JC-STARが調達の条件に変わりはじめた

情報基準日 2026年10月3日　本文の制度情報は一次資料の記載にもとづく整理です

評価の対象は組織の体制ではなく、機器そのものである。運営を担うのは独立行政法人情報処理推進機構（IPA）で、定められたセキュリティ要件を満たしているかどうかを、製品の型式ごとに確かめる。会社として情報セキュリティの認証を持っていても、納める機器の評価にはならない。逆に、機器がラベルを持っていても、それは会社の管理体制を語らない。

調達の実務では、この二つが別々の書類として届く。取引先の管理体制を問うものと、納入される機器の要件を問うものである。JC-STARが答えるのは後者になる。機器を納める側から見れば、自社の製品そのものが問われる位置に置かれる。

対象になるのは、次の3つをすべて満たす製品である。どれか一つでも欠ければ、制度の枠の外に出る。

PCやスマートフォンのような汎用の情報機器は、3つを満たしていても対象から外れている。想定されているのは、決まった用途を持って現場に据え付けられる機器のほうである。制御装置、監視装置、ゲートウェイ、計測器。納入先の設備の一部になるものが、この制度の主な相手になる。

適合ラベルは4つの段階に分かれる。★1（レベル1）と★2（レベル2）は事業者自身による自己適合宣言で、★3（レベル3）と★4（レベル4）は第三者による認証となる。段階が上がるほど要件は細かくなり、評価に第三者が入る分だけ手続きも重くなる。

★1の有効期間は交付の日から最大2年で、続けるには更新の申請が要る。取得した時点で終わりではなく、要件を満たした状態を保てているかどうかを、期間ごとに問い直す設計になっている。

以下は、電力分野の系統連系に関する資料で示された取得要求の範囲を整理したものである。JC-STAR制度全体の対象製品を判定する図ではない。対象設備との接続関係を構成図で確認し、個別の適用は一般送配電事業者と納入先に確認する。

どの領域に当たるかは、製品の仕様書ではなく、自社のネットワーク構成図の上で確かめることになる。

制度の位置づけが最初に動いたのは電力分野である。系統につながる設備に納める機器について、★1の取得を求める記述が規程改定案に書き込まれた。任意の取り組みだったラベルが、契約の可否を左右する条件へ性格を変えたことになる。資源エネルギー庁は、一般送配電事業者の系統連系技術要件を2026年度内に改正し、2027年4月以降に順次適用すると案内している。以下は2026年10月3日に確認した公的資料にもとづく。

1. 01

   任意の取得

   制度の開始からの前提。取得するかどうかは事業者が決める。

2. 02

   調達要件化の方針

   電力分野で、納入される機器への要求として規程改定案に書き込まれる。

3. 03

   契約条件への反映

   2027年4月以降、電源種別ごとの時期に順次適用される。契約申込みと対象機器の設置・交換条件を確認する。

適用の時期は電源の種類で分かれている。太陽光発電と蓄電池は、特別高圧と高圧が2027年4月、低圧50kW未満が2027年10月となる。低圧が遅いのは、流通している在庫を踏まえた経過措置による。風力発電は2027年4月で、外部通信との結節点になるゲートウェイのファイアウォール、またはこれと同等の防御機能を持つ機器から先に要件化される。風力は他の電源種よりIP通信を用いる機器が多く、すべてを同時に対応させるには時間がかかると整理されたためである。燃料電池はPCSを用いる形式が対象で、PCSを介して連系するガスエンジンも含む。適用は2028年4月で、必要に応じて経過措置の導入が検討される。

資源エネルギー庁は、2027年3月末までに契約申込みの受付が完了している対象設備や、既設設備で使用中の対象機器について、遡及適用によって直ちに系統接続ができなくなることはないと説明している。一部の対象機器だけを交換する場合、交換しない既設機器にはこの要件は適用されない。

計画書には、取得製品への交換が難しい具体的理由と根拠、交換対象をすべて取得製品に切り替える実行予定年などの期限、それまでに行うサイバーセキュリティ対策を記載する。自己判断で例外を適用せず、電源種別の適用時期と個別条件を一般送配電事業者に確認する。

要求の主語は調達側へ移った。ラベルの有無は制度の審査ではなく、日々の商談と見積の場で問われるようになる。同じ動きが自分の分野で起きるかどうかは、納入先の調達仕様に何が書かれるかで決まる。電力は、その最初の一例である。

JC-STARはIoT製品を、SCS評価制度は組織のIT基盤を評価する。どちらも、取得しただけで工場全体の安全な運用が完成するわけではない。製品の評価と組織の対策に加え、現場では接続先や利用者の権限、記録の管理を具体化する必要がある。以下の図は、二つの制度と現場で整える運用の関係を当社が整理したものである。

SCSでは製造環境等のOTシステムを適用範囲に含めない一方、IT基盤との境界を構成する機器は対象となる。JC-STARはシステム全体を評価する制度ではないが、制御システムで使う個々のIoT製品は要件によって対象となる。工場で使う機器が一律に対象外という意味ではない。

★1が求めるのは、機器そのものが備えるべき基礎の要件である。初期設定の保護、利用者の認証と権限、ソフトウェアを更新する手段、通信とインタフェースの保護、攻撃を受ける面を減らすこと、機密情報の保存、利用者のデータを消す手段、安全に設定して使い廃棄するための情報提供。8つの区分に整理された16の項目が中身になる。並べてみると、どれも設計と製造の段階で機器へ作り込める性質を持っている。

二つの範囲を分けているのは、機器の出荷時に決まる性質か、運用の中で日々変わる性質かという違いである。初期設定の保護も、更新の仕組みも、出荷までに載せて出せる。しかし来月どの保守員がどの装置に入るかは、出荷の時点では誰にも決められない。調達側が問う形も、この二つを分けたものになっていく。機器の要件はラベルで、運用の統制は納める側の実装と記録で答えることになる。

右側にあるものは、制度の不足ではない。★1は基礎の水準を対象製品の全体へ行き渡らせるための段階であり、想定される脅威をすべて包含する設計にはなっていない。資源エネルギー庁の資料も、太陽光発電や蓄電池に想定される脅威への対策を★1がすべて含むわけではないと整理している。上位の段階と、運用の側で講じる対策が続くことを前提にしている。

★1にも製品の認証やアクセス制御に関する要件がある。そのうえで、実際の保守担当者にどの設備への接続を許し、いつ権限を解除するかは、製品の機能を使って運用側が決める。適合ラベルの取得と、現場ごとのアクセス管理は併せて進める必要がある。

その仕事は、外部からの接続を統制するという一語に収まる。中身は3つの側面に分かれる。

3つは別々の機能ではない。外部からの接続を一つの経路に束ねるからこそ、主体を特定でき、権限を分けられ、記録が残る。経路が装置ごとに分かれ、委託先ごとに増えていく状態では、どれか一つだけを整えることができない。誰が入ったかを記録しようとしても、記録の取れない経路が別に生きていれば、その記録は全体を語らない。統制は経路の数だけ薄まる。

Secomeaのリモートアクセスは、現場側のSiteManagerと、クラウド側のSecomea Prime / GateManagerでこの3つの側面を実装する。単位は常に装置であり、拠点でも回線でもない。誰がどの装置へ、どの期間、どの権限で入れるかを一つの管理画面で決め、接続の事実を記録として残す。調達側が問う外部接続の統制を、製品の標準の機能で支援する。

導入の形は、装置1台からでも、既存の保守体制の中へ段階的に組み込む形でも選べる。現場の機器を入れ替える必要はない。いま使っている装置の手前に置いて、経路を束ねる構成が取れる。適合の評価と並行して進められるのは、この仕事が機器の設計とは別の層にあるためである。

• 装置メーカー（OEM）：納入先の統制要求に遠隔保守で応える
• 工場：複数拠点の保守接続を一つに束ねる
• 委託先：一時的なアクセスを範囲を限って許す

リモートアクセス製品の詳細を見る

JC-STARの適合評価は、段階によって主体が異なる。★1と★2は事業者による自己適合宣言で、★3以上が第三者による認証となる。この違いは制度の設計であり、優劣ではない。そのうえで、制度の現在地と、当社がこれまで受けてきた評価を、混ぜずに並べておく。

2026年10月1日更新のIPA公開リストでは、Secomea名義の掲載は確認できなかった。製品ごとの取得状況は、最新の登録一覧と型番で確認する必要がある。一方で、8,000社以上の採用と100,000ユーザ以上の利用の土台には、製品の要件だけでなく開発の進め方そのものを第三者が確かめてきた経緯がある。ラベルの取得状況と第三者評価の実績は、別の軸として読める状態にしておいたほうが、調達の場では話が早い。どちらか一方で他方を代弁させると、確かめたいことが確かめられなくなる。

今回集計した登録が全件★1であることは、制度の立ち上がりの位置を示している。★3以上の要件は製品の類型ごとに整備が進んでいる段階で、これから分布は変わっていく。当社もこの制度を、機器と調達をつなぐ共通の言葉として重く見ている。機器の側で答えられることと、接続の統制で答えること。これからの調達では、その両方が並んで問われる。

• IPA　セキュリティ要件適合評価及びラベリング制度（JC-STAR）　制度ページ
• IPA　適合ラベル取得製品の公表一覧
• IPA　★1の適合基準と評価手順
• 資源エネルギー庁　電力分野のサイバーセキュリティ
• 資源エネルギー庁　分散型電源のサイバーセキュリティ対策について
• 資源エネルギー庁　よくあるご質問
• 電力広域的運営推進機関　第21回グリッドコード検討会　資料4
• IPA JC-STAR ★1 適合基準・評価手法（1.1版）
• IPA SCS評価制度の制度構築方針
• Secomea IEC 62443-4-1認証書
• Secomea 第三者監査の案内
• Secomea 導入企業数・ユーザ数

制度の評価範囲・評価方式、登録集計、Secomeaの認証・実績は2026年10月3日に再確認。電源種別の適用日程は第21回グリッドコード検討会資料4と照合した。受付済み設備・交換時の原則と例外条件は資源エネルギー庁の制度案内本文と照合した。個別案件の適用は一般送配電事業者への確認を要する。