IoTセキュリティ規格の一覧｜国内・海外の規格と自社が対応すべきものの見極め方

自社で開発・製造、あるいは調達するIoT機器について、取引先や販売先から「セキュリティ規格に対応していますか」と問われる場面が増えています。ネットワークにつながるカメラやルーター、産業機器、スマート家電などが攻撃の入り口になりうるため、国内外でIoT機器のセキュリティを定める規格・制度の整備が進んできました。

ところが、IoTセキュリティに関わる規格は国内の制度から海外・国際標準、分野別の規格まで数多くあり、名前は断片的に耳にしても全体像をつかみにくいのが実情です。

この記事では、IoTセキュリティ規格を国内・海外にわたって一覧で整理し、策定主体・国や地域・義務か任意か・対象となる製品の違いを示したうえで、自社の製品と販売先の市場ではどの規格に対応すべきか、そして規格対応の最初の一手として何から着手すればよいかまでを解説します。

IoTセキュリティ規格の全体一覧表（国内・海外）

ここでいうIoTセキュリティ規格とは、ネットワークにつながる機器（IoT機器）が備えるべきセキュリティ機能や、開発・運用で守るべき事項を定めた規格・制度・ガイドラインの総称です。国内の制度、欧州・米国の規格、国際標準、分野別の規格まで幅広く、それぞれ策定主体も、法的な義務か任意かも、対象とする製品も異なります。まず全体像を一覧で押さえましょう。

規格・制度	策定主体	国・地域	義務／任意	主な対象
JC-STAR（適合評価・ラベリング制度）	IPA（情報処理推進機構）	日本	任意（政府・重要インフラ調達で事実上必須化の方向）	幅広いIoT製品
CCDS IoT機器セキュリティ要件 適合基準ガイドライン	CCDS（重要生活機器連携セキュリティ協議会）	日本	任意（業界の認証基準）	一般利用者向けIoT機器
IoTセキュリティガイドライン	IoT推進コンソーシアム・総務省・経済産業省	日本	任意（考え方の指針）	IoT機器・システム・サービス全般
IoT機器を開発する中小企業向け 製品セキュリティ対策ガイド	経済産業省	日本	任意（実務ガイド）	中小メーカーのIoT機器
ETSI EN 303 645	ETSI（欧州電気通信標準化機構）	欧州（任意規格）	任意（ベースライン規格）	消費者向けIoT機器
無線機器指令（RED）＋整合規格 EN 18031	EU	EU	義務（無線製品。2025年8月〜適用中）	無線通信機能を持つ製品
サイバーレジリエンス法（CRA）	欧州委員会	EU	義務（2027年12月11日 全面適用）	デジタル要素を含む製品
NISTIR 8259シリーズ	NIST（米国国立標準技術研究所）	米国	任意（推奨。連邦調達で参照）	IoT機器の製造者
ISO/IEC 30147	ISO／IEC	国際	任意（国際標準）	IoT製品・サービス全般
ISO/IEC 27402	ISO／IEC	国際	任意（国際標準）	IoT機器（水平ベースライン）
IEC 62443シリーズ	IEC	国際	任意（調達要件に用いられることも）	産業用オートメーション・制御システム
ISO/SAE 21434・UN規則第155号／第156号	ISO／SAE・UNECE	国際	UN規則は義務（型式認可）／ISO/SAE 21434は任意	自動車（車載システム）
医療機器のセキュリティ指針（IMDRF 等）	各国の医療機器規制当局・IMDRF	国際	分野・国で異なる	ネットワークにつながる医療機器

各規格・制度の名称・策定主体・位置づけは各発行機関の公式文書にもとづく（2026年11月時点）。詳細と出典は以下の各セクションを参照。

以降では、この一覧を国内・海外・分野別に分けて中身を見ていきます。急いで自社の該当範囲を知りたい場合は、自社はどの規格に対応すべきかの節から読み進めてもかまいません。

国内のIoTセキュリティ規格・制度

ここからは、日本国内で押さえておきたい規格・制度を公式情報にもとづいて整理します。制度として製品を評価・可視化するJC-STAR、守るべき機能要件を具体的に定めたCCDSの適合基準、考え方の土台となる総務省のガイドラインが中心です。

JC-STAR（セキュリティ要件適合評価・ラベリング制度）

JC-STAR（ジェイシースター）は、IPA（独立行政法人情報処理推進機構）が運用するIoT製品のセキュリティ適合評価・ラベリング制度です。2024年9月に発表され、2025年3月から運用が始まりました。製品に備わっているセキュリティ機能を共通の物差しで評価し、適合した製品に適合ラベルを付与することで、調達者や利用者が選びやすくすることを目的としています。

評価レベルは求められるセキュリティ水準に応じて★1〜★4の4段階に分かれ、評価方式が2つに分かれます。★1・★2はベンダー自身が適合基準にもとづき自己評価する「自己適合宣言方式」、★3・★4は政府機関や重要インフラ事業者などで使う製品を想定した「第三者評価方式」です。

★1と★2は、各ベンダーが本制度で定められた適合基準・評価手順により自己評価を行った結果を記載したチェックリストに基づき、IPAが適合ラベルを付与する自己適合宣言方式です。一方、★3以上では、政府機関等や重要インフラ事業者等向け製品を想定し、独立した第三者評価機関による評価報告書に基づき、IPAが認証・適合ラベルを付与することでより高い信頼性を確保しています。

出典：IoT製品に対するセキュリティ要件適合評価・ラベリング制度を運用開始（2024年9月30日）｜情報処理推進機構（IPA）

JC-STAR自体は任意の制度です。ただしIPAは、政府機関・重要インフラ事業者・地方公共団体などの調達ではラベル付与製品を選ぶ方向で経済産業省と関係組織が調整しています。普及後にはラベル付与製品の調達を必須化する方針も示していると説明しています。

法的な義務ではないものの、公的調達では事実上求められる場面が広がる見込みです。海外の類似制度との相互承認も目指されています。

出典・参考資料（1件）

• 出典：IoT製品に対するセキュリティ要件適合評価・ラベリング制度を運用開始｜独立行政法人情報処理推進機構（IPA）（https://www.ipa.go.jp/pressrelease/2024/press20240930.html）

JC-STARが自社製品に関係しそうで適合ラベルの取得を具体的に検討する段階になったら、★区分ごとの違いや★1取得の流れ・費用を整理した解説もあわせてご覧ください。

CCDS IoT機器セキュリティ要件 適合基準ガイドライン

CCDS（重要生活機器連携セキュリティ協議会）の「IoT機器セキュリティ要件 適合基準ガイドライン 2025年版」は、IoT機器が具体的に満たすべきセキュリティ機能要件と、その検査方法・合格基準まで定めた文書です。インターネットプロトコルを使える機器を対象とし、攻撃を受けやすいWi-Fi・Bluetooth・USBのインターフェースを持つ機器も対象に含めています。

要件は「必須要件」と「推奨要件」に区分され、一般利用者向けのIoT機器で対応が必要なものを必須要件、より高度なセキュリティが求められる機器向けのものを推奨要件としています。要件は大きく次の3分類で構成されます。

• 機能要件：認証およびアクセス制御（TCP／UDPポートの無効化、認証情報の変更）、データ保護（データ消去）、ソフトウェア更新、影響度の大きい要件（Wi-Fiの認証方式、Bluetoothの対策、USBのアクセス制御、インジェクション対策）
• 運用における要件：連絡窓口・セキュリティサポート体制、製品に関する文書管理、利用者への情報提供
• 監査に関する要件：ログの記録（時間管理機能）

適合基準は「ドキュメントの確認」と「実機動作の確認」の2つの観点で判定され、ISO認証の取得によって一部の適合基準を充足できる規定（第6.4項）も設けられています。自社のIoT機器で何を実装すればよいかを、要件レベルまで落として確認したいときに役立つ文書です。

出典・参考資料（1件）

• 出典：IoT機器セキュリティ要件 適合基準ガイドライン 2025年版（CCDS-GRC01-2025）｜一般社団法人 重要生活機器連携セキュリティ協議会（CCDS）（https://www.ccds.or.jp/public/document/other/CCDS_SecGuide-IoTReq_Criteria_2025_v1.0_jpn.pdf）

総務省 IoTセキュリティガイドライン（5つの指針）

「IoTセキュリティガイドライン ver1.0」は、IoT推進コンソーシアム・総務省・経済産業省が2016年7月に策定した、分野を特定しない共通の考え方を示す文書です。個別の要件を細かく定めるというより、IoTのライフサイクルに沿って「何を考えるべきか」を整理した枠組みで、JC-STARやCCDSの適合基準の前提となる土台にあたります。

ガイドラインは、方針・分析・設計・構築/接続・運用/保守という5つの指針で構成されています。

1. 【方針】IoTの性質を考慮した基本方針を定める
2. 【分析】IoTのリスクを認識する
3. 【設計】守るべきものを守る設計を考える
4. 【構築・接続】ネットワーク上での対策を考える
5. 【運用・保守】安全安心な状態を維持し、情報発信・共有を行う

各指針には複数の「要点」が紐づき、供給者と利用者の双方が自分の役割を認識できるようにまとめられています。策定から年数は経っていますが、IoTセキュリティの全体像を考える出発点として参照されています。

出典・参考資料（1件）

• 出典：IoTセキュリティガイドライン ver1.0｜IoT推進コンソーシアム・総務省・経済産業省（https://www.soumu.go.jp/main_content/000428393.pdf）

中小メーカー向けの公的ガイド（経済産業省）

専任のセキュリティ担当を置きにくい中小のメーカー向けには、経済産業省が「IoT機器を開発する中小企業向け 製品セキュリティ対策ガイド」を公開しています。限られた体制でも製品セキュリティに取り組めるよう、進め方を整理した実務ガイドです。自社の規模に合わせて何から着手するかを検討する際は、公式ページから確認できます。

出典・参考資料（1件）

• 参考資料：IoT機器を開発する中小企業向け 製品セキュリティ対策ガイド｜経済産業省（https://www.meti.go.jp/policy/netsecurity/chusyosecurityguide_r6.pdf）

海外・国際のIoTセキュリティ規格

続いて、海外へ製品を出す場合に関わる規格を見ていきます。EUと米国の代表的な規格・制度、そして各国の制度の土台になる国際標準の順に整理します。特にEUは法規制の移行期にあり、何が義務で何が任意かを正確に押さえることが重要です。

EN 303 645・ETSI TS 103 701（EU・消費者向けIoT）

ETSI EN 303 645は、欧州電気通信標準化機構（ETSI）が定めた消費者向けIoT機器のセキュリティのベースライン規格です。スマートカメラやベビーモニター、ウェアラブルなど、ネットワークにつながる消費者向け機器を対象に、13項目の要件を示しています。

代表的なものには、共通のデフォルトパスワードを使わないこと、脆弱性を報告する手段を用意すること、ソフトウェアを更新できるようにすること、安全に通信することなどがあり、適合を評価・保証する方法はETSI TS 103 701が定めています。

注意したいのは、EN 303 645はあくまで任意のベースライン規格であり、それ自体が法的な義務を課すものではない点です。EUで無線製品に現在求められる法的要件は、無線機器指令（RED：Radio Equipment Directive、2014/53/EU）のサイバーセキュリティに関する必須要件で、2025年8月から適用されています。

この必須要件への適合を推定させる整合規格は、EN 303 645ではなくEN 18031シリーズ（Implementing Decision (EU) 2025/138で指定）です。EN 303 645はEN 18031の考え方の土台になった任意規格と位置づけるのが正確です。

さらにこのREDのサイバーセキュリティ関連の委任規則は、後述のサイバーレジリエンス法（CRA）との重複を避けるため廃止が決まっており、2027年12月11日にCRAへ一本化される予定です。EN 18031や個別製品への適用判断は専門的で移行期の論点を含むため、EUへの輸出を検討する場合は最新の官報・公式情報で必ず確認してください。

名前の似た規格が重なるため、EUで今どれが効くのかを時系列で整理すると次のとおりです。

• 2025年8月〜（現在）：無線製品はRED（無線機器指令）のサイバーセキュリティ必須要件が義務。適合を推定させる整合規格はEN 18031シリーズ。
• 2027年12月11日〜：CRA（サイバーレジリエンス法）が全面適用。REDのサイバーセキュリティ関連の委任規則は廃止され、CRAへ一本化される予定。
• EN 303 645：法的義務ではなく、EN 18031の土台になった任意のベースライン規格。

出典・参考資料（2件）

• 出典：ETSI EN 303 645 V2.1.1 (2020-06) CYBER; Cyber Security for Consumer Internet of Things: Baseline Requirements｜ETSI（https://www.etsi.org/deliver/etsi_en/303600_303699/303645/02.01.01_60/en_303645v020101p.pdf）
• 参考資料：Radio Equipment Directive (RED)｜European Commission（https://single-market-economy.ec.europa.eu/sectors/electrical-and-electronic-engineering-industries-eei/radio-equipment-directive-red_en）

EUサイバーレジリエンス法（CRA）の位置づけ

EUサイバーレジリエンス法（CRA：Cyber Resilience Act、Regulation (EU) 2024/2847）は、デジタル要素を含む製品（ソフトウェア・ハードウェア）を対象に、設計段階からのセキュリティ確保や脆弱性対応、適合性評価などを求めるEUの規則です。

2024年12月10日に発効し、主な義務は2027年12月11日から全面適用されます。脆弱性や重大なインシデントの報告義務は、それに先立ち2026年9月11日から適用されます。

The main obligations introduced by the Act will apply from 11 December 2027, with reporting obligations to apply as of 11 September 2026.

出典：Cyber Resilience Act｜European Commission

前述のとおり、EUのIoT・デジタル製品のサイバーセキュリティ要件は、無線機器指令（RED）の委任規則からCRAへ段階的に一本化されていきます。EUへ製品を出すメーカーにとっては、現時点で適用中のRED必須要件と、2027年に全面適用されるCRAの両方を見据えた準備が必要です。

出典・参考資料（1件）

• 出典：Cyber Resilience Act（Regulation (EU) 2024/2847）｜European Commission（https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act）

NISTIR 8259シリーズ（米国・製造者向け）

米国では、NIST（国立標準技術研究所）がIoT機器の製造者向けにNISTIR 8259シリーズをまとめています。中心となるのは、技術的な機能要件を示すNISTIR 8259Aと、運用・体制面の対策を示すNISTIR 8259Bです。連邦政府の調達で参照される位置づけで、法的義務というより推奨の性格を持ちます。

NISTIR 8259Aは、機器が備えるべきサイバーセキュリティ機能のコアベースラインとして次の6つを挙げています。機器の識別、機器の構成、データの保護、インターフェースへのアクセス制限、ソフトウェアの更新、サイバーセキュリティ状態の把握の6機能です。

NISTIR 8259Bはこれを補う非技術的な対策として、文書化、問い合わせの受付、情報の配布、教育と理解向上の4つを示しています。自社の製品要件や、顧客への説明材料を整理するときの参照先になります。

出典・参考資料（2件）

• 出典：NISTIR 8259A IoT Device Cybersecurity Capability Core Baseline｜NIST（https://nvlpubs.nist.gov/nistpubs/ir/2020/NIST.IR.8259A.pdf）
• 出典：NISTIR 8259B IoT Non-Technical Supporting Capability Core Baseline｜NIST（https://nvlpubs.nist.gov/nistpubs/ir/2021/NIST.IR.8259B.pdf）

ISO/IEC 30147・27402（国際標準）

国際標準では、ISO／IECがIoTのセキュリティ・信頼性に関する規格を整備しています。ISO/IEC 30147:2021は、日本からISO/IEC JTC 1/SC 41に提案して2021年に発行された規格で、IoT製品・サービスの信頼性（トラストワージネス。セキュリティ・プライバシー・セーフティなどを含みます）を、システムのライフサイクルプロセスに組み込むことを定めています。

一般的なシステムライフサイクル規格であるISO/IEC/IEEE 15288を適用・補完する内容で、設計・開発段階からセキュリティを組み込む考え方が土台になっています。

これに対しISO/IEC 27402:2023は、IoT機器のセキュリティとプライバシーに関する「水平（分野横断）」のベースライン要件を定めた規格です。その序文では、産業用途はIEC 62443シリーズ、消費者向けはETSI EN 303 645を参照するという位置づけが示されており、国際標準どうしの地図を描くうえでの参考になります。

出典・参考資料（2件）

• 出典：ISO/IEC 30147（IoTのトラストワージネス活動のシステムエンジニアリングプロセスへの統合）の解説｜IPA（https://www.ipa.go.jp/archive/digital/iot-en-ci/iot/ise-iec30147.html）
• 参考資料：ISO/IEC 27402:2023 Cybersecurity — IoT security and privacy — Device baseline requirements｜IEC Webstore（https://webstore.iec.ch/publication/90104）

分野別のIoTセキュリティ規格（制御・車載・医療）

ここまでの横断的な規格に加えて、製品の分野によっては、その分野専用の規格が関わります。自社が該当する分野があるかどうかの当たりをつけておきましょう。ここでは入口として概要に触れ、詳しい要件は各分野の個別の情報で確認してください。

制御システム（IEC 62443）

工場の生産設備やプラントなどの産業用オートメーション・制御システム（IACS）には、IEC 62443シリーズが用いられます。製品単体だけでなく、システムや運用プロセス、組織の体制までを対象に、産業制御システムのセキュリティを体系的に定めた国際規格のシリーズです。

ISO/IEC 27402もその序文で、産業向けの参照規格としてIEC 62443を挙げています。OT（制御技術）領域の機器を扱う場合に関わってきます。

車載（ISO/SAE 21434・UN規則第155号／第156号）

自動車分野では、国連欧州経済委員会（UNECE）のUN規則第155号（サイバーセキュリティおよびサイバーセキュリティ管理システム）と第156号（ソフトウェア更新および更新管理システム）が、車両の型式認可に紐づく法的拘束力のある規則として運用されています。

UN規則第155号は、電子制御ユニット（ECU）を1つ以上搭載する一定区分の車両を対象に、サイバー脅威に対応する管理システム（CSMS）の整備を求め、これを満たす車両型式にのみ型式認可を与えるしくみです。

これらの規則に実務で対応するための技術規格がISO/SAE 21434（道路車両のサイバーセキュリティエンジニアリング）で、こちらは任意規格ですが、UN規則への適合を進めるための技術的なフレームワークとして位置づけられています。

出典・参考資料（1件）

• 参考資料：UN Regulation No. 155（EU官報掲載版）｜EUR-Lex（https://eur-lex.europa.eu/eli/reg/2025/5/oj/eng）

医療機器のセキュリティ指針

ネットワークにつながる医療機器については、国際的にはIMDRF（国際医療機器規制当局フォーラム）が医療機器サイバーセキュリティの原則を示しています。国内では、医療機器そのものは薬機法に基づく規制や関連の手引書が、医療機関で使う情報システムは厚生労働省の「医療情報システムの安全管理に関するガイドライン」が関わります。

人の安全に直結する分野であり、求められる水準や手続きが他分野と異なります。医療機器を扱う場合は、対象が機器そのものか医療機関のシステムかを見極めたうえで、所管の最新の規制・ガイドラインを個別に確認することをおすすめします。

出典・参考資料（1件）

• 参考資料：医療情報システムの安全管理に関するガイドライン｜厚生労働省（https://www.mhlw.go.jp/stf/shingi/0000516275_00006.html）

自社はどの規格に対応すべきか（製品種別×販売先市場での見極め）

規格の全体像を押さえたら、次は「自社の製品ではどれに対応すべきか」です。関係する規格は、製品の種類（消費者向けか、産業用か、車載か、医療機器か）と、販売先の市場（国内／EU／米国）の組み合わせで大きく変わります。下の表は、代表的な組み合わせで関わりやすい規格を整理したものです。あくまで当たりをつけるための早見表であり、個別の適用は最新の公式情報で確認してください。

製品種別	日本国内	EU向け	米国向け
消費者向けIoT（家電・カメラ等）	JC-STAR（任意）／CCDS適合基準（任意）	無線製品はRED必須要件＋EN 18031（義務）、EN 303 645（任意ベースライン）、2027年12月〜CRA（義務）	NISTIR 8259シリーズ（推奨）
産業用・制御システム（OT）	JC-STAR（任意）／総務省ガイドライン	IEC 62443、2027年12月〜CRA（義務）	NISTIR 8259／IEC 62443
車載（自動車）	UN規則第155号／第156号（型式認可で義務）	UN規則第155号／第156号（義務）、ISO/SAE 21434（任意）	各州・業界の枠組み＋ISO/SAE 21434
医療機器	医療機器規制・医療情報システム安全管理GL	CRA等の横断規制＋医療機器規制	FDA等の規制＋IMDRF原則
共通（横断）	総務省ガイドライン／ISO/IEC 30147・27402（任意）	2027年12月〜CRA（義務）	NISTIR 8259（推奨）

義務／任意の別と適用時期は2026年11月時点の公式情報にもとづく。EUは法規制の移行期にあり、個別製品への適用は最新の官報・公式情報で確認が必要。

見極めのポイントは、第一に販売先の市場に法的な義務があるかです。EUへ無線製品を出すならRED必須要件（2025年8月〜適用中）が、2027年12月以降はCRAが義務として関わります。車載は国内・EUともUN規則第155号／第156号が型式認可に紐づく義務です。

第二に、国内では任意でも事実上求められる場面がある点です。JC-STARは任意制度ですが、政府・重要インフラの調達では事実上必須化の方向にあり、取引の条件になりうることを見込んでおくと安全です。

規格対応の進め方（最初の一手）

対応すべき規格の当たりがついたら、次は実際の対応です。ここからは、規格対応の最初の一手として何から着手すればよいかを解説します。

ここまで見てきた規格は、名称や位置づけは違っても、求める技術的な中身には共通点があります。初期パスワードや認証・アクセス制御、通信の保護、ソフトウェアの更新、脆弱性への対応、ログの記録といった要素です。

そこで規格対応の出発点になるのが、自社の製品がこれらの要件を実際に満たせているか、弱点がないかを洗い出すことです。設計資料の確認だけでは分からない実機レベルの欠陥を見つけるために、IoT機器を対象とした脆弱性診断（セキュリティ診断）を活用する方法があります。

そもそもIoT機器にはどのような弱点があり、過去にどんな被害が起きているのかを具体的に押さえておくと、診断で何を見つけるべきかがイメージしやすくなります。

認証やラベルの取得手続きそのものは、JC-STARの取得やCRA対応など規格ごとに異なりますが、対応の流れは大きく共通しています。全体像としては次のような段階で進みます。

1. 対応すべき規格を特定します（製品種別×販売先市場で見極めます）
2. 規格の要件と自社製品のギャップを洗い出します（脆弱性診断などで現状を把握します）
3. 不足している要件を実装・改修します
4. 自己適合宣言、または第三者評価を受けます（規格・レベルによります）
5. ラベルや認証を取得します

この最初の2段階、とりわけ自社製品の現状把握と不足要件の特定が、どの規格に向かうにしても共通の土台になります。取得手続きの詳細は規格ごとの個別記事で確認してください。

機器を調達して使う側の立場でも、ここまでの一覧表や早見表はそのまま活用できます。仕入先の製品が対応すべき規格に適合しているかを、JC-STARの適合ラベルや適合宣言、対応規格の明示といった形で確認する際の観点になります。

規格対応に役立つ脆弱性診断サービス

ここからは、IoT機器・組込み機器のハードウェアまで診断できる脆弱性診断サービスを紹介します。Webアプリだけを対象とする診断では、IoT機器特有の弱点（ファームウェア・無線通信・物理インターフェースなど）を洗い出せないため、IoT機器の診断に対応しているかを確認することが重要です。

以下の比較表と個別紹介は、特定の1社を推奨するものではありません。自社の製品や診断したい対象に合うかという観点で、各サービスの対応範囲を読み比べてください。

1. Hi AUDIT（株式会社TECHFUND）

Hi AUDITは、株式会社TECHFUNDが提供するセキュリティ診断サービスです。Webサービスやアプリケーションの診断に加えて、同社の説明によれば、IoT機器や医療機器などのハードウェアも診断対象とし、業界ごとのセキュリティ要件に合わせた診断を強みとしています。規格が求める技術要件を満たせているかを、製品の実態に即して確認したい場合の選択肢になります。

製品が規格・規制の求める要件を満たせているかを確認したいという相談について、同社の生田氏は次のように説明しています。

2. SQAT（株式会社ブロードバンドセキュリティ）

株式会社ブロードバンドセキュリティが長年手がける診断ブランドがSQATです。「SQAT for IoT」では、実機の動的解析やファームウェア・ハードウェアの解析を提供しています。さらに同社は、本記事で取り上げたJC-STARの★1適合評価を受託する検証事業者（登録番号018-0038-50）としても登録しており、規格そのものへの橋渡しという点で特に強みがあります。

3. GMOサイバーセキュリティ byイエラエ

ハードウェア解析・ソフトウェア解析・動的解析を組み合わせ、攻撃者の視点で機器を検証するのがGMOサイバーセキュリティ byイエラエの「IoTデバイスペネトレーションテスト」です。スマートロックやスマート家電、ネットワーク機器、ドローン、カメラなどを対象とし、機器検証サービス登録（019-0004-50）も受けています。

あわせてJC-STARの取得支援や製品サイバーセキュリティ認証の取得・準拠支援も提供しており、弱点の洗い出しから規格取得までを見据えられます。

4. NRIセキュアテクノロジーズ

NRIセキュアテクノロジーズの「デバイス・セキュリティ診断」は、IP接続のデバイス（デジタル家電・医療用機器・車載・産業用制御システムなど）を対象に、ファジングやロバストネス検証、既知脆弱性の診断を行います。

IoTセキュリティのコンサルティング（NSF for IoT）では、IoTセキュリティガイドラインやNIST CSF、NISTIR、OWASP IoT、IEC 62443-2-1といった複数の規格・ガイドラインへの対応状況を可視化できる点が特徴です。

5. 三井物産セキュアディレクション（MBSD）

三井物産セキュアディレクション（MBSD）の脆弱性診断は、組込み機器・IoT機器を対象に、ソフトウェア面とハードウェア面の手動診断を提供しています。IPカメラの乗っ取りといった具体的な攻撃を想定した評価のほか、自動車・ビル・工場などのOT診断や、IEC 62443を参照したOTセキュリティ評価もカバーしており、産業分野の機器まで含めて相談できます。

6. NTTセキュリティ・ジャパン

ドローンやカメラ、自立制御ロボット、工場向けの制御システムといった幅広い機器を守るのが、NTTセキュリティ・ジャパンの「IoTプロダクトセキュリティ」です。脅威分析・脆弱性診断・ペネトレーションテスト・通信解析に加え、IEC 62443を参照したOTセキュリティのアセスメントもあり、IoTとOTの両面にまたがる製品の弱点を洗い出せます。

7. ラック（株式会社ラック）

ラックは、診断・監視で長年の実績を持つセキュリティ専業企業です。コンサルティングのメニューに「IoTデバイスペネトレーションテスト」を独立して掲げ、攻撃者の視点で疑似攻撃を行い、IoT機器の弱点を洗い出します。セキュリティ監視センター（JSOC）やサイバー救急センターとの連携も可能で、診断後のインシデント対応まで見据えられる体制が特徴です。

ここで取り上げたのは、IoT機器・組込み機器のハードウェアまで診断できるサービスに絞った紹介です。Webアプリやクラウドなども含めて脆弱性診断サービスを広く見比べ、診断方法の種類・費用相場・選び方の全体像から委託先を検討したい場合は、以下の比較記事が参考になります。

まとめ

IoTセキュリティ規格は、国内のJC-STAR・CCDS適合基準・総務省ガイドライン、海外のEN 303 645やEU CRA、米国のNISTIR 8259、国際標準のISO/IEC 30147・27402、そして制御・車載・医療といった分野別の規格まで、幅広く整備されています。

自社に関わる規格は、製品の種類と販売先の市場の組み合わせで決まり、EUのように法規制が移行期にある領域では義務か任意かの見極めが特に重要です。

どの規格に向かうにしても、共通の出発点は、自社製品が規格の求める技術要件を満たせているかを確かめることです。IoT機器のハードウェアまで診断できる脆弱性診断サービスを活用すれば、設計資料だけでは見えない弱点を早い段階で把握できます。まずは自社の該当範囲を整理し、現状把握から始めてみてください。

よくある質問（FAQ）

Q. IoTセキュリティ規格とは何ですか？

A. IoTセキュリティ規格とは、ネットワークにつながる機器（IoT機器）が備えるべきセキュリティ機能や、開発・運用で守るべき事項を定めた規格・制度・ガイドラインの総称です。国内の制度、欧州・米国の規格、国際標準、分野別の規格まで幅広く、それぞれ策定主体も、法的な義務か任意かも、対象とする製品も異なります。自社に関わる規格は、製品の種類と販売先の市場の組み合わせで決まります。

Q. IoTセキュリティ規格は法的な義務ですか、それとも任意ですか？

A. IoTセキュリティ規格はその多くが任意ですが、販売先の市場や製品分野によっては法的な義務になるものがあります。日本国内のJC-STAR・CCDS適合基準・総務省ガイドラインは、いずれも任意の制度・指針です。

一方でEUでは、無線製品に無線機器指令（RED）のサイバーセキュリティ必須要件が2025年8月から適用中で、2027年12月11日にはサイバーレジリエンス法（CRA）が全面適用されます。自動車（車載システム）では、UN規則第155号・第156号が型式認可に紐づく義務として国内・EUともに運用されています。EUは法規制の移行期にあるため、個別製品への適用は最新の公式情報で確認してください。

Q. IoT製品をEUへ輸出する場合、どの規格に対応すればよいですか？

A. EU向けの無線製品では、現在は無線機器指令（RED）のサイバーセキュリティ必須要件が義務で、2027年12月11日以降はサイバーレジリエンス法（CRA）が全面適用されます。REDの必須要件（2025年8月〜適用中）への適合を推定させる整合規格は、EN 18031シリーズ（Implementing Decision (EU) 2025/138で指定）です。

消費者向けIoTのベースライン規格であるEN 303 645は、EN 18031の考え方の土台になった任意規格で、それ自体が法的義務を課すものではありません。EUは法規制の移行期にあり、個別製品への適用判断は専門的な論点を含むため、最新の官報・公式情報で必ず確認してください。

Q. EN 303 645とEN 18031はどう違い、EUで法的に効くのはどちらですか？

A. EUの無線機器指令（RED）で適合推定を与える（法的に効く）整合規格はEN 18031シリーズで、EN 303 645はその土台になった任意のベースライン規格です。EN 303 645はETSIが定めた消費者向けIoT機器のセキュリティ要件（13項目）を示す規格で、それ自体に法的義務はありません。

REDの必須要件への適合を推定させる整合規格として官報に指定されたのは、EN 303 645ではなくEN 18031シリーズです。両者は考え方は近いものの法的な位置づけが異なるため、EUでの適合を検討する際は混同しないよう注意してください。

Q. JC-STARは取得が必須ですか？

A. JC-STARは法的な取得義務のある制度ではなく、あくまで任意のラベリング制度です。ただしIPAは、政府機関・重要インフラ事業者・地方公共団体などの調達では適合ラベルが付与された製品を選ぶ方向で経済産業省と関係組織が調整しており、普及後にはラベル付与製品の調達を必須化する方針も示していると説明しています。公的調達に関わる製品では、事実上の取引条件として求められる場面が広がる見込みです。

Q. 専任のセキュリティ担当がいない中小メーカーでも規格対応はできますか？

A. 中小メーカーでも、公的な実務ガイドを足がかりにすれば規格対応に着手できます。経済産業省は「IoT機器を開発する中小企業向け 製品セキュリティ対策ガイド」を公開しており、限られた体制でも製品セキュリティに取り組めるよう進め方を整理しています。まずは自社の規模に合わせて着手できる範囲を見極め、不足している要件から段階的に対応していくのが現実的です。

Q. IoTセキュリティ規格への対応は何から始めればよいですか？

A. まずは自社製品が規格の求める技術要件を満たせているか、弱点がないかを洗い出すことから始めるのが有効です。JC-STAR・CCDS・EN 303 645・NISTIRなど規格の名称や位置づけは違っても、初期パスワードや認証・アクセス制御、通信の保護、ソフトウェア更新、脆弱性への対応、ログの記録といった求める技術要素には共通点があります。

設計資料の確認だけでは見えない実機レベルの欠陥を把握するには、IoT機器を対象とした脆弱性診断（セキュリティ診断）を活用する方法があります。認証やラベルの取得手続きは規格ごとに異なるため、現状把握で不足要件を特定することが、どの規格に向かうにしても共通の出発点になります。

IoT機器の脆弱性診断サービスの資料を一括チェック

MCB FinTechカタログでは、IoT機器・組込み機器のセキュリティ診断に対応したサービスの最新資料を無料で一括請求できます。診断対象や規格対応の支援範囲を比べて、自社製品に合う委託先を選べます。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。