この記事には広告はありません。当サイトの他の記事には広告・アフィリエイトリンクが含まれています。
結論：★1と★2は「メーカーの自己宣言」、★3と★4は「第三者評価」です
IPA（情報処理推進機構）が運営するJC-STARは、IoT製品のセキュリティ機能を共通の物差しで評価し、適合ラベルで見えるようにする制度です。正式名称は「セキュリティ要件適合評価及びラベリング制度」といいます。
ラベルには★1から★4までの段階があります。ここを誤解すると、ラベルの意味を読み違えます。
| レベル | 内容 | 誰が評価するか |
|---|---|---|
| ★1（レベル1） | IoT製品として共通して求められる最低限のセキュリティ要件 | ベンダーの自己適合宣言（IPAがラベルを付与） |
| ★2（レベル2） | 製品類型ごとの特徴を考慮し、★1に追加すべき基本的な要件 | ベンダーの自己適合宣言（IPAがラベルを付与） |
| ★3（レベル3） | 政府機関・重要インフラ事業者等での利用を想定した、製品類型ごとの汎用的な要件 | 独立した第三者評価機関の評価報告書に基づきIPAが認証 |
| ★4（レベル4） | 同上（★3より高い水準） | 独立した第三者評価機関の評価報告書に基づきIPAが認証 |
1. ラベルは「完璧」を保証するものではありません
IPAは、適合ラベルの意味を次のように書いています。
本制度で付与される適合ラベルは、定められた適合基準や評価ガイドに従い、その適合基準が想定する脅威に対抗するためにIoT製品のセキュリティ機能として最低限満たしてほしい水準を達していることを確認するものです。適合ラベルが付与されているからといって、完全・完璧なセキュリティが確保されていることを保証するものではないことにご注意ください。
「最低限満たしてほしい水準」という言い方が使われています。ラベル付き＝安全、ではなく、ラベル付き＝その水準は確認済み、という読み方が正しいことになります。
2. ★1・★2の信頼性は、メーカーの信頼性に依存します
ここもIPA自身が明記しています。★1と★2は自己適合宣言方式で、ベンダーが制度で定められた適合基準・評価手順により自己評価を行い、その結果を記載したチェックリストに基づいてIPAが適合ラベルを付与します。
IPAの説明では、この方式には次の性質があります。
- 評価の信頼性はベンダーの信頼性に依存する
- 一方で、低コストかつ短期間で適合ラベルを取得できる
- 適合に疑義が生じた場合、IPAが検査やサーベイランスを実施し、結果次第で適合ラベルの取消しもあり得る
つまり「自己申告だが、嘘をつくと取り消される仕組みでバランスを取っている」という設計です。★3・★4は、政府機関等や重要インフラ事業者向け製品を想定し、独立した第三者評価機関の評価報告書に基づいてIPAが認証することで、より高い信頼性を確保するとしています。
3. 「適合ラベル取得申請中」という表示は認められていません
買う側にとって、これは知っておくと役に立ちます。IPAは、ラベルがまだ交付されていない製品について「適合ラベル対応」「JC-STAR適合予定」「適合ラベル取得申請中」などと表示する事例があることを名指しで注意しています。
IPAでは、申請が受理され、IPAから受理番号（受領番号ではありません）が通知される前に「適合ラベル対応」、「JC-STAR適合予定」や「適合ラベル取得申請中」などと表記することは認めておりません。
受理番号を受け取ったあと、ラベル取得前に案内したい場合は、受理番号の受領メールを添えて仮登録番号の入手申請を行う必要があります。IPAは「仮登録番号の記載がない形での適合ラベル対応／JC-STAR適合予定／適合ラベル取得申請中などの表記」を「不正な表示」と位置づけ、判明した場合は事実公表を含めた対処を行う可能性があるとしています。
製品ページに「JC-STAR適合予定」とだけ書かれていて仮登録番号がない場合、それはIPAが認めていない表記だということになります。
4. 何を基準にしているのか
IPAは、JC-STARについて「ETSI EN 303 645やNISTIR 8425等の国内外の規格とも調和しつつ、独自に定める適合基準（セキュリティ技術要件）に基づき」評価する制度だと説明しています。制度の出発点は、2024年8月に経済産業省が公表した「IoT製品に対するセキュリティ適合性評価制度構築方針」です。
制度がつくられた背景として挙げられているのは2点です。
- ベンダー側が、セキュリティ対策の取組を調達者・消費者にアピールしにくかった
- 調達者・消費者から見て、製品のセキュリティ対策が適切かどうか判断できなかった
適合が認められた製品には二次元バーコード付きの適合ラベルが付与され、製品詳細や適合評価、セキュリティ情報・問合せ先などを読み取れるようになっています。
5. 海外制度との相互承認が進んでいます
IPAのお知らせ欄から、直近の動きが読み取れます。
| 時期 | 内容 |
|---|---|
| 2025年11月6日 | 日英両国間で「JC-STARと英国PSTI法の相互承認に関する協力覚書」に署名 |
| 2026年1月14日 | 「PSTI法適合証明について」の情報を掲載 |
| 2026年3月18日 | 日本・シンガポール両国間で「IoTサイバーセキュリティ制度の相互承認に関する覚書」に署名 |
| 2026年4月1日 | PSTI法適合証明の手続き書類を公開 |
| 2026年6月1日 | 「CLS適合の相互承認申請について」の情報を掲載 |
| 2026年6月12日 | 「通信機器★3適合要件」「ネットワークカメラ★3適合要件」を公開 |
英国PSTI法、シンガポールCLSとの相互承認申請の枠組みが用意されており、日本で取得したラベルを海外制度に持ち込む（またはその逆）ための手続きが整備されつつある、という状況です。
また、2026年7月31日付で「現在、申請件数が急増しており、確認作業に通常より時間を要しております」というお知らせが出ています。制度としては動いているということでもあります。
6. 買う側としての使い方
ラベルの読み方をまとめると、こうなります。
| 見たもの | 読み取れること |
|---|---|
| ★1・★2のラベルがある | 制度が定める最低限（または製品類型ごとの基本）の要件を、メーカーが自己評価で満たしていると宣言し、IPAがラベルを付与している |
| ★3・★4のラベルがある | 独立した第三者評価機関の評価報告書に基づき、IPAが認証している |
| 仮登録番号付きで「取得申請中」と書かれている | IPAが定めた手続きに沿った案内 |
| 仮登録番号なしで「適合予定」「対応」などと書かれている | IPAが認めていない表記 |
| ラベルがない | この制度での評価を受けていない。安全でないという意味ではない |
NOTICE（総務省・NICT・ICT-ISAC）も、サポート終了機器の買い替え時にJC-STARの適合ラベルが付いた製品を選ぶよう案内しています。ルーターやネットワークカメラを買い替えるときの判断材料のひとつ、という位置づけです。
実務としてやること
- IoT製品を買うとき、JC-STARの適合ラベルの有無と★の数を見る
- ★1・★2は自己適合宣言であることを踏まえ、ラベルだけで判断しない
- 「適合ラベル取得申請中」「JC-STAR適合予定」といった表記を見たら、仮登録番号が併記されているかを確認する
- ラベルの二次元バーコードから、製品詳細・適合評価・セキュリティ情報・問合せ先を確認する
- ラベルがあっても、管理用パスワードの変更とファームウェアの更新は別途必要である（ラベルは機能の有無を示すもので、運用を肩代わりするものではない）
FAQ
★の数が多いほうが、家庭用として優れているのですか
★3・★4は政府機関や重要インフラ事業者、地方公共団体、大企業等の重要なシステムでの利用を想定した水準です。家庭で使う製品にそのまま当てはまる基準ではありません。家庭用であれば、★1・★2のラベルがあるかどうかがまず見るところになります。
適合ラベルは取り消されることがありますか
あります。IPAは、★1・★2について適合基準への適合に疑義が生じた場合に検査やサーベイランスを実施し、その結果次第で適合ラベルの取消しもあり得る仕組みを入れていると説明しています。
どの製品がラベルを取得しているか、一覧で見られますか
IPAのJC-STARのページから確認する形になります。本記事では一覧の掲載場所や掲載件数は確認していません。
技適マークとは違うものですか
別の制度です。技適マークは電気通信事業法に基づく技術基準適合認定などを示すもので、2020年4月以降、アクセス制御機能などのセキュリティ基準の適合性も確認されています。JC-STARは、それとは別に、IoT製品のセキュリティ機能の水準を★で段階的に示す制度です。
英国PSTI法の適合証明も、JC-STARから取れるのですか
IPAは2026年1月14日に「PSTI法適合証明について」の情報を、同年4月1日に手続き書類を公開しています。相互承認申請の枠組みとして用意されていますが、具体的な要件や費用は本記事では確認していません。IPAの該当ページをご確認ください。
参照した一次情報
- 独立行政法人情報処理推進機構（IPA）「セキュリティ要件適合評価及びラベリング制度（JC-STAR）」 ipa.go.jp
2026年9月21日確認。★1〜★4の区分と評価主体、適合ラベルが完全・完璧なセキュリティを保証するものではない旨、自己適合宣言方式の性質と取消しの仕組み、「適合ラベル取得申請中」等の表記に関する注意、仮登録番号の扱い、ETSI EN 303 645・NISTIR 8425との調和、二次元バーコード付き適合ラベル、お知らせ欄の日付と内容に関する記述はこのページに基づきます。 - NOTICE「ルーター／ネットワークカメラの安全な管理方法」 notice.go.jp
2026年9月21日確認。サポート終了機器の買い替え時にJC-STARの適合ラベルが付いた製品を選ぶよう案内されている点は、このページに基づきます。
いずれも2026年9月21日に確認しました。お知らせ欄の日付は同日時点で掲載されていたものです。
関連記事
- ルーターの管理用パスワードは10桁以上｜NOTICEが観測している3つのリスクと技適マーク
- 削除してもデータは残ります｜機器を捨てる前の消去と、サポート切れの見落とし
- WEPはもう使えません｜Wi-FiはWPA2かWPA3、SSIDから類推できる鍵にしない
- 情報セキュリティは6か条になりました｜25項目の自社診断とSECURITY ACTION一つ星
この記事は、公表されている一次情報をもとに整理したものです。特定の製品の推奨や評価を行うものではありません。
コメント