ネットワークにつながるIoT機器を開発・販売していると、「自社の製品はどのセキュリティ要件を満たさなければならないのか」という疑問に突き当たります。いざ調べようとしても、どこに何が定められているのかが見えにくく、全体像をつかみにくいのが実情です。
気になるのは、法律で義務づけられた要件があるのか、それとも任意の目安なのかという線引きと、自社の製品がその対象になるのかどうかです。出荷や調達の場面で「要件を満たしていない」と指摘されないか、取引先から適合の証明を求められたときに応えられるか、という不安もあります。
やっかいなのは、IoT機器に関わるセキュリティ要件が、電気通信事業法にもとづく法令、国のラベリング制度、業界団体の適合基準、さらに海外向けの各国制度と、複数の枠組みに分かれて定められていることです。どれが自社に掛かり、何を必ず満たし、どこからが任意なのかを、ひとつずつ照らし合わせて確かめる必要があります。
目次
一括ダウンロードする
端末設備等規則の技術基準4要件（まず満たすべき法令上の必須要件）
IoT機器のセキュリティ要件のうち、日本で唯一、法令によって義務づけられているのが端末設備等規則（昭和60年郵政省令第31号）第34条の10が定める技術基準です。インターネットに直接つながり、ネットワーク経由で設定を変更できる機器に対し、次の4項目を満たすことを求めています。
- アクセス制御機能：通信に関わる設定を変更する際に、アクセス制御（正当な利用者かを識別して制御する仕組み）が働くこと。
- 初期パスワードの変更を促す措置：出荷時にあらかじめ設定された識別符号（初期パスワードなど）について、変更を促す機能を持つか、機器ごとに異なる符号を付与するか、これらに準ずる措置を講じること。
- ソフトウェア更新：通信機能に関わるソフトウェアを更新できること。
- 停電後の維持：電力供給が止まった場合でも、1のアクセス制御の設定と、3で更新したソフトウェアを維持できること。
2つ目の要件は「初期パスワードの変更」そのものを一律に義務づけるものではなく、変更を促す機能・機器ごとに異なる符号の付与・これらに準ずる措置のいずれかを選べる形になっています。条文の原文は次のとおりです。
一 当該専用通信回線設備等端末に備えられた電気通信の機能に係る設定を変更するためのアクセス制御機能（中略）を有すること。
出典：端末設備等規則 第34条の10｜e-Gov法令検索
二 前号のアクセス制御機能に係る識別符号（中略）であつて、初めて当該専用通信回線設備等端末を利用するときにあらかじめ設定されているもの（中略）の変更を促す機能若しくはこれに準ずるものを有すること又は当該識別符号について当該専用通信回線設備等端末の機器ごとに異なるものが付されていること若しくはこれに準ずる措置が講じられていること。
三 当該専用通信回線設備等端末の電気通信の機能に係るソフトウェアを更新できること。
四 当該専用通信回線設備等端末への電力の供給が停止した場合であつても、第一号のアクセス制御機能に係る設定及び前号の機能により更新されたソフトウェアを維持できること。
初期パスワードの変更が要件に盛り込まれている背景には、出荷時の設定が変更されないまま使われ続けている機器の実態があります。ネットワーク機器などの脆弱性診断を手がける事業者からも、現場の状況として次のような指摘があります。
工場出荷時の初期パスワードのまま使われているお客様がほとんどでして、大手メーカーの初期IDパスワードはインターネットで検索すればすぐ出てきてしまいます。そのままにしておくと、万が一ウイルスが内部に入り込んだ際に、簡単に遠隔操作で乗っ取られてしまうリスクがあります。
初期パスワードの放置をはじめ、IoT機器が実際にどのような脆弱性を突かれ、国内外でどのような被害が起きているかは、代表的な手口と実被害事例を次の記事で整理しています。要件が設けられた背景を具体的に押さえたい場合の参考になります。
この技術基準は、2019年3月1日に公布された「端末設備等規則及び電気通信主任技術者規則の一部を改正する省令（平成31年総務省令第12号）」によって追加され、2020年4月1日に施行されました。IoT機器のセキュリティ要件としては比較的早い時期から法制化されている点が特徴です。
ただし、この4要件がすべてのIoT機器に一律で義務づけられるわけではありません。対象となるのは条文が定める一部の機器に限られます。どの機器が対象かは、後述の「自社製品は規制の対象か」で詳しく整理します。
出典・参考資料（2件）
【早見表】IoTセキュリティ要件の全体像（制度別の要求項目・対象・必須/推奨）
IoT機器のセキュリティ要件は、法令・国の制度・業界基準・海外制度にまたがります。自社製品にどれが掛かるかを一度に確認できるよう、主要な制度を一枚の表にまとめました。各制度の詳細は、表の後の各セクションで要件項目まで掘り下げます。
| 制度・法令 | 主な要求項目 | 対象・地域 | 位置づけ | 確認方法 | 施行・策定 |
|---|---|---|---|---|---|
| 端末設備等規則 （電気通信事業法） | アクセス制御／初期パスワード変更を促す措置／ソフト更新／停電後の維持 | ネットに直接つながる一部機器（日本） | 必須（法令） | 技術基準適合認定 | 2020-04-01 施行 |
| JC-STAR （セキュリティ要件適合評価・ラベリング制度） | ★のレベルに応じた適合基準 | IoT製品全般（日本・任意） | 任意（ラベル取得） | ★1・★2＝自己適合宣言／★3・★4＝第三者評価 | 2025-03-25 運用開始 |
| CCDS適合基準ガイドライン （業界基準） | アクセス制御・認証／データ保護／ソフト更新／Wi-Fi・BT・USB・インジェクション対策／サポート体制／ログ記録 | 民生用IoT機器（日本・任意） | 必須要件／推奨要件を区分 | 指定検証事業者の検査＋CCDSマーク | 2024-10-07 策定（2025年版） |
| IoTセキュリティガイドライン （総務省・経産省ほか） | 5指針21要点（方針・分析・設計・構築接続・運用保守） | IoT全般（日本・任意） | 指針（設計の考え方） | — | 2016-07 策定 |
| EU CRA （サイバーレジリエンス法） | デジタル要素を持つ製品のサイバーセキュリティ要件 | EU市場に出す製品（義務） | 義務 | 適合性評価／CEマーキング | 2024-12-10 発効／2027-12-11 全面適用 |
| 英 PSTI （接続製品のセキュリティ要件規則） | 消費者向け接続製品のセキュリティ要件 | 英国市場（義務） | 義務 | 適合声明 | 2024-04-29 施行 |
| 米 U.S. Cyber Trust Mark （FCC規則） | 消費者向けIoT製品のラベリング | 米国（任意） | 任意（ラベル） | 認定機関の試験 | 2024-08-29 規則発効 |
各制度の公式資料にもとづき作成（2026年11月時点）。詳細・最新情報は各制度の公式情報をご確認ください。
この表のうち、日本国内で法的義務となるのは端末設備等規則だけです。JC-STARやCCDS適合基準は任意の制度・業界基準ですが、取引先や調達の要件として求められる場面が増えています。海外に出荷する場合は、EU CRAや英PSTIのように出荷先の国の制度が義務として掛かる点に注意が必要です。
自社製品は規制の対象か（対象機器の線引き・必須か推奨か）
ここからは、端末設備等規則の4要件が自社製品に義務づけられるかを判断するための、対象機器の線引きを整理します。この4要件が必須となるのは、すべてのIoT機器ではなく、条文が定める条件を満たす機器に限られます。
総務省の解説資料は、対象機器を次のように説明しています。
セキュリティ基準に係る認定等を求める対象は、新規則第34条の10柱書に定める以下の（１）から（３）までの全てに該当し、同条ただし書に定める（４）を除く端末機器である
出典：IoT機器に関するセキュリティ対策の技術基準（端末設備等規則の一部改正）｜総務省
※１ 例えば、ルータ、ウェブカメラ等がこれに該当する。ＩＰを使用しない機器や専用線のみにつながる機器は含まれない。
つまり対象は、インターネットプロトコル（IP）を使って電気通信回線につながり、ネットワーク経由で通信設定を変更できる機器です。ルータやウェブカメラが代表例として挙げられています。一方で、IPを使わない機器や専用線のみにつながる機器は対象に含まれません。
また、利用者が任意のソフトウェアで設定をいつでも簡単に変更できる端末は、条文のただし書によって対象から除かれます。総務省はこの除外例として、次のように示しています。
ＰＣやスマートフォン等がこれに該当し、セキュリティ基準の対象外となる。
出典：IoT機器に関するセキュリティ対策の技術基準（端末設備等規則の一部改正）｜総務省
自社製品がこの技術基準の対象かどうかは、「IPでネットワークに直接つながるか」「ネットワーク経由で通信設定を変更できるか」「利用者が任意のソフトで随時・容易に設定変更できる端末ではないか」という観点で確認できます。対象であれば4要件は法令上の必須、対象外であっても、JC-STARやCCDS適合基準の任意要件を満たすことは取引先からの信頼につながります。
この判定の3つの観点と、対象になる機器・対象外の機器の例を図にまとめると、次のとおりです。
出典・参考資料（2件）
JC-STAR ★1〜★4のレベル別要件（自己宣言か第三者評価か）
JC-STAR（セキュリティ要件適合評価及びラベリング制度）は、IoT製品のセキュリティ水準を★1から★4の4段階で評価し、適合ラベルを付与する制度です。独立行政法人情報処理推進機構（IPA）が運用し、2024年8月に経済産業省が公表した「IoT製品に対するセキュリティ適合性評価制度構築方針」に基づいて構築されました。運用は2025年3月25日に開始され、まず★1の申請受付が始まっています。
★のレベルは、求められるセキュリティ水準に応じて次のように設計されています。★1と★2はベンダーの自己適合宣言、★3と★4は第三者評価機関による評価が必要という違いがあります。
| レベル | 適合基準の範囲 | 評価方式 | 主な想定利用先 |
|---|---|---|---|
| ★1（レベル1） | IoT製品共通の最低限の脅威に対応する適合基準 | 自己適合宣言（ベンダーの自己評価） | IoT製品全般 |
| ★2（レベル2） | 製品類型ごとの特徴に応じた適合基準 | 自己適合宣言（ベンダーの自己評価） | 製品類型別の基本 |
| ★3（レベル3） | ★2に加え、より高い水準の適合基準 | 第三者評価機関の評価報告書に基づきIPAが認証 | 政府機関・重要インフラ事業者等向け |
| ★4（レベル4） | 最も高い水準の適合基準 | 第三者評価機関の評価報告書に基づきIPAが認証 | 政府機関・重要インフラ事業者等向け |
自己適合宣言と第三者評価の違いについて、IPAは次のように説明しています。
★１（レベル１）と★２（レベル２）は、IoT製品ベンダーが本制度で定められた適合基準・評価手順により自己評価を行った結果を記載したチェックリストに基づき、IPAが適合ラベルを付与する自己適合宣言方式です。
出典：セキュリティ要件適合評価及びラベリング制度（JC-STAR）｜IPA
★３（レベル３）と★４（レベル４）では、政府機関等や重要インフラ事業者等向け製品を想定し、独立した第三者評価機関による評価報告書に基づき、IPAが認証・適合ラベルを付与することでより高い信頼性を確保します。
★1で具体的に何が求められるのかという点では、JC-STARの適合基準が国際的なベースラインであるETSI EN 303 645（欧州の消費者向けIoTセキュリティ標準）やNISTIR 8425と調和して設計されていることが手がかりになります。
これらが共通して土台に置くのは、基本的な3つの項目です。共通して使い回される初期パスワードを設けないこと（初期パスワードの適正化）、脆弱性の届け出を受け付ける窓口を用意すること、ソフトウェアを更新できる仕組みを備えることなどが挙げられ、これらが★1の要件の中心にあります。
製品類型ごとの詳細な適合基準は、IPAが★レベルごとに公開しています。
一般的なIoT製品であれば、まず自己適合宣言で取得できる★1から検討するのが現実的です。政府機関や重要インフラ向けに製品を供給する場合は、第三者評価が必要な★3・★4が視野に入ります。JC-STARはこうした海外の標準との調和が図られているため、海外制度への対応を見据える際の土台にもなります。
CCDS適合基準ガイドラインの必須要件・推奨要件
業界団体である重要生活機器連携セキュリティ協議会（CCDS）は、「IoT機器セキュリティ要件 適合基準ガイドライン2025年版」（2024年10月7日策定）で、民生用IoT機器が満たすべき要件を定めています。このガイドラインは要件を「必須要件」と「推奨要件」に分けている点が特徴です。
本書のセキュリティ要件は、「必須要件」と「推奨要件」に区分している。「必須要件」は、一般利用者向けのIoT機器/サービスにおいて対応が必要な要件であり、「推奨要件」は、より高度なセキュリティが要求されるIoT機器/サービスにおいて、必要な要件を定めている。
出典：IoT機器セキュリティ要件 適合基準ガイドライン2025年版｜CCDS
ガイドラインが定める要件は、大きく次の項目で構成されています。各要件は、ドキュメントによる確認（観点A）と実機動作による確認（観点B）で適合基準が定められています。
- アクセス制御及び認証：TCP・UDPポートの無効化、認証情報の変更
- データ保護：データ消去
- ソフトウェア更新
- 特にインシデントが多く影響度が大きい要件：Wi-Fiの認証方式、Bluetoothの対策、USBのアクセス制御、インジェクション対策
- サポート体制：連絡窓口・セキュリティサポート体制、製品に関する文書管理、利用者への情報提供
- ログの記録：時間管理機能
どの項目が必須で、どこからが推奨かは、ガイドライン本文（第7章）で項目ごとに定められています。一般利用者向けのIoT機器が対応すべき基本的な項目——たとえばアクセス制御・認証に含まれるTCP・UDPポートの無効化や、認証情報（初期パスワードなど）の変更——が必須要件に位置づけられます。
より高度なセキュリティが求められる機器向けの対策は、推奨要件として上乗せされます。自社機器がどの項目を必ず満たすべきかは、機器の種類と想定リスクに応じて第7章の個別基準で確認できます。
CCDSの適合基準は、対象機器のリスクアセスメントが実施されていることを前提とします。また、ガイドライン自身が、電気通信事業法に基づく対象機器は別途、技術基準適合認定が必要だと述べており、前述の端末設備等規則とは別の枠組みであることが明示されています。
また、電気通信事業法に基づく対象機器は、本書の適合基準とは別に、技術基準適合認定の取得が必要となる。
出典：IoT機器セキュリティ要件 適合基準ガイドライン2025年版｜CCDS
総務省・経産省ガイドラインが示す設計の考え方
個々の要件項目とは別に、IoT機器のセキュリティを設計段階からどう組み込むかという考え方を示したのが、国のガイドラインです。要件を満たす前提となる設計思想として押さえておくと、個別要件の背景が理解しやすくなります。
IoT推進コンソーシアム・総務省・経済産業省が2016年7月に公表した「IoTセキュリティガイドライン ver1.0」は、IoT機器のライフサイクルに沿って5つの指針と21の要点を整理しています。5つの指針は次のとおりです。
- 【方針】指針1：IoTの性質を考慮した基本方針を定める
- 【分析】指針2：IoTのリスクを認識する
- 【設計】指針3：守るべきものを守る設計を考える
- 【構築・接続】指針4：ネットワーク上での対策を考える
- 【運用・保守】指針5：安全安心な状態を維持し、情報発信・共有を行う
方針から運用・保守まで、製品が世に出る前後の全段階を通じてセキュリティを考えるという、いわゆるセキュリティ・バイ・デザインの発想です。ただしこのガイドラインは2016年の策定で、JC-STAR（2025年運用開始）やEU CRAといった近年の制度は当然ながら収録されていません。設計の考え方の土台として参照しつつ、具体的な要件は本記事で整理した最新の制度・基準で補うのが実務的です。
中小企業がIoT機器を開発する場合は、経済産業省の「IoT機器を開発する中小企業向け 製品セキュリティ対策ガイド」が参考になります。方針・体制構築、設計・開発、検証、運用・保守という4つのフェーズごとに、取り組むべき対策を平易に整理しており、初めてIoT機器のセキュリティに取り組む開発現場の手引きとして使えます。
出典・参考資料（2件）
海外に出荷する場合に掛かる制度と施行時期
IoT製品を海外に出荷する場合は、出荷先の国・地域の制度が義務として掛かることがあります。特にEU・英国・米国では、ここ数年で消費者向け接続製品のセキュリティを求める制度が相次いで整備されました。施行時期を押さえておくことが重要です。
- EU：サイバーレジリエンス法（EU CRA、Regulation (EU) 2024/2847） デジタル要素を持つ製品にサイバーセキュリティ要件を課す規則です。設計段階からのセキュリティ確保、既知の悪用可能な脆弱性を残さないこと、サポート期間中のセキュリティ更新の提供が柱です。加えて、積極的に悪用されている脆弱性や重大なインシデントを、EUのサイバーセキュリティ機関ENISAへ報告する義務もあります。2024年12月10日に発効し、報告義務が2026年9月11日から先行して適用され、主な義務は2027年12月11日から全面適用されます。適合すればCEマーキングの対象となります。逆に、必須のサイバーセキュリティ要件に適合しない製品は、CEマーキングを表示できず、EU市場に出す（上市する）ことができません。市場監視当局は製品の是正や回収を命じることができ、違反には制裁金も定められています。
- 英国：PSTI（接続製品のセキュリティ要件規則） 消費者向けの接続製品にセキュリティ要件を課す規則（SI 2023/1007）で、2024年4月29日に施行されました。枠組法はProduct Security and Telecommunications Infrastructure Act 2022です。
- 米国：U.S. Cyber Trust Mark（FCC規則） 消費者向けIoT製品を対象とする任意のラベリング制度で、関連規則は2024年8月29日に発効しました。認定機関の試験を経てラベルを表示する仕組みです（任意制度のため義務ではありません）。
これらの海外制度は、ETSI EN 303 645やNISTIR 8425といった国際的な標準を土台にしています。JC-STARもこれらの標準との調和を図っているため、国内でJC-STARに対応しておくことは、海外制度への対応を見据えるうえでの基礎になります。なお、EU CRAなど施行・適用の時期が段階的に進む制度は、最新の適用スケジュールを公式情報で確認してください。
出典・参考資料（3件）
要件を満たしていることをどう証明するか
要件を満たしていることを対外的に示す方法は、どの制度に対応するかによって変わります。主な証明の手段は次の3つです。
- 技術基準適合認定（端末設備等規則） 電気通信事業法の枠組みで、対象機器は登録認定機関による技術基準適合認定を取得します。これは法令上の義務を満たすための手続きです。
- JC-STARの適合ラベル取得 ★1・★2はベンダーが自己評価したチェックリストに基づきIPAがラベルを付与する自己適合宣言、★3・★4は第三者評価機関の評価報告書に基づきIPAが認証します。取得したい★のレベルによって手続きが変わります。
- CCDSサーティフィケーションマーク CCDS適合基準に基づき、指定検証事業者がドキュメント検査・実機検査を行い、適合した機器にマークが付与されます。
いずれの制度でも、証明の前提になるのは「自社製品が要件を実際に満たしているか」の確認です。設定変更時のアクセス制御やソフトウェア更新の仕組みが実装されているか、既知の脆弱性が残っていないかを、出荷前に検証しておく必要があります。
出典・参考資料（2件）
一括ダウンロードする
要件適合の次の一歩：IoT機器・ネットワークのセキュリティ診断
要件を整理したら、自社製品が実際にそれを満たせているかを確認する段階に進みます。設定変更時のアクセス制御やソフトウェア更新の実装、既知の脆弱性の有無などは、専門のセキュリティ診断で洗い出せます。ここでは、IoT機器そのものや、機器が動くネットワークを診断できるサービスを紹介します。それぞれ診断する対象が異なるため、自社の確認したい範囲に合わせて選んでください。
| サービス名 | Hi AUDIT | セキュア・レントゲン | SQAT |
|---|---|---|---|
| 提供会社 | 株式会社TECHFUND | 株式会社クワッドマイナージャパン | 株式会社ブロードバンドセキュリティ |
| 主な診断対象 | Webサービス・アプリ、IoT機器・医療機器などのハードウェア | 機器が動くネットワークを流れる通信（トラフィック全数検査） | Web・ネットワーク・スマホアプリ・IoT機器・クラウド等 |
| 診断手法 | ツール自動診断＋専門家の手動診断（ハイブリッド） | フルパケットキャプチャ＋アナリスト分析 | 独自自動診断＋専門家の手動診断（ハイブリッド） |
| IoT機器・ハードウェアの診断 | ●IoT機器・医療機器のハードウェアに対応 | ×機器ではなくネットワークを診断 | ●実機・ファームウェア・ハードウェア解析 |
| ネットワークのリスク診断 | ×機器・アプリ診断が中心 | ●IT・OT両環境（OTプロトコル対応） | ●ネットワーク脆弱性診断に対応 |
| JC-STAR適合評価への対応 | × | × | ◎★1適合評価を受託（機器検証サービス登録事業者） |
| 料金 | 要問い合わせ | 要問い合わせ | 要問い合わせ |
| 詳細情報 | 公式資料を見る | 公式資料を見る | サービス詳細を見る |
1. Hi AUDIT（株式会社TECHFUND）
Hi AUDITは、株式会社TECHFUNDが提供するセキュリティ診断サービスです。Webサービスやアプリケーションの診断に加えて、IoT機器や医療機器といったハードウェアに対しても、セキュリティ上のリスクを発見する診断に対応しています。業界ごとに異なるセキュリティ要件に合わせて診断を設計できる点を強みにしており、IoT機器の要件適合を確認したい開発現場に向いています。
顧客が持つ固有の要求事項に沿って診断内容を組める柔軟性も特徴です。たとえば製造業で欧州に出荷する企業から、欧州独自の規制に対応できるかという相談を受け、要求事項を出したうえで、それぞれに対応できているかを確認するといった使い方ができます。既定のメニューに当てはめるのではなく、確認したい要件を軸に診断範囲を設計したい場合に適しています。
2. セキュア・レントゲン（株式会社クワッドマイナージャパン）
株式会社クワッドマイナージャパンのセキュア・レントゲンは、機器そのものを要件に照らして検証するのではなく、機器が動くネットワークを流れる通信をすべて記録・分析してリスクを洗い出す、フルパケット分析型の診断サービスです。不審な通信や潜んでいるリスクを、ネットワーク側から見つけ出すアプローチを取ります。
情報システム（IT）だけでなく、工場の制御システム（OT）にまたがるネットワークのリスクを対象にできるため、産業用IoTを含む環境で、機器を含めたネットワーク全体のリスクを把握したい場合に向いています。IoT機器単体の要件適合診断と組み合わせることで、機器とネットワークの両面からリスクを確認できます。
3. SQAT（株式会社ブロードバンドセキュリティ）
株式会社ブロードバンドセキュリティ（BBSec）のSQATは、JC-STARの機器検証サービス登録事業者である点が、要件適合の文脈では注目に値する脆弱性診断サービスです。本記事で取り上げたJC-STARの適合評価に正式に対応でき、IoT機器の実機やファームウェア、ハードウェアを対象とした診断にも対応しています。
JC-STARのラベル取得を見据えて、要件への適合を公的な制度の枠組みで確認したい場合に選択肢になります。要件を整理した後、どの制度でどう証明するかまで一貫して相談したい開発現場に向いています。
ここで取り上げたのは、IoT機器やネットワークという診断対象に着目して選んだ一例です。診断方法や費用相場、選び方も含めて脆弱性診断サービス全般を広く比較したい場合は、次の記事をご覧ください。
脆弱性診断サービスおすすめ比較｜診断方法・費用相場・選び方を解説【無料ツールあり】
Webサービスや社内システムの脆弱性診断を検討する際、「専門家による手動診断とツールによる自動診断のどちらが自社に必要なのか」「費用が数十万円から数百万円までと幅が広く、妥当な予算が読めない」といった壁に突き当たる担当者は少なくありません。…
まとめ
IoT機器のセキュリティ要件は、法令（端末設備等規則の技術基準4要件）・国の制度（JC-STAR）・業界基準（CCDS適合基準）・海外制度（EU CRAなど）にまたがります。国内で法的義務となるのは端末設備等規則だけで、対象はネットに直接つながる一部の機器に限られますが、JC-STARやCCDS適合基準への対応は取引先からの信頼や海外展開の土台になります。
まずは自社製品がどの要件の対象かを線引きし、対象となる要件を満たせているかを確認することが出発点です。実装や脆弱性の確認に不安があれば、IoT機器やネットワークを対象としたセキュリティ診断を活用し、第三者の視点で適合状況を確かめてください。
一括ダウンロードする
よくある質問（FAQ）
Q. IoT機器のセキュリティ要件とは何ですか？
A. IoT機器のセキュリティ要件とは、ネットワークにつながる機器が不正アクセスや乗っ取りを防ぐために満たすべき、アクセス制御・初期パスワード・ソフトウェア更新などの決まりを指し、法令・国の制度・業界基準・海外制度にまたがって定められています。
日本国内で唯一の法的義務は端末設備等規則の技術基準4要件で、これに加えて国の任意ラベリング制度であるJC-STAR、業界基準のCCDS適合基準、EU CRAなどの海外制度があります。自社製品にどれが掛かるかは、機器の種類・接続方式と、出荷先の国によって変わります。
Q. 自社のIoT機器は端末設備等規則の技術基準の対象になりますか？
A. インターネットプロトコル（IP）で電気通信回線に直接つながり、かつネットワーク経由で通信設定を変更できる機器であれば、原則として対象になります。総務省はルータやウェブカメラを代表例として挙げています。
一方で、IPを使わない機器や専用線のみにつながる機器は対象外です。また、利用者が任意のソフトウェアで設定をいつでも簡単に変更できる端末は、条文のただし書によって除かれます。自社製品については「IPで直接つながるか」「ネットワーク経由で設定変更できるか」「任意ソフトで随時・容易に設定変更できる端末ではないか」の3点で確認してください。
出典・参考資料（1件）
Q. パソコンやスマートフォンも端末設備等規則の技術基準の対象になりますか？
A. パソコンやスマートフォンは、端末設備等規則の技術基準の対象外です。総務省の解説資料が、条文のただし書に該当する除外例として明示しています。
これは、利用者が任意のソフトウェアで設定をいつでも簡単に変更できる端末にあたるためです。ネットワーク経由で通信設定を変更できるルータやウェブカメラのような専用機器とは扱いが異なります。
出典・参考資料（1件）
Q. IoT機器の設定変更をIP（インターネットプロトコル）経由で行わない場合も、端末設備等規則の対象になりますか？
A. 端末設備等規則の技術基準の対象は、IPで回線につながり、かつネットワーク経由で通信設定を変更できる機器に限られます。設定変更をIP経由で行わない機器は、この条件を満たさないため対象外となる可能性があります。
総務省の解説は、対象を条文の柱書（1）〜（3）のすべてに該当する機器としており、IPを使わない機器は含まれないと説明しています。ただし、機器がどの条件に該当するかは構成によって判断が分かれるため、個別の該当性は総務省や登録認定機関に確認することをおすすめします。
出典・参考資料（1件）
Q. 省令の施行前に認証を取得したモジュールを組み込んだIoT製品も、あらためて技術基準への適合確認が必要ですか？
A. 技術基準適合認定の対象は、組み込まれた個々のモジュールではなく、完成した端末機器（製品）単位で判断されます。そのため、施行前に認証されたモジュールを使っていても、製品自体が対象機器に該当するなら、製品として4要件を満たすかの確認が必要になります。
端末設備等規則第34条の10の技術基準は2020年4月1日に施行されました。施行前後の経過措置や個別製品の具体的な扱いは一律には判断できないため、製品ごとの該当性は総務省または登録認定機関に確認してください。
出典・参考資料（1件）
Q. JC-STARの★1は、第三者機関の評価を受けないと取得できませんか？
A. JC-STARの★1は、第三者機関の評価は不要で、ベンダー自身の自己適合宣言で取得できます。★1・★2はベンダーが適合基準・評価手順に沿って自己評価し、その結果を記載したチェックリストに基づいてIPAが適合ラベルを付与する方式です。
第三者評価機関による評価が必要になるのは、政府機関や重要インフラ事業者向けを想定した★3・★4です。多くのIoT製品では、第三者評価の要らない★1から着手するケースが一般的です。
出典・参考資料（1件）
Q. 自社のソフトウェア更新用サーバーに接続できない環境でも、端末設備等規則のソフトウェア更新要件の試験はできますか？
A. ソフトウェア更新の要件が求めているのは「通信機能に関わるソフトウェアを更新できる機能を機器が備えていること」であり、確認の対象は更新する仕組みが実装されているかです。そのため、販売前で自社の更新サーバーに接続できない環境でも、更新機能そのものの実装や動作を確認する形で適合性を確かめられます。
ただし、具体的な試験の方法や証跡の求め方は、技術基準適合認定を行う登録認定機関によって異なる場合があるため、事前に確認しておくと安心です。
出典・参考資料（1件）
IoT機器のセキュリティ診断サービスの料金・資料を一括チェック
MCB FinTechカタログでは、IoT機器やネットワークのセキュリティ診断サービスの最新資料を無料で一括請求できます。診断の対象範囲や手法、対応できる業界要件を比べて、自社の要件適合に合うサービスを選べます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
