と管理者は誰か
- 管理画面でMFAを全対象者へ適用できているか
- 社外から社内システムへ接続する方法は何か
- 保守会社が遠隔操作に使用する接続経路はあるか
一つでも分からなければ、MFA製品を探す前に、情報システム担当者または保守会社へ確認します。
誰に何を頼めばよいか
| 依頼先 | 依頼する内容 |
|---|---|
| 経営者・責任者 | ★3・★4のどちらを目指すか決める |
| 総務・管理部門 | 顧客情報、人事情報など重要情報の保管先を出す |
| IT担当者 | MFAの設定状況、管理者、社外接続経路を確認する |
| クラウド管理者 | 対象アカウントへのMFA適用状況を出す |
| システム会社・保守会社 | 未対応システムの対応方法、期間、費用を見積もる |
IT担当者がいない場合は、現在利用しているクラウドや社内システムの販売会社・保守会社へ、次のように依頼すれば構いません。
SCS評価制度への対応を検討しています。当社の契約環境について、利用者と管理者への多要素認証の適用状況、VPNや遠隔保守の認証方法、未対応部分の対応方法・期間・費用を教えてください。
先に対応を急いだほうがよい会社
次のいずれかに当てはまる場合は、制度の詳細がすべて決まるまで待たず、現状確認を始めたほうがよいでしょう。
- 発注企業からセキュリティ調査票やSCS対応について聞かれている
- 顧客情報、設計情報、取引先データをクラウドで扱っている
- テレワーク用VPNやリモートデスクトップを利用している
- 保守会社がインターネット経由で社内システムへ接続する
- 10年以上使用している基幹システムや自社開発システムがある
- どのアカウントにMFAが設定されているか把握できていない
特に古い自社システムは、調査、見積もり、改修、テストに時間がかかります。「対応が必要か分からないから待つ」のではなく、「対象かどうかだけ先に調べる」ことで、直前の予算超過を避けられます。
SCS評価制度の多要素認証は★3でも必要
SCS評価制度の多要素認証について、「★3ではMFAは推奨にすぎない」「★4から必須になる」と理解するのは正確ではありません。
IPAが公開している★3・★4の要求事項・評価基準では、★3にも多要素認証を使用する場面が明記されています。一方で、すべてのPC、サーバー、クラウドサービスを一律にMFA対応させる要求でもありません。
まずは、★3と★4で対象がどのように異なるかを理解する必要があります。
SCS★3では重要な機密情報を扱うクラウドサービスが対象
★3の評価基準4-1-3-2では、重要な機密情報を取り扱うクラウドサービスへユーザまたは管理者がアクセスする場合、多要素認証を使用することが示されています。
例えば、顧客情報、従業員情報、取引情報、設計情報など、自社が重要な機密情報として管理するデータをクラウド上で扱っている場合は、そのサービスへのアクセスが検討対象になります。
「Microsoft 365を使っている」「Google Workspaceを使っている」という製品名だけで決まるわけではありません。自社がそのサービスで何の情報を扱い、誰がアクセスしているかを確認します。
SCS★4ではインターネット経由のアクセスまで対象が広がる
★4の評価基準4-1-3-5では、★3のクラウドサービスに加えて、重要な機密情報を取り扱うシステムについて、次のアクセスにも多要素認証が求められます。
- インターネットを経由して社内環境へ接続する場合
- 管理者がインターネット経由でシステムへアクセスする場合
- ユーザがインターネット経由で重要な機密情報を扱うシステムへアクセスする場合
テレワーク用VPN、保守会社によるリモート接続、管理者の遠隔操作などがある企業は、アクセス経路まで含めて確認する必要があります。
★3と★4のどちらを目指すか迷っている場合は、「SCS評価制度で★4が必要な企業と判断の軸」もあわせて確認してください。
全システムへのMFA導入が必要なわけではない
SCS評価制度は、社内に存在するすべてのシステムへ無条件にMFAを導入するよう求めているわけではありません。
しかし、評価基準に該当するアクセスまで「推奨だから対応しなくてもよい」と判断することもできません。自社が目標とする★と対象範囲を確認し、該当するシステムには対応するという考え方が必要です。
制度の全体像や★3・★4の違いは、「SCS評価制度とは？中小企業が2027年3月までに準備すること」で解説しています。
SCS評価制度が定める多要素認証の対象一覧
多要素認証の対象を判断するときは、「クラウドか自社サーバーか」だけでなく、目標とする★、情報の重要度、利用者、アクセス経路を組み合わせます。
★3・★4のMFA対象比較表
| 確認する場面 | ★3 | ★4 |
|---|---|---|
| 重要な機密情報を扱うクラウドサービスへユーザがアクセス | MFAの対象 | MFAの対象 |
| 同クラウドサービスへ管理者がアクセス | MFAの対象 | MFAの対象 |
| インターネット経由で社内環境へ接続 | 4-1-3-5の★3対象ではない | MFAの対象 |
| 管理者がインターネット経由で重要システムへアクセス | 4-1-3-5の★3対象ではない | MFAの対象 |
| ユーザがインターネット経由で重要システムへアクセス | 4-1-3-5の★3対象ではない | MFAの対象 |
| 社内LAN内だけで一般的なシステムへアクセス | 一律のMFA対象ではない | 情報・システムと他の評価基準を含めて判断 |
この表は、IPAが2026年4月21日に公開した「★3・★4 要求事項・評価基準」の4-1-3を、企業が対象を判断しやすい形に整理したものです。
なお、MFA以外にも、ユーザ認証、パスワード、アカウントロック、管理者IDなどの基準があります。「MFA対象ではない」ことは「認証対策が不要」という意味ではありません。
この表を読んだ後に行うことは、難しい制度解釈ではありません。自社に該当する行へ印を付け、そのアクセスを管理している担当者名を書き出してください。担当者が分からない接続経路があれば、それ自体が最初に解消すべき管理上の問題です。
ユーザアカウントと管理者アカウントの違い
一般ユーザよりも、管理者アカウントが乗っ取られた場合の影響は大きくなります。設定変更、アカウント追加、ログ閲覧、データの持ち出しなど、通常の利用者には認められていない操作ができるためです。
MFAの対象を調べるときは、サービス名だけを一覧にするのではなく、次のようにアカウントを分けて確認します。
- 一般ユーザ
- システム管理者
- クラウドサービス管理者
- 委託先や保守会社が使用するアカウント
- 緊急時に使用するアカウント
- システム間連携で使用するアカウント
クラウドと自社サーバーで異なる対象範囲
★3では、重要な機密情報を扱うクラウドサービスへのアクセスがMFAの対象として明示されています。そのため、「自社サーバーのほうが危険そうだから、★3でもすべてMFAが必要」と単純に読み替えることはできません。
一方、★4ではインターネット経由の接続が対象に加わるため、自社サーバーや社内システムへのリモートアクセスが重要になります。
また、デフォルトユーザID、ログを保存するシステムへのインターネット経由アクセス、ファイアウォールの遠隔変更など、4-1-3以外にも強固な認証やMFAが関係する評価基準があります。最終的には認証に関係する要求事項全体で確認します。
多要素認証（MFA）と二段階認証の違い
多要素認証と二段階認証は、同じ意味ではありません。
SCS評価制度が示す4種類の認証要素
SCS評価制度の評価基準4-1-3-3では、多要素認証に使用する要素として次の4種類を示しています。
| 認証要素 | 例 |
|---|---|
| 知識情報 | ID、パスワード |
| 所有情報 | ワンタイムパスワード、証明書 |
| 生体情報 | 指紋、顔、虹彩、静脈 |
| その他の情報 | IPアドレス |
このうち2種類以上を選択して利用するのが、SCS評価制度における多要素認証です。
二段階認証でもMFAとは限らない
二段階認証は、認証を二つの段階に分けて行う方法です。しかし、二回とも同じ種類の認証要素を使う場合は、多要素認証にならないことがあります。
例えば、パスワードを入力した後に秘密の質問へ回答する方式は、どちらも知識情報です。二段階ではありますが、異なる2種類以上の要素を使用していません。
一方、パスワードを入力した後、スマートフォンの認証アプリで承認する方式は、知識情報と所有情報を組み合わせるため、多要素認証になります。
多要素認証が不正ログイン対策としてどのように機能するかは、IPAの不正ログイン対策特集でも確認できます。
SMS・認証アプリ・生体認証はどう扱われるか
SCSの評価基準では、利用者のメールアドレスや電話番号へワンタイムパスワードを送り、入力させる方法や、スマートフォンへ認証要求を送る方式も含まれるとしています。
ただし、どの方式を採用するかは、利用するサービスの機能、端末の管理状況、利用者の働き方、復旧方法を含めて判断します。認証アプリを導入しても、端末紛失時に本人確認なしで解除できる運用では、十分な対策になりません。
SCSのMFA対象を判断する4つの手順
MFA製品を比較する前に、自社で何が対象になるかを確定します。
1．重要な機密情報を定義する
最初に、自社にとって重要な機密情報を定義します。例えば次のような情報です。
- 顧客や取引先から預かった情報
- 個人情報
- 契約・価格・財務に関する情報
- 設計図、製造条件、ソースコード
- 従業員の人事・給与情報
- 取引先のシステムへ接続するための認証情報
情報の棚卸しがないままでは、どのクラウドサービスやシステムをMFAの対象にすべきか判断できません。
2．クラウドと自社サーバーを洗い出す
重要な機密情報が、どのサービスやシステムに保存されているかを確認します。
- メール、オンラインストレージ、グループウェア
- 顧客管理、販売管理、会計、人事給与
- 自社サーバー上の基幹システム
- 委託先が運用するシステム
- VPN、リモートデスクトップ、保守用接続
洗い出しには、「IT資産管理台帳の作り方」で作成した一覧を利用できます。ただし、台帳にサービス名があるだけでは不十分です。扱う情報とアクセス方法も追加で確認します。
3．ユーザ・管理者とアクセス経路を確認する
各システムについて、次の内容を整理します。
| 確認項目 | 記録する内容 |
|---|---|
| 利用者 | 社員、役員、派遣社員、委託先など |
| 権限 | 一般ユーザ、管理者、システム連携 |
| 利用場所 | 社内、在宅、出張先、委託先 |
| 接続経路 | 社内LAN、インターネット、VPN、専用線 |
| 現在の認証 | パスワード、証明書、認証アプリ、生体認証など |
同じシステムでも、社内から一般ユーザが使う場合と、管理者がインターネット経由で保守する場合では判断が変わります。
4．SCS★3と★4のどちらを目指すか決める
目標とする★を決めなければ、必要な対策範囲と費用は確定できません。
★3を目指す企業が、★4のリモートアクセス要件まで先回りして対応することは、安全性の向上にはなります。しかし、それを★3取得の必須費用として見積もると、予算を過大にする可能性があります。
反対に、取引先から★4を求められる可能性があるのに、★3のクラウドMFAだけを見ていると、VPNや保守接続の対策が後から追加されます。
クラウドサービスの多要素認証は設定だけでは終わらない
主要なクラウドサービスの多くはMFA機能を提供しています。しかし、管理画面に設定項目があることと、対象アカウントへ漏れなく適用し、継続運用できることは別です。
MFAを利用できる契約プランか確認する
サービスによって、MFAの基本機能、組織全体への強制適用、条件付きアクセス、認証ログ、例外管理などが利用できる契約プランは異なります。
まずは現在の契約で、対象者全員に必要な設定を適用できるか確認します。追加ライセンスが必要なら、月額費用だけでなく対象人数も見積もります。
対象アカウントへMFAを強制適用する
従業員へ「各自で設定してください」と案内するだけでは、未設定者が残る可能性があります。対象となるユーザと管理者を特定し、組織側で適用状況を確認できる状態にします。
また、古いメールソフトや旧式の認証方式がMFAを回避する経路にならないかも確認します。
例外アカウントと緊急用アカウントを管理する
システム連携用アカウントや緊急用アカウントでは、通常と同じMFAを設定できない場合があります。例外を無条件に認めるのではなく、用途、責任者、代替策、利用記録、見直し時期を決めます。
認証ルールを社内規程へ落とし込む考え方は、「中小企業向けセキュリティポリシーの作り方」で解説しています。
端末紛失・機種変更・退職時の手順を決める
MFA導入後には、認証に使うスマートフォンの紛失、故障、機種変更が発生します。管理者がどのように本人確認し、認証手段を再登録するかを決めておきます。
退職者のアカウント無効化、委託先の契約終了、管理者変更も同様です。MFAは導入作業ではなく、アカウント管理の一部として運用します。
クラウド管理者には、単に「MFAは使えますか」と聞くのではなく、次の4点を確認します。
- 対象となる利用者と管理者のうち、未設定者は何人いるか
- 組織側でMFAを強制できるか
- MFAを使わない例外アカウントはあるか
- 端末紛失時の解除・再登録を誰が承認するか
この回答が揃えば、設定で済むのか、追加ライセンスや運用変更が必要なのかを判断できます。
自社サーバーを多要素認証に対応させる4つの方法
自社サーバーや古い社内システムには、MFAの設定項目がない場合があります。その場合でも、すぐに大規模改修と決めつけず、次の選択肢を比較します。
既存システムのMFA機能を利用する
まず、現在のバージョンや追加オプションでMFAに対応できないか、開発会社や保守会社へ確認します。
古い画面に設定項目がなくても、バージョンアップや追加モジュールで対応できる場合があります。反対に、保守が終了したシステムでは、認証部分だけの改修が難しい場合もあります。
IdP・IDaaSと認証連携する
IdPやIDaaSは、複数のシステムの認証をまとめて管理するための基盤です。既存システムがSAML、OpenID Connect、RADIUS、LDAPなどの方式で連携できれば、認証基盤側でMFAを適用できる可能性があります。
ただし、IDaaSを契約すれば既存システムが自動的にMFA対応するわけではありません。既存システムの連携仕様、追加開発、アカウント同期、障害時の動作を確認します。
VPNや認証ゲートウェイでMFAを適用する
既存システム自体を改修しにくい場合、VPNや認証ゲートウェイなど、システムへ入る前の経路にMFAを設ける方法があります。
この方法が適切かどうかは、MFAを通らずにアクセスできる別経路がないか、社内からのアクセスをどう扱うか、管理者や委託先の接続を識別できるかで判断します。
特に★4を目指す場合は、インターネット経由の社内接続や管理者アクセスが評価基準に含まれるため、VPNだけでなくリモート保守経路全体を確認します。
システム刷新・クラウド移行を検討する
既存システムが老朽化し、認証連携も難しい場合は、システム刷新やクラウドサービスへの移行を比較します。
MFAだけを理由に全面刷新するのではなく、保守期限、障害リスク、業務変更、データ移行、将来の運用費を含めて経営判断します。SCS対応を、以前から先送りしていたシステム更新を検討する契機にする考え方です。
自社サーバーの対応方法を読者自身が選ぶ必要はありません。現在の開発会社・保守会社へ、次の文面を送って選択肢を出してもらいます。
当社はSCS評価制度への対応を検討しています。このシステムについて、①既存機能でMFAを利用できるか、②認証基盤またはVPN側でMFAを追加できるか、③改修が必要か、④対応できない場合に移行先があるかを確認し、初期費用、継続費用、必要期間を分けて提示してください。
回答が「改修しかない」場合も、そのまま発注せず、入口での認証追加とシステム移行を含めた比較を依頼します。
SCSの多要素認証にかかる費用と見積項目
MFAの費用は、サービスの設定だけなら小さく見える一方、対象者への展開や既存システム連携まで含めると増えることがあります。「1アカウント当たりの利用料」だけで判断しないことが重要です。
MFA対応の費用が企業ごとに異なる理由
費用を左右する主な要因は次のとおりです。
- 対象となるサービスとシステムの数
- ユーザ数と管理者数
- 現在の契約プラン
- 既存システムの認証連携への対応
- 自社開発かパッケージ製品か
- インターネット経由の接続経路
- 委託先や保守会社の利用
- 必要な可用性とサポート水準
クラウドサービスで発生する費用
クラウドでは、追加ライセンス、初期設定、アカウント整理、利用者登録、操作案内、問い合わせ対応などが主な費用になります。
MFA機能そのものが現在のプランに含まれていても、全社員への展開や未登録者へのフォローには作業時間がかかります。複数のサービスを個別に管理するか、認証基盤でまとめるかによっても変わります。
自社サーバーで発生する費用
自社サーバーや社内システムでは、次の項目を分けて見積もります。
- 現行認証方式と連携可否の調査
- アプリケーション改修
- IdP・IDaaSの利用料
- VPNや認証ゲートウェイの導入
- アカウント連携と初期設定
- テスト、移行、障害対応
- 開発会社や保守会社の作業
根拠なく「数百万円」「数千万円」と決めることはできません。最初に対象と接続方式を整理してから、複数の選択肢を同じ条件で比較します。
導入後の運用費用も見積もる
導入後には、利用者追加、端末交換、認証手段の再登録、アカウント停止、ログ確認、例外の見直しが発生します。
初期費用だけが安い方式でも、毎月の管理を外部へ依頼する必要があれば総費用は変わります。見積書では、初期費用、月額・年額費用、社内作業、障害時対応を分けて確認します。
見積書を受け取ったら、最低でも「初期設定・改修」「ライセンス」「アカウント登録」「利用者への案内」「端末紛失時の対応」「運用保守」に分かれているか確認してください。一式表記では、導入後に何の費用が増えるか判断できません。
SCS評価で確認されるMFAの記録と運用
★3は、セキュリティ専門家による確認を経た自己評価です。そのため、MFAを設定したという口頭説明だけでなく、対象をどのように決め、どこまで適用し、どう運用しているかを説明できる状態にしておく必要があります。
MFAの対象を決めた根拠
次の内容を一覧にします。
- 重要な機密情報の定義
- 対象サービスとシステム
- 目標とする★
- 利用者と管理者
- インターネット経由のアクセス
- MFAを適用する対象と対象外にした理由
アカウントごとの適用状況
対象アカウントにMFAが適用されているか確認し、管理画面の出力、設定一覧、確認日などを残します。
画面のスクリーンショットだけに依存すると、利用者の増減や設定変更を追いにくくなります。アカウント一覧と定期確認の記録を組み合わせます。
例外対応と承認記録
通常のMFAを適用できないアカウントがある場合は、放置せずに次を記録します。
- 例外が必要な理由
- 想定するリスク
- IPアドレス制限などの代替策
- 承認した責任者
- 例外を見直す期限
定期確認と変更履歴
新しいクラウドサービスの導入、システム更新、テレワーク開始、委託先変更があれば、MFAの対象も変わります。
年1回だけではなく、アカウントやシステムが変わるタイミングで更新する運用を決めます。IPAは★3・★4の解説書を2026年10月頃に公開予定としているため、公開後は必要な確認方法や記録を再点検します。
SCS評価制度の多要素認証でよくある質問
SCS★3では全社員にMFAが必要ですか？
「全社員」という所属だけでは決まりません。★3では、重要な機密情報を取り扱うクラウドサービスへアクセスするユーザと管理者がMFAの対象です。対象サービスを利用する全アカウントを洗い出して判断します。
社内LANから自社サーバーへ接続する場合も必要ですか？
4-1-3-2の★3基準は重要な機密情報を扱うクラウドサービスが対象で、4-1-3-5の★4基準はインターネット経由のアクセスを対象にしています。そのため、社内LAN内の自社サーバーが一律に同じMFA対象になるとは限りません。ただし、ユーザ認証やパスワードなど他の評価基準への対応は必要です。
VPNにMFAを設定すればSCS★4に対応できますか？
VPNへのMFAは重要な対策ですが、それだけで★4の認証要件すべてへ対応したとは判断できません。管理者の別接続、委託先の保守経路、クラウドへの直接アクセスなど、VPNを通らない経路がないか確認します。
SMS認証はSCSの多要素認証に含まれますか？
評価基準4-1-3-3では、電話番号などへワンタイムパスワードを送信し、利用者に入力させる方法を含むとしています。パスワードなど別種類の要素と組み合わせて使用します。
MFAに対応できない古いシステムはどうすればよいですか？
既存システムの改修だけでなく、IdP・IDaaSとの連携、VPNや認証ゲートウェイでの入口対策、システム刷新を比較します。まず、目標とする★でそのアクセスが対象かを確認してから、開発会社や保守会社へ連携方式と費用を確認します。
Microsoft 365なら設定だけで対応できますか？
MFA機能が利用できても、それだけで対応完了とはいえません。現在の契約プラン、対象アカウントへの強制適用、例外、旧式認証、端末交換時の復旧、設定状況の記録まで確認します。Google Workspaceなど他のクラウドサービスでも考え方は同じです。
まとめ｜SCSのMFA対応は対象範囲の確認から始める
★3を目指すなら、まず重要な機密情報を扱うクラウドサービスと、その利用者・管理者のMFA設定を確認してください。★4を目指すなら、VPN、遠隔保守、管理者のリモートアクセスまで確認します。
未対応部分が見つかったら、技術方式を自社だけで決める必要はありません。対象システムの一覧をシステム会社へ渡し、次の3点を問い合わせます。
- 現在の契約・システムでMFAに対応できるか
- VPNやIdP・IDaaSで対応できるか
- 改修または移行に必要な期間と費用はいくらか
ここまで分かれば、「自社に関係するか分からない」という状態から、設定で済むもの、見積もりが必要なもの、経営判断が必要なものへ分けられます。
SCS対応を含むセキュリティ対策全体の着手順に迷う場合は、「セキュリティ対策は何から始めるか」を参考に、自社の重要な情報と事業上の影響から優先順位を決めてください。
コメント