JC-STAR セキュリティ要件適合評価サービス
JC-STARの適合基準および評価ガイドに基づき、IoT製品のセキュリティ要件理解、ドキュメント評価、実機テスト、チェックリスト・証跡の作成を支援します。
JC-STAR対応で、このようなお悩みはありませんか？
JC-STARへの対応では、対象製品の判断だけでなく、適合基準の読み解き、製品仕様との照合、実機テスト、チェックリストや証跡の作成など、技術面と文書面の両方で準備が必要になります。
自社製品がJC-STARの対象になるか判断できない
JC-STARは、インターネットと通信する幅広いIoT製品が対象です。ただし、クラウドサービスと組み合わせる製品や、PC・タブレットベースの製品、通信モジュールなどは、構成や利用方法によって判断が異なります。対象可否や評価・申請の単位が分からない場合は、まず製品の仕様や構成を整理する必要があります。
適合基準や評価ガイドの内容を理解するのが難しい
JC-STARでは、セキュリティ要件に加え、適合基準や評価手法・評価ガイドが定められています。自社製品に該当する要件や、必要な評価・証跡を判断するには、各文書を正しく読み解く必要があります。
実機テストを実施できる設備や技術者が不足している
★1では、文書を確認するドキュメント評価に加え、製品を操作・検証する実機テストも行います。総当たり攻撃への対策やアップデート機能、データ削除機能などを確認するため、社内に環境や技術者が不足している場合は、外部への依頼も可能です。
チェックリストの記載方法や判定根拠が分からない
適合ラベルの申請では、評価結果を「適合」「非適合」「対象外」で判定し、根拠をチェックリストに記載します。製品仕様書やマニュアル、設定画面、試験結果などを用いて、適合基準を満たしていることを説明できる状態にする必要があります。
評価結果の証跡をどのように残せばよいか分からない
★1の自己適合評価では、チェックリストの判定を裏付ける証跡を準備します。申請時に提出しない場合でも、有効期間中は保管が必要です。IPAから提出を求められた際に確認できる形で整理しておくことが重要です。
必要な評価・試験だけを外部に依頼したい
すべてを依頼するだけでなく、ドキュメント評価は社内で行い、実機テストのみを外部へ依頼したい場合もあります。当社では、要件理解、フル試験、実機テストのみなど、準備状況に応じて必要なメニューを選択いただけます。
JC-STARとは
JC-STARは、「Labeling Scheme based on Japan Cyber-Security Technical Assessment Requirements」の略称で、IoT製品のセキュリティ機能を共通の基準で評価・可視化する日本の制度です。 ETSI EN 303 645やNISTIR 8425などの国内外の規格とも調和しながら、独自の適合基準に基づいて製品の適合性を確認します。制度はIPAが運営しており、適合が認められた製品には、二次元バーコード付きの適合ラベルが付与されます。
IoT製品のセキュリティ対策を評価・可視化する制度
IoT製品には、認証、ソフトウェアアップデート、通信の保護、脆弱性対応など、さまざまなセキュリティ対策が求められます。一方で、製品を購入・調達する側からは、製品にどのようなセキュリティ機能が備わっているのかを外部から判断することが難しいという課題があります。JC-STARは、共通の適合基準に基づいて製品のセキュリティ機能を評価し、その結果を適合ラベルによって分かりやすく示すことを目的としています。
JC-STARの★1から★4までの評価レベル
JC-STARでは、求められるセキュリティ水準や製品類型に応じて、★1から★4までのレベルが設定されています。
| ★1（レベル1） |
|---|
| 製品類型を問わず、IoT製品に共通して求められる最低限のセキュリティ要件を定めたレベルです。 |
| ★2（レベル2） |
| ★1の要件に加えて、製品類型ごとの特徴を考慮した基本的なセキュリティ要件を定めたレベルです。 |
| ★3・★4（レベル3・4） |
| 政府機関、重要インフラ事業者、地方公共団体、大企業などの重要なシステムでの利用を想定し、より高い水準のセキュリティ要件を定めたレベルです。 |
自己適合宣言と第三者評価の違い
★1と★2は、IoT製品ベンダーが適合基準・評価手順に基づいて自己評価を行い、その結果を記載したチェックリストを基に、IPAが適合ラベルを付与する自己適合宣言方式です。★3と★4は、独立した第三者評価機関による評価報告書に基づき、IPAが認証および適合ラベルの付与を行う仕組みです。
JC-STAR適合ラベルを取得するメリット
適合ラベルを取得することで、製品がJC-STARで定められた適合基準に基づいて評価されていることを、調達者や利用者に分かりやすく示すことができます。製品選定時にセキュリティ対策の状況を確認しやすくなるほか、製品情報、評価結果、セキュリティ情報、問い合わせ先などを二次元バーコードから確認できるようになります。ただし、適合ラベルは製品に脆弱性が存在しないことや、完全なセキュリティを保証するものではありません。定められた適合基準への適合を示す制度であることを正しく理解し、表示・説明する必要があります。
JC-STARスケジュール（予定）
JC-STAR セキュリティ要件適合評価サービスメニュー
現在は、JC-STAR★1の適合基準および評価ガイドに基づくサービスを提供しています。
制度の内容を理解するための解説から、ドキュメント評価、実機テスト、チェックリスト・証跡の作成まで、お客様の対応状況に応じたメニューをご案内します。
★1 セキュリティ要件適合評価サービス
★1は、製品類型を問わず、IoT製品に共通して求められる最低限のセキュリティ要件を定めたレベルです。
IoT製品ベンダーが適合基準・評価手順に基づいて自己評価を行い、その結果を記載したチェックリストを基に、IPAへ適合ラベルを申請します
| JC-STAR★1要件理解 |
|---|
| ★1の適合基準および評価ガイドラインに基づき、求められるサイバーセキュリティ要件について、2～3時間で分かりやすく解説します押さえておきたいポイントをご説明します。 |
| フル試験 |
| ★1の適合基準と評価ガイドラインに基づき、対象機器のドキュメント評価・実機テストを実施し、チェックリスト及び証跡(エビデンス)を作成いたします。 |
| 実機テスト試験 |
| ★1の適合基準と評価ガイドラインに基づき、対象機器の実機テストのみ実施いたします。実機テストの項目のみ、チェックリスト及び証跡(エビデンス)を作成いたします。 |
| 【オプション】報告会 |
| 評価・試験の実施後、結果の内容や確認事項についてご説明する報告会を実施します。 |
※現在は★1に対応したサービスを提供しています。今後、各レベルの適合基準・評価手順の整備状況および当社の対応準備に応じて、サービスメニューを順次追加予定です。
サービス価格
費用は、対象製品の機能や構成、必須付随サービスの有無、評価環境の構築方法、資料の準備状況、評価範囲などによって異なります。また、要件理解、フル試験、実機テスト試験など、ご希望のメニューに応じたご案内となりますので、詳細費用は、製品情報やご希望の対応範囲を確認したうえでご提示させていただきます。
IoT機器試験サービス
 |
|---|
| 『CRA対策支援サービス』 |
| 欧州で販売される「デジタル要素を有する製品」に対し、サイバーセキュリティ対応を義務付けるCRA（欧州サイバーレジリエンス法）の対応をご検討のお客様へ、支援メニューをご提案いたします。 |
 |
| 『IoTセキュリティ診断』 |
| IoT 機器に対して適切と思われる診断プランをもとに、セキュリティのテスト手法を駆使して網羅的な診断を実施します。 |
 |
| 『EN 18031 に準拠した試験サービス』 |
| 欧州のRE指令のセキュリティ要件を満たす EN 18031の対応をご検討のお客様へ、本サービスをご提案いたします。 |
 |
| 『脆弱性管理支援サービス』 |
| オーダーメイドでSBOMの脆弱性調査から評価報告までの運用管理をサポートします。 |
SBOMツール
 |
|---|
| 『ONEKEY』 |
| バイナリひとつで製品の自動解析を行うSaaSプラットフォームツール
・SBOMの自動生成・リバースエンジニアリング・脆弱性リアルタイム監視 |
 |
| 『SBOM.JP』 |
| 共有フェーズ以降にフォーカスし、SBOM管理に必要な機能および脆弱性管理機能を提供します。 |
JC-STARへの対応をご検討の方へ
JC-STARへの対応にあたり、対象製品や必要な評価・試験の範囲を整理します。
実機テストのみ、チェックリスト・証跡作成を含むご相談にも対応します。
導入事例 一覧
LOADING...
セキュアイノベーション サービス一覧
