本記事は、SCS評価制度★3で求められる「パスコード・アカウントロック設定」への対応を、MDM（OPTiM Biz）を活用して効率的に進める方法を解説します。

★3のパスコード要件は、ロック解除の試行回数の制限、一定以上のパスコード長、推測されにくいパスコードの使用、初期パスワードの変更、社内ルールの周知といった項目で構成されています。いずれも高度な対策ではなく、「組織として確実に適用し、維持できているか」が問われる基礎的な要件です。

一方、設定を従業員任せにすると、端末ごとに状況がばらつき、管理台数が増えるほど一台ずつの確認は難しくなります。「周知しただけの状態」と「実際に設定され、維持されている状態」は別物であり、評価制度においては後者を示すことが重要です。

MDM（OPTiM Biz）を使えば、共通のパスコードポリシーを複数の端末へ一括で適用し、準拠状況をまとめて確認できます。併せて、規程・周知記録・設定画面・準拠状況・是正記録といった証跡を対応するように残しておくと、★3への対応状況を説明しやすくなります。ただし、ルールの策定、従業員教育、クラウドサービスのID管理や多要素認証など、MDMだけでは補えない領域もあります。端末側の対策と、組織・運用側の対策を両輪で進めることがポイントです。

1. SCS評価制度★3とは

SCS評価制度は、サプライチェーンを構成する企業のサイバーセキュリティ対策の実施状況を、共通の基準で確認・可視化するための制度です。個々の取引先だけでなく、サプライチェーン全体でセキュリティ水準を底上げすることをねらいとしており、対策の充実度に応じて★の数で段階が示されます。近年は、対策の手薄な取引先を経由して、その先の影響の大きな企業のシステムへ侵入する攻撃も増えています。規模の大小を問わず、サプライチェーンに関わるすべての企業に、一定の対策が求められるようになってきました。

このうち★3は、サプライチェーンに参加する企業が最低限備えておくべき、基礎的なセキュリティ対策のレベルとして位置づけられています。特別に高度な取り組みというよりも、「当たり前のことを、組織として確実に実施できているか」を問う内容が中心です。そのため、これから本格的にセキュリティ対策へ着手する企業にとっても、比較的取り組みやすい段階といえます。

本記事では、★3の要求事項のうち、パソコンやスマートデバイス（スマートフォン・タブレット）の「パスコード・アカウントロック設定」に焦点を当てます。要件の考え方を整理した上で、MDM（モバイルデバイス管理）、とりわけ「OPTiM Biz」を活用して、組織全体で設定を統一し、維持する方法を具体的に解説します。

2. ★3でパスコード設定が求められる理由

パスコードは、端末を利用する際に最初に操作する画面であり、他者からの使用を防ぐために設定するものです。パスコードが設定されていなかったり、「0000」「1234」のように推測しやすい値が使われていたりすると、紛失・盗難に遭ったときや、離席中に第三者から操作されたときに、業務情報へ簡単にアクセスされてしまうおそれがあります。電車や飲食店での置き忘れや、カフェで席を外した際の操作といった、日常のわずかな隙が、そのまま情報漏えいの入口になりかねません。

今日の業務端末は、それ単体で情報が完結しているわけではありません。社内システムやクラウドサービス、メール、チャットツールなどへの入口として機能しています。つまり、端末のロックが破られることは、その先にある数多くの業務データやサービスへの経路を、まとめて明け渡してしまうことを意味します。

端末のロック解除そのものに一定の認証強度を持たせ、「拾った人・盗んだ人が、すぐには中身にアクセスできない状態」をつくる。これがパスコード要件の目的です。

パスコード設定は、目立たないながらも、情報漏えい対策の土台となる基本的な機能です。だからこそ★3では、端末のロック解除に一定の強度を確保することが求められます。

3. SCS評価制度★3で確認したいパスコード要件

★3では、端末の「アカウントロック制御」に関連して、主に次のような点が確認の対象となります。ここでは、技術的な端末設定として実施すべきことと、社内ルールとして定めておくべきことを分けて整理します。

大きく分けると、「試行回数」「長さ」「推測されにくさ」「初期パスワード」といった端末側の設定に関わる項目と、「ルールの周知」のように運用・体制として整えるべき項目があります。端末を正しく設定しても、対象者にルールが伝わっていなければ、要件を満たしているとはいえません。逆に、ルールを文書化しただけで実際の端末に反映されていなければ、これも対応済みとはいえないでしょう。技術と運用の両面がそろって、初めて要件を満たした状態になります。

4. 従業員任せのパスコード設定では不十分な理由

パスコードの設定を従業員一人ひとりの判断に委ねると、実際の状況は端末ごとにばらつきます。「そもそも設定していない」「4桁の簡単な数字にしている」「誕生日など推測されやすい値を使っている」といった状態が、気付かないうちに混在してしまいます。

さらに、管理対象が数十台、数百台と増えるにつれ、管理者がすべての端末を一台ずつ確認し、設定を維持し続けることは現実的でなくなります。人事異動や端末の入れ替えのたびに状況は変わるため、ある時点で確認できていても、それが以降も保たれているとは限りません。

「設定するよう周知した状態」と「実際に設定され、維持されている状態」はまったくの別物です。★3で問われるのは後者です。

★3で本当に問われるのは、組織全体で確実に設定が適用され、その状態が保たれていることです。しかし従業員任せの運用では、この「維持されている状態」を証明することが難しくなります。

5. MDMを利用したパスコード管理とは

こうした課題を解消する手段が、MDM（Mobile Device Management：モバイルデバイス管理）です。MDMを使うと、管理者は端末を一台ずつ手作業で設定するのではなく、組織で定めた共通のパスコードポリシーを、多数の端末へ一括で適用できます。

具体的には、パスコードの最低文字数、英数字や記号を組み合わせる複雑性、ロック解除の失敗回数の上限などを、MDMの管理画面であらかじめ指定します。あとはそのポリシーを対象の端末へ配信するだけで、組織全体の設定を揃えられます。さらに、指定したポリシーに対応していない端末とその使用者を特定し、直接ポリシー対応依頼をすることも可能になります。

「端末ごとの手作業」から「管理側での一元管理」へと発想を切り替えることで、設定漏れやばらつきを抑え、★3が求める「組織として設定が適用・維持されている状態」を効率的に実現できます。台数が増えても管理者の手間はほとんど変わらず、新しく加わった端末にも同じポリシーを適用できるため、組織の拡大や体制の変化にも無理なく対応できます。

6. OPTiM Bizでできるパスコード設定

MDMの一つである「OPTiM Biz」を利用すると、パスコードに関して次のような管理が行えます。

• 複数端末へのパスコードポリシーの一括適用
• パスコードの最低文字数や複雑性の設定
• ロック解除失敗回数に応じたロック・ワイプ（データ消去）
• パスコード保護が有効になっているかどうかの確認
• パスコードポリシーへの準拠状況の確認
• 管理対象端末への設定変更や再適用

これらの機能を組み合わせることで、単に「設定する」だけでなく、設定が有効になっているか、ポリシーどおりに運用されているかを継続的に把握できます。★3が重視する「維持されている状態」の確認を日々の運用に組み込める点は、大きな利点といえます。

なお、利用できる機能は、OS（iOS／iPadOS／Android／Windows など）や端末の管理方式によって異なる場合があります。導入にあたっては、自社で管理する端末の構成に合わせて、利用可能な機能をあらかじめ確認しておくとよいでしょう。

7. OPTiM Bizを利用した対応の進め方

OPTiM Bizを使って★3のパスコード要件に対応する場合、次のような流れで進めるとスムーズです。

1. 管理対象となるパソコン・スマートデバイスを整理する
2. SCS評価制度の要件を踏まえて社内ルール（パスコード規程）を決める
3. OPTiM Bizでパスコードポリシーを作成する
4. 対象となる端末へ設定を一括配信する
5. ポリシーへの準拠状況を確認する
6. 未設定・非準拠の端末に是正対応を行う

ポイントは「設定して終わり」にしないこと。端末や従業員は入れ替わります。定期的に準拠状況を確認し、非準拠の端末に都度是正を行う運用サイクルこそが、★3対応を「維持されている状態」として保つ鍵です。

確認の頻度は、月次や四半期ごとなど、自社の端末台数や運用体制に合わせて無理のない周期を設定するとよいでしょう。手順や確認のタイミングをあらかじめ決めておくことで、確認作業が属人化したり、後回しになったりするのを防げます。

8. ★3の確認に備えて残したい証跡

★3への対応状況を対外的に説明したり、社内で確認したりする場面では、「確かに対応している」ことを示す証跡（エビデンス）が役立ちます。パスコード要件については、次のような情報を整理しておくとよいでしょう。

証跡を整理する際のポイントは、「規程（ルール）」「システム設定」「実際の運用結果」を互いに対応させて残すことです。ルールを定めただけ、あるいは設定しただけでは不十分で、定めたルールが実際の端末に適用され、その状態が維持されている――この一連のつながりを説明できるようにしておくのが理想です。証跡がそろっていれば、★3の取得時だけでなく、取引先からの確認や社内監査の際にも、対応状況を客観的な事実として示しやすくなり、説明にかかる手間も軽減できます。

9. MDMだけでは対応できない項目

MDMは、端末へのパスコード設定や準拠状況の確認を大きく効率化します。ただし、★3の要求事項をMDMだけですべて満たせるわけではありません。たとえば、次のような項目は、MDMとは別に対応が必要です。

• 社内ルール（パスコード規程）の策定
• 従業員への周知・教育
• 重要なクラウドサービスのパスワード管理・アカウント管理

また、重要なクラウドサービスへのアクセスにおいては、端末のパスコードだけでなく、多要素認証（MFA）などの追加的な認証対策も求められます。MDMが担う「端末側の対策」と、規程・教育・ID管理などで補う「組織・運用側の対策」の役割分担を明確にし、両輪で取り組むことが重要です。どこまでをMDMで自動化し、どこからを規程や教育でカバーするのかをあらかじめ整理しておくと、対応の抜け漏れや、担当部署間の認識のずれを防ぎやすくなります。

10. まとめ

SCS評価制度★3のパスコード関連要件に対応するには、単にルールを定めるだけでは不十分です。実際の端末に適切な設定を適用し、それが維持できていることまでを確認する必要があります。

OPTiM Bizを活用すれば、パスコードポリシーを複数端末へ一括で適用し、準拠状況をまとめて確認できます。これにより、端末ごとの設定漏れや、管理者にかかる負荷を大きく抑えることが可能です。

まずは、自社で管理している端末のパスコード設定状況を棚卸しし、★3の要求事項との差分を確認することから始めてみましょう。

パスコード設定は、★3対応の入口にすぎません。棚卸しを通じて自社の現状を把握できれば、他の要求事項への対応にも、「ルールを定め、設定を適用し、維持されていることを確認する」という同じ考え方を応用できます。着手しやすいところから、一歩ずつ進めていきましょう。

▶ OPTiM Biz 資料ダウンロードはこちら

▶ OPTiM Biz お問い合わせはこちら