IoT機器のセキュリティラベルの読み方と選び方。JC-STARの★と適合ラベル取得製品リストで確かめる

家庭や小規模オフィスに置くルーターやネットワークカメラ、スマート家電は、買うときに安全性の良し悪しを見分けにくい機器です。箱や商品ページに並ぶのは通信速度や画素数や同時接続台数で、更新がいつまで提供されるのか、初期パスワードがどう扱われるのかは、店頭の表示からほとんど読み取れません。IPAも、購入前に十分なセキュリティ機能があるか、購入後のアップデートやサポートの体制がどうなっているかを購入者が自ら確認するのは現実には難しい、という課題を挙げています。この難しさを埋めるために作られたのが、共通の基準に照らして確認した結果を製品に示す「表示」です。制度を運営するのはIPAですが、実際に確認する主体はレベルによって変わります。

この記事は、2025年に運用が始まった日本のラベル制度であるJC-STARを軸に、適合ラベルの読み方と、表示だけでは埋まらない部分を自分で確かめる手順を整理します。なお本記事はアフィリエイトリンクを含みます。紹介する製品の効果や適合性を保証するものではなく、購入判断はご自身の用途に照らしてお願いします。詳細は広告およびアフィリエイトについてをご覧ください。

家庭とオフィスのIoT機器で表示を確かめる意味#

IoT機器が狙われる理由は単純です。常時つながっていて、更新されにくく、乗っ取られても持ち主が気づきにくいためです。乗っ取られた機器は、家庭内の他の端末をのぞく足がかりになるだけでなく、他者への攻撃を中継する拠点としても使われます。IPAは2025年10月31日に、家庭用ルータやIoTルータの不具合や設定不備が悪用されると、機器がORB(Operational Relay Box)と呼ばれる攻撃の中継拠点にされるおそれがあると注意喚起しました。対策として挙げられているのは、推測されにくいパスワードの設定、迅速なパッチ適用とサポート終了機器の更新または廃棄、管理インタフェースを外部に公開せず不要なサービスとポートを止める公開設定の最小化です。

規模の感覚もつかんでおきます。NICTのNICTER観測レポート2025によれば、約28万IPアドレスのダークネット観測網で2025年に観測された攻撃関連通信は合計7,010億パケットで、観測開始以降で最多となりました。この数はダークネットに届いたパケットの個数であり、日本全体への攻撃件数ではありませんが、傾向としてMiraiの特徴を持たないIoTボットの感染ホストがMirai感染を上回る状況が観測され、RapperBotは世界全体で約6万台規模の感染の可能性が示されています。標的になっているのは、家庭用ルータや監視カメラの録画機器のように、利用者が感染に気づきにくい機器です。

家庭用ルータやIoTルータがORB化されるおそれと、その対策の並びはIPAの注意喚起(2025年10月31日)に基づきます。

約28万IPアドレスの観測網、合計7,010億パケット、観測開始以降で過去最多という点、Mirai以外のIoTボットの感染拡大とRapperBotの約6万台規模という数値は、NICTの報道発表「NICTER観測レポート2025の公開」(2026年2月5日)と同レポート本編に基づきます。

こうした機器を買う場面で、購入者が確かめたいのは「更新が続くか」「初期状態が安全か」「困ったときに連絡先があるか」といった点です。ところがこれらは仕様表に載りにくく、メーカーごとに書き方も違います。そこで、共通の基準に照らして確認済みであることを製品に表示する仕組みが用意されました。日本ではそれがJC-STARです。

JC-STARという制度の位置づけ#

JC-STARは「セキュリティ要件適合評価及びラベリング制度」の略称で、IPAが運営しています。経済産業省が2024年8月23日に公表したIoT製品に対するセキュリティ適合性評価制度の構築方針に基づくもので、IPAはこの制度を、ETSI EN 303 645やNISTIR 8425といった国内外の規格と調和しつつ、独自に定める適合基準に基づいてIoT製品の適合性を確認し可視化する制度だと説明しています。IPAの製品認証制度としては、ISO/IEC 15408に基づくJISEC(CC認証)、ISO/IEC 19790に基づくJCMVPに次ぐ3番目の制度にあたります。

対象になるのは、IPを使ったデータの送受信機能を持つIoT製品です。IPAの定義では、機器の側にもう一つ条件が付きます。利用者自身がソフトウェア製品のインストール等によって機器本体に容易にセキュリティ対策を追加することが難しい機器であること、という条件です。パソコンやスマートフォンのように利用者が後からセキュリティ製品を入れられる機器とは、そこで線が引かれています。対象の単位は、単独のIoT機器か、IoT機器と必須の付随サービスを合わせた一式で、現時点で「システム」は対象外とされています。家庭で使うルーターやカメラ、ドアホン、蓄電システムのリモコンのように、ネットワークにつながる機器の多くが範囲に入ります。

2025年以降にラベル付き製品が増えている背景には、公的な調達での位置づけもあります。国家サイバー統括室の政府機関等の対策基準策定のためのガイドライン(令和7年度版)の一部改定では、機器等の選定基準についてJC-STARの登録状況を踏まえるよう基本対策事項が置かれ、重要度が中から高の情報システムのIoT機器等は★1ラベル以上を取得した製品群から選定するなどと示されました。総務省の地方公共団体における情報セキュリティポリシーに関するガイドライン(令和7年3月28日)にも、IoT機器等の対策実装の確認方法の一つとして適合ラベルの取得確認が追記されています。調達側が見る指標になったことで、メーカーが取得を進める動機が生まれた形です。

政府機関等のガイドラインの一部改定でJC-STARの登録状況が機器等の選定基準に組み込まれたこと、地方公共団体向けガイドラインに適合ラベルの取得確認が追記されたことは、IPAのJC-STAR活用に向けた取り組みのページに基づきます。

★1から★4のレベルが示す評価の重さ#

JC-STARのレベルは★1から★4の4段階です。数が増えるほど要件が増えるだけでなく、「誰が確かめたか」が変わります。ここを取り違えると、★の数を単純な安全度の物差しとして読んでしまいます。

執筆時点の現況も押さえておきます。★1は2025年3月25日の運用開始と同時に申請受付が始まりました。★2は適合基準と評価手法、評価ガイド、チェックリストのいずれもIPAのサイト上で準備中と表示されています。★3は2026年2月6日に通信機器とネットワークカメラのセキュリティ要件が、2026年6月12日に適合要件が公開されましたが、評価ガイドは準備中です。★4は適合基準と評価手法、評価ガイド、チェックリストのいずれも準備中で、★3より一段手前の状態にあります。IPAは2026年7月1日更新のCLSのページで、現在JC-STARで運用が行われているのは★1のみだと記載しています。2025年時点の発表では、ネットワークカメラと通信機器を先行して2026年1月以降に★2以上の受付を開始する予定とされていましたが、受付が始まったことを示す一次情報は執筆時点で確認できません。

つまり、店頭やネット通販で見かける適合ラベルは、現状では★1と考えて読むのが実際的です。★2以上のラベルが付いた製品を探しても見つからないのは、制度の準備が進んでいる途中だからです。

★1の適合基準が確かめている範囲#

★1の適合基準は、S1.1-01からS1.1-16までの16項目で構成されます。購入者の関心に引き寄せて言い換えると、ラベルが何を確かめているのかが具体的に見えてきます。

購入者にとって実用的なのは、S1.1-02とS1.1-16、そして型番の確認手段を求めるS1.1-10です。S1.1-02は、ラベル付きの製品なら共通の初期パスワードが使い回されている状態にはなっていない、と読めます。S1.1-16は、サポート期限またはサポート終了時の方針が何らかの形で示されている、と読めます。S1.1-10は、手元の機器の型番を本体や画面から読み取れることを求めており、後で触れる登録型番との照合を成り立たせています。いずれも、これまで商品ページから読み取りにくかった部分です。なお電気通信事業法に基づく技術基準に適合し技適マークの[T]または[A]が付与された製品は、一部の適合要件について技術基準適合認定等の試験結果で評価を代用できる扱いになっています。

ここで、ラベルの限界も同じ強さで押さえておきます。

★1と★2が自己適合宣言であること、IPAが証跡の提出を求めず事後のサーベイランスと取消しで信頼性を保つこと、適合ラベルが完全なセキュリティの保証ではないことは、IPAのJC-STAR詳細情報のページに基づきます。★1適合基準の各項目は、IPAが公開する★1適合基準および評価手法(1.1版)に基づきます。

適合ラベルと二次元バーコードの確かめ方#

適合ラベルには、取得したレベルと登録番号のほか、IPAが管理する適合ラベル取得IoT製品情報ページのURLを埋め込んだ二次元バーコードが入っています。ここを読み取って製品情報ページを開くところまでが、ラベルを確認する作業です。ロゴの見た目だけでは、偽造や別製品への貼付を見分けられません。

有効期間は、原則として適合ラベルの発行日から2年です。延長の手続きが認められれば期間は延びます。IPAの説明では、★1と★2は2年単位、★3と★4は1年単位で延長でき、当初の取得から5年後には再認証が必要になります。ステータスの区分は、有効、失効猶予(延長申請中)、失効(有効期限切れ)、失効(自主取下げ)、取消しです。サポートが終了した製品はラベルが失効または取消しになるため、ステータス表示はサポートが続いているかを外から確かめる手がかりにもなります。

IPAは偽造への注意も呼びかけています。想定される誤りは、偽造したラベルを貼る、正規のラベルを模倣品に貼る、対象外の型番に貼るという3つの型です。加えて、理由なく極端に値引きされている場合は、ラベルが貼られていても偽造品や模倣品を疑うよう案内しています。通販の商品説明にロゴ画像だけが載っている場合は、その画像を根拠にせず、製品情報ページか適合ラベル取得製品リストで当たり直すのが確実です。

二次元バーコードの遷移先URLとサーバ証明書の確認方法、有効期間が原則2年であること、購入時にステータスが有効または失効猶予であることを確かめる案内、偽造ラベルと模倣品への注意は、IPAの適合ラベルの確認方法(最終更新2026年5月13日)に基づきます。

「適合ラベル取得申請中」という表記への注意#

商品ページでときどき見かけるのが、「適合ラベル対応」「JC-STAR適合予定」「適合ラベル取得申請中」といった表記です。IPAはこれらについて、申請が受理されて受理番号または仮登録番号が発行された場合を除き認めておらず、仮登録番号の記載がない形での表記は不正な表示にあたるとして、事実の公表を含む対処の可能性に言及しています。実際に不正な表示の事例が報告されている旨も告知されています。

制度上、申請は確認作業の結果として要件不適合などで却下されることがあります。そのため、申請中という表記があっても、ラベルの取得を約束するものにはなりません。表記を見かけたときの読み方は単純で、適合ラベル取得製品リストに載っているか、製品情報ページのステータスが有効かで判断します。載っていなければ、その製品は執筆時点でラベルを取得した製品として扱わない、という線引きになります。

これは、ラベルの無い製品を買ってはいけないという意味ではありません。後の節で示すとおり、家庭向けの機器にはラベルの無い有力な選択肢が多くあります。区別したいのは「ラベルを取得した製品」と「取得したかのように見える表記の製品」で、後者を前者と同じ根拠として扱わない、という一点です。

適合ラベル取得製品リストで探す手順#

IPAの適合ラベル取得製品のページから辿れるのは、執筆時点で3つです。適合ラベル取得製品リスト、PSTI法適合宣言製品リスト、そしてJC-STARへの移行期間中の他制度認証製品の取扱いです。中心になるのは1つ目で、登録番号、ラベル取得事業者、製品名称、レベル、ステータス、ラベル取得日、有効期間が一覧になっています。レベル、ステータス、ラベル取得年、有効期間の年で絞り込みができ、一覧のExcelもダウンロードできます。登録番号からは製品情報ページに直接飛べます。

2026年9月4日更新時点の一覧を数えると、掲載は338件で、事業者は138社です。レベル表示はすべて★1、ステータスはすべて有効で、有効期間はいずれも取得日から2年後の日付になっています。並んでいるのは、Wi-Fiルーターや無線アクセスポイント、ネットワークカメラとレコーダー、蓄電システムやパワーコンディショナといったエネルギー機器、給湯機やエアコンのリモコン、プリンター、ドアホン、NAS、産業用スイッチなどです。事業者にはバッファロー、NECプラットフォームズ、エレコム、パナソニック、シャープ、i-PRO、キヤノン、ブラザー工業、ヤマハといった名前が並びます。

ここは正直に書きます。掲載の中心はエネルギー関連機器と業務機器で、家庭向けスマートホーム製品で広く知られる海外ブランドは、同日時点の一覧では確認できませんでした。特定のブランド名を挙げると、TP-Link、ASUS、Anker(eufy)、SwitchBot、Aqara、Google、Amazonは全件を検索しても見当たりません。これは、それらの製品が安全でないことを意味しませんし、今後掲載されない見込みを示すものでもありません。制度が始まって間もない時点の掲載状況というだけです。したがって、ラベルの無い製品を候補から機械的に落とすのではなく、次の節で示す軸を自分で当てる進め方が現実的です。

移行期間の扱いも押さえておきます。JBMIAが運営するBMSec(事務機セキュリティプログラム)はJC-STARへ統合されることが発表されており、適合モデルの扱いは適合した時期で分かれます。2025年3月25日以前のBMSec適合モデルは、JC-STARの受付開始日である2025年3月25日から2年間、★1と同等とみなされます。制度移行期間である2025年3月から2026年3月末までにBMSecへ適合した製品は、登録日から2年間、ただし最長で2027年9月末まで★1と同等とみなされます。プリンターや複合機を選ぶ場面では、この扱いが背景にある場合があります。同等とみなされる扱いはJC-STARの適合ラベルそのものではないため、適合ラベル取得製品リストでの掲載とは分けて読むのが確実です。

BMSec適合モデルの取扱いが適合の時期で分かれること、移行期間が2025年3月から2026年3月末までであること、移行期間中の適合製品が登録日から2年間かつ最長2027年9月末まで★1と同等とみなされることは、IPAのJC-STARへの移行期間中の他制度認証製品の取扱いのページ(最終更新2025年9月12日)に基づきます。

無線LANルーターそのものの選び方は、暗号化方式やサポート期間の見方を含めて別記事で詳しく整理しています。

あわせて読みたい

セキュリティ重視の無線LANルーターの選び方。WPA3と自動更新、ネットワーク分離で選ぶ買い方ガイド

海外制度との相互承認から見える表示の変化#

日本のラベルだけを見ていると、輸入品の扱いが分かりません。関連する海外の制度と、JC-STARとの相互承認の状況を整理します。

補足しておくと、PSTI法との相互承認は双方向です。PSTI法に適合した製品は、JC-STAR★1のS1.1-02(共通でないデフォルトパスワード)、S1.1-05(脆弱性開示ポリシー)、S1.1-16(製品の情報提供)への適合が認められ、その3要件のチェックリストが免除されます。CLS側では、JC-STAR取得製品がMRA経路でCLSを申請でき、試験所の利用が不要で申請手数料はS$51、逆にCLS適合製品のJC-STAR★1申請手数料は140,000円(税込)に減額されます。シンガポールが日本と結んだ相互承認は、フィンランド、ドイツ、韓国、英国に次ぐ5か国目にあたります。

購入者の側での使いどころは限られますが、EU CRAの附属書Iが、セキュアなデフォルト設定と初期状態へのリセット手段、該当する場合に既定で有効な自動セキュリティ更新、保存中と伝送中のデータの機密性の保護、外部インタフェースを含む攻撃面の限定、全データと設定を安全かつ容易に恒久的に削除できることを求めている点は、そのまま選定のヒントになります。世界の制度が共通して見ているのは、初期状態と更新と削除です。

英国PSTI法との相互承認の開始日と対象レベル、3要件、免除される適合基準はIPAのPSTI法適合証明のページに、CLSとの相互承認の開始日と手数料の扱いはIPAのCLS適合の相互承認申請のページに基づきます。PSTI規制の適用開始日と要件はGOV.UKの案内に、CRAの適用日とサポート期間と必須要件は規則(EU)2024/2847の条文に基づきます。

CLSが任意の制度でWi-Fiルーターのみレベル1の取得が義務であること、2020年の開始以来1,000製品を超える申請をCSAが受け付けていること、協力覚書の署名日と発効日、日本がフィンランド、ドイツ、韓国、英国に次ぐ5か国目であることは、シンガポールCSAの報道発表(2026年3月18日)に基づきます。

ラベルに頼らず自分で確かめる選定の軸#

ここからが、表示を読んだあとの作業です。IPAが公開している消費者向けのネット接続製品の安全な選定・利用ガイドは、購入時の確認として、アップデート機能の有無、セキュリティに関する最新情報の掲載、問い合わせ先、製品のセキュリティ方針、セキュリティ機能や設定の具体的な記載、サポート情報、廃棄時に購入時の状態へ戻せるかの7項目を挙げています。同ガイドは、すべてを確認できることが望ましいものの、確認できない場合はより多くの点を確認できる製品の購入を検討するよう促しています。この考え方を、家庭と小規模オフィスの機器選びに合わせて8つの軸に置き直します。

8つ全部がそろう製品はまれです。順位の付け方は用途や公開状況で変わるため一般則にはなりませんが、この記事では家庭と小規模オフィスで長く使う前提の目安として、更新の提供期間と自動更新をいちばん上に置きます。買った時点の堅さは時間とともに目減りしますが、更新が届く仕組みがあれば、その目減りを埋め続けられるためです。次に見るのは脆弱性の受付窓口です。窓口があるということは、外部からの指摘を受け取って直す流れが社内にある目安になります。クラウド依存の度合いは、機器の寿命に直結します。クラウドが止まると何もできない設計の機器は、サービス終了と同時に使えなくなります。

分離のしやすさは、機器単体ではなくネットワーク側で用意できます。IoT機器を別のセグメントに寄せる考え方と、それを担うスイッチの選び方は関連記事にまとめています。

あわせて読みたい

家庭と小規模オフィスでIoT機器を隔離するVLAN対応スイッチの選び方

購入時に確認する7項目と、すべてを確認できない場合により多くの点を確認できる製品を検討するという考え方は、IPAのネット接続製品の安全な選定・利用ガイドに基づきます。

★1ラベルを確認できる製品の例#

ここでは、2026年9月4日更新の適合ラベル取得製品リストで★1の適合ラベルを確認できた製品から、家庭と小規模オフィスで使える機器を種類を分けて挙げます。ラベルの取得は選定の一要素であり、性能や用途への適合を保証するものではありません。掲載内容は執筆時点の確認であり、購入前には製品情報ページでステータスと有効期間を見て、自分が買う型番が製品型番に含まれるかを確かめてください。リストの記載がシリーズ名になっている製品は、型番の範囲を製品情報ページで確認する作業がとくに要ります。

上記4製品のラベル取得日と有効期間、ステータスは、IPAの適合ラベル取得製品リスト(2026年9月4日更新)の記載に基づきます。同リストの掲載は338件138事業者で、レベルはすべて★1、ステータスはすべて有効です。掲載状況は更新されるため、購入前に最新のリストと製品情報ページで確認してください。

購入後に済ませる設定#

ラベルの確認は、買うまでの話です。実際の安全性は、開封してからの設定でおおむね決まります。IPAも、適合ラベルが付いたIoT製品では原則として初回設定時にパスワード変更が求められるとしたうえで、そこで推測されやすい簡単なパスワードを設定すると、かえって不正アクセスを容易にしてしまうと注意しています。

運用の途中で見直したいのが、ラベルのステータスです。サポートが終了した製品はラベルが失効または取消しになるため、ブックマークした製品情報ページを年に一度でも開けば、メーカーのサポートが続いているかを外から判断できます。失効や取消しになっていたら、買い替えの検討に入る合図です。IPAも、サポートが終了したIoT製品は買い替えを検討するよう案内しています。

すでに手元にあるルーターの設定を堅くする手順は、別記事で詳しく整理しています。

あわせて読みたい

家庭用ルーターのセキュリティと買い替えの目安。ファーム更新・初期パスワード・サポート期間で守る

買う前のチェックリスト#

最後に、店頭や商品ページで確かめる項目をまとめます。全部がそろわないこともありますが、確認できた数が多い製品を選ぶ、という進め方で判断がぶれにくくなります。

JC-STARの適合ラベルは、これまで購入者が自力で調べるしかなかった項目を、共通の基準で確認したうえで表示に落とし込んだ仕組みです。★1は自己適合宣言で、IPAも完全な安全の保証ではないと明記していますが、初期パスワードの扱いと更新の手段、脆弱性の窓口、サポート期限の情報提供までを一度に確かめられる手がかりは、これまで手元になかったものです。執筆時点では運用されているのが★1のみで、掲載製品もエネルギー機器と業務機器に厚みがあります。家庭向けのスマートホーム製品を選ぶ場面では、ラベルの有無で候補を切るのではなく、更新の提供期間と自動更新、脆弱性の窓口、クラウド依存の度合い、分離のしやすさを自分の目で確かめる作業が引き続き要ります。ラベルは、その作業を軽くしてくれる出発点として使うのが実際的です。