JC-STAR制度の概要とセキュリティ業務への影響（対象製品、レベル、時期等）

1　JC-STAR制度の概要

「JC-STAR（Labeling Scheme based on Japan Cyber-Security Technical Assessment Requirements）」制度とは、多くのIoT製品を対象として、一定水準のセキュリティ要件に対するセキュリティ対策の適合性を評価し、その結果を認証やラベルの付与等により調達者・消費者を含む利用者がわかる形で可視化する制度です。

1-1　制度の背景

IoT製品の急速な普及に伴い、その脆弱性を狙ったサイバーリスクへの対策 ¹ をはじめとしたセキュリティ確保への取組みが世界各国で進んでいます。

我が国においても、IoT機器特有のセキュリティ確保に向けて、様々な検討が重ねられ、端末設備等規則や各省庁のガイドライン、JISEC ² 等の認証制度などが定められてきました。しかしながら、これらはIoT製品の調達者・利用者からみて、その製品のセキュリティ対策が適切か否かの判断が困難である、あるいは認証取得のための金銭的・時間的コストが大きいために活用のハードルが高いといった問題がありました。

このような状況を踏まえ、諸外国の取組みも踏まえつつ創設されたのがJC-STAR制度です。2024年8月に経済産業省が公表した「IoT製品に対するセキュリティ適合性評価制度構築方針」に基づいて構築され、独立行政法人情報処理推進機構（IPA）が運営しています。

1-2　JC-STAR制度の3つの目的

前記の意義を踏まえ、JC-STAR制度は以下の3点を目的として掲げています。

また、上記の目的を達成することを通じて、将来的には、以下のようなIoT製品のセキュリティを社会全体として確保していくことの実現に本制度が貢献することが望ましいとしています。

1-3　運用開始時期と今後のスケジュール

JC-STAR制度は、本記事の公開時点では一部の運用が開始された段階です。

3以降で詳しく述べますが、JC-STAR制度は、★1〜★4の4つのレベルを定めています。そのうち、まず★1について、2025年3月25日から、申請受付と適合ラベル取得製品リストの公開が始まっています。今後、本制度に関する各業界団体やワーキンググループにおける検討を踏まえて、★2以上の申請が2026年1月以降に開始される見込みです。

また、日本政府は、諸外国の各担当機関との間で、JC-STAR制度の相互承認に向けた交渉を進めています ³。海外では、JC-STAR制度と同趣旨の制度として、アメリカのCyber Trust Mark、EUのCyber Resilience Act（CRA、サイバーレジリエンス法）、英国のProduct Security and Telecommunications Infrastructure Act 2022（PSTI）等があります。

2　JC-STAR制度の対象となる「IoT製品」とは

JC-STAR制度の対象となる製品は、「IoT機器」と「必須付随サービス」を内包するものです。それぞれの用語「セキュリティ要件適合評価及びラベリング制度の基本規程」⁴ の1.4において、以下の表のとおり定義されています。

用語	定義
IoT製品	供給者による販売又は利用者による購入の単位となるものであって、意図した目的を達成するための単独のIoT機器、又はIoT機器と必須付随サービスとで構成される一式。
IoT機器	インターネットプロトコル（IP）を使用したデータの送受信機能を持つ、インターネットに接続可能な機器又は内部ネットワークに接続可能な機器(他の「インターネットに接続可能な機器」や「内部ネットワークに接続可能な機器」に接続し、IPを使用してデータを送受信する機能を持つ機器)であって、利用者自身によって、当該IoT機器本体に対してソフトウェア製品のインストール等により容易にセキュリティ対策を追加することが困難であるもの。
必須付随サービス	IoT製品が意図した目的を提供するために、IoT機器と一体で提供することが必須となるデジタルサービス。当該IoT機器本体だけでは、当該IoT製品が意図した目的を提供できない場合に、当該IoT機器に付随して提供する。

つまり、以下の要件をすべて満たすものがJC-STAR制度の対象となります。

上記の要件を満たすものであれば、いわゆる製品だけではなく、IoT製品に組み込まれるコンポーネントやモジュールでも理論的にはラベル取得は可能です。また、PC・タブレットをベースとした独自IoT製品（例：POSレジ用のタブレット端末など）も、特定の条件（セキュリティ機能のインストール制御、汎用PC・タブレットとしての利用を防止する対策、汎用OSベンダーが提供する脆弱性対応の適切なコントロール）を満たせばラベル取得が可能です。

3　適合基準と評価方式

JC-STAR制度では、IoT製品共通の最低限の脅威に対応するための適合基準である★1（レベル1）と、IoT製品類型ごとの特徴に応じた適合基準である★2（レベル2）、★3（レベル3）、★4（レベル4）を定めています。適合基準の各レベルの位置付けは下表のとおりです。

レベル	位置付け	評価方式
★1	全IoT製品に共通の最低限のセキュリティ要件を定めている。チェックリストに基づく低コストな自己評価。	自己適合宣言
★2	★1に要件を追加したもの。製品類型ごとの特徴（例：ネットワークカメラ、通信機器など）を考慮している。	自己適合宣言
★3／★4	政府機関等や重要インフラ事業者、地方自治体、大企業の重要なシステムでの利用を想定した製品類型ごとの汎用的なセキュリティ要件を定める。	第三者による評価・認証

また、★1と★2ではIoT製品ベンダーによる自己適合宣言が認められる一方、★3以上では第三者認証が求められます。適合基準と評価方式のイメージを下図に示します。

4　「適合ラベル」と「適合ラベル取得製品リスト」

JC-STAR制度の適合基準を満たした製品には、それを示す目印として「適合ラベル」が付与されます。

4-1　表示内容

(1) 適合ラベル

適合ラベルには、適合するレベルに応じた個数の★と、URLを埋め込んだ二次元バーコードが掲載されており、二次元バーコードを読み込むことで製品ごとの情報提供ページを閲覧できます。

これにより、調達者や利用者は、適合ラベルの情報とセキュリティ情報・問い合わせ先等を一元的に確認することができます。

(2) 適合ラベル取得製品リスト

適合基準を満たし、JC-STAR制度での適合ラベルを取得した製品はすべて、IPAのホームページ上で「適合ラベル取得製品リスト ⁵」として公開されます。

同リストには以下の情報が記載されており、調達者・利用者としては、利用しようとする製品がJC-STAR制度の適合ラベルを取得しているのか否かを容易に確認することができます。

4-2　適合ラベルの取消しの可能性

なお、IPAは、ラベル付与製品に対して事後的に検査やサーベイランスを行える権利を有します。

★1と★2では、IPAは適合ラベル交付時には、自己評価の結果が定められた適合基準に適合しているかどうかを確認せず、評価の信頼性はベンダーの信頼性に依存しています。ただし、ベンダーは評価の証跡の保管義務を負います。仮に、適合基準への適合に疑義が生じた場合、IPAは、必要に応じて証跡提出の要求やサーベイランスを実施することができ、サーベイランスの結果次第では「適合ラベル取消し」も有り得ます。

5　JC-STAR制度の認証取得を目指す事業者がとるべき対応

5-1　認証取得の流れと実務ポイント

IoT製品ベンダーがJC-STAR制度の認証および適合ラベルを取得するにあたっては、以下のような流れで対応を進めることとなります。

(1) 適用対象となるIoT製品の洗い出しと製品類型判定

まず、JC-STAR制度の適用対象となるIoT製品（開発予定のものも含まれます）を洗い出します。なお、すでに現在運用が開始されている★1は、全IoT製品共通のセキュリティ要件を定めていますが、今後運用が開始される★2以上のレベルでは、製品類型ごとに要件が設定されるため、当該製品類型に当てはまるかを判定する必要があります。

(2) セキュリティ要件・適合基準とのGAP分析

続いて、IPAから公表されている各レベルの適合基準・評価手法およびチェックリスト ⁶ を参照し、製品の現状とJC-STAR制度で要求されるセキュリティ要件・適合基準とのGAP分析を行います。そして、それらの要求事項に準拠するためにはどのような対策を実装する必要があるかを特定します。

また、製品だけでなく、IoT製品ベンダーとしての体制も適合基準に含まれているため、これについても同様にGAP分析を実施します。このようにして特定した、対応が必要なアクションについて、準拠予定時期を踏まえた具体的な対応計画を作成します。

(3) 対応計画の策定、実施、ラベルの付与

適合基準を満たした場合、★1と★2では自己適合宣言によりラベルを付与することとなります。この際、必要に応じて有資格者、検証事業者、評価機関等への評価委託も可能です。自社の負担を軽減したり正確な評価を得たりするために、このような外部機関の利用も有用です。

また、★3と★4については、評価機関による評価が必須となるため、その手続にかかる期間や費用を見据えた計画を作成する必要があります。

JC-STAR制度は、サイバーセキュリティのための技術的な基準への適合のみならず、製品ベンダーの体制整備、最新情報の収集、ユーザーへの情報提供、IPAからの検査やサーベイランスへの対応といった様々な部門における対応が必要になります。したがって、対応を進めるにあたっては、法務・情報システム・情報セキュリティ・広報・主要事業部門などから、部門横断的に適切なメンバーを揃える必要があります。

加えて、運用開始間もない制度であることや、★2以上のレベルについては今後新たに要件等が設定されていくという状況に鑑み、その専門的対応や情報収集という観点からは、セキュリティ・法務の外部専門家と協働することも有益であると考えられます。

5-2　認証取得の手続と適合性評価

前記のとおり、JC-STAR制度における適合ラベルのレベルは★1〜★4の4段階に分けられており、★1と★2は自己適合宣言、★3以上は第三者認証の評価方式を採用しています。それぞれの認証取得手続・適合性評価は以下の流れで行われます ⁷。

(1) ★1、★2（自己適合宣言）

1. IoT製品ベンダーは、★1または★2の適合基準・評価手順を用いて評価を実施し、チェックリストを作成する（有資格者や検証事業者、評価機関等への委託も可）。

2. IoT製品ベンダーは、IPAに申請を行い、チェックリストを提出する。

3. IPAは、チェックリストの形式確認を行う。

4. IPAは、申請されたIoT製品に対し、ラベルを付与する。

(2) ★3以上（第三者認証）

1. IoT製品ベンダーは、IPAに申請を行う。

2. IoT製品ベンダーは、評価機関に対して、評価依頼を行う。

3. 評価機関は、★3以上の適合基準・評価手順を用いて評価を実施する。

4. 評価機関は、評価報告書をIPAに提出する。

5. IPAは、認証機関として評価報告書の内容に問題がないか確認する。

6. IPAは、申請されたIoT製品に対し、認証・ラベルを付与する。

6　主なセキュリティ要件・適合基準と実務ポイント

6-1　★1のセキュリティ要件・適合基準

現在運用されている★1は、以下の3点を最低限実現することを求めています。

より具体的には、以下のセキュリティ水準を実現することがポイントとなります。

このような実現目標とポイントを踏まえ、★1で想定する守るべき資産とアタックサーフェス、および想定されるそれらへの脅威を整理したうえで、セキュリティ要件・適合基準が以下のとおり定められています。

6-2　★1の準拠対応のポイント

上記のセキュリティ要件・適合基準は、製品および製品ベンダーにおいて以下の対策を実現することを目的に定められています。これらの対策を実現できているかという点が、要件・適合基準への準拠のアセスメントのポイントになるといえます。

上記のセキュリティ要件・適合基準への準拠については、その義務が多岐にわたっていることや、製品のセキュリティ仕様の変更および製品ベンダーにおける体制整備といった対応も必要となり得ます。そのため、JC-STAR制度の認証取得にあたっては、早い段階から計画的に対応を進めていくことが推奨されます。

7　JC-STAR制度の活用・普及によるメリット

7-1　IoT製品ベンダーのメリット

JC-STAR制度のセキュリティ要件に応じたラベルをIoT製品に付与することで、IoT製品ベンダーには以下のようなメリットがあります。

さらに、EU市場に製品を輸出する事業者は、EU市場で流通するデジタル製品をサイバーセキュリティの観点から規制しているサイバーレジリエンス法（Cyber Resilience Act）への準拠対応も必要となります。このサイバーレジリエンス法への対応は、上記のJC-STAR制度への対応と重なる部分が多いことから、併せて行うことで日本とEUの両方の市場に対応できるというメリットがあります。

7-2　IT・セキュリティ担当者（調達者・利用者）のメリット

JC-STAR制度が普及することで、IoT製品の調達者・利用者である企業のIT・セキュリティ担当者は、実務上、以下のような恩恵を受けることができます。

8　参考：端末設備等規則とJC-STAR制度の違い

「端末設備等規則」とは、日本の電気通信事業法に基づき、電気通信回線設備に直接接続する端末機器に関する技術基準（セキュリティ基準）を定めたものです。この端末設備等規則に則った実務対応が求められる事業者も少なくないと思われるため、最後に、JC-STAR制度との主な違いについて下表に整理します。

	端末設備等規則	JC-STAR制度
対象機器	インターネットプロトコルを使用（データ通信） 電気通信回線設備に直接接続	インターネットプロトコルを使用（データ通信） インターネットに接続（直接・間接を問わない）
位置付け	強制規格（技術基準適合認定等に必須）	任意規格、自己宣言（★１・２）
趣旨	電気通信回線設備に障害を与えない 他の利用者に迷惑を及ぼさない等	IoT製品として共通して求められる最低限のセキュリティ要件（★１・２）を備えさせること等
セキュリティ項目	アクセス制御機能 ID/PWの適切な設定を促す等の機能 ファームウェアの更新機能 上記設定等の電力供給停止時の維持	左記項目（一部の項目では、より詳細な規定） インタフェースへの論理アクセス IoT機器内のデータ保護 製品ベンダーに関する適合基準

---