SCS評価制度に向けた無線LAN認証強化
文書更新日:2026-10-05
SingleIDとRADIUS対応無線LANアクセスポイントを組み合わせ、EAP-TLSによるクライアント証明書認証を使用する場合に、SCS評価制度の要求事項との関係を整理します。
Warning
本構成だけでSCS評価制度の要求事項を満たすことを保証するものではありません。無線LANアクセスポイントと接続端末の設定、申請・承認、棚卸、ログの保管・確認などを含めて評価してください。
対象とする認証方式
本書では、SingleIDが発行するユーザごとのクライアント証明書を使用し、EAP-TLSで無線LANへ接続する構成を対象とします。
クライアント証明書と秘密鍵は所有情報に該当します。EAP-TLS単独では異なる2種類の認証要素を使用しないため、多要素認証には該当しません。
SCS評価制度との関係
4-1-1-1～4-1-1-4 ユーザIDの管理手続
SingleIDのユーザごとにクライアント証明書を発行し、不要になったユーザや無線LAN接続権限を無効化できます。
申請・承認、共有IDの抑制、退職・異動時の対応は、組織の運用手続として定めます。
4-1-3-1 認証の強度・実装方法の決定
ユーザごとのクライアント証明書を使用するEAP-TLSにより、無線LANへのアクセスを許可する前に利用者を認証する構成を支援します。
サーバ証明書を検証し、クライアント証明書の秘密鍵を適切に保護してください。本構成だけで、多要素認証が求められる項目への適合を主張することはできません。
4-1-7-1、4-1-7-2 アクセス権の管理ルール
SingleIDのユーザ・グループ単位で無線LANへの接続許可を設定できます。
接続可能なSSIDやVLANなどのアクセス範囲を必要最小限に制限し、アクセス権の申請・承認、台帳管理、定期的な棚卸を実施してください。★4では、年1回以上のアクセス権の棚卸が求められます。
4-4-3-1～4-4-3-3 ログの取得
SingleIDのRADIUS認証ログで、無線LAN利用者のユーザIDと認証の成功・失敗を確認できます。
SCS評価制度で必要となるログ項目を確認し、不足する情報は無線LANアクセスポイントなどのログと組み合わせて取得します。★4では、対象ログの6か月保管および認証ログの月1回以上の確認が求められます。また、ログの保存先へインターネット経由でアクセスする場合は、多要素認証を使用してください。
確認する設定・運用
- 無線LAN接続時にEAP-TLSを使用していること
- 接続端末がRADIUSサーバ証明書を検証していること
- クライアント証明書の秘密鍵を保護していること
- 無線LAN接続を許可するユーザまたはグループを限定していること
- 不要になったユーザの無効化または削除と、クライアント証明書の失効を行うこと
- 接続可能なSSIDやVLANなどのアクセス範囲を必要最小限に制限していること
- SingleIDと無線LANアクセスポイントのログについて、取得項目、保管期間、確認頻度を定めていること
- ログの保存先へインターネット経由でアクセスする場合は、多要素認証を使用していること
参考情報
Info
本書は、IPA「★3・★4 要求事項・評価基準」（2026年4月21日公開）を2026年10月5日に確認し、無線LAN利用者認証に関係する項目を整理したものです。実際の評価では、最新の公式資料を確認してください。