Jsecurity

防犯カメラは施設を守るための設備です。同時にネットワークにつながる機器でもあります。つまり、守る側の設備でありながら、攻撃される側でもあるということです。設定が不十分なまま運用されていれば、映像が外部から見られる状態になることもありますし、機器そのものが攻撃の踏み台として悪用されることもあります。

では、その機器が安全かどうかをどう確かめればよいのか。

カタログには暗号化に対応している、認証機能を備えている、といった記載があります。しかし、それが十分な水準なのかを判断する材料はこれまでありませんでした。この点について、国の制度が動き始めています。この記事ではその制度の内容と調達を検討する立場から何を見ればよいのかを整理します。

■ メーカーの説明だけでは比較が難しい

制度が作られた理由そのものがこの課題を示しています。

IPA(独立行政法人 情報処理推進機構)の説明によれば、従来、IoT製品におけるセキュリティ対策の取組についてはベンダー側が調達者や消費者にアピールすることが難しく、調達者や消費者から見ても製品のセキュリティ対策が適切かどうか判断できないという課題がありました。

売る側も伝えにくく、買う側も判断できない。防犯カメラを選ぶときに感じる分かりにくさはこの構造から来ています。

■ JC-STARという制度

この課題に対応するため作られたのがJC-STARです。正式には「セキュリティ要件適合評価及びラベリング制度」といいます。2024年8月に経済産業省が公表した「IoT製品に対するセキュリティ適合性評価制度構築方針」に基づいて構築された日本の制度です。運用は独立行政法人情報処理推進機構、IPAが行っています。

国内外の規格とも調和しつつ、独自に定める適合基準に基づいてIoT製品の適合性を確認し、可視化することを目的としています。対象はインターネットとの通信が行える幅広いIoT製品です。

適合が認められた製品には二次元バーコード付きの適合ラベルが付与されます。これを読み取ることで、製品の詳細、適合評価の内容、セキュリティ情報や問い合わせ先を調達者や消費者が確認できる仕組みです。

なお、この制度はすべてのIoT製品に取得が義務づけられているものではありません。調達する側が必要とするセキュリティの水準を確認するための評価とラベリングの仕組みです。

■ ★の数は水準であり、誰が評価したかでもあります

ここがこの記事で最も伝えたい点です。JC-STARには★1から★4までの4段階があります。数が多いほど水準が高いという理解は間違いではありませんが、それだけではありません。

【★1・★2｜自己適合宣言方式】

★1は製品として共通して求められる最低限のセキュリティ要件です。★2は製品類型ごとの特徴を考慮して★1に追加される基本的な要件です。この2つは製品を作る側が自ら評価を行い、その結果を記載したチェックリストをIPAに提出する方式です。IPAはそのチェックリストに基づいて適合ラベルを付与します。

証跡そのものの提出は求められませんが、適合ラベルの有効期間中は保管する義務があるとされています。

【★3・★4｜第三者評価方式】

★3と★4は政府機関や重要インフラ事業者、地方公共団体、大企業などの重要なシステムでの利用を想定したものです。こちらは独立した第三者の評価機関が評価を実施し、その評価報告書に基づいてIPAが認証し、適合ラベルを付与します。より高い信頼性を確保するための仕組みです。

【この違いが意味すること】

同じ「JC-STARの適合ラベル」でも、★1と★3では評価した主体が違います。

★1はメーカーが制度の定めた基準と手順に沿って自己評価した結果を申請し、IPAが必要な確認を行ったうえでラベルを付与したもの。★3は第三者の評価機関が評価した結果に基づいて、IPAが認証したもの。

ラベルの有無だけを見て判断すると、この違いが落ちます。調達要件を検討する際はどの水準を求めるのかまで決めておく必要があります。

ただし、第三者による評価であることは脆弱性が一切存在しないという意味ではありません。適合ラベルが示すのは定められた適合基準が想定する脅威に対して、必要とされる水準を満たしているということです。想定の外にある事象まで保証するものではありません。

■ 「準拠」と書かれていても、何を指すかは一様ではありません

防犯カメラの仕様表にはいくつもの「準拠」「対応」という言葉が並びます。それぞれ、確認のされ方が違います。

【メーカー自身の宣言に基づくもの】

米国の政府調達などに関係するNDAAの規定への適合を示す場合、政府が発行する単一の認証制度があるわけではありません。第三者機関が審査して合否を判定する仕組みではなく、メーカーが自社製品について対象となる規定に適合していることを表明する形がとられます。この枠組みについては別の記事で整理しています。

・防犯カメラのNDAA準拠とは｜調達要件として何を確認すべきか

【自己評価を制度が受け付けたもの】

JC-STARの★1と★2がこれにあたります。メーカーの自己評価ですが制度の定めた基準と手順に沿って行われ、IPAに登録されます。

【第三者が評価したもの】

JC-STARの★3と★4です。評価機関が実施し、IPAが認証します。

【この三つは別の層の話です】

どれが優れているという話ではなく、確認のされ方が違うということです。仕様表で「準拠」という言葉を見たときはそれがどの層のものかを確認することになります。

なお、NDAAとJC-STARは目的も制度の設計も異なります。どちらが上かという比較はできません。求められる場面が違うというのが正確な整理です。「準拠」「対応」「認証」「適合」といった言葉も、同じ意味ではありません。自ら宣言したものなのか、制度が受け付けたものなのか、第三者が評価したものなのか。表記の違いではなく、その裏側にある確認の手順を見ることになります。

■ ネットワークカメラは独立した製品類型です

JC-STARにおいてネットワークカメラは他の機器と一括りにされていません。IPAは通信機器とネットワークカメラについて、それぞれ別の★3セキュリティ要件を公開しています。ネットワークカメラの★3要件は2026年2月に公開され、その後2026年6月版に更新されています。

つまりネットワークカメラについてはIoT製品に共通する要件だけでなく、ネットワークカメラという製品類型の特徴を踏まえたセキュリティ要件が別途設定されているということです。

■ 要件には廃棄までが含まれます

★3の要件で扱われている脅威のひとつに廃棄や転売された機器から守るべき情報資産が盗み取られるというものがあります。

これに対する対策として、製品側には機器の利用中に保存された情報を製品本体や関連サービスを介して削除できる機能を提供することが求められています。あわせて、ベンダー側には安全な廃棄方法や、初期化・データの削除方法に関する情報を提供することが求められています。

【設置してからの期間だけではありません】

防犯カメラの検討ではどう設置するか、どう運用するかに関心が向きます。しかし撤去した後にも機器の中には情報が残っています。特に録画機には録画された映像だけでなく、ネットワークの設定や認証に関する情報が保存されている場合があります。

録画機を入れ替えるとき古い機器をどうするか。カメラを撤去したときそれをどう処分するか。制度はこの段階まで要件の対象としています。

入れ替えの検討については、別の記事で整理しています。

・防犯カメラの入れ替えを検討するとき｜既存配線を活かす方法と判断のポイント​

■ 表示だけでは確認になりません

ここは注意が必要な点です。IPAは適合ラベルを取得していない製品であるにもかかわらず、「適合ラベル対応」「JC-STAR適合予定」「適合ラベル取得申請中」といった、取得済みまたは取得見込みであるかのように誤認させる表示を行っている事例があるとして、注意を呼びかけています。

申請すれば必ず受理されるわけではなく、確認作業により要件不適合などの理由で却下されることもあるため、交付される前にそうした表記を行わないよう案内がなされています。仮登録番号の記載がない不正な表記を見かけた場合や番号の真偽を確認したい場合の連絡先も公開されています。

【確認はリストで行います】

適合ラベルを取得した製品はIPAが公開する「適合ラベル取得製品リスト」で確認できます。手順としては次の順になります。

【1. 表示の内容を見る】

取得済みなのか、申請中なのか、あるいは「対応」とだけ書かれているのか。

【2. 対象の型番を特定する】

シリーズ名ではなく、実際に導入する機種の型番です。

【3. リストで照合する】

その型番が掲載されているか、どのレベルで取得しているかを確認します。

【4. 評価の方法を確認する】

自己適合宣言によるものか、第三者の評価によるものか。★のレベルで判断できます。

【5. 自社の要件と照らす】

発注者から要件が示されている場合は、その水準を満たしているかを確認します。

この構造は、機器同士の互換性を確認する場合と同じです。表示を読むのではなく、公開されたリストで照合する。別の記事でも同じ整理をしています。

・防犯カメラは他社製品とつなげられるか｜ONVIF対応の読み方

■ 制度は整備が進んでいる段階です

現時点の状況を整理しておきます。★1については2025年3月25日から申請の受付が始まりました。同年5月に最初の適合ラベルの交付と取得製品リストの公開が行われ、この時点では11社26申請、製品の型番ベースでは477製品とされています。制度開始当初の数字であり、その後も取得製品は増えています。現在の状況は公開されているリストで確認することになります。

【ネットワークカメラの★3は要件が固まった段階です】

ネットワークカメラの★3については2025年11月から12月にかけて要件と適合基準の案に対する意見募集が行われました。その後、2026年6月版としてセキュリティ要件と適合要件が公開されています。あわせて、それ以前の版との新旧対照表も公開されています。

一方で評価のためのガイドは準備中とされており、★3と★4の申請受付についても開始する計画である旨が案内されている段階です。つまり、ネットワークカメラの★3については要件が公開された一方で、実際のラベル交付に向けた申請と評価の運用はこれから始まる段階だということです。

【自治体のガイドラインにはすでに記載があります】

制度の活用はこれからの話だけではありません。総務省の「地方公共団体における情報セキュリティポリシーに関するガイドライン」では、情報セキュリティ対策基準の解説において、IoT機器等に必要な情報セキュリティ対策が適切に実装されていることを確認するための方法の一つとして、JC-STAR適合ラベルの取得を確認することが令和7年3月に追記されています。

IPAは政府機関向けガイドラインの改定内容に合わせて、地方公共団体がIoT製品を調達する際に用途やリスクに応じてラベル付与製品を選定・調達するよう求めていく方向で、関係者と調整を進めているとしています。自治体の調達においてもこの適合ラベルは、セキュリティ対策を確認する方法の一つとしてすでに位置づけられているということです。

【業界団体も参画しています】

制度の普及には業界団体も関わっています。IPAが公表する賛同団体にはネットワーク型の防犯カメラや録画装置、顔識別機能付きカメラシステムなどを主な製品類型とする団体も含まれています。

【技適との接続もあります】

もう一点、実務に関わる仕組みがあります。電気通信事業法に基づく端末機器のセキュリティ基準に関する技術基準の要件を満たすものとして技適マークを付与された製品はJC-STARの一部の適合要件に対する評価を技術基準適合認定等を受けた際の試験結果によって代用できるとされています。国内で流通する通信機器の多くが持つ認定が、この制度の中で接続されているということです。

■ ラベルだけでは終わりません

最後に制度の範囲について触れておきます。適合ラベルは製品が要件を満たしていることを示すものです。設置した後の運用まで保証するものではありません。

IPAはネットワークカメラシステムについて情報セキュリティ対策要件に関するチェックリストも公開しています。こちらは政府機関等の統一基準における特定用途機器としてのネットワークカメラシステムを対象に想定される脅威に対して最低限講ずべき対策の要件を列挙したものです。

このチェックリストは利用形態ごとに、設計構築時、運用時、保守時、廃棄時というフェーズに分けて記載されています。政府機関の調達だけでなく、自治体や民間組織の調達にも活用できるとされています。

【製品を選んだ後に残ること】

初期のパスワードを変更したか。誰にどの権限を渡すか。ファームウェアの更新をどう管理するか。担当者が代わったときに設定内容を引き継げるか。

これらはどの製品を選んでも発生します。権限の考え方については、別の記事でも整理しています。

・防犯カメラの遠隔監視でできること｜導入前に確認しておきたい点

■ おわりに

防犯カメラのセキュリティはこれまで確かめる手立てが乏しい領域でした。いまは国の制度として基準が定められ、評価の仕組みが整い、適合した製品がリストとして公開される状態になっています。ネットワークカメラは独立した製品類型として扱われ、固有の要件が定められています。

確認できるようになると、調達の進め方が変わります。どの水準を求めるのかを先に決め、それを要件として示せるようになります。メーカーの説明を評価する代わりに公開された情報で照合できるようになります。公共の案件で要件が示されたときにも何を問われているのかが分かります。

もちろん、ラベルがあれば安全というものではありません。★1と★3では評価した主体が違いますし、制度が確認するのは定められた適合基準に対する製品のセキュリティ機能です。設置後の設定や運用環境まで保証するものではありません。

難しいのは制度を調べること自体ではなく、自社の用途にとってどの水準が必要なのかを見極めることです。守る対象、設置する環境、映像を扱う範囲によって求めるべき水準は変わります。

株式会社ジェイセキュリティでは、機器のご提案から設置工事まで対応しております。調達の要件についてご不明な点がある場合や、既存の設備のセキュリティ設定を確認したい場合も、お気軽にご相談ください。ご要件をうかがったうえで確認すべき点を整理してご案内いたします。

■お問い合わせはこちら

※記載の内容は一般的な整理です。個別の調達要件については、発注者の示す条件をご確認ください。

※制度の内容、適合基準、受付の時期および運用は、改定や進捗により変わる可能性があります。最新の情報は、制度を運用する機関が公表する資料でご確認ください。

※適合基準の項目数は、基準の改訂により変更される場合があります。

※適合ラベルの取得状況は製品および機種により異なります。個別の取得状況については、公開されている取得製品リストでご確認ください。

※適合ラベルは、製品が定められた要件を満たしていることを示すものであり、設置後の運用や設定の適切さを保証するものではありません。

※本記事は制度の一般的な解説を目的としたものであり、個別の調達案件における判断を保証するものではありません。