IoT製品のセキュリティ認証制度とは？JC-STARと製造業の対応を整理

JC-STARとは、IoT製品のセキュリティ機能を共通の基準で確かめ、適合した製品にラベルを付けて示す日本の制度です。正式名称は「セキュリティ要件適合評価及びラベリング制度」で、IPAが制度の内容を公開しています。

今日やることは、自社の製品一覧に「IPで通信するか」「客先でソフトを追加できるか」⁠の2列⁠を足すことです。両方の答えが出ると、対象になりそうな製品が絞れます。営業部門には、取引先や輸出先からラベルについて聞かれていないかを確かめます。

JC-STARのレベルは何が違う？

レベルは4段階です。★1と★2はメーカーが自分で評価して宣言し、★3と★4は独立した第三者が評価します。IPAの制度ページ⁠の説明を表にしました。

いま申請できる状況を分けて見ておく必要があります。★1は2025年3月25日⁠に受付が始まりました⁠。同じページでは、★2の受付は2026年以降の開始を計画中と書かれ、★2の適合基準のページ⁠は確認した時点で「準備中」⁠で⁠し⁠た⁠。

★3のページには、通信機器とネットワークカメラのセキュリティ要件と適合要件が2026年6月版で載っています。評価ガイドは「準備中」⁠で⁠す⁠。★2の基準がまだ出ていないので、一般の機器を作る会社は当面★1から考えることになります。

自社の製品は対象？4つ⁠の問いで確かめる

IPAの制度の詳細と★1の適合基準⁠に書かれた定義を、次の問いに置き換えました。

間違えやすいのは、4つ目です。IPが使えるなら、インターネットに直接つながらなくても、別の機器を介してつなげれば対象です。「工場の中だけで使うので関係ない」⁠と⁠は言えません。制度の詳細では、ゲートウェイやファイアウォールでインターネットから区切った社内ネットワークに接続できる機器も、IoT機器の定義に入っています。

逆に、対象から外れるものもあります。現時点では「システム」⁠は対象外です。 機器として売るのか、システムとして納めるのかで、答えが変わることがあります。

製造業の場合はどう考える？

たとえば、イーサネット端子付きの計測器を単体で販売している場合です。IPで通信し、販売単位が明確で、利用者がセキュリティソフトを追加するのも難しいなら、定義に近い製品です。

たとえば、アナログ信号やシリアル通信でしか外とやり取りしないセンサーの場合は、1つ目の問いの答えが「ない」⁠になります。ただし、同じ製品に通信ユニットのオプションがあるなら、構成ごとに確かめ直します。

判断に迷いやすいのは、客先ごとに設計して組み上げる生産設備です。単位製品と見るのか、対象外のシステムと見るのかは、定義だけでは決めにくいところです。IPAは問い合わせをメールに一本化しているので、構成図を添えて確認すると記録も残ります。

実際にどんな機器が取得しているかは、適合ラベル取得製品リスト⁠で見られます。2026年11月6日更新のリストには、★1の有効な製品が載っています。工場向けでは、三菱電機のMELSEC MXコントローラ MX-Rモデルや、コンテックのCONPROSYS M2Mコントローラ／M2M Gatewayなどです。同業や競合の製品名で調べると、自社に近い製品の扱いの参考になります。

★1では製品に何が求められる？

★1の適合基準は、S1.1-01からS1.1-16までの16項目です。同じ文書にある脅威と対策の表から、設計部門が確認する点を抜き出しました。

• 認証：推測しやすいパスワードを設定できない仕組み、総当たりの試行を防ぐ仕組み
• 脆弱性と更新：深刻度の高い既知の脆弱性への対策、ソフトウェア部品を更新できる仕組み
• インタフェース：使わないインタフェースの無効化
• データ保護：インターネット経由で送る守るべき情報の保護、廃棄時に情報を消せる機能
• 復旧：停電や切断のあとも、認証情報やソフトの設定が初期状態に戻らないこと

求められるのは機能だけではありません。製品情報や脆弱性情報、パッチの適用方法、安全な廃棄方法の提供など、メーカーとしての対応も含まれます。

具体例を1つ挙げます。S1.1-02では、初期パスワードを使う製品に、次のどちらかを求めています。機器ごとに異なる推測困難な6文字以上にするか、初回起動時に変更を必須にして8文字以上を強制するかです。全台共通の初期パスワードで出荷している製品は、ここが最初の確認点になります。

申請の費用と手間はどれくらい？

費用の目安は、IPAの★1・★2申請の概要（2025年8月3日版）⁠で確かめられます。

受理までの目安は、そのまま計画に使わないほうが安全です。IPAは2026年7月31日⁠のお知らせで、申請が急増して確認に時間がかかっていると伝えています。

費用より重いのは、取得後の体制かもしれません。申請の概要には、有効期間内のサポートへの同意が条件として書かれています。取得後に判明した不具合や脆弱性には是正対応を行い、サポートは原則無償です。また、自己評価に影響するほど仕様を変えた場合は、報告した時点でラベルが失効します⁠。

そのため、脆弱性の情報を受け付ける窓口、使っている部品の脆弱性を追う担当、修正を配る手段を先に決めておきます。部品の追跡に道具を使うなら、脆弱性管理ツールの比較が手がかりになります。機器に組み込む守りの選択肢は、IoTセキュリティ製品の比較⁠で確かめられます。

取らないと取引に影響はある？

影響が出やすいのは、納入先が公的機関や重要インフラに関わる場合です。IPAの活用状況のページ⁠によると、次の動きが確認できます。

• 政府機関等：国家サイバー統括室のガイドラインの2025年9月⁠の一部改定で、IoT機器の選定基準にJC-STARが入った
• 地方公共団体：総務省のガイドラインに、確認方法の一つとして適合ラベルの取得が追記された
• 重要インフラ事業者：調達時に選定を求めていく方向で、関係者と調整中

一般の民間取引で一律に必要と書かれているわけではありません。自社の製品が公的案件に組み込まれるかどうかで、優先順位は変わります。販売店や元請から質問票が来ているなら、それが判断材料になります。

輸出している製品はどう考える？

相互承認の開始を確かめられた相手国は2つです。英国のPSTI法とは2026年1月1日、シンガポールのCLSとは2026年6月1日⁠に始まりました。自動で済むわけではなく、別の手続きが要ります。PSTI法の場合、英語での情報提供や脆弱性窓口の設置なども必要です。

EU向けは分けて考えます。サイバーレジリエンス法（CRA）⁠は⁠、主要な義務が2027年12月11日から適用されます。悪用された脆弱性などの報告義務⁠は2026年9月11日から始まっています。

JC-STARの要件はEU-CRAなどとの関係を踏まえて作られています。★1の適合基準にも、CRAの条文との対応が載っています。ただ、これでCRAへの適合を示せるとは、今回確かめた資料には書かれていません。EU向けに出荷しているなら、法務部門や専門家と別に確認します。社内で判断しきれない場合は、セキュリティコンサルティングの比較⁠で相談先を探せます。

カタログに書くときの注意は？

ラベルが交付される前の表示には制限があります。IPAは、受理番号の通知前に「適合ラベル対応」「JC-STAR適合予定」「適合ラベル取得申請中」などと書くことを認めていません⁠。受理後に案内したいときは、仮登録番号を取得して記載します。

営業資料やウェブサイトは、技術部門の知らないところで書かれがちです。取得を決めたら、この制限を営業と広報にも伝えます。

ラベルを取ったあとも、「安全な製品」⁠と⁠は書かないほうが正確です。IPAはラベルの限界として、完全なセキュリティや脆弱性がないことを保証しないと明記しています。★1と★2は、IPAが評価の内容自体を確かめる方式でもありません。

自社の工場で機器を選ぶ側としても使える

ここまでは作る側の話でしたが、製造業は機器を買う側でもあります。工場や事務所に入れるネットワーク機器やカメラを選ぶとき、取得製品リストは確認項目の1つ⁠になります。

ラベルは運用環境に合わせた保証ではありません。工場内での機器の管理は、工場のサイバーセキュリティを現場を止めずに始める手順⁠で扱っています。経産省の資料を点検に使う方法は、工場セキュリティガイドラインの読み方⁠にまとめました。工場を守る考え方の全体は、工場・OTのセキュリティから読めます。