政府調達・重要インフラで求められるJC-STAR「★3」とは？ 認証要件からPSTI・CLSとの相互承認まで徹底解説

政府機関や重要インフラの調達基準において、JC-STARの適合ラベル付き製品を選定するよう明記される動きが広まる中、いよいよ高セキュリティ製品群を対象とした「★3」の運用が始動します。また、海外輸出を進めるベンダーにとって見逃せない海外制度との相互承認の具体的なスキームも明らかになってきました。

今回は、間もなく申請が始まる「★3」の概要と、海外連携の最新動向について詳しく肉付けして解説します。

1. 第三者認証へと進化する「★3」がいよいよスタート

★1が「最低限の脅威に対応する自己適合宣言」だったのに対し、★3は政府機関や重要インフラ等での利用を想定した高セキュリティ製品群が対象となり、第三者認証の形を取ります。

まずは通信機器とネットワークカメラから基準の検討が進められ、既にセキュリティ要件と適合要件が先行公開されています。

今後のスケジュール（予定）

★3の評価を行う「評価機関」についても準備が進んでいます。独立行政法人製品評価技術基盤機構（NITE）による「ASNITE（アスナイト）認定」の申請受付がすでに開始されており、この夏から秋口にかけて第1号の認定評価機関が誕生する予定です。評価機関になれるのは、CC認証（コモンクライテリア認証）の評価実績を持つ事業者など、非常に高度なスキルを持った機関に限定されます。

2. ★1と★3の決定的な違い：追加されるアタックサーフェス

★3では、攻撃者の想定レベルが「スクリプトキディ」から「中級クラス」すなわち一定のツールや情報を持ち、過去の事例を分析して悪用できるレベルに引き上げられます。

最大の違いは、屋外設置のカメラや未管理エリアに置かれるルーターを想定し、★1では対象外だった「物理的な破壊や操作」もアタックサーフェスに含まれる点です。

要件項目を見ると、★1と共通しているのは「データの完全消去」くらいで、それ以外のほぼすべてで膨大な追加要件が入ります。具体的には以下の通りです。

• ・SBOMの活用/管理
• ・ペネトレーションテストの実施
• ・セキュアコーディングの徹底とハードコードの禁止
• ・ID/パスワード以外の高度な認証方式への対応
• ・機器のアラートやログの厳格な管理

なお、認証の有効期限は最大5年です。最初に2年間の有効期限が出た後、1年ごとに書類による延長手続きを行うことで最大5年まで伸ばすことができます（この延長時は第三者評価は不要）。そして5年が経過したタイミングで完全な再評価を行うという、ベンダーの負担を考慮した立付けとなっています。

3. 世界へ広がる海外連携：相互承認の仕組みと実務の注意点

海外展開を行う企業にとって最も注目すべきが、海外のラベリング制度との連携です。すでにイギリス（PSTI法）やシンガポール（CLS）との相互承認が始まっており、今後はEU（CRA：サイバーレジリエンス法）や米国（サイバートラストマーク）との協議も進行しています。また、政府機関含む世界11カ国が参加する多国間の枠組み「グローバル・サイバーセキュリティ・ラベリング・イニシアティブ」も発足しました。

ここで実務上、絶対に誤解してはならないのが、相互承認とは「日本のラベルがあれば海外でそのまま売れる」という意味ではなく、「相手国での申請手続きが大幅に緩和される」という意味である点です。各国で要件の重複領域が異なるため、どちらの国からどちらへ持っていくかで対応が大きく変わります。

　国によって異なる連携実務の具体例

① 　日本（JC-STAR） ➡ イギリス（PSTI法）への展開

イギリスのPSTI法には3つのセキュリティ要件しかありません。これはJC-STARの16要件に完全に内包されているため、追加の適合検査は【不要】です。 ただし、PSTI法はイギリスの「強制法令」であるため、守らないと違法行為になります。そのため、検査は不要ですが「PSTI法適合申請書」の提出が必要です。そこには「法令を遵守します」という宣言とともに、以下のイギリス特有のルールへの同意が求められます。

• ・サポート期間を明示し、英語で情報提供すること
• ・サーベランスを10年間保管すること（JC-STARはラベル有効期間内でOKですが、PSTIは10年）
• ・違反時の罰金措置に同意すること

② 　イギリス（PSTI法） ➡ 日本（JC-STAR）への展開

逆に、PSTIを取得しているイギリスの製品を日本に持ってくる場合は、PSTI側が3つの要件しかチェックしていないため、JC-STARの残り13要件を追加で検査して提出する必要があります。但し、チェックリストの簡略化などの優遇は受けられます。

③　日本（JC-STAR） ➡ シンガポール（CLS）への展開

シンガポールのCLSについても同様で、JC-STARからCLSへ持っていく場合、スマートホーム製品であれば13規定中1規定のみ、ホームゲートウェイであれば20規定中6規定のみの追加評価で済みます。逆にCLSから日本へ持ってくる場合は、16個のうち9個の追加対応が必要になります。

4. まとめ：グローバル基準を見据えたIoT製品開発へ

現在協議が進んでいるEUのCRA法や米国のサイバートラストマークについても、こうした重複部分のすり合わせが精力的に行われており、ほぼ同様のスキームで進む見込みです。

JC-STARは、国内の政府調達基準を満たすための制度から、海外市場へ打って出るためのグローバルなパスポートへと進化しつつあります。重要インフラに関わる製品や、海外への輸出を計画しているIoT機器ベンダーの皆様は、この夏から始動する「★3」の動向をキャッチアップし、一歩進んだセキュリティ設計を取り入れていきましょう。