【JC-STAR】セキュリティ要件適合評価及びラベリング制度とは

【2027年に義務化】JC-STAR制度とは？

JC-STAR（ジェイシースター）は、インターネットにつながるIoT製品が一定のセキュリティ基準を満たしているかどうかを確認し、合格した製品に★マークの「適合ラベル」を付ける制度です。

2024年8月に経済産業省が示した方針にもとづき、IPA（独立行政法人情報処理推進機構）が運営しています。海外の規格（ETSI EN 303 645、NISTIR 8425 など）とも足並みをそろえながら、日本独自の基準として整備されました。

なぜこの制度が生まれたの？

これまでは、メーカーがどれだけしっかりセキュリティ対策を行っていても、それを購入者にうまく伝える手段がありませんでした。購入する側も、見た目やカタログだけではどの製品が安全なのか判断できません。企業や政府機関が製品を選ぶ場合も同じで、本来は製品やメーカーのセキュリティ状況まで確認したいところですが、それを自分たちだけで一つひとつ調べきるのは難しいのが実情でした。

そこで生まれたのがJC-STARです。求められる安全性のレベルに応じて★1から★4までの基準を用意し、基準を満たした製品には二次元バーコード付きの「適合ラベル」が発行されます。このラベルを読み取るだけで、製品の詳細情報や評価内容、セキュリティ情報、問い合わせ先までを、誰でもすぐに確認できるようになりました。

「IoT製品に対するセキュリティ適合性評価制度構築方針」については、経済産業省のページを参照ください。

IoT製品に対するセキュリティ適合性評価制度構築方針（経済産業省、2024年8月23日）

どんな製品が対象なの？

対象は、インターネットプロトコル（IP）を使ってデータを送受信できる「IoT製品」です。直接インターネットに接続できなくても、別の機器を経由してネットにつながる場合は対象に含まれます。一方で、個々の機器ではなく「システム全体」は、現時点(2026年7月時点)では対象外とされています。

対象になるもの
IPでデータの送受信ができる、単独のIoT機器。または、その機器だけでは目的を果たせず、必須のデジタルサービスとセットで初めて機能する「IoT機器＋必須付随サービス」の一式。

対象にならないもの
複数の機器やサービスが組み合わさった「システム」全体としての評価は、現時点では制度の対象外です。あくまで個々の製品単位での評価となります。

★1〜★4、レベルで何が変わるの？

JC-STARの適合基準は、ラベルに表示された星の数を見るだけで、直感的に判断できるようになっています。星の数が多いほど、より厳しいセキュリティ基準をクリアしていることを意味し、それぞれの星の位置づけは次のように定められています。

★（レベル1）

IoT製品全般に共通して求められる、最低限のセキュリティ要件を定めたレベルです。パスワードの初期設定を変更できるようにする、使っていない通信機能を無効にできるようにするなど、外部からの不正アクセスを防ぐための基本的な対策が中心です。この基準を満たしていることを、製品を作るベンダー自身が宣言する方式です。

★★（レベル2）

★1の基準に加えて、カメラやルーターなど製品の種類（類型）ごとに起こりやすい脅威をふまえた、基本的なセキュリティ要件が上乗せされます。★1と同じく、この基準を満たしていることをベンダー自身が宣言する方式です。

★★★（レベル3）

政府機関や重要インフラ事業者、地方公共団体、大企業など、特に高い信頼性が求められるシステムでの利用を想定したレベルです。★1・★2に加え、製品の種類ごとの汎用的な要件が定められ、独立した第三者機関がその適合状況を評価します。

★★★★（レベル4）

★3と同じく、政府機関や重要インフラ事業者などでの利用を想定したレベルですが、4段階の中で最も要求項目が多く、厳格な基準です。こちらも独立した第三者機関による評価にもとづいて認証されます。

適合ラベルのステータス

適合ラベルには有効期間があり、状態は4つに分かれます。製品情報ページを見れば、現在のステータスを確認できます。

有効（Active）
適合ラベルが有効期間内にあり、失効又は取消しに該当する事由がない状態
失効猶予（延長申請中(Extension procedure in progress)）
適合ラベルの有効期間が満了しているが、有効期間の延長申請手続きが行われている状態
失効（有効期限切れ（Expired））
適合ラベルの有効期間が満了した後、有効期間の延長が行われていない状態。もはや適合ラベルの効力がない状態
失効（自主取下げ（Withdrawn））
適合ラベルの有効期間内に、IoT製品ベンダーからの申し出により、適合ラベルの効力を失効させた状態。もはや適合ラベルの効力がない状態
取消し（Revoked）
適合ラベルの有効期間内に、適合ラベルの取消し事由に該当する事象が発生し、定められた期間内にその事由を解消するための是正がなされなかった場合に、IPAが強制的に適合ラベルの効力を停止させた状態。もはや適合ラベルの効力がない状態