JC-STARが調達の条件に変わりはじめた

評価の対象は組織の体制ではなく、機器そのものである。運営を担うのは独立行政法人情報処理推進機構（IPA）で、定められたセキュリティ要件を満たしているかどうかを、製品の型式ごとに確かめる。会社として情報セキュリティの認証を持っていても、納める機器の評価にはならない。逆に、機器がラベルを持っていても、それは会社の管理体制を語らない。

評価の単位

機器（製品の型式）

運営機関

IPA

確かめること

定められたセキュリティ要件への適合

調達の実務では、この二つが別々の書類として届く。取引先の管理体制を問うものと、納入される機器の要件を問うものである。JC-STARが答えるのは後者になる。機器を納める側から見れば、自社の製品そのものが問われる位置に置かれる。

対象になるのは、次の3つをすべて満たす製品である。どれか一つでも欠ければ、制度の枠の外に出る。

パソコンやスマートフォンのような汎用の情報機器は、3つを満たしていても対象から外れている。想定されているのは、決まった用途を持って現場に据え付けられる機器のほうである。制御装置、監視装置、ゲートウェイ、計測器。納入先の設備の一部になるものが、この制度の主な相手になる。

適合ラベルは4つの段階に分かれる。★1（レベル1）と★2（レベル2）は事業者自身による自己適合宣言で、★3（レベル3）と★4（レベル4）は第三者による認証となる。段階が上がるほど要件は細かくなり、評価に第三者が入る分だけ手続きも重くなる。

有効期間は交付の日から最大2年で、続けるには更新の申請が要る。取得した時点で終わりではなく、要件を満たした状態を保てているかどうかを、期間ごとに問い直す設計になっている。

自社が納める機器が対象に当たるかどうかは、製品の名称でも用途でも決まらない。決めるのは、その機器がIP通信の機能を持つかどうかと、設備の中でどこにつながっているかである。電力分野の規程改定案と公的な説明資料には、その線の引き方が書かれている。

どの領域に当たるかは、製品の仕様書ではなく、自社のネットワーク構成図の上で確かめることになる。

制度の位置づけが最初に動いたのは電力分野である。系統につながる設備に納める機器について、★1の取得を求める記述が規程改定案に書き込まれた。任意の取り組みだったラベルが、契約の可否を左右する条件へ性格を変えたことになる。2026年8月の時点で正式な改定はまだ行われていない。以下は改定案と公的な説明資料の記載にもとづく。

1. 任意の取得

   制度の開始からの前提。取得するかどうかは事業者が決める。

2. 調達要件化の方針

   電力分野で、納入される機器への要求として規程改定案に書き込まれる。

3. 契約条件への反映

   施行は2027年4月1日で、それ以降に契約申込みが受け付けられた設備から適用される。適用の時期は電源の種類ごとに分かれている。

適用の時期は電源の種類で分かれている。太陽光発電と蓄電池は、特別高圧と高圧が2027年4月、低圧50kW未満が2027年10月となる。低圧が遅いのは、流通している在庫を踏まえた経過措置による。風力発電は2027年4月で、外部通信との結節点になるゲートウェイのファイアウォール、またはこれと同等の防御機能を持つ機器から先に要件化される。風力は他の電源種よりIP通信を用いる機器が多く、すべてを同時に対応させるには時間がかかると整理されたためである。燃料電池は2028年4月となる。

起点になるのは、契約申込みが受け付けられた時点である。申込書を送った日でも、設備が完成した日でも、運転を始めた日でもない。2027年3月末までに受付が完了している設備と、すでに使われている機器には遡って適用されない。ただし施行後に既設の機器をIP通信の機能を持つ機器へ交換する場合は、交換する機器に★1を取得した製品が求められる。同じ機器への交換であっても、軽微な変更としては扱われない。リプレースの案件が、実際には最初の分かれ目になる。

要求の主語は調達側へ移った。ラベルの有無は制度の審査ではなく、日々の商談と見積の場で問われるようになる。同じ動きが自分の分野で起きるかどうかは、納入先の調達仕様に何が書かれるかで決まる。電力は、その最初の一例である。

機器を評価するJC-STARに対して、組織の側を評価する制度がある。サプライチェーン強化に向けたセキュリティ対策評価制度、略してSCS評価制度である。取引先の情報セキュリティ対策の水準を、供給網の全体で共通の物差しに載せる仕組みで、運営はこちらもIPAが担う。二つを一枚の地図に置くと、間に空白が現れる。

製造環境などの制御システムは、いずれの制度も直接の対象としていない。供給網の全体で対策を共通化することが難しいため、他の制度やガイドラインにもとづく対策が想定されている。この空白は当社が描いたものではなく、制度の側が引いた線である。機器のラベルと組織の評価を揃えても、その間をつなぐ運用は残る。

★1が求めるのは、機器そのものが備えるべき基礎の要件である。初期設定の保護、利用者の認証と権限、ソフトウェアを更新する手段、通信とインタフェースの保護、攻撃を受ける面を減らすこと、機密情報の保存、利用者のデータを消す手段、安全に設定して使い廃棄するための情報提供。8つの区分に整理された16の項目が中身になる。並べてみると、どれも設計と製造の段階で機器へ作り込める性質を持っている。

二つの範囲を分けているのは、機器の出荷時に決まる性質か、運用の中で日々変わる性質かという違いである。初期設定の保護も、更新の仕組みも、出荷までに載せて出せる。しかし来月どの保守員がどの装置に入るかは、出荷の時点では誰にも決められない。調達側が問う形も、この二つを分けたものになっていく。機器の要件はラベルで、運用の統制は納める側の実装と記録で答えることになる。

右側にあるものは、制度の不足ではない。★1は基礎の水準を対象製品の全体へ行き渡らせるための段階であり、想定される脅威をすべて包含する設計にはなっていない。資源エネルギー庁の資料も、太陽光発電や蓄電池に想定される脅威への対策を★1がすべて含むわけではないと整理している。上位の段階と、運用の側で講じる対策が続くことを前提にしている。

JC-STARは機器を評価する制度であり、運用の中の接続を誰に許すかは、はじめから評価の外に置かれている。この範囲は、機器が★1を満たしたその先で、機器を納める事業者と使う側の仕事として動きはじめる。

JC-STARの適合評価は、段階によって主体が異なる。★1と★2は事業者による自己適合宣言で、★3以上が第三者による認証となる。この違いは制度の設計であり、優劣ではない。そのうえで、制度の現在地と、当社がこれまで受けてきた評価を、混ぜずに並べておく。

当社はJC-STARの適合ラベルを取得していない。一方で、8,000社以上の採用と100,000ユーザ以上の利用の土台には、製品の要件だけでなく開発の進め方そのものを第三者が確かめてきた経緯がある。ラベルの取得状況と第三者評価の実績は、別の軸として読める状態にしておいたほうが、調達の場では話が早い。どちらか一方で他方を代弁させると、確かめたいことが確かめられなくなる。

制度側の登録が全件★1であることは、制度の立ち上がりの位置を示している。★3以上の要件は製品の類型ごとに整備が進んでいる段階で、これから分布は変わっていく。当社もこの制度を、機器と調達をつなぐ共通の言葉として重く見ている。機器の側で答えられることと、接続の統制で答えること。これからの調達では、その両方が並んで問われる。