評価基準 No.4-4-2-1
サポート期限の切れたOS及びソフトウェアへの対策

段階 ★4
NIST CSF の機能 防御(PR)
対象版 SCS-400 Ver.1.1（2026-10-28）
版を固定した URL

版を固定した URL です（400-v1.1）。現在の版は評価基準 No.4-4-2-1 を見てください。

この評価基準は、文書によって表記が違います（SCS-410・SCS-420）。ドキュメントの検査結果

原文要求事項と評価基準

要求事項 No.4-4-2 サポート期限の切れたOS及びソフトウェアへの対策

サポート期限の切れたOS及びソフトウェアの利用停止及び更改を実施すること。

評価基準 No.4-4-2-1（★4）

・利用するOS及びソフトウェアについて、サポートのあるものを利用すること。

・やむを得ずサポート切れのOS及びソフトウェアをそのまま利用する場合(例えば、代替システムを調達する必要があり、直ちに更改できない場合)は更改計画を策定した上で、更改するまでの間、脆弱性悪用のリスクを低減する対策を実施すること。

出典

出典：SCS-400 ★3・★4 要求事項・評価基準（Ver.1.1、2026-10-28 公表）、独立行政法人情報処理推進機構（IPA）、シート「★3・★4要求事項・評価基準」119 行目、https://www.ipa.go.jp/security/scs/rcu1hd0000007a2i-att/SCS-400-criteria-v1.1.xlsx。2026-11-03 取得

原文対象外となるための条件・適合基準

対象外となるための条件

該当なし

適合基準

①全ての OS 及びソフトウェアについて、サポートの有無を把握していること。

②全ての OS 及びソフトウェアについてサポートがあるものを利用していること。

③やむを得ずサポート切れのものを利用する場合は更改計画を策定し、更改までの間、No.4-4-4-2 の適合基準で求める脆弱性悪用リスクの低減策を実施していること。

出典

出典：SCS-410 ★3・★4 自己評価等ガイド（2026-10-28 公表）、独立行政法人情報処理推進機構（IPA）、別紙 No.4-4-2-1、86 ページ、https://www.ipa.go.jp/security/scs/rcu1hd0000007a2i-att/SCS-410-self-assess-guide-v1.0.pdf#page=86。2026-11-03 取得

原文自己評価方法（SCS-410）

①IT 資産管理台帳、構成管理情報等を確認し、全ての OS 及びソフトウェアについて、サポートの有無を把握していることを確認する。

②IT 資産管理台帳、構成管理情報等を確認し、全ての OS 及びソフトウェアについてサポートのあるものを利用していることを確認する。

③やむを得ずサポート切れのものを利用している場合は更改計画を策定し、更改までの間、No.4-4-4-2 の適合基準で求める脆弱性悪用リスクの低減策を実施していることを確認する。

出典

原文第三者評価の評価手法（SCS-420）

▶質問

①OS 及びソフトウェアのライセンス・サポートの有効化有無、また、有効でない場合の対応方法について質問する。

②自動アップデートの有効化有無を質問する。

▶閲覧

原則として実施しない。

▶観察

①OS 及びソフトウェアのうち 1 件を抽出し、バージョン情報等がわかる画面を観察し、サポートされていることを確認する。

②サポートされていない場合、脆弱性悪用のリスクを低減する対策が実施されていることを確認する。

出典

出典：SCS-420 ★4 第三者評価ガイド（2026-10-28 公表）、独立行政法人情報処理推進機構（IPA）、別紙 No.4-4-2-1、101 ページ、https://www.ipa.go.jp/security/scs/rcu1hd0000007a2i-att/SCS-420-3rdparty-assess-guide-v1.0.pdf#page=101。2026-11-03 取得

公式解説SCS-620 の解説

「サポート切れの OS 及びソフトウェア」とはどのようなものを指し、いかなる管理を行うことが望ましいか？

・ソフトウェアベンダー、他の事業者、OSS の開発コミュニティ、配布元等から、利用中のバージョンに対するセキュリティ修正等を一切受けられないものを指す。

・ソフトウェアベンダーから提供される製品の場合、製品ロードマップの見直し等により、サポートの終了が突然発表されることもあり得るため、利用するソフトウェアのサポート期間に関する情報を適時入手し、ソフトウェア更改やサポート事業者の切替え等の対策が適切に講じられるよう考慮することが望ましい。

・適用範囲を構成する IT 基盤で使用しているソフトウェア等の IT 資産を手作業で漏れなく正確に把握するには多大な労力が必要となる。そのため、自動でソフトウェアの種類及びバージョンを管理する機能を有する IT 資産管理ソフトウェアを導入することも有用である。

出典

出典：SCS-620 ★3・★4 要求事項・評価基準解説書（2026-10-28 公表）、独立行政法人情報処理推進機構（IPA）、別紙 No.4-4-2 【解説】、89 ページ、https://www.ipa.go.jp/security/scs/rcu1hd0000007a2i-att/SCS-620-handbook-v1.0.pdf#page=89。2026-11-03 取得

「脆弱性悪用のリスクを低減する対策等」として、どのようなものがあるか？

・「脆弱性悪用のリスクを低減する対策」の具体的な内容については、評価基準 No.4-4-4-1 及び No.4-4-4-2【解説】を参照されたい。

出典

オープンソースソフトウェア（OSS）については、どのように考えればよいか？

・OSS については、商用ソフトウェアのように明確なサポート期限が設定されていない場合がある。この場合、開発コミュニティ、配布元、保守事業者等による更新状況、脆弱性情報及び修正プログラムの提供状況を確認し、実質的に保守が継続しているかを判断する。なお、OSS であることのみをもって、サポート切れとは判断しない。

・OSS の利用については、以下の資料が参考となるので参照されたい。

-IPA：ガイドブックその「思い込み」がリスクになる？OSS に対する誤解を解く 5つの処方箋（https://www.ipa.go.jp/digital/kaihatsu/oss/learn/guidebook-biases-to-oss/index.html）

出典

改訂

2026-10-29 SCS-410 ★3・★4 自己評価等ガイド: 編集上のミスにより修正（No.4-4-2-1 の評価基準・適合基準・自己評価方法）
2026-10-29 SCS-420 ★4 第三者評価ガイド: 編集上のミスにより修正（No.4-4-2-1 の評価基準に改行を挿入）

評価基準 No.4-4-2-1サポート期限の切れたOS及びソフトウェアへの対策