セミナー情報JC-STARで変わるセキュリティ製品の選び方
ルーターや複合機、ネットワークカメラなど、職場に導入されるIoT製品が増えています。しかし、それぞれの製品のセキュリティ機能を調達担当者が1つずつ確認するのは大変です。
そこで参考になるのが、製品のセキュリティ要件への適合状況を「★」で示す制度である「JC-STAR」です。制度の基本と調達への影響、担当者が選定時に押さえたいポイントを見ていきましょう。
IoT製品のセキュリティを見える化する制度
JC-STARは「セキュリティ要件適合評価及びラベリング制度」の通称です。経済産業省が公表した制度構築方針に基づき、IPA（情報処理推進機構）が運営しています。IoT製品に備わるセキュリティ機能が、定められた基準に適合しているかを確認し、ラベルで示すことを目的としています。
製品のセキュリティを調達者が個別に調べる負担を軽減し、求める水準に合った製品を選びやすくする仕組みです。
対象は、インターネットに直接つながる製品だけではありません。インターネットに直接接続しなくても、IP通信を使う機能を持つIoT製品が対象となる場合があります。ただし、パソコンやスマートフォンなどは制度の対象外とされています。
候補となる製品が対象に含まれるかは、製品の名称だけで判断せず、通信機能やIPAが公開する製品情報を確認しましょう。
JC-STARは任意の制度で、適合基準は★1から★4までの4段階です。★1はIoT製品に共通する最低限のセキュリティ要件で、★2は製品類型ごとの特徴を考慮して★1に追加する要件です。★3と★4は、政府機関や重要インフラなどでの利用を想定した、より高い水準の要件です。
ただし、★の数だけで製品の安全性全体が保証されるわけではありません。ラベルは、あくまで所定の基準への適合を示すものです。
ラベルの読み方
適合基準の★1と★2は、製品ベンダーが基準に照らして自ら評価し、その結果を申請する方式です。一方の★3と★4は、独立した第三者評価機関の評価に基づき、IPAがラベルを付与します。つまり、「ラベルがあるか」だけでなく、「どのような評価の仕組みで取得したラベルか」を選定時に考慮して選ぶ必要があります。
このラベルには、適合基準のレベルや登録番号に加え、製品情報を確認するための二次元コードが付いています。これを読み取ると、対象となる製品の情報やラベルのステータスなどを確認できます。製品名や型番が調達候補と一致するか、ラベルが現在も有効かを照合してください。
ラベルの有効期間は原則として発行から2年間で、製品情報ページで有効性を確認できます。
選定基準への組み込みから始める
JC-STARは任意の制度ですが、調達での活用が進められています。2025年9月に一部改定された政府機関等向けガイドラインでは、IoT機器の選定基準にJC-STARの登録状況を含めることが示されました。
情報システムの重要度が低い場合は★1ラベル取得製品から選ぶ、重要度が中から高の場合は、システムの重要度に見合った高度なセキュリティ機能を備えていることを確認するなど、重要度に応じて基準を使い分ける考え方が示されています。
つまり、この方針は、あらゆる調達で一律に「★○以上」を必須にするという意味ではありません。政府機関向けガイドラインの対象や自組織の規程、製品の用途・リスクを踏まえて、自社での適用方法を決める必要があります。
重要インフラ事業者では、用途やリスクに応じた活用が進められています。民間企業の担当者にとっても、社内の調達基準を見直す際の参考になり、取引先や製品ベンダーに確認する項目として取り入れやすくなるでしょう。
情報システム担当者が選定時に確認したいこと
まずは、導入したい機器を、どのシステムで、何のために使うのかを整理します。来訪者向けの設備と、重要な業務システムに接続する機器では、許容できるリスクが異なります。ネットワークへの接続範囲、取り扱う情報、停止時の影響などを考え、必要なセキュリティ水準を決めましょう。
ラベルの有無を確認する前に、利用目的と重要度を整理しておくことが、過不足のない選定につながります。
次に、調達仕様書や選定チェックリストに、JC-STARの確認方法を具体的に記載します。たとえば「対象製品は★1以上を選定候補とする」「ラベルの登録番号と有効性を確認する」「ラベルがない場合は、必要なセキュリティ機能を別の資料で確認する」といった形です。
ラベル取得の有無だけで機械的に採否を決めるのではなく、調達先に確認する内容や、例外を認める場合の判断手順も定めておくと、選定のばらつきを抑えられます。
まとめ
JC-STARは製品選びを助ける道具であり、組織のセキュリティ対策を代替するものではありません。導入後も、アップデートの提供状況やサポート終了時期、管理用アカウントの扱い、ネットワーク上の配置などを確認し、適切に運用する必要があります。
製品選定の共通の目安としてラベルを活用しつつ、用途に応じた要件と運用ルールを組み合わせることで、IoT調達の安心材料として使ってみましょう。
増井 敏克氏（ますい としかつ）増井技術士事務所代表。技術士（情報工学部門）、情報処理技術者試験にも多数合格。
ビジネス数学検定1級。
「ビジネス」×「数学」×「IT」を組み合わせ、コンピューターを「正しく」「効率よく」使うためのスキルアップ支援や各種ソフトウェア開発、データ分析などをおこなっている。
著書に『図解まるわかり セキュリティのしくみ』『図解まるわかり プログラミングのしくみ』『図解まるわかり アルゴリズムのしくみ』『IT用語図鑑』『IT用語図鑑［エンジニア編］』『Pythonではじめるアルゴリズム入門』『プログラマ脳を鍛える数学パズル』『プログラマを育てる脳トレパズル』（以上、翔泳社）、『プログラマのためのディープラーニングのしくみがわかる数学入門』『プログラミング言語図鑑』（以上、ソシム）、『基礎からのプログラミングリテラシー』（技術評論社）、『RとPythonで学ぶ統計学入門』（オーム社）などがある。
