JC-STARとは？IoTセキュリティラベリング制度の仕組みと★1取得までの流れ

JC-STARとは、IoT製品のセキュリティ要件への適合状況を星の数(★)で示す、IPA(独立行政法人情報処理推進機構)が運営する国内のセキュリティラベリング制度です。
正式名称は「JC-STAR(Labeling Scheme based on Japan Cyber-Security Technical Assessment Requirements)」で、2025年3月25日に★1の申請受付が開始されました。
本記事では、制度の背景から4段階のセキュリティレベル、★1取得の流れまでを整理して解説します。

目次

1. JC-STARとは？
2. 各国ではIoT製品にどんな規制が導入されているのか？
3. JC-STARの制度はどんな仕組みか？
   1. JC-STARの対象となるのはどんなIoT製品か？
   2. JC-STARはどんなセキュリティ要件に準拠しているのか？
   3. セキュリティレベルはどう分かれているのか？
   4. ★3(レベル3)は今どこまで進んでいるのか？
   5. 各レベルでは具体的に何が求められるのか？
4. JC-STARは今後どうなっていくのか？
   1. 政府調達や重要インフラではどう活用されるのか？
   2. 海外の制度とはどう相互承認されるのか？
5. JC-STAR★1取得までの流れと進め方は？
   1. JC-STAR★1取得までの基本的な流れは？
   2. 自社対応と専門家依頼、どちらがよいか？
   3. サイエンスパークではどんなサポートが受けられるのか？
6. まとめ

1. JC-STARとは？

近年、IoT機器を標的としたサイバー攻撃や探索活動は高い水準で続いています。
NICT(情報通信研究機構)の「NICTER観測レポート2025」によれば、2025年に観測されたサイバー攻撃関連パケット数は約7,010億パケットにのぼり、2024年比で約2.2%増加しています。
こうした状況を受け、各国でIoT機器のセキュリティに関する法制度やガイドラインの整備が急速に進められています。
 
日本では経済産業省の指針に基づき、独立行政法人情報処理推進機構(IPA)が運営を担う新たなラベリング制度「JC-STAR(Labeling Scheme based on Japan Cyber-Security Technical Assessment Requirements)」の★1申請受付が2025年3月25日より開始されました。
本記事では、改めてJC-STARの全体像を整理し、その要点と事業者に求められる対応について解説します。

2. 各国ではIoT製品にどんな規制が導入されているのか？

主要国では、以下のような法規制やラベリング制度が導入されており、その中には罰則規定を含むものもあります。
IoT製品を提供する事業者にとって、販売先の国・地域や対象製品によっては、こうした制度・規制への対応が事業上重要になりつつあります。

3. JC-STARの制度はどんな仕組みか？

JC-STARは、IoT製品のセキュリティを確保し、利用者が安心して製品を選択できる環境を整備することを目的とした制度です。

「JC-STAR」ロゴ
【出典】
セキュリティラベリング制度（JC-STAR）についての詳細情報 | IPA 独立行政法人 情報処理推進機構
https://www.ipa.go.jp/security/jc-star/detail.html

所定の申請手続きを経て登録された製品には、星の数(★)でレベルを示した「適合ラベル」が付与されます。
ラベルには二次元バーコードが印字されており、ユーザーはスマホで読み取るだけで、製品情報、適合ラベル情報、アップデート情報や脆弱性情報などのセキュリティ情報、問い合わせ先情報などに即座にアクセス可能です。
そのためユーザーの目線でも、必要な情報にアクセスしやすくなるというメリットがある制度になっています。

なお、JC-STARの適合ラベルは、所定のセキュリティ要件への適合状況を示すものであり、製品に脆弱性が存在しないことや、あらゆる攻撃に対する安全性を保証するものではありません。

3.1. JC-STARの対象となるのはどんなIoT製品か？

制度の対象は、IP(インターネットプロトコル)を用いてデータの送受信機能を持つ機器です。
直接インターネットに接続しない機器でも、他の機器を介して接続できる場合は対象に含まれます。
また、製品が意図した目的を達成するために必要なサービスも、製品の一部として扱われます。
ただし、複数の機器で構成されるような大規模な「システム」は対象外とされています。
 
一方で、パソコンやスマートフォンのように、利用者が自身で容易にセキュリティ対策ソフトウェアなどを追加できる汎用的なIT製品は対象外です。
しかし、汎用OSを搭載していても、利用者が容易にセキュリティ対策を追加できない構造のIoT製品は対象と見なされます。

3.2 JC-STARはどんなセキュリティ要件に準拠しているのか？

JC-STARのセキュリティ要件は、ETSI EN 303 645、NISTIR 8425、EU-CRAといった国内外の主要なセキュリティ要件や基準を踏まえて整理されています。

3.3 セキュリティレベルはどう分かれているのか？

本制度では、セキュリティ要件の厳しさに応じて4つのレベルが設定されています。
レベル1が最も基本的な要件であり、数字が大きくなるほど高度な対策が求められます。

★1・★2は、IoT製品ベンダー自身による自己適合宣言に基づく方式です。
一方、★3・★4は自己宣言とは異なり、独立した第三者機関による評価・認証が必要になります。

2026年7月現在、実際に運用されているのは★1のみです。
★2と★4は準備中とされています。★3については、通信機器・ネットワークカメラ向けの技術要件は公開されていますが、評価に関するガイド等は準備中の段階です（詳細は3.4をご参照ください）。
現在は任意の制度ですが、政府調達や重要インフラ分野、業界団体の調達要件などで活用が進む可能性があります。
 
なお、IPAではレベル1で実現したいセキュリティ水準として、以下のものを示しています。

【出典】IPA 独立行政法人 情報処理推進機構
IoT製品のセキュリティ確保に向けて
〜セキュリティ要件適合評価及びラベリング制度（JC-STAR＊）の紹介〜
https://www.ipa.go.jp/security/jc-star/begoj9000000gg60-att/JC-STARsetumeikai_1.pdf

3.4 ★3(レベル3)は今どこまで進んでいるのか？

★1に続く運用開始のタイミングは2026年7月現在、公表されていませんが、★2・★3の整備状況を比較すると、★3の方が要件面での準備が一部先行している点が特徴です。

対象となる製品類型
現時点で技術要件が公開されているのは「通信機器」と「ネットワークカメラ」の2種類です。 他の製品類型への展開予定については、2026年7月現在、明確な情報は確認できていません。

★3の申請はいつから？
2026年7月現在、★3は技術要件は通信機器・ネットワークカメラの2種類について公開されていますが、評価ガイドはまだ公開されていません。 
評価ガイドが公開された後に★3の申請が開始されると考えられます。 
ただし、具体的な運用開始時期については2026年7月現在、明らかになっていません。
最新情報が公開された際には、随時本記事も更新いたします。

3.5 各レベルでは具体的に何が求められるのか？

各レベルの概要は以下の通りです。★1は製品共通の要件ですが、★2以上では製品類型ごとの特性を考慮した要件が段階的に整備されます。

4. JC-STARは今後どうなっていくのか？

4.1 政府調達や重要インフラではどう活用されるのか？

政府機関や重要インフラ事業者が製品を調達する際のセキュリティ要件にJC-STARが組み込まれていくことが想定されています。特に重要インフラ分野など、社会的に影響の大きいシステムで活用される製品については、早い段階で業界標準の一つとなる可能性が高いと考えられます。

4.2 海外の制度とはどう相互承認されるのか？

現在、IoT機器の製造事業者は、製品の出荷先に応じて各国の異なるセキュリティ法規に対応する必要があり、その負担が大きな課題となっています。
 
JC-STARではこの状況を鑑み、JC-STARの適合状況を活用し、他国の制度への対応を省略または簡略化できる「相互承認」の仕組みの整備を進めています。
これが実現すれば、事業者のセキュリティ対策コストの削減が期待されます。
 
英国のPSTI法とは2026年1月1日から、一定の要件について相互承認の運用が開始されています。
 
シンガポールとの間では、2026年3月18日に、JC-STAR★1のラベル取得に必要な技術基準と、シンガポールのIoTセキュリティ認証制度であるCLSレベル1の取得に必要な技術基準のうちの一部を同等とみなす旨に合意する「IoT製品のためのサイバーセキュリティ制度の相互承認に関する協力覚書」に署名が行われました。
本相互承認は同年6月1日より行われ、CLSレベル1のセキュリティ要件とJC-STAR★1のセキュリティ要件のうち、同等とみなすセキュリティ要件について相互承認し、同等とみなす要件については適合確認手続が免除される形になります。
 
一方、EUのサイバーレジリエンス法(CRA)や米国のU.S. Cyber Trust Markについては、今後の交渉・検討対象として位置付けられています。