JC-STARとは｜★1は自己申告、確かめるのは二次元コードの先

取引先から「うちは★3を目指しています」と言われた。
あるいは、買おうとしているルーターの箱に★1のラベルが付いていた。

このとき、頭に浮かぶのはたぶん同じ疑問です。
その★は、何段階のうちの★なのか。
そして、誰が確かめた★なのか。

いま、★を使う制度が2つ並行して立ち上がっています。
片方は製品に付き、もう片方は会社に付きます。
数え方も違います。

この記事で扱うのは、製品に付くほうです。
JC-STAR という制度で、2025年3月25日から動いていて、2026年9月4日の更新時点で338製品にラベルが出ています。

先に結論を1つ書いておきます。
★1と★2は、メーカーが自分で宣言した星です。
IPAは、その根拠となる書類を見ていない、と自分で書いています。

その★は、製品の星か、会社の星か

JC-STARは、モノに付く星

1つ目が、JC-STARです。
正式名称は「セキュリティ要件適合評価及びラベリング制度」といいます。
運用しているのはIPAです。

何を評価する制度なのかは、こう書かれています。

対象はIoT製品です。
会社ではなく、モノに付く星です。

対象になるのは、IPアドレスでデータをやり取りできる機器です。
インターネットに直接つながらないものでも、別の機器を経由してつながるなら対象になります。
ただし、条件が1つあります。

あとからウイルス対策ソフトを入れられるパソコンやスマートフォンは、ここに入りません。
ルーター、ネットワークカメラ、複合機、そういった機器が対象です。

なお、この制度は「システム」を対象にしていません。
そこは明記されています。

SCS評価制度は、会社に付く星

2つ目が、SCS評価制度です。
正式名称は「サプライチェーン強化に向けたセキュリティ対策評価制度」で、経済産業省が進めています。

対象はこう書かれています。

企業のIT基盤です。
こちらは、会社に付く星です。

この制度については、この連載ですでに1本書いています。
7つの分類と、★3・★4で求められることの中身は、そちらを読んでください。
この記事では、JC-STARと混ざりやすい点だけを扱います。

数え方が違う

ここが、いちばん混乱するところです。

JC-STARの星は、★1から★4まであります。
★1がいちばん基本的な水準です。

一方、SCS評価制度のほうは、★3から始まります。
経済産業省のページには、こう書かれています。

制度の概要資料には、もっとはっきり書かれています。

3段階です。
★3・★4・★5の3つで、★1と★2はこの制度の段階ではありません。

では、SCS評価制度に★1と★2がないのかというと、そうではありません。
制度構築方針の本文には、注記があります。

SECURITY ACTIONは、中小企業が自分でセキュリティ対策に取り組むことを宣言する制度で、一つ星と二つ星があります。
SCS評価制度の★1・★2は、そこを指しています。
つまり、別の制度への参照です。

まとめると、こうなります。

• 「★1を取得しました」と言われたら、JC-STARの話である。SCS評価制度に★1の申請はない

• 「★3を目指しています」と言われたら、会社の話である可能性が高い。ただしJC-STARにも★3はあるので、製品の話かもしれない

• どちらの制度の話なのかを、先に確かめる必要がある

時点が違う

もう1つ、時点の確認をしておきます。

SCS評価制度は、2026年9月時点でまだ申請の受付が始まっていません。

目指す段階です。
だから、いま「うちは★3です」と名乗れる会社は、まだ存在しません。
準備の話として聞くのが正確です。

対してJC-STARは、すでに実物が出回っています。
店頭や製品の箱で実際に目にする可能性があるのは、いまのところJC-STARの星のほうです。

★1と★2は自己申告、★3と★4は第三者

4つの段階の定義

JC-STARの4段階は、IPAがこう定義しています。

★1が全製品共通、★2から先は製品の種類ごとの要件が加わります。
ルーターにはルーターの、ネットワークカメラにはカメラの要件がある、という考え方です。

そして、IPAはこの分かれ目をはっきり書いています。

大別される、という言葉のとおりです。
★2と★3のあいだに、線が1本引かれています。

IPAは、証跡を見ていないと書いている

ここが、この記事でいちばん伝えたいところです。

★1と★2について、IPAは次のように説明しています。

形式は確認する。
中身が正しいかどうかは、確認しない。

制度を運用している当事者が、こう書いています。
同じ段落には、こうもあります。

信頼性はベンダーに依存する。
そのかわり、安く早く取れる。
そういう設計だと明言されています。

PR

ただし、放置されているわけではない

後から検査する仕組みがある

誤解のないように、続きも引いておきます。

出すときは見ない。
かわりに、疑わしいときは後から出させる。取消しもある。
そういうバランスの取り方です。

ラベルを出す前に、政府への照会がある

もう1つ、★1の適合基準のPDFに脚注として書かれていることがあります。

製品の中身は確認しないが、申請してきた相手については照会をかけている、ということです。

実機のテストも、まったくないわけではない

自己評価といっても、書類だけで終わるわけでもありません。

ただし、これは項目によります。
たとえば出荷時パスワードの項目は「ドキュメント評価」だけで、実機テストは「なし」と書かれています。

自分で評価する自信がない場合のために、外部に頼む道も用意されています。
JC-STAR評価機関と、JC-STAR検証事業者です。
どちらに頼んでも★1・★2の評価はできますが、★3以上の評価ができるのは評価機関だけです。

まとめると、★1と★2は「誰も見ていない星」ではありません。
ただ、「第三者が製品を検査した星」でもありません。
その中間にある、という理解が正確です。

いま市場にあるのは、★1だけである

338製品、138社、すべて有効

IPAは、適合ラベルを取得した全製品の一覧を公開しています。

2026年9月4日更新時点の中身を数えました。

• 掲載件数は338件

• ラベル取得事業者は138社

• レベルはすべて★1

• ステータスはすべて「有効」

• 取得日がいちばん古いのは2025年4月24日、いちばん新しいのは2026年8月21日

ステータスが全部「有効」なのには理由があります。
ラベルの有効期間は発行日から2年で、いちばん古い製品の満了日が2027年4月23日だからです。

つまり、最初の期限切れは2027年4月に来ます。
いまはまだ、切れたラベルが1つもない状態です。

★2の受付は、まだ始まっていない

★2はどうなっているか。
申請手続きのページには、こう書かれています。

2026年9月時点でも、この表記のままです。

なお、2025年5月21日のプレスリリースでは、もう少し具体的に書かれていました。

2026年1月以降の予定が、9月になっても始まっていない。
制度の立ち上がりは、だいたいこういう速さで進みます。

★3は、要件は出たが評価ガイドが準備中

★3については、2026年6月に通信機器とネットワークカメラの適合要件が公開されました。

ただし、適合基準・評価手順のページを見ると、どちらの製品類型も「★3（レベル3）評価ガイド」の欄は「準備中」と表示されています。
評価する手順書がまだないので、申請もできません。

結論はこうです。
2026年9月時点で、店頭で見かけうるのは★1のラベルだけです。
★3や★4のラベルが貼られた製品を見かけたら、それはまだあり得ない表示です。

★1が求めているのは、当たり前のことである

出荷時のパスワード

抽象的な話に聞こえるかもしれないので、実際の基準を見てみます。
★1の適合基準は16項目あります。

出荷時のパスワードについては、2つの選択肢のどちらかを満たせばよい、という形になっています。

機器ごとに違うパスワードを付けて出荷するか、最初にユーザーに変えさせるか。
どちらかです。

これを読んで、どう感じるでしょうか。
出荷時のパスワードが全機種共通ではないこと。
当たり前に思える水準です。

そして実際、これまで多くの事故が、この当たり前が満たされていない機器で起きてきました。
★1は、その当たり前を確認するための星です。
出発点であって、到達点ではありません。

情報を渡す義務

もう1つの柱が、メーカーから利用者への情報提供です。
セキュリティ要件の17番は、この分類にあたります。

主語はいずれも製造業者です。
この制度は、メーカーに対して「利用者に情報を渡せ」と求めるものであって、利用者に義務を課すものではありません。

ただし、渡される側がいて初めて意味を持ちます。
そして、その点についてはIPA自身が利用者向けの案内を書いています。

買ったあとに、何をするか

IPAの「適合ラベルの確認方法」には、利用者向けの項目が4つ並んでいます。
要点だけ書き出します。

• 初回設定でパスワードを変えるとき、推測されにくいものにする

• ファームウェアが最新でなければ更新する。自動更新の機能があるなら有効にしておく

• 使わない機能は有効にしない

• サポートが終了した製品は買い替えを検討する

3つ目は見落とされがちですが、理由も書かれています。

4つ目については、判断の材料が用意されています。

ラベルのステータスを見れば、その製品がまだサポートされているかが分かる。
これは、買ったあとにも使える確認手段です。

実務で問題になるのは、2つ目です。
アップデートの案内は、たいてい登録したメールアドレス宛に来ます。
その宛先が退職した人のものだったり、誰も見ていない共有アドレスだったりすると、届いても読まれません。

これは、前に扱った証明書の期限切れとまったく同じ形の事故です。
仕組みは用意されていて、受け取る側で止まっています。

ラベルが本物かどうかを、どう確かめるか

見るのは見た目ではなく、行き先

ラベルには3つのものが入っています。

★の数と登録番号は、印刷しようと思えば誰でも印刷できます。
実務で効くのは、3つ目です。

IPAは、確かめ方をここまで具体的に書いています。

偽のラベルを作るのは簡単ですが、ipa.go.jp のドメインに偽のページを置くことはできません。
だから、確かめるべきなのは見た目ではなく、行き先です。

なお、サーバ証明書の「組織」まで見る、というのは、この連載で前に扱った話とつながります。
鍵マークが出ているかどうかではなく、誰に対して発行された証明書かを見る、ということです。

型番と、値段

IPAは、ほかに2つの可能性も挙げています。

1つは、正規のラベルが偽造品・模倣品に貼られている場合です。

もう1つは、対象になっていない製品に貼られている場合です。
ベンダー側の手違いで起こりうる、と書かれています。

製品情報ページには対象の型番が並んでいるので、そこに手元の型番があるかを見ます。
同じシリーズでも、型番が違えば対象外ということがあります。

電子データのラベルについては、別の確かめ方があります。

「JC-STAR適合予定」は、認められていない

営業資料やカタログに「JC-STAR取得予定」と書かれていることがあります。
これについては、IPAがはっきり書いています。

認めていない、と書かれています。
受理番号を受け取ったあとで案内したい場合は、仮登録番号を取る手続きがある、とも書かれています。

そして、こう続きます。

不正な表示、という言葉が使われています。
見かけた場合の連絡先も、同じページに書かれています。

選ぶ側の手順は、単純です。

• IPAの取得製品リストに載っているか

• ラベルの二次元バーコードが jc-star.ipa.go.jp のページに飛ぶか

• そのページで、レベルとステータスと型番が確認できるか

この3つが揃って、初めて「取得済み」です。
揃わないうちに社内の稟議書へ「取得済み」と書くと、あとで直すのは面倒です。

ラベルは、何を保証していないのか

IPAが禁じている言い方が、4つ書かれている

適合ラベルの利用ガイダンスには、メーカーが言ってはいけないことが例示されています。

この4つは、事実と異なる表示にあたるとされています。

逆に、正しい言い方の例も並んでいます。
その最後の1行が、この制度の限界そのものです。

営業資料に上の4つのどれかが書いてあったら、それは制度の側が禁じている表現です。
そこを見分けるだけでも、判断の材料になります。

想定していない脅威は、考慮されていない

もう1つ、限界についての説明があります。

★の数は、汎用的な物差しです。
自社の使い方で想定される脅威が、その物差しに入っているかどうかは、選ぶ側が考える話として残ります。

第三者評価の★3・★4についても、同じ注意が書かれています。

一次資料の中にも、時点のずれがある

最後に、資料を読むときの注意を1つ。

JC-STARの「詳細情報」のページには、相互承認についてこう書かれています。

ところが制度のトップページを見ると、2025年11月6日に英国のPSTI法と、2026年3月18日にシンガポールのCLSと、それぞれ相互承認の覚書に署名したことが書かれています。
申請手続きのページにも、両制度の相互承認申請の案内が載っています。

なぜ食い違うのか。
詳細情報のページの最終更新日が2025年3月28日のままだからです。

もう1つ、この記事で引用したページ自体にも、同じずれがあります。
IPAは2026年6月5日に、英語名称を「Information-technology Promotion Agency, Japan」から「Innovation Platform Agency, Japan」へ変更しました。
日本語の法人名称「独立行政法人情報処理推進機構」と略称「IPA」は変わっていません。
ところが「適合ラベルの確認方法」のページは、下部の著作権表示が新しい英語名になっている一方で、上に引用した確認手順は旧英語名のままです。
2026年9月時点では、jc-star.ipa.go.jp のサーバ証明書の組織名も旧英語名のままなので、引用のとおりに確かめられます。
証明書が更新された後は、新しい英語名に変わる可能性があります。

公的機関のページであっても、ページごとに更新の時点が違います。
日付を見ずに引くと、こうした古い記述をそのまま持ってきてしまいます。

まとめ

• ★を使う制度は2つある。JC-STARは製品に付く星でIPAが運用し、SCS評価制度は会社に付く星で経済産業省が進めている

• JC-STARの星は★1から★4。SCS評価制度は★3・★4・★5の3段階で、★1・★2は別制度の「SECURITY ACTION」を参照するよう書かれている

• SCS評価制度は2026年度末頃の開始を目指す段階で、いま★3を名乗れる会社はない

• JC-STARの★1と★2はメーカーの自己適合宣言。IPAは形式は確認するが、証跡の提出は求めず、内容が正しいかを自ら確認するものではないと明記している

• ただし証跡の保管義務があり、疑義が生じれば事後的に検査があり、取消しもある。ラベル発行前には政府関係機関への照会もある

• ★3と★4は独立した第三者評価機関が評価する。★2と★3のあいだに線が1本引かれている

• 2026年9月4日更新時点の取得製品リストは338件、138社、すべて★1、すべて「有効」。最初の期限切れは2027年4月に来る

• ★2の受付はまだ始まっていない。★3は適合要件が公開されたが、評価ガイドは準備中

• ★1の適合基準は16項目。出荷時パスワードは、機器ごとに一意にするか、初回に変更を強制するかのどちらか

• ラベルが本物かは、二次元バーコードの行き先で見る。jc-star.ipa.go.jp で始まっているか、サーバ証明書の組織がIPAか、型番が一致しているか

• 「JC-STAR適合予定」「適合ラベル取得申請中」は、仮登録番号の記載がなければIPAが認めていない表示である

• IPAは「完全なセキュリティを提供している」「脆弱性がないことが確認された」「公的なお墨付きを得ている」「どんな利用環境でも安全に利用できる」の4つを、事実と異なる表示として挙げている

最後に1つ付け加えます。

この制度は、選ぶ側が自分で確かめる作業を、ゼロにするものではありません。
確かめる手間を、二次元バーコードを1回読み取るところまで小さくするものです。

その1回を省くと、制度があってもなくても同じことになります。

皆さんの会社の調達では、機器のラベルが「いま有効か」を確かめる手順が決まっているでしょうか。

参考・引用元

IPA（JC-STAR）

• IPA「セキュリティ要件適合評価及びラベリング制度（JC-STAR）」 https://www.ipa.go.jp/security/jc-star/index.html

• IPA「セキュリティラベリング制度（JC-STAR）についての詳細情報」（最終更新日2025年3月28日） https://www.ipa.go.jp/security/jc-star/detail.html

• IPA「適合ラベルの確認方法」（最終更新日2026年5月13日） https://www.ipa.go.jp/security/jc-star/label-description.html

• IPA「適合ラベルの利用ガイダンス」 https://www.ipa.go.jp/security/jc-star/guidance/index.html

• IPA「★１と★２の新規申請手続き」 https://www.ipa.go.jp/security/jc-star/shinsei/shinki-1-2/index.html

• IPA「適合ラベル取得製品リスト」（最終更新日2026年9月4日） https://www.ipa.go.jp/security/jc-star/list/jc-star-product-list/index.html

• IPA「★3（レベル3）適合基準・評価手順（評価手法・評価ガイド）」 https://www.ipa.go.jp/security/jc-star/tekigou-kizyun-guide/label3/index.html

• IPA「セキュリティ要件適合評価及びラベリング制度（JC-STAR）★1（レベル1）適合基準・評価手法（1.1版）」（令和6年12月、全38ページ） https://www.ipa.go.jp/security/jc-star/tekigou-kizyun-guide/label1/begoj90000004zgc-att/JC-STARlevel1_tekigoukizyun_hyouka.pdf

• IPA「「セキュリティラベリング制度（JC-STAR）」★1適合ラベルの交付を開始」（2025年5月21日） https://www.ipa.go.jp/pressrelease/2025/press20250521.html

• IPA「プレス発表 ブランドアイデンティティの刷新について」（2026年6月5日） https://www.ipa.go.jp/pressrelease/2026/press20260605-2.html

経済産業省（SCS評価制度）

• 経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」（最終更新日2026年5月20日） https://www.meti.go.jp/policy/netsecurity/scs.html

• 経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針（概要）」 https://www.meti.go.jp/policy/netsecurity/docs/scs/scs_1.pdf

• 経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針（本文）」（全40ページ） https://www.meti.go.jp/policy/netsecurity/docs/scs/scs_2.pdf

実務で使う書式について

この連載の内容を、社内でそのまま使える書式にまとめたものを、別のマガジンで公開しています。
規程のひな形、対応フロー、チェックシート、報告書式などです。

実務で使う書式・キット
https://note.com/yunta_fukurou/m/mfc25857fab40

関連する記事

会社に付くほうの星は、別の記事で詳しく扱っています。
7つの分類と、★3・★4でそれぞれ求められることをまとめています。
https://note.com/yunta_fukurou/n/n5d7f3ef6199f

サーバ証明書の「組織」を見る、という確かめ方は、こちらで扱っています。
有効期間の上限が短くなっていく話と、期限の数え方をまとめています。
https://note.com/yunta_fukurou/n/n30db220f551f

ルーターは、★3の適合要件が最初に公開された2つの製品類型の1つです。
選び方と、カタログの数字の読み方は、別の記事で扱っています。
https://note.com/yunta_fukurou/n/n3551cc36bb7f

管理画面を持つ機器そのものの選び方と点検は、こちらで扱っています。
機器を1台足す前に確かめる3点をまとめています。
https://note.com/yunta_fukurou/n/n8483037cfd1d

製品の正式な名前を聞かれる場面は、別の制度の側にもあります。
2026年10月1日に始まる届出で、製品名と製造者名がそのまま求められる話をまとめています。
https://note.com/yunta_fukurou/n/nff2a82d4a335