正解：ウ
各選択肢の解説
アラベルが付いた製品なら、設置後の設定の見直しや更新の適用は不要になる。
誤り。JC-STARのラベルは、定められた最低限のセキュリティ要件に適合した ことを示すもので、完全な安全を保証するものではありません。初期設定の 変更や更新の適用など、使う側の管理は引き続き必要です。
イ★1のラベルは、第三者の評価機関が製品を試験した結果に基づいて付与される。
誤り。★1と★2は、製品を提供する事業者が要件への適合を自ら確認して宣言する 自己適合宣言に基づき、IPAがラベルを付与します。第三者評価が入るのは ★3と★4で、確認の仕方が★の段階によって違います。
ウ★3・★4は、独立した第三者評価機関の評価に基づいて認証される段階である。
正解。★3・★4は、重要なシステムでの利用を想定した要件を加えた段階で、 独立した第三者評価機関の評価報告書に基づきIPAが認証します。 自己適合宣言による★1・★2とは、確認の厳格さが違います。
エJC-STARは、製品を製造する企業の情報セキュリティ管理の体制を認証する制度である。
誤り。組織のマネジメントシステムを認証するのはISMS適合性評価制度です。 JC-STARが対象とするのは個々のIoT製品で、製品が技術的な要件に 適合しているかを評価し、ラベルで示します。対象が組織か製品かで区別します。
理解を深めるために
IoT製品の「最低限の安全」を見える化するラベル
JC-STAR（セキュリティ要件適合評価及びラベリング制度）は、インターネットなどに つながるIoT製品が、定められたセキュリティ要件に適合しているかを評価し、 ラベルで示す制度です。IPAが運営し、2025年3月25日に★1の運用が始まりました。 製品を選ぶ側にとっては、外から見えにくい製品の安全性を判断する手がかりになります。
★の段階で、何がどう確認されるか
| 段階 | 要件 | 適合の確認 |
|---|---|---|
| ★1 | IoT製品に共通する最低限の要件 | 事業者の自己適合宣言 |
| ★2 | ★1に、製品類型ごとの基本要件を追加 | 事業者の自己適合宣言 |
| ★3・★4 | 重要なシステムでの利用を想定した要件を追加 | 独立した第三者評価機関の評価 |
★の数は「どれだけ安全か」の点数というより、要件の範囲と、確認の厳格さ・想定する 利用先の違いを表しています。★1の要件には、全製品で共通の初期パスワードを 使わないこと、アップデートの仕組みを持つこと、脆弱性の連絡先や方針を公開することなどが 含まれます。
混同しやすいものとの違い
| 制度・考え方 | 対象と中身 |
|---|---|
| JC-STAR | IoT製品が要件に適合しているかを評価し、ラベルで示す |
| ISMS適合性評価制度 | 組織の情報セキュリティマネジメントの仕組みを認証する |
| 「ラベル＝安全の保証」という誤解 | ラベルは最低限の要件への適合で、使う側の管理は残る |
調達の場面では、どの段階のラベルかで「誰が適合を確認したか」を読み取り、 設置後の設定変更や更新の管理は自組織で続けることを前提に判断します。