JC-STARとは｜★1は自己申告、確かめるのは二次元コードの先

梟〜GLEANINGS〜

2026年9月11日 22:16

取引先から「うちは★3を目指しています」と言われた。
あるいは、買おうとしているルーターの箱に★1のラベルが付いていた。

このとき、頭に浮かぶのはたぶん同じ疑問です。
その★は、何段階のうちの★なのか。
そして、誰が確かめた★なのか。

いま、★を使う制度が2つ並行して立ち上がっています。
片方は製品に付き、もう片方は会社に付きます。
数え方も違います。

この記事で扱うのは、製品に付くほうです。
JC-STAR という制度で、2025年3月25日から動いていて、2026年9月4日の更新時点で338製品にラベルが出ています。

先に結論を1つ書いておきます。
★1と★2は、メーカーが自分で宣言した星です。
IPAは、その根拠となる書類を見ていない、と自分で書いています。

この記事は、IPA（独立行政法人情報処理推進機構）のJC-STAR関連ページと★1適合基準のPDF、経済産業省のSCS評価制度のページと制度構築方針のPDFをもとに、2026年9月11日時点の内容にしています。

その★は、製品の星か、会社の星か

JC-STARは、モノに付く星

1つ目が、JC-STARです。
正式名称は「セキュリティ要件適合評価及びラベリング制度」といいます。
運用しているのはIPAです。

何を評価する制度なのかは、こう書かれています。

インターネットとの通信が行える幅広いIoT製品を対象として、共通的な物差しで製品に具備されているセキュリティ機能を評価・可視化することを目的としています。

対象はIoT製品です。
会社ではなく、モノに付く星です。

対象になるのは、IPアドレスでデータをやり取りできる機器です。
インターネットに直接つながらないものでも、別の機器を経由してつながるなら対象になります。
ただし、条件が1つあります。

利用者自身によって、当該IoT機器本体に対してソフトウェア製品のインストール等により容易にセキュリティ対策を追加することが困難であるもの

あとからウイルス対策ソフトを入れられるパソコンやスマートフォンは、ここに入りません。
ルーター、ネットワークカメラ、複合機、そういった機器が対象です。

なお、この制度は「システム」を対象にしていません。
そこは明記されています。

一方、現時点では「システム」は対象外としています。

SCS評価制度は、会社に付く星

2つ目が、SCS評価制度です。
正式名称は「サプライチェーン強化に向けたセキュリティ対策評価制度」で、経済産業省が進めています。

対象はこう書かれています。

本制度は、サプライチェーンを構成する企業等のIT基盤（クラウド環境で運用するものも含む。）を対象としています。

企業のIT基盤です。
こちらは、会社に付く星です。

この制度については、この連載ですでに1本書いています。
7つの分類と、★3・★4で求められることの中身は、そちらを読んでください。
この記事では、JC-STARと混ざりやすい点だけを扱います。

数え方が違う

ここが、いちばん混乱するところです。

JC-STARの星は、★1から★4まであります。
★1がいちばん基本的な水準です。

一方、SCS評価制度のほうは、★3から始まります。
経済産業省のページには、こう書かれています。

セキュリティ対策の段階を★3・★4（★5については今後検討）に区分し

制度の概要資料には、もっとはっきり書かれています。

３段階の水準のうち、★３･★４について、令和８年(2026年)度末頃の制度開始を予定。

3段階です。
★3・★4・★5の3つで、★1と★2はこの制度の段階ではありません。

では、SCS評価制度に★1と★2がないのかというと、そうではありません。
制度構築方針の本文には、注記があります。

★１・★２については、IPAが運営する「SECURITY ACTION」を参照されたい。

SECURITY ACTIONは、中小企業が自分でセキュリティ対策に取り組むことを宣言する制度で、一つ星と二つ星があります。
SCS評価制度の★1・★2は、そこを指しています。
つまり、別の制度への参照です。

まとめると、こうなります。

「★1を取得しました」と言われたら、JC-STARの話である。SCS評価制度に★1の申請はない
「★3を目指しています」と言われたら、会社の話である可能性が高い。ただしJC-STARにも★3はあるので、製品の話かもしれない
どちらの制度の話なのかを、先に確かめる必要がある

時点が違う

もう1つ、時点の確認をしておきます。

SCS評価制度は、2026年9月時点でまだ申請の受付が始まっていません。

★3及び★4：2026年度末頃の制度開始（申請受付の開始）を目指します。

目指す段階です。
だから、いま「うちは★3です」と名乗れる会社は、まだ存在しません。
準備の話として聞くのが正確です。

対してJC-STARは、すでに実物が出回っています。
店頭や製品の箱で実際に目にする可能性があるのは、いまのところJC-STARの星のほうです。

★1と★2は自己申告、★3と★4は第三者

4つの段階の定義

JC-STARの4段階は、IPAがこう定義しています。

★１（レベル１）　製品として共通して求められる最低限のセキュリティ要件を定め、それを満たすことをIoT製品ベンダーが自ら宣言するもの

★２（レベル２）　製品類型ごとの特徴を考慮し、★１（レベル１）に追加すべき基本的なセキュリティ要件を定め、それを満たすことをIoT製品ベンダーが自ら宣言するもの

★４（レベル４）／★３（レベル３）　政府機関や重要インフラ事業者、地方公共団体、大企業等の重要なシステムでの利用を想定した製品類型ごとに★1（レベル1）、★2（レベル2）に追加して汎用的なセキュリティ要件を定め、それを満たすことを独立した第三者が評価して示すもの

★1が全製品共通、★2から先は製品の種類ごとの要件が加わります。
ルーターにはルーターの、ネットワークカメラにはカメラの要件がある、という考え方です。

そして、IPAはこの分かれ目をはっきり書いています。

★1（レベル1）と★2（レベル2）は自己適合宣言に基づく適合ラベル付与、高い信頼性が求められる★3（レベル3）と★4（レベル4）は第三者による適合評価・認証に基づく適合ラベル付与に大別されます。

大別される、という言葉のとおりです。
★2と★3のあいだに、線が1本引かれています。

IPAは、証跡を見ていないと書いている

ここが、この記事でいちばん伝えたいところです。

★1と★2について、IPAは次のように説明しています。

適合ラベルの付与にあたり、IPAは評価結果を記載したチェックリストの形式確認は行いますが、その評価結果の根拠となる証跡の提出は求めておらず、評価結果の内容が正しいかどうかをIPAが自ら確認するものではありません。

形式は確認する。
中身が正しいかどうかは、確認しない。

制度を運用している当事者が、こう書いています。
同じ段落には、こうもあります。

評価の信頼性はベンダーの信頼性に依存することになりますが、低コストかつ短期間で適合ラベルを取得することができます。

信頼性はベンダーに依存する。
そのかわり、安く早く取れる。
そういう設計だと明言されています。

ただし、放置されているわけではない

後から検査する仕組みがある

誤解のないように、続きも引いておきます。

一方で、適合ラベルの有効期間中は証跡の保管をIoT製品ベンダーに課しており、疑義が生じた場合に、事後的にIPAが検査やサーベイランスを実施し、証跡等の提出を要求できることとしています。その結果次第で適合ラベルの取消しも有り得る仕組みを入れることで信頼性のバランスをとっています。

出すときは見ない。
かわりに、疑わしいときは後から出させる。取消しもある。
そういうバランスの取り方です。

ラベルを出す前に、政府への照会がある

もう1つ、★1の適合基準のPDFに脚注として書かれていることがあります。

IPA は、ラベル取得の申請に対して、ラベル発行前にサプライチェーン・リスクについて経済産業省を含めた政府関係機関に照会をかけ、その照会結果に基づきラベルを付与する。

製品の中身は確認しないが、申請してきた相手については照会をかけている、ということです。

実機のテストも、まったくないわけではない

自己評価といっても、書類だけで終わるわけでもありません。

★1（レベル1）の適合基準・評価手順にもツールを使用した実機テストが含まれており

ただし、これは項目によります。
たとえば出荷時パスワードの項目は「ドキュメント評価」だけで、実機テストは「なし」と書かれています。

自分で評価する自信がない場合のために、外部に頼む道も用意されています。
JC-STAR評価機関と、JC-STAR検証事業者です。
どちらに頼んでも★1・★2の評価はできますが、★3以上の評価ができるのは評価機関だけです。

まとめると、★1と★2は「誰も見ていない星」ではありません。
ただ、「第三者が製品を検査した星」でもありません。
その中間にある、という理解が正確です。

いま市場にあるのは、★1だけである

338製品、138社、すべて有効

IPAは、適合ラベルを取得した全製品の一覧を公開しています。

本ページは、今までにJC-STARでの適合ラベルを取得した全ての製品について掲載しています。

2026年9月4日更新時点の中身を数えました。

掲載件数は338件
ラベル取得事業者は138社
レベルはすべて★1
ステータスはすべて「有効」
取得日がいちばん古いのは2025年4月24日、いちばん新しいのは2026年8月21日

ステータスが全部「有効」なのには理由があります。
ラベルの有効期間は発行日から2年で、いちばん古い製品の満了日が2027年4月23日だからです。

つまり、最初の期限切れは2027年4月に来ます。
いまはまだ、切れたラベルが1つもない状態です。

★2の受付は、まだ始まっていない

★2はどうなっているか。
申請手続きのページには、こう書かれています。

★２の申請受付は2026年以降の開始を計画しています。

2026年9月時点でも、この表記のままです。

なお、2025年5月21日のプレスリリースでは、もう少し具体的に書かれていました。

2026年1月以降に当該製品分野の★2以上の受付を開始する予定です。

2026年1月以降の予定が、9月になっても始まっていない。
制度の立ち上がりは、だいたいこういう速さで進みます。

★3は、要件は出たが評価ガイドが準備中

★3については、2026年6月に通信機器とネットワークカメラの適合要件が公開されました。

ただし、適合基準・評価手順のページを見ると、どちらの製品類型も「★3（レベル3）評価ガイド」の欄は「準備中」と表示されています。
評価する手順書がまだないので、申請もできません。

結論はこうです。
2026年9月時点で、店頭で見かけうるのは★1のラベルだけです。
★3や★4のラベルが貼られた製品を見かけたら、それはまだあり得ない表示です。

★1が求めているのは、当たり前のことである

出荷時のパスワード

抽象的な話に聞こえるかもしれないので、実際の基準を見てみます。
★1の適合基準は16項目あります。

出荷時のパスワードについては、2つの選択肢のどちらかを満たせばよい、という形になっています。

① デフォルトパスワードは、IoT 機器毎に異なる一意の値で、容易に推測可能でない 6 文字以上のパスワードであること。

② デフォルトパスワードは、初回起動時にユーザによるパスワード変更を必須とする機能を実装し、当該機能において設定可能なパスワードとして、8 文字以上のパスワードの設定を強制させること。

機器ごとに違うパスワードを付けて出荷するか、最初にユーザーに変えさせるか。
どちらかです。

これを読んで、どう感じるでしょうか。
出荷時のパスワードが全機種共通ではないこと。
当たり前に思える水準です。

そして実際、これまで多くの事故が、この当たり前が満たされていない機器で起きてきました。
★1は、その当たり前を確認するための星です。
出発点であって、到達点ではありません。

情報を渡す義務

もう1つの柱が、メーカーから利用者への情報提供です。
セキュリティ要件の17番は、この分類にあたります。

17-2. 製造業者は、製品をセキュアに設定・利用・廃棄する方法について、ユーザに提供しなければならない。

17-3. アップデートメカニズムが実装されている場合、製造業者は、セキュリティアップデートが必要であることを、そのアップデートによって軽減されるリスクに関する情報とともに、認識可能で明らかな方法でユーザに通知しなければならない。

17-8. 製造業者は、定められたサポート期間を、ユーザにとって明確で透明性のある方法で公表しなければならない。

主語はいずれも製造業者です。
この制度は、メーカーに対して「利用者に情報を渡せ」と求めるものであって、利用者に義務を課すものではありません。

ただし、渡される側がいて初めて意味を持ちます。
そして、その点についてはIPA自身が利用者向けの案内を書いています。

買ったあとに、何をするか

IPAの「適合ラベルの確認方法」には、利用者向けの項目が4つ並んでいます。
要点だけ書き出します。

初回設定でパスワードを変えるとき、推測されにくいものにする
ファームウェアが最新でなければ更新する。自動更新の機能があるなら有効にしておく
使わない機能は有効にしない
サポートが終了した製品は買い替えを検討する

3つ目は見落とされがちですが、理由も書かれています。

利用しない機能は、初期設定が無効の場合には有効にしない、初期設定が有効の場合は無効に変更することを心がけましょう。

4つ目については、判断の材料が用意されています。

適合ラベルが付いたIoT製品では、サポート期間が終了すると適合ラベルが失効又は取り消されることとなりますので、製品情報ページの「適合ラベルステータス」表示を確認することで、サポート中かサポート終了なのかが判断できます。

ラベルのステータスを見れば、その製品がまだサポートされているかが分かる。
これは、買ったあとにも使える確認手段です。

実務で問題になるのは、2つ目です。
アップデートの案内は、たいてい登録したメールアドレス宛に来ます。
その宛先が退職した人のものだったり、誰も見ていない共有アドレスだったりすると、届いても読まれません。

これは、前に扱った証明書の期限切れとまったく同じ形の事故です。
仕組みは用意されていて、受け取る側で止まっています。

ラベルが本物かどうかを、どう確かめるか

見るのは見た目ではなく、行き先

ラベルには3つのものが入っています。

IoT製品が取得した適合ラベルのレベルと登録番号のほか、そのIoT製品情報を確認するため、IPAが管理する「適合ラベル取得IoT製品情報ページ」のURLを埋め込んだ二次元バーコードが組み込まれています。

★の数と登録番号は、印刷しようと思えば誰でも印刷できます。
実務で効くのは、3つ目です。

IPAは、確かめ方をここまで具体的に書いています。

「適合ラベル取得IoT製品情報ページ」で使われているURLが「https://jc-star.ipa.go.jp/conformance/」又は「jc-star.ipa.go.jp/conformance/」で始まっていることを確認してください。さらに、サーバ証明書を確認し、組織が「Information-technology Promotion Agency, Japan」となっており、「この接続は保護されています」や「証明書が確認されました。」となっていれば、より確実に安全性が確かめられます。

偽のラベルを作るのは簡単ですが、ipa.go.jp のドメインに偽のページを置くことはできません。
だから、確かめるべきなのは見た目ではなく、行き先です。

なお、サーバ証明書の「組織」まで見る、というのは、この連載で前に扱った話とつながります。
鍵マークが出ているかどうかではなく、誰に対して発行された証明書かを見る、ということです。

型番と、値段

IPAは、ほかに2つの可能性も挙げています。

1つは、正規のラベルが偽造品・模倣品に貼られている場合です。

極端に値引きをしている場合には、たとえ適合ラベルが貼付された製品であっても偽造品・模倣品である可能性を疑ってください。

もう1つは、対象になっていない製品に貼られている場合です。
ベンダー側の手違いで起こりうる、と書かれています。

そのIoT製品の型番が「製品型番」に含まれていることを確認してください。

製品情報ページには対象の型番が並んでいるので、そこに手元の型番があるかを見ます。
同じシリーズでも、型番が違えば対象外ということがあります。

電子データのラベルについては、別の確かめ方があります。

電子媒体の適合ラベル（PDFファイル）には、情報処理推進機構名義の電子署名を付与しています。

「JC-STAR適合予定」は、認められていない

営業資料やカタログに「JC-STAR取得予定」と書かれていることがあります。
これについては、IPAがはっきり書いています。

IPAでは、申請が受理され、IPAから受理番号(受領番号ではありません)が通知される前に「適合ラベル対応」、「JC-STAR適合予定」や「適合ラベル取得申請中」などと表記することは認めておりません。

認めていない、と書かれています。
受理番号を受け取ったあとで案内したい場合は、仮登録番号を取る手続きがある、とも書かれています。

そして、こう続きます。

「仮登録番号の記載がない形での適合ラベル対応／JC-STAR適合予定／適合ラベル取得申請中」などの表記は、IPAでは許可していない「不正な表示」に当たりますので、これに類する表示を含め、不正な表示を行わないよう改めてお願い申し上げます。

不正な表示、という言葉が使われています。
見かけた場合の連絡先も、同じページに書かれています。

選ぶ側の手順は、単純です。

IPAの取得製品リストに載っているか
ラベルの二次元バーコードが jc-star.ipa.go.jp のページに飛ぶか
そのページで、レベルとステータスと型番が確認できるか

この3つが揃って、初めて「取得済み」です。
揃わないうちに社内の稟議書へ「取得済み」と書くと、あとで直すのは面倒です。

ラベルは、何を保証していないのか

IPAが禁じている言い方が、4つ書かれている

適合ラベルの利用ガイダンスには、メーカーが言ってはいけないことが例示されています。

当該IoT製品が完全なセキュリティを提供している。

当該IoT製品には脆弱性がないことが確認された。

当該IoT製品は公的なお墨付きを得ている。

当該IoT製品はどんな利用環境でも安全に利用できる。

この4つは、事実と異なる表示にあたるとされています。

逆に、正しい言い方の例も並んでいます。
その最後の1行が、この制度の限界そのものです。

完全・完璧なセキュリティが確保されていることを保証するものではない。

営業資料に上の4つのどれかが書いてあったら、それは制度の側が禁じている表現です。
そこを見分けるだけでも、判断の材料になります。

想定していない脅威は、考慮されていない

もう1つ、限界についての説明があります。

特に、適合基準が想定していない脅威があるような運用環境での利用に対しては、本来必要となるセキュリティ機能について考慮されていない可能性があります。実際の運用環境に照らし合わせ、想定すべき脅威が含まれている適合基準に該当するレベルの適合ラベルを取得しているIoT製品を選択することが重要です。

★の数は、汎用的な物差しです。
自社の使い方で想定される脅威が、その物差しに入っているかどうかは、選ぶ側が考える話として残ります。

第三者評価の★3・★4についても、同じ注意が書かれています。

本製品に脆弱性が全くないことの保証、及び特定の運用環境で必要なセキュリティ機能が実装されていることの保証を意味するものではない

一次資料の中にも、時点のずれがある

最後に、資料を読むときの注意を1つ。

JC-STARの「詳細情報」のページには、相互承認についてこう書かれています。

JC-STARについては、まだCCRAのような相互承認枠組みはありません。

ところが制度のトップページを見ると、2025年11月6日に英国のPSTI法と、2026年3月18日にシンガポールのCLSと、それぞれ相互承認の覚書に署名したことが書かれています。
申請手続きのページにも、両制度の相互承認申請の案内が載っています。

なぜ食い違うのか。
詳細情報のページの最終更新日が2025年3月28日のままだからです。

もう1つ、この記事で引用したページ自体にも、同じずれがあります。
IPAは2026年6月5日に、英語名称を「Information-technology Promotion Agency, Japan」から「Innovation Platform Agency, Japan」へ変更しました。
日本語の法人名称「独立行政法人情報処理推進機構」と略称「IPA」は変わっていません。
ところが「適合ラベルの確認方法」のページは、下部の著作権表示が新しい英語名になっている一方で、上に引用した確認手順は旧英語名のままです。
2026年9月時点では、jc-star.ipa.go.jp のサーバ証明書の組織名も旧英語名のままなので、引用のとおりに確かめられます。
証明書が更新された後は、新しい英語名に変わる可能性があります。

公的機関のページであっても、ページごとに更新の時点が違います。
日付を見ずに引くと、こうした古い記述をそのまま持ってきてしまいます。

まとめ

★を使う制度は2つある。JC-STARは製品に付く星でIPAが運用し、SCS評価制度は会社に付く星で経済産業省が進めている
JC-STARの星は★1から★4。SCS評価制度は★3・★4・★5の3段階で、★1・★2は別制度の「SECURITY ACTION」を参照するよう書かれている
SCS評価制度は2026年度末頃の開始を目指す段階で、いま★3を名乗れる会社はない
JC-STARの★1と★2はメーカーの自己適合宣言。IPAは形式は確認するが、証跡の提出は求めず、内容が正しいかを自ら確認するものではないと明記している
ただし証跡の保管義務があり、疑義が生じれば事後的に検査があり、取消しもある。ラベル発行前には政府関係機関への照会もある
★3と★4は独立した第三者評価機関が評価する。★2と★3のあいだに線が1本引かれている
2026年9月4日更新時点の取得製品リストは338件、138社、すべて★1、すべて「有効」。最初の期限切れは2027年4月に来る
★2の受付はまだ始まっていない。★3は適合要件が公開されたが、評価ガイドは準備中
★1の適合基準は16項目。出荷時パスワードは、機器ごとに一意にするか、初回に変更を強制するかのどちらか
ラベルが本物かは、二次元バーコードの行き先で見る。jc-star.ipa.go.jp で始まっているか、サーバ証明書の組織がIPAか、型番が一致しているか
「JC-STAR適合予定」「適合ラベル取得申請中」は、仮登録番号の記載がなければIPAが認めていない表示である
IPAは「完全なセキュリティを提供している」「脆弱性がないことが確認された」「公的なお墨付きを得ている」「どんな利用環境でも安全に利用できる」の4つを、事実と異なる表示として挙げている

最後に1つ付け加えます。

この制度は、選ぶ側が自分で確かめる作業を、ゼロにするものではありません。
確かめる手間を、二次元バーコードを1回読み取るところまで小さくするものです。

その1回を省くと、制度があってもなくても同じことになります。

皆さんの会社の調達では、機器のラベルが「いま有効か」を確かめる手順が決まっているでしょうか。

参考・引用元

IPA（JC-STAR）

IPA「セキュリティ要件適合評価及びラベリング制度（JC-STAR）」 https://www.ipa.go.jp/security/jc-star/index.html
IPA「セキュリティラベリング制度（JC-STAR）についての詳細情報」（最終更新日2025年3月28日） https://www.ipa.go.jp/security/jc-star/detail.html
IPA「適合ラベルの確認方法」（最終更新日2026年5月13日） https://www.ipa.go.jp/security/jc-star/label-description.html
IPA「適合ラベルの利用ガイダンス」 https://www.ipa.go.jp/security/jc-star/guidance/index.html
IPA「★１と★２の新規申請手続き」 https://www.ipa.go.jp/security/jc-star/shinsei/shinki-1-2/index.html
IPA「適合ラベル取得製品リスト」（最終更新日2026年9月4日） https://www.ipa.go.jp/security/jc-star/list/jc-star-product-list/index.html
IPA「★3（レベル3）適合基準・評価手順（評価手法・評価ガイド）」 https://www.ipa.go.jp/security/jc-star/tekigou-kizyun-guide/label3/index.html
IPA「セキュリティ要件適合評価及びラベリング制度（JC-STAR）★1（レベル1）適合基準・評価手法（1.1版）」（令和6年12月、全38ページ） https://www.ipa.go.jp/security/jc-star/tekigou-kizyun-guide/label1/begoj90000004zgc-att/JC-STARlevel1_tekigoukizyun_hyouka.pdf
IPA「「セキュリティラベリング制度（JC-STAR）」★1適合ラベルの交付を開始」（2025年5月21日） https://www.ipa.go.jp/pressrelease/2025/press20250521.html
IPA「プレス発表ブランドアイデンティティの刷新について」（2026年6月5日） https://www.ipa.go.jp/pressrelease/2026/press20260605-2.html

経済産業省（SCS評価制度）

経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」（最終更新日2026年5月20日） https://www.meti.go.jp/policy/netsecurity/scs.html
経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針（概要）」 https://www.meti.go.jp/policy/netsecurity/docs/scs/scs_1.pdf
経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針（本文）」（全40ページ） https://www.meti.go.jp/policy/netsecurity/docs/scs/scs_2.pdf

実務で使う書式について

この連載の内容を、社内でそのまま使える書式にまとめたものを、別のマガジンで公開しています。
規程のひな形、対応フロー、チェックシート、報告書式などです。

実務で使う書式・キット
https://note.com/yunta_fukurou/m/mfc25857fab40