IoT製品を手がける企業の間で、IPA(独立行政法人情報処理推進機構)が運営する「JC-STAR」への関心が高まっています。製品のセキュリティ水準を共通のものさしで評価し、ラベルで可視化する国の制度で、2025年3月に運用が始まりました。
名前は聞いたものの、「自社製品に関係するのか」「★1〜★4で何がどう違うのか」「どう取得するのか」まで掴めていない、という声は少なくありません。評価方式がランクによって自己適合宣言と第三者評価に分かれる点も、最初につまずきやすいところです。
この記事では、JC-STARの正体と★ランクごとの違いを結論から整理し、対象製品・取得の流れ・費用・ラベルの表示ルール・海外制度との相互承認・政府調達での扱いまで、IPAや経済産業省が公表している情報にもとづいて解説します。最後に、JC-STARが求めるセキュリティ水準を自社製品で確かめるための、IoT機器・ハードウェアに対応したセキュリティ診断サービスも紹介します。
目次
一括ダウンロードする
JC-STARとは?IPAが運営するIoT製品のセキュリティ認証
JC-STARは、IoT製品に備わっているセキュリティ機能を共通の基準で評価・可視化し、ラベルで示す制度です。正式名称は「セキュリティ要件適合評価及びラベリング制度」といいます。
英語名「Labeling Scheme based on Japan Cyber-Security Technical Assessment Requirements」の頭文字をとってJC-STARと呼ばれます。IPAが運営する任意制度で、調達者や消費者がラベルを見れば、求めるセキュリティ水準の製品を選びやすくなることを狙っています。
制度の土台は、経済産業省が2024年8月に公表した「IoT製品に対するセキュリティ適合性評価制度構築方針」です。この方針にもとづいてIPAが準備を進め、2025年3月25日に運用を開始し、まず★1の申請受付が始まりました。
ポイントは、JC-STARが任意の制度である一方、政府機関や重要インフラ事業者、地方公共団体などの調達での活用が見込まれている点です。「取るかどうかは任意だが、取引先や調達の要件として意味を持ち得る」という位置づけを押さえておくと、この後の★ランクや取得手順の判断がしやすくなります。
出典・参考資料(2件)
- 出典:セキュリティ要件適合評価及びラベリング制度(JC-STAR)|IPA(https://www.ipa.go.jp/security/jc-star/index.html)
- 出典:「セキュリティ要件適合評価及びラベリング制度(JC-STAR)」の運用を開始しました|IPA(2025年3月25日)(https://www.ipa.go.jp/pressrelease/2024/press20250325.html)
★1〜★4の違い|要件・評価方式・想定ユーザーを比較
ここからは、JC-STARの核心である★ランクの違いを整理します。★の数は求められるセキュリティ水準を表し、★1(レベル1)から★4(レベル4)まで4段階があります。最初に押さえたいのは、評価方式がランクによって「自己適合宣言」と「第三者評価」に分かれることです。
★1・★2は、IoT製品ベンダーが適合基準と評価手順にそって自己評価した結果をチェックリストにまとめ、それにもとづいてIPAが適合ラベルを付与する「自己適合宣言方式」です。一方の★3・★4は、政府機関や重要インフラ事業者などの重要システムでの利用を想定し、独立した第三者評価機関による評価報告書にもとづいてIPAが認証・ラベル付与を行います。
| ランク | ★1(レベル1) | ★2(レベル2) | ★3(レベル3) | ★4(レベル4) |
|---|---|---|---|---|
| 要件の性格 | IoT製品に共通して求められる最低限のセキュリティ要件 | 製品類型ごとの特徴を踏まえ、★1に追加する基本的な要件 | 政府機関・重要インフラ等向けの製品類型ごとの汎用的な要件 | ★3と同様の想定で、より高い水準を求める要件 |
| 評価方式 | 自己適合宣言 (ベンダーが自己評価し、IPAがラベル付与) | 自己適合宣言 | 第三者評価 (独立した第三者評価機関の報告書にもとづきIPAが認証) | 第三者評価 |
| 主な想定ユーザー | IoT製品全般 | 製品類型ごと | 政府機関・重要インフラ・地方公共団体・大企業等の重要システム | 同上 |
| 現在の運用状況 | 運用中 (2025年3月25日に申請受付開始) | 整備中 (通信機器・ネットワークカメラを対象に基準を策定中。申請受付は2026年以降の開始を計画で、2026年11月時点では未開始) | 通信機器・ネットワークカメラの適合要件は公開済み(2026年2月初公開・6月更新)。第三者評価の枠組みを整備中 | 詳細要件は未公開(2026年11月時点) |
現在、ベンダーが新規に申請できるのは★1だけです(2026年11月時点)。★2は通信機器・ネットワークカメラを先行対象に基準整備が進み、申請受付は2026年以降の開始が計画されています。
★3は通信機器・ネットワークカメラの適合要件がすでに公開され(2026年2月初公開・6月更新)、第三者評価の枠組みの整備が進んでいますが、★4の詳細要件は未公開です。自社がどのランクを狙うかを考える際は、まず運用中の★1から始まるスケジュールを前提にするのが現実的です。
★1が具体的に求めるセキュリティ水準
「最低限のセキュリティ要件」とは具体的に何を指すのか。IPAは、★1で実現したいセキュリティ水準の考え方として、次の4点を示しています。自社製品がこれらに対応できているかが、★1を狙う際の出発点になります。
- マルウェアに感染してボット化するのを防ぎ、感染した機器からの感染拡大を防止する
- インターネット側からの遠隔攻撃(公開されているツールを使った不正アクセスや盗聴など)に対して、実用的な耐性を持たせる
- 製品不具合や脆弱性への対応・サポート方針を明確にし、適合ラベルの有効期間内はアップデートファイルの提供などのサポートを確実に行う
- 廃棄前に、運用中に生成されたデータを適切に削除できるようにする
これらは★1が目指す水準の考え方で、実際の適合基準の詳細な項目はIPAが公開する★1の適合基準で確認できます。自社製品がどこまで対応できているかを見極めることが、申請準備の出発点になります。
出典・参考資料(1件)
- 出典:JC-STAR制度概要説明資料|IPA(https://www.ipa.go.jp/pressrelease/2024/nl10bi0000003f1x-att/press20250325.pdf)
出典・参考資料(2件)
- 出典:セキュリティ要件適合評価及びラベリング制度(JC-STAR)|IPA(https://www.ipa.go.jp/security/jc-star/index.html)
- 出典:「セキュリティ要件適合評価及びラベリング制度(JC-STAR)」の運用を開始しました|IPA(2025年3月25日)(https://www.ipa.go.jp/pressrelease/2024/press20250325.html)
JC-STARの対象になるIoT製品
自社製品が対象になるかを判断するために、JC-STARが扱う製品の範囲を整理します。対象は、インターネットとの通信が行える幅広いIoT製品です。インターネットプロトコル(IP)で通信する機能を持つ製品が広く含まれ、パソコンやスマートフォンなどは対象から外れます。
具体的には、ルーターやネットワークカメラ、各種センサといった機器が例として挙げられます。先行して★2以上の基準づくりが進むネットワークカメラと通信機器は、まさにこの対象の中心にある製品類型です。後からセキュリティ機能を追加できないタイプのIoT製品も対象に含まれる点は、設計段階からの作り込みが問われることを示しています。
出典・参考資料(1件)
- 出典:「セキュリティ要件適合評価及びラベリング制度(JC-STAR)」の運用を開始しました|IPA(2025年3月25日)(https://www.ipa.go.jp/pressrelease/2024/press20250325.html)
一括ダウンロードする
JC-STAR取得の流れ・申請料・有効期間
ここからは、JC-STARをどう取得するのかを、評価方式の違いにそって見ていきます。ルートは、★1・★2の自己適合宣言と、★3・★4の第三者評価の2つに分かれます。

★1・★2:自己適合宣言ルートの手順
★1・★2は、ベンダー自身が自己評価を行うルートです。制度で定められた適合基準と評価手順にそって自社製品を評価し、その結果をチェックリストにまとめてIPAに申請します。IPAはそのチェックリストにもとづいて適合ラベルを付与します。
★1では、最低限のセキュリティ要件を満たした製品について、ベンダーがIPAに申請することで「★1適合ラベル」を取得できます。申請受付は2025年3月25日に始まり、最初の★1適合ラベルの交付は同年5月上旬頃が見込まれていました。具体的な申請・報告の手続きは、IPAの制度ページにある★1の申請手続きの案内で確認できます。
★3・★4:第三者評価ルートの手順
★3・★4は、独立した第三者評価機関による評価報告書にもとづいて、IPAが認証と適合ラベル付与を行うルートです。政府機関や重要インフラ事業者などの重要システムでの利用を想定しており、自己評価ではなく外部の評価を経る点が★1・★2と異なります。
★3については、通信機器・ネットワークカメラの適合要件が公開され(2026年2月初公開・6月更新)、評価機関の承認業務など第三者評価の枠組みの整備が進んでいます。
一方で★4の詳細要件は未公開で、ベンダー向けの★3新規申請の開放時期もIPAの公式情報では明示されていません(2026年11月時点)。現段階で確定しているのは「第三者評価機関の評価報告書にもとづきIPAが認証・ラベル付与する」という枠組みで、一般の申請に向けた手順の細部は順次公表される段階にあります。
申請料・有効期間・受付開始日
費用とスケジュールの目安を押さえておきます。★1の申請手数料は定価198,000円(税込)で、2025年9月30日までの申請受領分については特別価格の110,000円(税込)とされていました。★1の申請受付は2025年3月25日に始まっています。
適合ラベルの有効期間は2年が基本で、延長が可能です。また、有効期間内はアップデートサポートが義務付けられており、ラベルを取得したあとも脆弱性対応やアップデート提供を続ける体制が求められます。費用やスケジュールは制度の運用にあわせて変わり得るため、申請前にIPAの最新の案内で確認してください。
出典・参考資料(2件)
- 出典:「セキュリティ要件適合評価及びラベリング制度(JC-STAR)」の運用を開始しました|IPA(2025年3月25日)(https://www.ipa.go.jp/pressrelease/2024/press20250325.html)
- 出典:JC-STAR制度概要説明資料|IPA(https://www.ipa.go.jp/pressrelease/2024/nl10bi0000003f1x-att/press20250325.pdf)
適合ラベルの意味と表示ルール
取得した適合ラベルの意味と、表示にあたっての注意を確認します。適合が認められた製品には、二次元バーコード付きの適合ラベルが付与されます。このバーコードから、製品詳細や適合評価、セキュリティ情報、問い合わせ先などの情報を調達者や消費者が確認できる仕組みです。
注意したいのは、ラベルが付いていても完全・完璧なセキュリティを保証するものではない点です。あくまで、定められた要件への適合を示すものとして扱います。
表示のタイミングにもルールがあります。IPAは、申請が受理されて受理番号が通知される前に「適合ラベル対応」「JC-STAR適合予定」「適合ラベル取得申請中」などと表記することを認めていません。
受理番号を受け取ったあと、ラベル取得前に製品の案内を行いたい場合は、受理番号の受領メールを添えて仮登録番号の入手申請を行う必要があります。マーケティング上の先行告知で意図せず不正な表示にならないよう、社内で表示ルールを共有しておくと安全です。
出典・参考資料(1件)
- 出典:セキュリティ要件適合評価及びラベリング制度(JC-STAR)|IPA(https://www.ipa.go.jp/security/jc-star/index.html)
海外制度との相互承認(英国PSTI・シンガポールCLS)
海外へ製品を輸出する企業にとって気になるのが、各国のIoTセキュリティ制度との相互承認です。JC-STARは、他国の類似制度との間で、同等とみなす要件の適合確認を相互に免除する取り組みを進めています。免除されるのはあくまで「同等とみなすセキュリティ要件」の確認手続きで、すべての要件が自動的に免除されるわけではありません。
| 相手国・地域 | 英国 | シンガポール | 米国・EU |
|---|---|---|---|
| 相手制度 | PSTI法 (英国のIoTセキュリティ法) | CLS (Cybersecurity Labelling Scheme) | U.S. Cyber Trust Mark/CRA法 (EUのサイバーレジリエンス法) |
| 状況・時期 | 覚書署名は2025年11月6日。相互承認の運用は2026年1月1日に開始 (JC-STARにとって1件目) | 覚書署名は2026年3月18日(東京)。運用は2026年6月1日に開始 (2件目) | 各国の担当機関と相互承認に向けて交渉中 |
| 免除される範囲 | 同等とみなすセキュリティ要件の適合確認手続き | JC-STAR★1とCLSレベル1で同等とみなす要件の適合確認手続き (★2以上・CLSレベル2以上でも同一の同等要件は免除) | — |
シンガポールCLSとの相互承認では、JC-STAR★1とCLSレベル1のうち同等とみなす要件について適合確認が免除され、両国のベンダーの負担軽減につながります。米国のU.S. Cyber Trust MarkやEUのCRA法とも交渉が進められており、輸出時の二重の適合対応を減らす方向で制度間の調整が続いています。
出典・参考資料(2件)
- 出典:IoTサイバーセキュリティ制度の相互承認に関する覚書に署名|IPA(2026年3月18日)(https://www.ipa.go.jp/pressrelease/2025/press20260318.html)
- 出典:セキュリティ要件適合評価及びラベリング制度(JC-STAR)|IPA(https://www.ipa.go.jp/security/jc-star/index.html)
政府調達での扱いと「結局やる必要があるのか」の判断材料
任意制度であるJC-STARを、自社が取得すべきかどうか。その判断材料になるのが、政府調達での扱いです。IPAは、政府機関・重要インフラ事業者・地方公共団体などが調達する製品について、求めるセキュリティ水準に合致するラベルが付いたIoT製品を選定・調達する方向を示しています。この方針は、経済産業省と関係組織の間で調整が進められています。
具体的には、2024年7月に一部改定された「政府機関等の対策基準策定のためのガイドライン(令和5年度版)」で、制度開始後の活用と、普及後のラベル付与製品の調達必須化の方針が示されています。現時点では任意でも、将来的に政府・重要インフラ向けの調達要件として重みを増す方向にある、と読み取れます。
これらを踏まえると、「いま取得が義務かどうか」よりも、「自社の販売先に政府・重要インフラ・大企業が含まれるか」「海外輸出で相互承認のメリットを受けたいか」といった観点で、取得の時期とランクを検討するのが実務的です。まずは運用中の★1から、自社製品が要件を満たせる状態かを確かめるところが出発点になります。
出典・参考資料(1件)
- 出典:IoT製品に対するセキュリティ要件適合評価・ラベリング制度を創設|IPA(2024年9月30日)(https://www.ipa.go.jp/pressrelease/2024/press20240930.html)
JC-STARの要件を満たすために準備すべきこと
ここからは、JC-STARへの適合に向けて自社で準備すべきことを整理します。★1・★2は自己適合宣言とはいえ、求められるのは「要件を満たしていること」そのものです。チェックリストを埋めるだけでなく、製品が実際にセキュリティ要件を満たしている状態をつくる必要があります。
制度の要件には、製品不具合や脆弱性への対応・サポート方針を明確にし、適合ラベルの有効期間内はアップデートを提供することが含まれます。つまり、出荷して終わりではなく、設計段階からのセキュア設計と、出荷後の脆弱性対応・アップデート提供までを見通した体制づくりが前提になります。
では、IoT機器では具体的にどんな脆弱性が狙われるのか。代表的な脆弱性の種類や過去の実被害事例を先に押さえておくと、自社製品のどこから手を付けるべきか、対策の優先順位をつけやすくなります。
自社製品が要件の水準に達しているかを客観的に確かめる手段の一つが、IoT機器そのものを対象にしたセキュリティ診断です。実機やファームウェア、ハードウェアまで踏み込んで脆弱性を洗い出せば、申請前に弱点を把握し、対策を打ったうえで適合宣言や第三者評価に臨めます。次の章では、こうしたIoT機器の診断に対応したサービスを紹介します。
出典・参考資料(1件)
- 出典:JC-STAR制度概要説明資料|IPA(https://www.ipa.go.jp/pressrelease/2024/nl10bi0000003f1x-att/press20250325.pdf)
JC-STAR対策に役立つIoTセキュリティ診断サービス
ここからは、JC-STARが求めるセキュリティ水準を自社製品で確かめるために使える、IoT機器・ハードウェアに対応したセキュリティ診断サービスを紹介します。いずれも申請前に自社製品の弱点を洗い出すための診断であり、JC-STARの認証(特に★3・★4の第三者評価)を発行する立場とは別です。
Webアプリだけでなく実機・ファームウェア・ハードウェアまで診断できるかどうかが、IoT製品の作り手にとっての選定ポイントです。下の表には、JC-STARの適合評価を受託するなど制度に直接対応したサービスと、IoT機器・ハードウェアの診断全般に強いサービスの両方を載せています。各社の診断範囲とJC-STAR関連の対応を一覧で比較します。
| サービス名 | Hi AUDIT | SQAT | GMOサイバーセキュリティ byイエラエ | 脆弱性診断サービス(MBSD) | セキュリティ診断(NTTセキュリティ・ジャパン) | セキュリティ診断(NRIセキュア) |
|---|---|---|---|---|---|---|
| 提供会社 | 株式会社TECHFUND | 株式会社ブロードバンドセキュリティ | GMOサイバーセキュリティ byイエラエ株式会社 | 三井物産セキュアディレクション株式会社 | エヌ・ティ・ティ・セキュリティ・ジャパン株式会社 | NRIセキュアテクノロジーズ株式会社 |
| IoT機器・ハードウェア診断の範囲 | IoT機器・医療機器など 実機・ハードウェアの診断に対応(同社説明) | 実機の動的解析/ ファームウェア・ハードウェア解析/ 通信解析 | ハードウェア解析/ ファームウェア逆アセンブル/ インタフェース・通信解析 | 組込み機器(ソフト面+ハードウェア面)/ 独自仕様の通信・管理用Web | IoT機器(分解・内部解析を行う場合あり)/ 脅威分析・脆弱性診断・通信解析 | 制御機器・組込みデバイスの実機評価/ ファジング(異常値入力による堅牢性検証)・既知脆弱性診断 |
| 診断手法 | ツール自動診断+専門家の手動診断 (ハイブリッド) | 手動診断+独自自動診断 (ハイブリッド)。ペネトレーションテストあり | 専門家の手動主体 IoTはペネトレーションテスト | 完全手動(IoT診断) | 専門家+複数ツール IoT領域でペネトレーションテスト | 手動主体(ツール併用) ペネトレーションテスト対応 |
| JC-STAR関連の対応 | 公式に記載なし | ◎(★1適合評価の受託・機器検証サービス登録018-0038-50) | ●(JC-STAR取得支援・機器検証サービス登録019-0004-50) | 公式に記載なし | △(認定取得支援あり・JC-STARは明記なし) | 公式に記載なし |
| 詳細情報 | 公式資料を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る |
「JC-STAR関連の対応」欄の記号:◎=JC-STAR★1の適合評価の受託に対応/●=JC-STAR取得支援や機器検証サービス登録あり/△=制度・認定の取得支援はあるがJC-STARの明記なし(対応可否は要問い合わせ)。「公式に記載なし」=公式情報でJC-STAR固有の対応が確認できないもの(IoT機器・ハードウェアの診断自体には対応)。
ここからは、各サービスの特徴を個別に見ていきます。
1. Hi AUDIT(株式会社TECHFUND)

Hi AUDITは、株式会社TECHFUNDがブランドとして提供するセキュリティ診断サービスです。中核はWeb3のスマートコントラクト監査ですが、同社の説明によれば、WebサービスやアプリケーションのほかIoT機器や医療機器といったハードウェアに対しても、セキュリティ上のリスクを発見する診断を行っています。
強みは、Web3・Web・IoT・医療機器といった幅広い業界を押さえ、業界ごとに変わるセキュリティ要件に特化した部分まで対応できる専門性です。脆弱性を発見して終わりにせず、修正まで寄り添う方針を掲げており、JC-STARに向けてIoT製品の弱点をつぶしていきたい作り手に適しています。
診断の対象範囲と、弱点を見つけたあとの進め方について、同社でセキュリティ監査事業を率いる生田氏は次のように語っています。
Webサービスやアプリケーションの診断に加え、専門的なところではWeb3のスマートコントラクト監査、さらにIoT機器や医療機器といったハードウェアに対しても、セキュリティ上のリスクを発見する診断を行っています。ただ、私たちが重視しているのは、リスクを発見して終わりにしないことです。「何件見つかりました」で終わるのではなく、どのように直せばよいかをアドバイスし、クライアント様のビジネスやご状況に寄り添ってリスクの解消まで進めていく。
2. SQAT(株式会社ブロードバンドセキュリティ)

株式会社ブロードバンドセキュリティが手がけるSQATは、「SQAT® for IoT」としてIoTデバイスの診断に対応しています。ネットワーク接続型のIoTデバイスの実機を使った動的解析を行い、デバイス本体・制御用スマホアプリ・デバイスとサーバ間の通信(API)の3点を診断対象とします。ファームウェアやバイナリの解析、ハードウェア解析まで、機器の特性にあわせて項目を選べる点が特徴です。
JC-STARとの関わりも深く、2026年にはIoTセキュリティ診断を拡充して★1の適合評価の受託・チェックリスト作成・証跡提供に対応しました。同社のIoTセキュリティ診断は、情報セキュリティサービス基準審査登録制度の「機器検証サービス」に登録されており(登録番号018-0038-50)、JC-STARの検証事業者を探す局面に直結します。
3. GMOサイバーセキュリティ byイエラエ

GMOサイバーセキュリティ byイエラエは、国内のホワイトハッカーを多数擁するサイバーセキュリティ専門企業です。手動を主体とした脆弱性診断・ペネトレーションテストを中核に据えており、そのメニューの一つとして「IoTデバイス ペネトレーションテスト」を独立して提供しています。
IoTデバイスの診断では、ハードウェア解析・ソフトウェア解析・インタフェーステストを行い、機器に潜むリスクを攻撃者の視点で検証します。機器検証サービスへの登録(登録番号019-0004-50)やJC-STAR取得支援にも対応しており、専門家の手による深い診断を求めるIoT製品ベンダーに向いています。
4. 脆弱性診断サービス(MBSD/三井物産セキュアディレクション)

三井物産セキュアディレクション(MBSD)は、三井物産が100%出資するサイバーセキュリティ専門企業です。幅広い診断メニューの中にIoT診断(組込み機器)を持ち、攻撃者の手元に機器がある前提で、ソフトウェア面だけでなくハードウェア面からの攻撃も想定した診断を行います。
IoT診断は完全手動による実施をうたい、管理用Web・サービス提供ポート・独自仕様の通信・ハードウェアを対象とします。IPカメラの管理コンソール乗っ取りや映像の窃取といった攻撃の評価も対象に挙げられています。自動車・ビル・工場などのOT診断もそろえており、組込み機器を深く診断したい場面で選択肢になります。
5. セキュリティ診断(NTTセキュリティ・ジャパン)

NTTセキュリティ・ジャパンは、「IoTプロダクトセキュリティ」として、IoT機器に特化した診断メニューを提供しています。脅威分析・脆弱性診断・ペネトレーションテスト・通信解析をそろえ、ドローン・カメラ・自律制御ロボット・工場向け制御システムなど、製造業やインフラ、スマートデバイス分野のIoT機器を対象とします。
リスク評価のために機器の分解や内部解析を行う場合もあり、実機レベルの踏み込んだ診断に対応します。業界標準や制度に関する知見をもとにした認定取得支援も掲げていますが、対象となる制度名は公式には明記されていないため、JC-STARへの対応可否は問い合わせて確認するのが確実です。
6. セキュリティ診断(NRIセキュア)

NRIセキュアテクノロジーズは、NRIグループのセキュリティ専業会社で、専門家による手動主体の診断ラインアップを持ちます。Webアプリやプラットフォーム、API、クラウド、ソースコードなど幅広い対象をカバーし、その区分の一つとして「IoT/OTセキュリティ診断」を用意しています。
制御機器や組込みデバイスを含む実機の評価に対応し、ファームウェアや組込みを対象に含む脆弱性診断も提供します。専門家の手動診断が主体で工数がかかるため価格帯は高めで、多くのメニューは個別見積もりですが、重要インフラや大規模なシステムの一部となるIoT機器を精緻に診断したい場面に向いています。
まとめ
JC-STARは、IoT製品のセキュリティ水準を共通の基準で評価・可視化し、ラベルで示すIPAの任意制度です。★1・★2は自己適合宣言、★3・★4は第三者評価という評価方式の違いがあります。
ベンダーが新規に申請できるのは★1のみで、★2以上は整備が進む段階です(★3は通信機器・ネットワークカメラの適合要件が公開済み)。対象はIP通信機能を持つ幅広いIoT製品で、パソコンやスマートフォンは含まれません。
任意制度ではあるものの、政府・重要インフラの調達での活用方針が示され、英国やシンガポールとの相互承認も動き出しています。自社の販売先や輸出先を踏まえ、まずは運用中の★1で自社製品が要件を満たせるかを確かめるのが現実的な出発点です。その際、IoT機器・ハードウェアまで診断できるセキュリティ診断サービスを使えば、申請前に弱点を把握し、対策を打ったうえで適合に臨めます。
IoT機器に限らず、Webアプリやクラウドまで含めた脆弱性診断サービス全体を見渡して依頼先を選びたい場合は、以下の記事で診断方法・費用相場・選び方を解説しています。あわせてご覧ください。
一括ダウンロードする
よくある質問(FAQ)
Q. JC-STARとは何ですか?
A. JC-STARとは、IoT製品に備わっているセキュリティ機能を共通の基準で評価し、ラベルで可視化するIPA(情報処理推進機構)の任意制度です。正式名称は「セキュリティ要件適合評価及びラベリング制度」で、2025年3月に運用が始まりました。調達者や消費者がラベルを見れば、求める水準のIoT製品を選びやすくなることを狙っています。
Q. JC-STARは自分で申請できますか?それとも第三者の評価が必要ですか?
A. ★1・★2なら自社で評価して申請する「自己適合宣言」、★3・★4なら独立した第三者評価機関による評価が必要です。評価方式がランクで分かれる点が、JC-STARの基本の仕組みです。
★1・★2は、ベンダーが適合基準と評価手順にそって自己評価した結果をチェックリストにまとめてIPAに提出し、IPAが適合ラベルを付与します。★3・★4は、第三者評価機関の評価報告書にもとづいてIPAが認証・ラベル付与を行う方式で、政府機関や重要インフラ事業者などの重要システムでの利用を想定しています。
Q. JC-STARの★3と★4は何が違うのですか?
A. JC-STARの★3と★4は、どちらも第三者評価による認証という枠組みは共通で、★4が★3よりも高い水準のセキュリティ要件を求める点が違いです。いずれも政府機関・重要インフラ事業者・地方公共団体・大企業などの重要システムでの利用を想定しています。
★3は通信機器・ネットワークカメラの適合要件が公開済み(2026年2月初公開・6月更新)で第三者評価の枠組みの整備が進む一方、★4の詳細要件は未公開です。ベンダーが新規に申請できるのは、2026年11月時点では★1のみです。
Q. JC-STARの取得は義務ですか?
A. JC-STARの取得は義務ではなく任意です。ただしIPAは、政府機関・重要インフラ事業者・地方公共団体などが調達する製品について、求める水準のラベルが付いたIoT製品を選定・調達するよう関係機関と調整していると説明しています。
「政府機関等の対策基準策定のためのガイドライン(令和5年度版)」でも、制度の活用と、普及後のラベル付与製品の調達必須化の方針が示されています。販売先に政府・重要インフラ・大企業が含まれる場合は、将来の調達要件化を見据えて取得を検討する意味があります。
Q. JC-STAR★1の取得にはいくらかかりますか?
A. JC-STAR★1の申請手数料は、定価198,000円(税込)です。制度開始時には、2025年9月30日までの申請受領分に限って特別価格110,000円(税込)が適用されていました。費用は制度の運用にあわせて変わり得るため、申請前にIPAの最新の案内で確認してください。
Q. JC-STARを取得すると海外への輸出で有利になりますか?
A. JC-STARは、他国の類似制度との相互承認を進めており、同等とみなすセキュリティ要件については適合確認の手続きが免除されるため、輸出時の二重の適合対応の負担を軽減できます。
英国のPSTI法とは2026年1月から相互承認が始まり、シンガポールのCLS(Cybersecurity Labelling Scheme)とも相互承認が動き出しています(JC-STAR★1とCLSレベル1で同等とみなす要件が対象)。米国やEUとも交渉が進められています。
ただし免除されるのは「同等とみなす要件」の確認手続きで、すべての要件が自動的に免除されるわけではありません。
Q. パソコンやスマートフォンもJC-STARの対象になりますか?
A. パソコンやスマートフォンは、JC-STARの対象外です。対象は、インターネットプロトコル(IP)で通信する機能を持つ幅広いIoT製品で、ルーターやネットワークカメラ、各種センサなどが含まれます。後からセキュリティ機能を追加できないタイプのIoT製品も対象に含まれる点が特徴です。
Q. JC-STARの適合ラベルはいつまで有効ですか?
A. JC-STARの適合ラベルの有効期間は、2年が基本で、延長が可能です。また、有効期間内はアップデートサポートが義務付けられており、ラベルを取得したあとも脆弱性対応やアップデート提供を続ける体制が求められます。
脆弱性・セキュリティ診断サービスの料金・資料を一括チェック
MCB FinTechカタログでは、IoT機器・ハードウェアにも対応したセキュリティ診断サービスの最新資料を無料で一括請求できます。診断範囲や手法を比べて、自社のJC-STAR対策に合う依頼先を効率的に選べます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか?
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。

マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
















