JC-STAR普及に向けた政府動向とSecure by Demandによる製造メーカーへの影響

JC-STARに関する政府機関・地方公共団体に向けた動き：新たなセキュリティ要件としての取り扱い

経済産業省およびIPAでは、「IT製品の調達におけるセキュリティ要件リスト⁵」および「IT製品の調達におけるセキュリティ要件リスト活用ガイドブック⁶」の改定が進められています⁷。これらの文書は、2025年4月現在における最新版の発行が2018年となっていることから、セキュリティ要件として新たにJC-STARを追加しつつ、既存のセキュリティ要件であるCommon Criteria（CC）によるCollaborative Protection Profile（cPP）についても現在の動向を踏まえた改定が行われ、さらに製品分野も従来の11製品分野に加えて、IoT製品が追加される見込みです（図表2）。

図表2：IT製品の調達におけるセキュリティ要件リストに掲載されている製品種別
^{※★がついている製品種別はJC-STARの対象となり得る製品}

今後、調達元は改定された要件リストを参照し、JC-STARをはじめとしたセキュリティ要件を設定することになることが期待されます。なお、セキュリティ要件として従来どおりcPPが併記される製品分野について、現時点では、必ずしもJC-STARが必須要件になるとは言い切れない一方で、cPPとJC-STARでは想定している脅威が完全に一致しているわけではないため、調達者は、よりセキュアな製品調達をするためにそれらを組み合わせたセキュリティ要件を提示する可能性があります。その他、従来の製品分野に分類できない製品は、原則IoT製品に分類されることとなり、その場合はJC-STARが必須要件になることが予想されます（ネットワークカメラをはじめとした特定用途機器⁸など）。

なお、当該文書は主に政府機関にだけでなく、一般企業における製品調達時にも活用することができます。

また、地方公共団体の情報セキュリティに関する指針である、「地方公共団体における情報セキュリティポリシーに関するガイドライン」は、総務省の検討会の中で改定が進められています。同ガイドラインは、自治体への意見照会、パブリックコメントによる意見公募を経て2025年度内の公開を目指すとしています（検討会第16回資料より⁹）。

これにより、2025年4月以降の各自治体などの地方公共団体によるIoT製品調達は、JC-STARの取得あるいは取得見込み製品であることが要件となることが予想されます。

JC-STAR制度の申請受付開始と、IoT製品メーカーへの提言

いよいよJC-STAR制度による★1の申請受付が2025年3月より開始されました。受付開始にあわせてガイドラインをはじめとしたさまざまな文書の改定・公開が進められており、政府機関・地方公共団体をはじめとした組織も今後の製品調達の際に、同制度をセキュリティ要件として設定することが予想されます。この動きは民間企業においても、前述のとおり周知活動が進められていることから、同様に普及していくものと考えられます。

そのため、特にこれまで紹介・解説したガイドラインなどに記載あるいは、関連のあるIoT製品のメーカーは、政府機関や地方公共団体などの組織からの調達要件に対応できるよう、改めてJC-STARの基準および申請方法について確認し、必要に応じて対応準備を進めることを推奨します。

現在は政府機関や地方公共団体、民間企業における調達を中心に、ガイドラインの整備や周知活動が進んでいますが、今後、この流れは一般消費者に向けても、何らかの形で周知活動が行われていくものと予想されます。こうした動きが加速し、市場における認知度向上に伴って、適合ラベルによって可視化された製品が市場競争力の有効性を増すとともに、こうした製品をユーザーが積極的に選ぶことでユーザー自身のセキュリティリスクを回避するだけでなく、インターネット社会全体のセキュリティ向上につながることが期待されます。