はじめに
本記事は、経済産業省が開催してきた「産業サイバーセキュリティ研究会」における議論、とりわけ 「第8回産業サイバーセキュリティ研究会」の事務局説明資料（以下、「第8回研究会資料」と省略） をもとに、日本におけるサイバーセキュリティ評価制度の方向性を読み解くことを目的としています。
当初、研究会資料では「企業のサイバー対策を段階的に評価・可視化する仕組み」が検討案として示されていました。その後、この議論は「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」として具体化し、2026年3月には制度構築方針が公表されています。
SCS評価制度では、サプライチェーンを構成する企業のセキュリティ対策状況を共通基準で評価・可視化し、取引先間で適切な対策水準を確認できる仕組みの整備が進められています。
その後の制度展開として、2025年3月に経済産業省は IoT製品向けのセキュリティ適合ラベリング制度 『JC-STAR（Labeling Scheme based on Japan Cyber-Security Technical Assessment Requirements）』 を本格的に開始しています。
JC-STARは、ETSI EN 303 645 や NISTIR 8425 などの国内外の関連規格との整合性を意識しつつ、 日本独自の考え方も取り入れた、セキュリティ技術要件への適合性を可視化する制度です。
本記事では、
- 研究会段階で議論されていた評価・可視化の構想
- IoT製品向けに制度化されたJC-STAR
- 企業のセキュリティ対策を評価するSCS評価制度
産業サイバーセキュリティ研究会とは何か
産業サイバーセキュリティ研究会は、経済産業省が主導する有識者会合であり、 日本の産業活動や経済基盤を支えるサイバーセキュリティ政策について、 中長期的な視点から検討を行う場です。
近年の研究会では、以下のような課題意識が共有されてきました。
- サプライチェーン全体におけるサイバーリスクの増大
- 企業や製品ごとのセキュリティ対策状況が外部から見えにくい問題
- 市場原理を活かしてセキュリティ対策を促進する必要性
これらを背景に、「セキュリティ対策をいかに可視化するか」が重要なテーマとして位置付けられています。
研究会で議論された「評価・可視化」の考え方
研究会資料では、サイバーセキュリティ対策を単純に 「実施している／していない」で判断するのではなく、 成熟度（マチュアリティ）として段階的に捉えるという考え方が示されました。
主なポイントは次の通りです。
- セキュリティ対策は一律ではなく、企業規模や事業内容に応じて段階が存在する
- 成熟度を段階化することで、現状把握と改善の道筋が明確になる
- 評価結果を可視化することで、取引先や市場からの信頼判断に活用できる
こうした議論を踏まえ、その後、企業のセキュリティ対策状況を段階的に評価・可視化する仕組みは、SCS評価制度として具体化しました。
2026年3月には制度構築方針が公表され、★3・★4の要求事項や評価基準も示されています。★3・★4については、2026年度末頃の制度開始（申請受付開始）が予定されています。
「セキュア・バイ・デザイン」と「セキュア・バイ・デフォルト」の重要性
「第8回研究会資料」では、評価制度の議論とあわせて、 「セキュア・バイ・デザイン」と 「セキュア・バイ・デフォルト」の重要性も強調されています。
製品やシステムを最初から設計する際にセキュリティを考慮に入れる方法。 セキュリティは製品の基本的な機能として組み込まれます。
製品が市場に出る際に、最初から最も安全な設定で提供されること。 ユーザーは特別な知識がなくても、基本的な保護を受けることができます。
これは、後から対策を追加する方法には限界があるという認識に基づくものであり、 特に IoT製品やクラウドサービスの分野で重要性が高まっています。
IoT製品向けに先行して制度化された「JC-STAR」とは
こうした研究会での議論を背景に、実務的な制度として先行して導入されたのが 「JC-STAR」です。
JC-STARは、IoT製品を中心とした製品セキュリティについて、 STAR-1（★1）から STAR-4（★4）までの4段階で適合性を示すラベリング制度です。
制度の主な特徴として、以下が挙げられます。
- 製品単位でセキュリティ対策状況を分かりやすく可視化
- 国際的なセキュリティ要件や議論動向を踏まえた設計
- 将来的な政府調達や市場での活用が期待され、検討が進められている仕組み
JC-STARのレベル構成と考え方
STAR-1（★1）
IoT製品に共通して求められる最低限のセキュリティ要件を定め、 それを満たしていることをベンダーが自己宣言するレベルです。
STAR-2（★2）
製品類型ごとの特性を踏まえ、★1に追加すべき基本的な要件を定め、 それを満たしていることをベンダーが自己宣言するレベルです。
STAR-3（★3）／STAR-4（★4）
政府機関や重要インフラ事業者、大企業などでの利用を想定し、 ★1・★2に加えて、より高度で汎用的なセキュリティ要件を満たしていることを 第三者が評価するレベルです。
研究会で検討されていた「企業の成熟度評価」とは対象が異なりますが、 セキュリティを可視化し、市場メカニズムによって全体の水準を引き上げるという思想は 共通している点が見て取れます。
一方、企業そのもののセキュリティ対策状況を評価する仕組みについては、その後SCS評価制度として制度化が進められています。
SCS評価制度とJC-STARはどう違うのか
JC-STARとSCS評価制度は、どちらもセキュリティ対策の「可視化」を目的としていますが、評価対象が異なります。
JC-STARは、IoT製品などの製品単位でセキュリティ要件への適合状況を示す制度です。一方、SCS評価制度は、サプライチェーンを構成する企業等のIT基盤を対象に、セキュリティ対策の実施状況を共通基準で評価・可視化する制度です。
SCS評価制度では、取引関係において委託元が委託先に求めるセキュリティ水準を「★」で示し、対策の実施状況を確認することが想定されています。なお、企業間の優劣を競う「格付け制度」ではなく、サプライチェーン全体のセキュリティ水準を引き上げることを目的とした任意の制度です。
2026年9月には、制度運用を担う評価機関、技術検証事業者、研修事業者の指定申請も開始されており、制度開始に向けた準備が具体的に進んでいます。
まとめ
サイバーセキュリティ評価制度は、単なる格付けや序列化を目的としたものではありません。 本来の目的は、現状を把握し、課題を明確にし、継続的な改善につなげることにあります。
JC-STARの開始は、日本における「セキュリティ対策の可視化」が、 研究会での検討段階から、実際の制度運用フェーズへと移行したことを示す 象徴的な動きと言えるでしょう。
研究会で議論されていた「企業のセキュリティ対策を評価・可視化する」という構想は、現在ではSCS評価制度として具体化しています。2026年3月に制度構築方針が公表され、同年9月には評価機関等の指定申請も開始されました。★3・★4については、2026年度末ごろの制度開始が予定されています。
一方、JC-STARは製品単位、SCS評価制度は企業等のIT基盤を対象としており、対象や評価方法は異なります。今後は、自社製品のセキュリティだけでなく、取引先を含むサプライチェーン全体で、どの水準の対策が求められるのかを把握することが重要になります。
SCS評価制度の具体的な仕組みや、企業が準備しておきたい対策については、「SCS評価制度とは？経産省が進めるサプライチェーンセキュリティ評価と企業が今すぐ始めるべき対策」もあわせてご覧ください。
また、近年の評価制度動向を踏まえると、ISMAPの理解は不可欠です。制度の全体像は「ISMAPとは｜政府・自治体のクラウド調達で必要な要件と確認ポイント」の記事をご参照ください。
経済産業省商務情報政策局： 第8回産業サイバーセキュリティ研究会事務局説明資料
経済産業省： 第8回「産業サイバーセキュリティ研究会」を開催しました
経済産業省： サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）
経済産業省： 「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」を公表しました
