Moshiru
会社情報セキュリティの手引き会員

「パスワードのルールを定めていますか」の答え方｜確認先・回答例・証拠の例

公開：2026年10月18日／最終更新：2026年10月18日／Moshiru 岡﨑 悠太

こんなときに役立ちます

  • 取引先から届いたチェックシートに、この設問があったとき
  • 社内の誰に、何を確かめればよいか分からないとき

読み終えたあと、社内でこう言えます

「確認先に文面を送りました。回答は実態に合わせて、足りないところは予定と一緒に書きます」

この設問は何を聞いているか：パスワードの決め方が社内で決まっていて、全員に伝わっているか、を聞いています。★3では、初期パスワードの変更、推測されやすい言葉の禁止、長さ、使い回しの禁止などがルールに入っていることが求められます。

ここまでやれば答えられます：確認先に下の文面を送って実態を確かめ、パスワードのルールを書いた規程・手順書のような記録を1つ用意できれば、「はい」か「一部」で具体的に答えられます。足りないところは「いつまでに何をするか」を書けば十分です。

パスワードのルールの設問は、確認先に聞き、実態に合わせて、はい・一部・いいえで答える

取引先に対策を求める大企業は88.2%、求められた中小企業の43.2%にできていない対策がある、という調査があります（ミツモア、2026年10月）。回答期日は2〜3営業日が最も多く、1週間以内が76%です（SecureNavi社、2026年2月発表）。できていない項目があるのは珍しくありません。短い期日でも、確認先を先に決めれば間に合います。

社内の誰に確認すればよいか

就業規則やセキュリティの規程を持っている総務の担当に確認します。規程がなければ、いまの運用を管理者に聞きます。下の文面は、そのまま送れるように書いています。【 】の部分を置き換えてください。

件名：パスワードのルールの確認のお願い

【担当者名】さん

取引先からセキュリティのチェックシートが届き、次の点を確認しています。

■パスワードのルールを書いた文書（規程、手順書、社内の案内など）があるか
■そこに「初期パスワードの変更」「推測されやすい言葉の禁止」「最低の長さ」「使い回しの禁止」が入っているか
■全員にいつ伝えたか

【期日】までに分かる範囲で教えてください。

回答例（はい／一部／いいえ）

書き方の例です。御社の実態に合わせて書き換えてください。実態と違う内容を写すことはしないでください。

回答回答例
はい「パスワードのルールを規程で定めている。初期パスワードの変更、推測されやすい語の禁止、最低文字数、他サービスとの使い回し禁止を含み、入社時と年1回、全員に周知している。」
一部「パスワードの長さと使い回し禁止は周知しているが、文書になっていない。【年月】までに規程に定め、全員に周知する予定。」
いいえ「パスワードのルールは未整備。【年月】までに規程を定めて周知する予定。現在は、主要なクラウドサービスで多要素認証を使っている。」

「いいえ」のときは、どう書けばよいか

ルールは1枚の文書で足ります。決めたら全員に配り、配った日を記録しておくと、そのまま証拠になります。「検討中」だけで終わらせず、いつまでに何をするかと、それまでの代わりの対策を書くと、取引先は判断しやすくなります。

証拠を求められたら、何を出せばよいか

パスワードや、管理画面のURLが写った部分は消してから出してください。

SCS評価制度の★3では、どう求められているか

★3に入る項目です。この設問は、★3の要求事項「4-1-5 パスワード設定ルール」にあたります。評価基準は5項目です（IPA公開のExcelの原文）。

  1. パソコン、サーバ、スマートデバイス及びクラウドサービスの利用者又は管理者は、それらにおけるデフォルトパスワードを変更するよう社内ルールを定めること。（4-1-5-1）
  2. ユーザ認証にパスワードを利用する場合、推測されやすい単語の設定を禁止するよう社内ルールを定めること。（4-1-5-2）
  3. ユーザ認証にパスワードを利用する場合、以下のいずれかの保護対策を講じるよう社内ルールを定めること。 - No.4-1-3-3で示す認証要素を利用した多要素認証を使用するか、又は試行が少なくとも10回失敗した場合にアカウントロックするように制限したうえで、パスワードの長さを8文字以上とする。 - 上記のとおり多要素認証又は試行回数の制限を実施できない場合、パスワードの長さは、英大文字小文字、数字を含めた10文字以上とする。（4-1-5-3）
  4. ユーザ認証にパスワードを利用する場合、情報機器及びサービス間でのパスワードを使い回さないよう社内ルールを定めること。（4-1-5-4）
  5. No.4-1-5-1からNo.4-1-5-4までで定めたパスワード設定に関するルールについて、役員、従業員、派遣社員及び受入出向者を対象に周知すること。（4-1-5-5）

くわしくは、会社のパスワードのルールの決め方にまとめています。

次に読む

  1. 次の場面：いま起きている不審なメールを開いてしまったらパスワードを入れた・添付を開いた場合の最初の30分の動き方
  2. 同じ場面・BPO・人材チェックシート「委託先を管理していますか」の回答例自社の外注先とクラウドを分けて書く。一覧のひな形つき
  3. 教科書で仕組みから（6-5）サイバーセキュリティフレームワーク（CSF）CSF 2.0の6つの機能で自社の対策を整理し、取引先に答えられるようにする

シートごと送れば、回答はこちらで作ります

届いたチェックシートをそのまま送ってください。設問ごとの回答と、確認が要る点の一覧をお返しします。初めての1枚目は、30問まで無料です。打合せはなく、メールだけで進みます。

シートを送る初めての1枚目は無料ほかの設問の答え方手引き

参考にした資料

  1. IPA「要求事項・評価基準」（★3・★4要求事項・評価基準のExcel、2026年4月21日公開）
  2. LOGISTICS TODAY「中小企業、取引条件のセキュリティー対策に遅れ」（2026年10月8日。ミツモアの調査）
  3. ScanNetSecurity「76％が『1 週間以内に回答』～ セキュリティチェックシートの理想と現実」（2026年3月4日。SecureNavi株式会社の調査）