セキュリティ要件適合評価及びラベリング制度

セキュリティ要件適合評価及びラベリング制度（セキュリティようけんてきごうひょうかおよびラベリングせいど、英: Labeling Scheme based on Japan Cyber-Security Technical Assessment Requirements、略称: JC-STAR）は、IoT機器のセキュリティ機能を共通の基準で客観的に評価し、その適合性を可視化するための日本の公的なサイバーセキュリティ製品認証制度である。

本制度は、経済産業省の検討を経て2024年8月に構築方針が公表され、2025年3月25日より情報処理推進機構（IPA）を運営主体として正式に運用が開始された。対象製品は、インターネットプロトコルを使用したデータの送受信機能を持つ広範なIoT製品（スマート家電、ルーター、ネットワークカメラ、産業用制御機器など）である。製品の特性や求められる信頼性に応じて4段階のレベル（★1〜★4）が定義されており、自己適合宣言方式や厳密な検証を伴う第三者評価・認証方式が採用されている。

英国のPSTI法やシンガポールのCLSなど、海外の類似制度との間で相互承認協定（MRA）が進められており、国際的なサプライチェーンにおける非関税障壁の解消とグローバル標準への接続に向けた戦略的な展開が行われている。さらに、政府機関や重要インフラ事業者の調達要件に組み込まれることで、サイバーレジリエンスの向上が図られている。

概要 JC-STARは、共通の物差しを用いてIoT製品のセキュリティ機能を客観的に評価・可視化し、製品の調達者が自らの求めるセキュリティ水準を満たした製品を容易かつ確実に見極められる環境を構築することを最大の目的としている。本制度の適用対象は、インターネットプロトコルを使用したデータの送受信機能を持つIoT製品と広範に定義されている。直接インターネットに接続して通信を行うルーターやネットワークカメラだけでなく、家庭内LANや工場内のクローズドネットワークにおいて、ハブやファイアウォールを介して間接的にインターネットと繋がる可能性がある機器も対象に含まれる。また、IoT機器と一体で提供される付随サービス（クラウド上の管理コンソール等）なども評価の対象となる。パソコンやスマートフォンといった、オペレーティングシステム上で利用者が自由なソフトウェア環境を構築できる汎用IT機器は制度の対象外とされている。

本制度は、IT製品・システムのセキュリティ機能を国際標準に基づいて評価するITセキュリティ評価及び認証制度（JISEC）、および暗号モジュールの安全性を試験・認証する暗号モジュール試験及び認証制度（JCMVP）に次ぐ、日本国内で3番目の公的なセキュリティ製品認証制度として発足した。

2025年3月の運用開始以降、通信機器の分野では、株式会社アイ・エヌ・ディや株式会社バッファローのルーター製品がレベル1を取得し、特定のファームウェアバージョン以降であることが適合の絶対条件として明記されている。エネルギー管理インフラの分野では、カナディアン・ソーラー・プロジェクト株式会社のエネルギー管理システムが適合ラベルを取得している。

適合レベル JC-STAR適合基準は、欧州電気通信標準化機構（ETSI）が定める消費者向けIoTセキュリティの国際規格ETSI EN 303 645や、アメリカ国立標準技術研究所（NIST）が発出したIoTサイバーセキュリティ要件NISTIR 8425、欧州連合のサイバーレジリエンス法（EU-CRA）等の要件を体系的に整理し定義されている。将来的な国際相互承認を見据えたロングリストを作成している。セキュリティ水準に応じて、4段階の階層化されたレベルが定義されている。

レベル1およびレベル2においては、自己適合宣言に基づく適合ラベル付与方式が採用されている。IoT製品ベンダーは、公開された適合基準に従って自らの責任で評価を実施し、チェックリストを作成する。虚偽の申告を防ぐため、IPAが事後的な検査を実施し、不適合が発覚した場合にはラベルを取り消す。

レベル3およびレベル4においては、JC-STAR評価機関またはJC-STAR検証事業者による適合評価・認証方式が必須とされている。実際のデバイスに対する脆弱性スキャンやペネトレーションテストなど、実機を用いた厳密な技術的検証が行われる。

対象となるIoT製品が電気通信事業法に基づく技術基準適合認定等（Tマーク）やAマークを既に取得している場合、その製品はJC-STARの該当要件に適合しているものとみなされる特例措置が設けられている。 +適合レベルの概要適合レベル位置づけおよび要件の概要適合評価の方式・実機テスト想定される主な用途・対象製品群★1製品として共通して求められる最低限の脅威に対応するための製品共通のセキュリティ適合基準。自己適合宣言（実機テストなし）一般消費者向けのスマート家電、簡易なセンサー端末、ハブ等★2製品類型ごとの固有の特徴を考慮し、★1の要件に追加すべき基本的なセキュリティ要件。自己適合宣言（一部実機テスト等が含まれうる）高度なスマートホーム機器、一般的なオフィス向けIoT機器等★3政府機関、重要インフラ事業者、地方公共団体、大企業などの重要なシステムでの利用を想定し、製品類型ごとの汎用的なセキュリティ要件を規定。第三者評価・認証ネットワークカメラ、ルーター等の重要通信機器、エネルギー制御機器等★4極めて高度な信頼性が求められる製品類型に対し、最も厳格なセキュリティ要件と網羅的な検証を要求する最高位レベル。第三者評価・認証国家安全保障に関連する通信機器、生命維持に直結する医療系IoT等

国際相互承認 JC-STARの戦略的な展開として、海外の類似制度との国際相互承認（MRA）が進められている。

英国 2025年11月、経済産業省と英国科学・イノベーション・技術省との間で協力覚書が署名され、2026年1月より英国のPSTI法との相互承認が稼働した。これにより、パスワードに関する要件、セキュリティ上の問題の報告方法、最低限のセキュリティアップデート期間に関する3要件について、JC-STARの基準と英国の基準が同等であると認定されている。

シンガポール 2026年3月、シンガポール共和国サイバーセキュリティ庁との間でも協力覚書が署名され、同年6月よりシンガポールのCLSとの相互承認プロセスが開始された。レベル1間の同等性認定を中心としており、日本のベンダーはJC-STARラベルを提出することでシンガポールでの現地テストが免除され、低コストで現地市場でのセキュリティ認証をパスすることができる。

脚注