自社のIoT製品でJC-STAR（ジェイシースター）のラベルを取れるのか、取引先や官公庁の資料でこの名前を見かけたが結局どんな制度なのか――。JC-STARは2025年3月に運用が始まったばかりの新しい仕組みで、何をどう満たせばよいのか、制度の全体像をつかみにくいという声は少なくありません。
JC-STARは、IoT製品のセキュリティ機能を国が定めた共通のものさしで評価し、ラベルで見える化する制度です。評価の水準は★1から★4まであり、現時点で申請できるのは★1に限られます。
本記事では、JC-STARとは何かという基礎から、★1〜★4の違い、★1ラベルを取得する際の適合基準・申請の流れ・費用、調達する側から見た読み方、そして今後の展開までを整理します。
自力での★1取得が難しい場合や、★3・★4で求められる第三者評価に備えたい場合に相談できる、IoT機器の脆弱性診断・取得支援サービスも後半で紹介します。制度の理解から相談先の検討まで、順を追って見ていきましょう。
目次
一括ダウンロードする
JC-STARとは（IoT製品セキュリティラベリング制度）
JC-STARは、IoT製品に備わっているセキュリティ機能を共通の基準で評価・可視化し、購入者や調達者がラベルを見て製品を選べるようにする、経済産業省とIPA（独立行政法人情報処理推進機構）による任意制度です。正式名称は「セキュリティ要件適合評価及びラベリング制度」で、英語名の頭文字をとってJC-STARと呼ばれます。運用が始まったのは2025年3月25日です。
本日、経済産業省及び独立行政法人情報処理推進機構（IPA）は、「セキュリティ要件適合評価及びラベリング制度（JC-STAR）」の運用を開始しました。
※「JC-STAR」は、本制度の英語名「Labeling Scheme based on Japan Cyber-Security Technical Assessment Requirements」の略称。
出典：IoT製品に対するセキュリティラベリング制度（JC-STAR）の運用を開始しました｜経済産業省（2025年3月25日）
制度の背景には、ネットワークにつながるIoT機器が急速に増え、それらを狙ったサイバー攻撃も増えているという事情があります。経済産業省は2022年から検討会で議論を重ね、意見公募を経て2024年8月に制度構築方針を公表し、その方針にもとづいてJC-STARが構築されました。
制度の目的は、政府機関や企業から一般消費者まで、IoT製品の購入者・調達者がラベルを確認することで、求めるセキュリティ水準の製品を選びやすくすることにあります。
対象となるのは、インターネットに直接つながらない製品も含め、インターネットプロトコルを使う通信機能を持つ幅広いIoT製品です。一方で、パソコンやスマートフォンは対象外とされています。
JC-STARの★1〜★4の区分と評価方法
JC-STARには、求められるセキュリティ水準に応じて★1から★4までの4段階があります。大きな分かれ目は「評価方法」です。★1・★2は、製品ベンダーが自ら評価した結果（チェックリスト）にもとづいてIPAがラベルを付与する「自己適合宣言」方式です。
これに対して★3・★4は、独立した第三者評価機関の評価報告書にもとづいてIPAが認証する「第三者認証」方式で、政府機関や重要インフラ事業者などが調達する製品を想定しています。
制度を広く普及させるため、★1及び★2については、自己適合宣言に基づいてIPAよりラベルを付与します。一方で、政府機関等や重要インフラ事業者の調達に活用する想定であり、高い信頼性が求められる★3及び★4については、独立した第三者による評価を受ける第三者認証に基づいてラベルを付与します。
出典：IoT製品に対するセキュリティラベリング制度（JC-STAR）の運用を開始しました｜経済産業省
2026年10月時点で、新規に申請できるのは★1のみです。★2以上は製品の種類ごとに基準の整備が進められており、まずネットワークカメラと通信機器を対象に要件の公開が進んでいます。各区分の違いを整理すると、次のとおりです。
| JC-STARの★区分 | ★1（レベル1） | ★2（レベル2） | ★3（レベル3） | ★4（レベル4） |
|---|---|---|---|---|
| 評価方法 | 自己適合宣言（ベンダーの自己評価にもとづきIPAがラベル付与） | 自己適合宣言（同上） | 第三者認証（独立した第三者評価機関の評価報告書にもとづきIPAが認証） | 第三者認証（同上） |
| 主な想定対象 | IoT製品に共通する最低限のセキュリティ要件 | 製品類型ごとの特徴に応じた追加要件 | 政府機関・重要インフラ事業者向けなど高い信頼性が求められる製品 | ★3よりさらに高い水準が求められる製品 |
| 現在の申請可否 | 申請可能 （2025年3月25日〜、2026年10月時点も受付中） | 申請受付前 （当初2026年1月以降の受付開始を予定と公表） | 申請受付前 （通信機器・ネットワークカメラの要件を2026年2〜6月に公開、評価機関の承認手続が進行中） | 申請受付前（整備中） |
※2026年10月時点のIPA・経済産業省の公開情報にもとづく。最新の申請可否は公式サイトでご確認ください。
★1ラベルの取得方法（適合基準・申請フロー・費用）
ここからは、現在申請できる★1ラベルについて、何を満たせばよいか（適合基準）、どう申請するか（申請フロー）、いくら・いつまでかかるか（費用と有効期間）の順に、取得の道筋を具体的に見ていきます。
★1の適合基準（16項目・想定脅威4種）
★1は、IoT製品に共通して求められる最低限のセキュリティ要件です。IPAの適合基準・評価手法（2024年12月版）では、適合基準はS1.1-01からS1.1-16までの16項目として定められており、各項目は「ドキュメント評価」と、項目によっては「実機テスト」の両面で確認されます。
★1が想定している脅威は、大きく次の4種類です。1つ目は、弱い認証機能・脆弱性の放置・未使用インタフェースの有効化などによって不正アクセスの対象となり、情報漏えいや改ざん、機能異常につながる脅威。2つ目は通信の盗聴による情報漏えい、3つ目は廃棄・転売された機器からの情報漏えい、4つ目はネットワーク切断や停電などの際にセキュリティ機能に異常が生じる脅威です。
これらの脅威に対応するため、★1では16項目の適合基準が定められています。自社製品が何を満たす必要があるかの目安として、各項目の要点を整理すると次のとおりです（IPA「★1適合基準・評価手法」2024年12月版にもとづき要約）。
- 守るべき情報資産へのアクセスに、適切な認証にもとづくアクセス制御を行う（S1.1-01）
- デフォルトパスワードを使う場合は、推測を困難にするなどの基準を満たす（S1.1-02）
- 認証値（パスワード等）をユーザーが変更できるようにする（S1.1-03）
- ユーザー認証で総当たり攻撃を困難にする（制約のある機器を除く）（S1.1-04）
- 脆弱性開示ポリシー（報告の連絡先・受領後の手続きなど）を公開する（S1.1-05）
- ソフトウェア（ファームウェア）のアップデート機能を備える（S1.1-06）
- ユーザーが容易で分かりやすい手順でアップデートを実行できるようにする（S1.1-07）
- アップデート時にソフトウェアの完全性を事前に確認できる仕組みを持つ（S1.1-08）
- セキュリティアップデートの優先度を決める方針・指針を文書化する（S1.1-09）
- IoT製品の型番をユーザーに提供する（本体への記載またはUI表示）（S1.1-10）
- ストレージに保存する守るべき情報資産をセキュアに保存する（S1.1-11）
- ネットワーク経由で伝送する守るべき情報を盗聴から保護する（S1.1-12）
- 不要なインタフェースを無効化し、脆弱性検査を実施する（S1.1-13）
- 停電・ネットワーク停止からの復帰時に、設定やアップデート済みの状態を維持する（S1.1-14）
- ユーザーがデータを削除できる機能を備える（S1.1-15）
- 製品のサイバーセキュリティに関する情報提供を行う（S1.1-16）
これらの要件は、海外のIoTセキュリティ規格であるETSI EN 303 645や、米国のNISTIR 8425で求められる要件と対応づけられています。各項目は文書評価で確認し、脆弱性検査（S1.1-13）のように実機テストをともなう項目もあります。
IPAは2026年2月に★1文書の構成見直しに向けた事前告知を公表しており、項目の体系は今後改定される可能性があります。申請を検討する際は、最新版の適合基準を公式サイトで確認してください。
★1が想定するこれらの脅威が実際のIoT機器でどのような弱点として現れ、どんな被害につながってきたのかは、代表的な脆弱性の種類と実被害事例を整理した次の記事で具体的に確認できます。
出典・参考資料（1件）
★1取得の申請フロー
★1は自己適合宣言方式のため、製品ベンダー自身が評価を行い、申請します。おおまかな流れは次のとおりです。
- 適合基準にそって自己評価を行い、チェックリストを作成する
- チェックリストなどの必要書類とともにIPAへ申請する
- IPAの確認を経て、受理番号が通知される
- 申請手数料を支払う
- 適合ラベルが付与される
IPAは、申請から受理・ラベル付与までの標準的な審査期間を公表していません。2026年7月にはIPAが「申請件数が急増しており、確認作業に通常より時間を要している」と案内しており、申請のスケジュールには余裕を見ておくとよいでしょう。
申請フローで特に注意したいのが、受理前の表示です。IPAは、申請が受理されて受理番号が通知される前に「適合予定」「適合ラベル取得申請中」などと表記することを認めていません。自社サイトやカタログで取得見込みをアピールしたい場合は、受理番号の受領後に所定の手続きを踏む必要があります。
IPAでは、申請が受理され、IPAから受理番号(受領番号ではありません)が通知される前に「適合ラベル対応」、「JC-STAR適合予定」や「適合ラベル取得申請中」などと表記することは認めておりません。
出典：★１と★２の新規申請手続き｜IPA
出典・参考資料（1件）
取得にかかる費用と有効期間
★1の申請手数料は、定価で19万8,000円（税込）です。運用開始当初は導入を促すため、2025年9月30日までに受領した申請分は11万円（税込）という価格が設けられていましたが、この期間はすでに終了しています。これから申請する場合は、定価の19万8,000円（税込）が基準になります。
取得した★1ラベルの有効期間は最長で2年間です。期間満了後も継続して表示したい場合は、延長申請が可能です。
有効期間と手数料については、運用開始時点（2025年）の経済産業省の発表で次のように案内されていました。引用中の11万円は前述のとおり導入期の価格で、現在の手数料は定価の19万8,000円（税込）です。
★1の適合ラベルの有効期間は最長で2年間となり、★1の申請手数料は、2025年9月30日までの申請受領分については11万円（税込）となります。
出典：IoT製品に対するセキュリティラベリング制度（JC-STAR）の運用を開始しました｜経済産業省（※定価は19.8万円（税込））
出典・参考資料（1件）
一括ダウンロードする
調達・選定する側から見たJC-STARの読み方
IoT製品を選ぶ側にとって、JC-STARのラベルは「そのセキュリティ水準が国の基準で確認されている」という目安になります。ただし、★の区分によって評価の確かさが異なる点は押さえておきたいところです。
★1・★2は自己適合宣言のため、評価の信頼性はベンダーの信頼性に依存します。低コストかつ短期間でラベルを取得できる一方、第三者による検証は入っていません。IPAは、適合に疑義が生じた場合に検査やサーベイランスを行い、結果によってはラベルを取り消す仕組みを設けることで信頼性のバランスをとっています。より高い信頼性を求める調達では、第三者評価にもとづく★3・★4が想定されています。
評価の信頼性はベンダーの信頼性に依存することになりますが、低コストかつ短期間で適合ラベルを取得することができます。また、適合基準への適合に疑義が生じた場合に、IPAが検査やサーベイランスを実施し、その結果次第で適合ラベルの取消しも有り得る仕組みを入れることで信頼性のバランスをとっています。
出典：セキュリティ要件適合評価及びラベリング制度（JC-STAR）｜IPA
政府調達の場面では、JC-STARの活用方針が示されています。政府機関向けのガイドライン（令和5年度版、2024年7月一部改定）では、2025年度中に★1以上の取得を機器などの選定基準に含める方針が示されました。
この2025年度はすでに経過しており、各府省の調達でどこまで選定基準に反映されているかは個別の調達要件で確認が必要です。とはいえ、公共分野に製品を納入するメーカーにとって、★1の取得は取引条件に直結しうるテーマといえます。
2025 年度中に同制度の☆1以上を取得していることを機器等の選定基準に含めるとともに、以降も、☆2、☆3以上の対象機器の拡充に応じて選定基準への反映を順次行っていく予定
出典：政府機関等の対策基準策定のためのガイドライン（令和5年度版）｜経済産業省プレスリリースより引用
JC-STARの今後の展開（★2以上・相互承認・政府調達）
JC-STARは運用が始まったばかりで、制度の拡張が続いています。現在地と今後の見通しを知っておくと、いつ・どの区分に向けて動くかの判断がしやすくなります。
★2以上の整備は、政府調達での活用が見込まれるネットワークカメラと通信機器の2つの製品類型を先行して進められてきました。経済産業省は運用開始時点で、2026年1月以降に★2以上の申請受付を開始する予定と示していました。
その後IPAは、通信機器・ネットワークカメラの★3セキュリティ要件を2026年2月に公開し、6月には★3適合要件の公開や、第三者評価を担う評価機関の承認手続の開始など、整備を段階的に進めています。もっとも、2026年10月時点で新規に申請できるのは依然として★1で、★2以上の申請受付の開始時期は今後の公表を待つ段階です。最新の受付状況はIPA公式サイトでご確認ください。
対象製品を手がけるメーカーは、自社製品がどの類型に当たるかを確認しておくとよいでしょう。
海外制度との相互承認も進んでいます。日本と英国は2025年11月6日に「JC-STARと英国PSTI法の相互承認に関する協力覚書」へ署名しました。日本とシンガポールも2026年3月18日に「IoTサイバーセキュリティ制度の相互承認に関する覚書」へ署名しています。相互承認が広がれば、海外展開する製品で各国の適合性評価にかかる負担が軽くなることが期待されます。
出典・参考資料（2件）
★1を自力で取れない・第三者評価や脆弱性検査が必要なときの選択肢
★1は自己適合宣言で取得できますが、適合基準には脆弱性に関する確認が含まれ、実機テストが必要な項目もあります。社内に評価のノウハウや体制がない場合や、★3・★4で求められる第三者評価に備えたい場合、さらにJC-STARの申請そのものを支援してほしい場合には、IoT機器の脆弱性診断や取得支援を手がける専門のサービスに相談する選択肢があります。
ここでは、IoT機器・組込み機器・制御システム（OT）などハードウェアを含む脆弱性診断や、JC-STARの適合評価・取得支援に対応するサービスを紹介します。サービスには、JC-STARの適合評価や取得支援まで対応するものと、IoT機器の脆弱性診断に強みを持つものがあります。
自社の目的が「JC-STARの取得を支援してほしい」のか「実機の深掘り診断を受けたい」のかを踏まえ、各社の紹介に加えて後掲の比較表の「JC-STAR対応・取得支援」欄も見ながら相談先を選んでください。
1. Hi AUDIT（株式会社TECHFUND）
Hi AUDITは、株式会社TECHFUNDが提供するセキュリティ診断サービスです。ブロックチェーン・スマートコントラクトの監査で実績を重ねてきたサービスで、TECHFUNDの説明によれば、IoT機器や医療機器といったハードウェアに対する脆弱性診断にも対応しているとされています。
成果報酬型の料金体系や、開発サイクルのなかで柔軟に診断を組み込める進め方を特徴として打ち出している点が、他社と異なる角度です。IoT製品の診断を検討する際は、自社の製品領域での診断範囲や実績を個別に確認したうえで相談するとよいでしょう。資料で診断メニューや進め方を確認できます。
脆弱性診断では、自動ツールによる検査と専門家による手動診断とで、見つけられる問題の範囲が異なります。提供元のTECHFUNDは、この違いを独自インタビューで次のように説明しています。
ツールを使えば大量の項目を短期間で効率的に診断できますが、ビジネスロジックに関わる部分や、複数の脆弱性の組み合わせで一つの問題が起きるようなケースは、単一のツールでは取りこぼしやすい領域です。そこは人間の目で判断する必要が必ずありますので、両方を組み合わせて診断しています。
2. SQAT（株式会社ブロードバンドセキュリティ）
SQAT®（エスキュート）は、2000年創業のセキュリティ専業企業である株式会社ブロードバンドセキュリティ（BBSec）が手がける脆弱性診断ブランドです。専門家による手動診断と独自開発の自動診断を組み合わせたハイブリッド方式を軸に、Webアプリケーションからネットワーク、IoT機器まで幅広い診断メニューを提供しています。
JC-STARとの関係では、IoT向けの診断に加えて★1の適合評価を受託できる点が特徴です。同社は情報セキュリティサービス基準の「機器検証サービス」に登録された検証事業者で、制度に直結した支援を求める場合の有力な相談先となります。
3. GMOサイバーセキュリティ byイエラエ（GMOサイバーセキュリティ byイエラエ株式会社）
国内のホワイトハッカーを多数擁するサイバーセキュリティ専門企業が提供する診断サービスです。専門家による手動主体の脆弱性診断・ペネトレーションテストを中核に据え、IoTデバイスに対してはハードウェア解析やインタフェースのテストを含む診断を実施しています。
IoTデバイスの診断で機器検証サービスの登録事業者となっているほか、JC-STARの取得支援サービスも用意しています。深掘りの診断と制度対応の支援を一社で相談したい場合に適しています。
4. 脆弱性診断サービス（三井物産セキュアディレクション株式会社）
三井物産セキュアディレクション（MBSD）は、三井物産グループのサイバーセキュリティ専業企業です。IoT・組込み機器を対象とした診断を専門家の手動で実施しており、ソフトウェアだけでなくハードウェア面も診断対象に含めています。
脆弱性情報データベースへの報告実績を多数持つ診断チームによる深掘りが強みで、工場など制御システム（OT）領域の評価にも対応します。製品の実機を踏み込んで検証したいケースや、★3・★4で求められる水準に向けた事前の深掘り診断を見据える場合に候補となります（JC-STARの第三者認証そのものは、承認された第三者評価機関が担います）。
5. セキュリティ診断（エヌ・ティ・ティ・セキュリティ・ジャパン株式会社）
NTTセキュリティ・ジャパンは、NTTグループのセキュリティ専門企業として脆弱性診断・ペネトレーションテストを提供しています。IoTプロダクトを対象としたセキュリティ診断では、脅威分析・脆弱性診断・通信解析などを組み合わせ、ドローンやカメラ、工場向けの制御システムといった機器を扱える体制を持ちます。
制御システム（OT）セキュリティまで含めて包括的に支援できる点が強みで、製造・インフラ領域のIoT製品を手がけるメーカーに向いています。大規模・高信頼が求められる案件の相談先として検討できます。
6. セキュリティ診断（NRIセキュアテクノロジーズ株式会社）
NRIグループのセキュリティ専業会社が提供する、専門家の手動診断を主体としたセキュリティ診断サービスです。公式のサービス一覧には「IoT/OTセキュリティ診断」の区分があり、医療機器や車載、産業用制御機器などを対象に、ファジングやロバストネス検証による実機診断を手がけています。
診断の実施だけでなく、IoTセキュリティのコンサルティングで現状評価やロードマップ策定まで相談できる点も特徴です。実機診断と評価・計画づくりを合わせて進めたい場合に適しています。
7. IoTセキュリティコンサルティングサービス（サイバートラスト株式会社）
電子認証局の運用で長い実績を持つサイバートラストが、IoT製品を開発・出荷する側に向けて提供するコンサルティング・診断サービス群です。規格や制度への適合を軸にメニューが整理されており、そのなかにJC-STARの取得支援が含まれます。
ETSI EN 303 645やIEC 62443-4-2の簡易ギャップ分析、IoTリスクアセスメント、機器の脆弱性診断・ペネトレーションテストまでをメニュー化しており、制度対応と診断をまとめて相談したいメーカーに向いています。JC-STARの取得そのものを支援してほしい場合の選択肢です。
8. IoT機器・IoTシステム セキュリティ設計支援コンサルティング（株式会社日立ソリューションズ）
日立ソリューションズのこのサービスは、IoT機器・IoTシステムの開発側が抱えるセキュリティ設計の課題を上流から支援するコンサルティングです。「設計部門にセキュリティのノウハウがない」「出荷済み製品に脆弱性が残っていないか不安」といった課題に対し、現状分析・設計支援・脆弱性対策・教育を一貫して提供します。
現状分析では、出荷済み製品のファームウェアのOS設定や利用しているOSSに緊急度の高い脆弱性が残っていないかまで確認します。関連メニューとしてセキュリティラベリング制度への適合支援も挙げられており、自力での取得が難しい段階から相談したい場合の受け皿になります。
各サービスの診断範囲や費用は、下記の比較表でまとめて確認できます。
| サービス名 | Hi AUDIT | SQAT | GMOサイバーセキュリティ byイエラエ | MBSD 脆弱性診断 | NTTセキュリティ・ジャパン | NRIセキュア | サイバートラスト IoTセキュリティコンサル | 日立ソリューションズ |
|---|---|---|---|---|---|---|---|---|
| 提供会社 | 株式会社TECHFUND | 株式会社ブロードバンドセキュリティ | GMOサイバーセキュリティ byイエラエ株式会社 | 三井物産セキュアディレクション株式会社 | エヌ・ティ・ティ・セキュリティ・ジャパン株式会社 | NRIセキュアテクノロジーズ株式会社 | サイバートラスト株式会社 | 株式会社日立ソリューションズ |
| 診断・支援の方式 | ハイブリッド （ツール自動＋手動） | ハイブリッド （手動＋自動診断） | ハイブリッド （手動＋ツールASM） | 手動主体 （ツール併用） | 専門家＋複数ツール （セルフ診断も） | 手動主体 （ハイブリッド） | 規格対応コンサル＋ IoT脆弱性診断 | セキュリティ設計 コンサル（診断含む） |
| IoT・ハードウェア診断 | △自社申告ベース | ● | ● | ● | ● | ● | ● | △設計支援が中心 |
| JC-STAR対応・取得支援 | × | ●★1適合評価を受託 | ●JC-STAR取得支援サービス | × | × | × | ●★1取得支援（申請まで） | △関連メニューで適合支援 |
| 料金 | 要問い合わせ （成果報酬型） | 要問い合わせ | 要問い合わせ | 要問い合わせ | 要問い合わせ | 要問い合わせ | 要問い合わせ | 要問い合わせ |
| 詳細情報 | 公式資料を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | 公式サイト | 公式サイト |
※「●」は対応、「△」は限定的・要個別確認、「×」は公式に明示なしを表します。料金は各社とも対象範囲に応じた個別見積（要問い合わせ）です。
ここではIoT機器に対応するサービスを中心に取り上げましたが、Webアプリやネットワークなども含めた脆弱性診断サービス全般を、診断方法・費用相場・選び方の観点から比較検討したい場合は、次の記事もあわせてご覧ください。
脆弱性診断サービスおすすめ比較｜診断方法・費用相場・選び方を解説【無料ツールあり】
Webサービスや社内システムの脆弱性診断を検討する際、「専門家による手動診断とツールによる自動診断のどちらが自社に必要なのか」「費用が数十万円から数百万円までと幅が広く、妥当な予算が読めない」といった壁に突き当たる担当者は少なくありません。…
まとめ
JC-STARは、IoT製品のセキュリティ機能を国の共通基準で評価・可視化する任意制度で、2025年3月に★1の運用が始まりました。★1・★2は自己適合宣言、★3・★4は第三者認証という評価方法の違いがあり、現在申請できるのは★1です。★1は16項目の適合基準を満たして自己評価し、申請・受理・手数料（定価19万8,000円・税込）を経てラベルが付与され、有効期間は最長2年です。
政府調達での活用方針や海外制度との相互承認が進み、対象製品を手がけるメーカーにとって取得の意味は高まっています。自力での評価が難しい場合や第三者評価に備えたい場合は、IoT機器の脆弱性診断・取得支援サービスの活用も検討し、自社の状況に合った進め方を選びましょう。
一括ダウンロードする
よくある質問（FAQ）
Q. JC-STARとは何ですか？
A. JC-STARは、IoT製品のセキュリティ機能を国が定めた共通の基準で評価し、ラベルで見える化する任意制度です。経済産業省とIPA（独立行政法人情報処理推進機構）が2025年3月25日に運用を開始しました。正式名称は「セキュリティ要件適合評価及びラベリング制度」で、購入者・調達者がラベルを確認することで求めるセキュリティ水準の製品を選びやすくすることを目的としています。
Q. JC-STARの取得は義務ですか？
A. JC-STARは任意制度で、取得が法律で義務づけられているわけではありません。ただし、政府機関等向けのガイドラインでは2025年度中に★1以上の取得を機器などの選定基準に含める方針が示されており、公共分野に製品を納入するメーカーにとっては、実質的に取引条件に関わるテーマになりつつあります。
Q. JC-STARの自己適合宣言とは何ですか？
A. 自己適合宣言とは、製品ベンダー自身が適合基準にそって自己評価した結果（チェックリスト）にもとづいて、IPAがラベルを付与する方式です。★1・★2がこの方式にあたり、第三者の評価を受けないため低コストかつ短期間で取得できます。
一方、評価の信頼性はベンダー自身の信頼性に依存するため、IPAは適合に疑義が生じた際に検査やサーベイランスを行い、結果によってはラベルを取り消す仕組みでバランスをとっています。これに対して★3・★4は、独立した第三者評価機関の評価にもとづく第三者認証方式です。
Q. JC-STARの★1は自社だけで取得できますか？取れない場合はどうすればよいですか？
A. ★1は自己適合宣言方式のため、適合基準を満たせば製品ベンダー自身で評価・申請して取得できます。ただし16項目の適合基準には脆弱性に関する確認が含まれ、実機テストが必要な項目もあります。社内に評価の体制やノウハウがない場合は、IoT機器の脆弱性診断や取得支援を手がける専門サービスに相談する方法があります。★3・★4で求められる第三者評価に備えたい場合も同様です。
Q. JC-STARの★1の申請手数料は11万円ではないのですか？
A. 現在の★1の申請手数料は、定価の19万8,000円（税込）です。11万円（税込）は運用開始当初の導入価格で、2025年9月30日までに受領した申請分に限られており、この期間はすでに終了しています。これから申請する場合は19万8,000円（税込）が基準になります。取得した★1ラベルの有効期間は最長2年間で、期間満了後も継続して表示したい場合は延長申請が可能です。
Q. JC-STARの対象となる製品は何ですか？パソコンやスマートフォンも対象ですか？
A. JC-STARの対象は、インターネットに直接つながらない製品も含め、インターネットプロトコルを使う通信機能を持つ幅広いIoT製品で、パソコンやスマートフォンは対象外です。ネットワークカメラや通信機器、家電、産業機器などが想定され、★2以上ではまずネットワークカメラと通信機器を対象に基準の整備が進められています。
Q. JC-STARのラベルが付いていれば、その製品は安全だと考えてよいですか？
A. ラベルは国の共通基準でセキュリティ水準が確認された目安になりますが、★の区分によって評価の確かさが異なる点に注意が必要です。★1・★2は自己適合宣言のため評価の信頼性はベンダーに依存し、第三者の検証は入っていません。より高い信頼性を重視する調達では、独立した第三者評価にもとづく★3・★4が想定されています。調達・選定の際は、★の区分と評価方法まで確認して読み解くとよいでしょう。
IoT製品の脆弱性診断・セキュリティ診断サービスの料金・資料を一括チェック
MCB FinTechカタログでは、IoT機器の脆弱性診断やJC-STAR取得支援に対応するサービスの最新資料を無料で一括請求できます。診断範囲や支援内容、費用をまとめて比較できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
