10月28日の公開で、14日ルールの何が変わったか
工場の情報システム係が、IPAのアセスメントシートを開いて評価基準「4-4-4-2」の行に「適合」と入力しかけ、手を止める。そんな場面を想定してください。先月出たデータベースの修正プログラムは、MESの検証環境での確認が終わっておらず、まだ本番サーバに当たっていないからです。
この迷いに対する答えが、IPA（情報処理推進機構）が2026年10月28日に公開した文書群に書かれました。公開されたのは「★3・★4 自己評価等ガイド」（SCS-410、111ページ）とその別紙のアセスメントシート、「★4 第三者評価ガイド」（SCS-420）、「★4 技術検証ガイド」（SCS-430）、「★3・★4 要求事項・評価基準 解説書」（SCS-620、122ページ）です。あわせて要求事項・評価基準そのもの（SCS-400）が1.1版に改訂されました。翌29日には、版を変えない軽微な編集修正が入っています。
1.1版で直されたのは評価基準3つだけで、いずれも修正プログラムとサポート切れソフトウェアの扱いです。
| 評価基準 | 対象 | 1.0版（2026年3月27日公開） | 1.1版（2026年10月28日公開） |
|---|---|---|---|
| 4-4-4-2 | ★3・★4 | 14日以内に適用できない場合の代替策4つ（機能無効化、ベンダー回避策、ネットワーク分離、不正通信の監視・遮断）を基準本文に列挙 | 本文は「リスクを低減する対策を実施」とだけ書き、具体策は自己評価等ガイドと解説書へ移す |
| 4-4-4-1 | ★3 | サポート終了品は削除するか、インターネットとの通信を全て遮断して範囲外にする | 上記に加え、やむを得ず使い続ける場合はリスク低減策を実施していることを条件に認める |
| 4-4-2-1 | ★4 | サポート切れ品を使う場合は更改計画＋4-4-4-2の代替策 | 更改計画＋リスク低減策（4-4-4-2と書きぶりをそろえた） |
IPAの変更箇所資料は、代替策を基準本文からガイド側へ移した理由を「情勢変化に応じて機動的な見直しを可能にする」ためと説明しています。中身の要点は、脆弱性を「攻撃が観測されているか」で分けたことです。
- 攻撃が観測されている脆弱性：CVSS基本値7.0以上で、IPA「重要なセキュリティ情報」、JPCERT/CC「注意喚起」、米CISAのKEVカタログ、ENISAの脆弱性データベースなど公的機関のリストに載ったものは、機器のインターネット露出の有無を問わず14日以内に適用しなければなりません。間に合わない間は、機能の無効化、ベンダー回避策、ネットワーク分離、監視強化のいずれかが必要です
- 攻撃が観測されていない脆弱性：適用に向けた対応計画を作り、完了するまで管理・記録していれば、期限を15日以上に設定する運用が認められ得る、と解説書は書いています。CVSS基本値で「重大」「高」と判定された脆弱性のうち実際に悪用されたのは4％だった、というCISA資料も根拠として引用されています
対象は従来どおり、会社支給PCのOS・ブラウザ・Office、サーバのOSとミドルウェア、会社支給スマートデバイス、インターネット境界のネットワーク機器です。MESサーバを適用範囲に入れるなら、そのOSとデータベースはここに入ります。
今週：MESサーバを範囲に入れるかを決め、証跡の置き場を見る
最初の1週間でやることは、判断を1つ確定させることと、記録が残っているかを確かめることです。
- MESサーバを適用範囲に入れるか外すかを決める。解説書は、一方向ゲートウェイで外部と区切られた製造拠点の制御（OT）システムを対象外の例に挙げています。ただし外すなら、範囲内との境界にファイアウォールかVLAN（データリンク層・ネットワーク層の制御）を置き、範囲外からの通信をインターネットからの通信と同じ扱いで必要最小限に絞る必要があります。IDとパスワードによるアクセス制御は、この境界の手段として認められていません。境界防護がない場合、OTに当たるものでも範囲に含めなければならないと書かれています。どちらを選ぶかの考え方は★3の要求事項26件を読んだ記事で整理しました
- 範囲に入れるなら、OSとミドルウェアを一覧にする。自己評価方法の1番目は「IT資産管理台帳や構成管理情報で、対象機器・ソフトウェアと利用している機能・設定を把握しているか」の確認です。MESのアプリケーション本体ではなく、Windows Server、SQL ServerやOracleなどのDB、アプリケーションサーバ、ウイルス対策ソフトといった層を、サーバごとに書き出します
- 過去3カ月の適用記録を探す。自己評価では、適用記録・変更管理記録・更新ログでリリースから14日以内の適用を確かめます。MESの変更管理票にパッチ適用日が残っているか、残っていなければどこに記録するかをこの週に決めます
今月中に着手すること：対応計画の様式と、脆弱性情報の入口を作る
- 脆弱性の仕分けルールを文書にする。CVSS基本値7.0以上の修正を、公的リストに載った「攻撃観測あり」と、それ以外に分ける手順です。見る情報源は、解説書が例示するIPA、JPCERT/CC、CISA KEV、ENISA EUVDから選びます。KEVへの掲載が修正プログラム公開から14日を過ぎてからになる場合は、14日以内の対象に必ずしも含めなくてよいが、計画上の期限を短く引き直すのが望ましい、とされています
- 対応計画の台帳を作る。解説書の記録例は、CVE番号、対象機器・ソフトウェア、CVSS基本値、対応期限・時期、対応履歴の列を持ちます。「次期更改時」と書かれた行も例にあり、すぐには当てないと決めたものも漏れなく記録することが求められています。MESの変更管理票に列を足す形でも足ります
- MESベンダーと検証にかかる日数を確かめる。OSやDBの修正プログラムについて、ベンダーの動作確認情報がいつ出るのか、自社の検証環境で何日かかるのかを聞いておきます。14日で回るなら原則どおり、回らないなら「攻撃観測なし」の分は対応計画、「攻撃観測あり」の分は回避策か分離で埋める、という線が引けます
製薬やバイオなど、MESがGMPの検証対象になっている工場では、パッチ適用そのものが変更管理と再検証の手続きに乗ります。検証の進め方はCSVの用語解説、欧州のサイバーレジリエンス法（CRA）が求める修正期限との関係はCRA報告義務とMESのパッチ運用の記事を参照してください。
今四半期（12月末まで）：★4を狙うなら、外から見える機器を数える
★3は、記入したアセスメントシートを社内外の「★3確認責任者」が確認し、全ての評価基準を満たすと判断したら署名または記名する流れです。★4はアセスメントシートを評価機関が文書確認し、そのうえで実地の第三者評価と技術検証が入ります。IPAのよくある質問（2026年10月28日更新）によると、評価機関・技術検証事業者の一覧は2026年12月下旬に公開予定、★3・★4の登録申請は2027年3月の受付開始予定です。
★4の技術検証で外から疑似攻撃を受けるのは、適用範囲内のうち外部から直接アクセスできるVPN装置、ルータ、ファイアウォールなどです。技術検証ガイドによると、CVSS基本値7.0以上の脆弱性がないかを外部診断で確かめ、対象は原則5台を選びます。6台以上あれば同じメーカー・モデルを代表1台に集約し、重要なシステムにつながる機器、公開ポートの多い機器から優先されます。
MESの現場で見落とされやすいのは、ベンダーの遠隔保守用に置いたVPN装置やルータです。解説書の設定事例でも、製造部門が主導して現場の装置や端末を調達する場合があると想定されており、そうした機器は情報システム部門の台帳から漏れやすくなります。重要なシステム（MES）につながっているため、選定の優先順位は上がります。12月末までに次の3点を済ませておけば、評価機関の一覧が出た時点で見積もりに入れます。
- 外部から到達できる機器を、メーカー・モデル・グローバルIPアドレス・利用ポートの一覧にする（技術検証ガイドが提出を求める資料と同じ項目）
- 保守用VPNの管理者が誰か、ファームウェア更新を誰が当てるかを決める
- 診断は稼働に影響するおそれがあるため、休日・夜間・メンテナンス時間帯での実施が望ましいとされています。工場の計画停止日と合わせて候補日を出しておく
工場の制御系そのものの対策は、解説書もIEC 62443や経済産業省の工場システム向けガイドラインに委ねています。SCSの準備と並行してOT側を見直す場合はIEC 62443の解説が入口になります。
CVSS 7.0以上の修正プログラムを14日以内に当てられなかったら、★3は取れないのですか？
攻撃が観測されていない脆弱性であれば、対応計画を作って完了まで管理・記録していることで適合と判断され得ます。公的リストに載った攻撃観測ありの脆弱性は、14日以内の適用が必要で、それまでの間は機能の無効化、ベンダー回避策、ネットワーク分離、監視強化のいずれかを実施していることが条件です。
サポートが切れたWindowsで動いているMES端末は、範囲内に置けますか？
1.1版の評価基準4-4-4-1（★3）は、やむを得ずサポート終了品を使う場合、脆弱性悪用のリスクを低減する対策を実施していることを条件に認める書き方に変わりました。★4（4-4-2-1）では、これに加えて更改計画の策定が必要です。インターネットとの通信を全て遮断して範囲外にする選択肢も残っています。
MESのアプリケーション本体のパッチも14日ルールの対象ですか？
評価基準が列挙する対象は「サーバのOS及びミドルウェア」で、業務アプリケーションは名指しされていません。当サイトの読みでは、MESの本体よりも、その下のOS・DB・アプリケーションサーバの修正が主な対象になります（推測）。迷う場合は★3確認責任者や評価機関との範囲合意の段階で確認してください。
この記事に出てくる用語
この記事を書いた人
DELMIA Apriso を中核とした MES / 製造DX の導入・運用・人材育成を手がけるITコンサルティング企業。ISO 9001:2015 / ISO 27001:2022 認証取得。 日本・中国・米国で製造業のMES導入を手がけた実務者が、欧米・中国の一次情報にあたって書いています。
