JC-STAR là gì 2026: điều có hiệu lực thực sự không phải cái nhãn mà là ngày được đưa vào yêu cầu

“Chúng tôi cứ chọn sản phẩm có dán nhãn JC-STAR là được, đúng không?” – Từ đầu năm 2026, chúng tôi nhận được câu hỏi này ngày càng nhiều. Câu trả lời đúng một nửa là “đúng”, nhưng xét trên thực tế công việc thì là “không”. Bởi vì thứ thực sự có hiệu lực trong chế độ này của Nhật Bản không phải là bản thân việc sản phẩm có dán nhãn hay không, mà là ngày mà nhóm thiết bị công ty bạn mua bị đưa vào diện yêu cầu bắt buộc. Bài viết này sắp xếp lại toàn cảnh chế độ và những điều bên mua cần xác nhận ngay lúc này.

JC-STAR là gì: chế độ dán nhãn do IPA vận hành dưới sự giám sát của METI Nhật Bản

Tên chính thức là “Chế độ đánh giá sự phù hợp với yêu cầu bảo mật và dán nhãn”

JC-STAR là tên viết tắt, tên chính thức là “Chế độ đánh giá sự phù hợp với yêu cầu bảo mật và dán nhãn”. Chế độ này được IPA (Cơ quan Xúc tiến Công nghệ Thông tin Nhật Bản) xây dựng và vận hành dưới sự giám sát của Bộ Kinh tế, Thương mại và Công nghiệp Nhật Bản (METI).

Chỉ riêng một câu này đã xác định hai điều quan trọng đối với thực tế công việc. Thứ nhất, đây không phải là một dịch vụ chứng nhận thương mại của tư nhân hay một dấu tự nguyện của hiệp hội ngành nghề, mà là một chế độ được thiết kế như một chính sách quốc gia của Nhật Bản. Thứ hai, do IPA đảm nhiệm phần vận hành thực tế nên thông tin về các sản phẩm hợp chuẩn được tập trung vào danh sách công khai của IPA. Nhìn từ phía bên mua, điều đó có nghĩa là bạn có thể xác nhận “sản phẩm đó có thực sự hợp chuẩn hay không” bằng danh sách công khai, chứ không phải bằng tài liệu bán hàng của nhà cung cấp.

Mục đích của chế độ cũng rất rõ ràng: giúp bên mua sắm và người tiêu dùng có thể nắm bắt tình trạng bảo mật của sản phẩm một cách dễ dàng. Nói cách khác, trọng tâm không nằm ở việc nâng mức bảo mật lên, mà nằm ở việc làm cho những khác biệt vốn đã tồn tại trở nên nhìn thấy được từ bên ngoài. Nếu hiểu sai điểm này, bạn sẽ đọc sai chế độ ngay từ đầu.

Ngày 25 tháng 3 năm 2025 đã bắt đầu điều gì

Hãy nắm lại trình tự thời gian.

Điều đáng chú ý là ngày 25 tháng 3 năm 2025 có hai việc cùng bắt đầu: “tiếp nhận hồ sơ đăng ký” và “công khai danh sách sản phẩm”. Ngày chế độ khởi động cũng đồng thời là ngày bên mua có thể tra cứu được sản phẩm. Tin tức về việc chế độ bắt đầu thường được đưa như câu chuyện của phía cung cấp, nhưng đối với công việc mua sắm thì vế thứ hai mới là thay đổi trực tiếp hơn.

Vì sao chứng nhận bảo mật cho sản phẩm IoT lại được đặt ra vào lúc này

Về bối cảnh, số gói tin liên quan đến tấn công mạng mà hệ thống quan trắc NICTER của Nhật Bản ghi nhận đã đạt mức cao nhất từ trước đến nay vào năm 2024, với khoảng 686.2 tỷ gói tin. Số lượng thiết bị IoT cũng liên tục tăng qua từng năm kể từ năm 2019 (số liệu xác nhận được đến năm 2023).

Số lượng thiết bị tăng lên, lượng tấn công quan sát được cũng tăng lên. Khi hai điều này chồng lên nhau, bên mua không còn đủ nguồn lực để đánh giá riêng lẻ mức độ chắc chắn của từng sản phẩm. Nếu phải kiểm toán bảo mật từng chiếc một cho các thiết bị mạng, camera và gateway cảm biến đưa vào nhà máy thì hoạt động mua sắm sẽ đứng lại. Vì vậy, cách tiếp cận được chọn là buộc phía sản phẩm phải đạt một ngưỡng tối thiểu được vạch sẵn, rồi làm cho ngưỡng đó nhìn thấy được từ bên ngoài. JC-STAR là chế độ nằm trong mạch bối cảnh đó.

Quan hệ với ETSI EN 303 645 và NISTIR 8425

JC-STAR được giải thích là chế độ xác nhận và trực quan hóa sự phù hợp của sản phẩm IoT dựa trên các tiêu chí hợp chuẩn do chính chế độ này tự quy định, đồng thời hài hòa với các tiêu chuẩn trong và ngoài nước như ETSI EN 303 645 và NISTIR 8425.

Cách diễn đạt “hài hòa nhưng tự quy định riêng” này rất đáng được đọc cho chính xác. JC-STAR không phải là bản thân chế độ chứng nhận của ETSI EN 303 645. Cấu trúc ở đây là: cách tư duy về yêu cầu được đặt ngang hàng với chuẩn quốc tế, còn tiêu chí hợp chuẩn với tư cách một chế độ của Nhật Bản thì được giữ riêng. Do đó, ngay cả khi nhà cung cấp giải thích rằng “sản phẩm tuân thủ ETSI EN 303 645” thì điều đó cũng không tự động đồng nghĩa với việc hợp chuẩn STAR-1 của JC-STAR. Chiều ngược lại cũng vậy.

Khi soạn hồ sơ yêu cầu kỹ thuật cho mua sắm, đừng trộn lẫn hai điều này. “Tuân thủ tiêu chuẩn quốc tế” và “đã đạt nhãn hợp chuẩn JC-STAR STAR-1” có độ chi tiết thông tin có thể kiểm chứng hoàn toàn khác nhau. Vế trước là một tuyên bố, vế sau là một sự thật có thể đối chiếu trên danh sách công khai.

Các cấp độ của JC-STAR được phân chia theo “ai đánh giá” nhiều hơn là theo “độ khắt khe của yêu cầu”

Toàn cảnh từ STAR-1 đến STAR-4

Đây là điểm mấu chốt nhất khi tìm hiểu chế độ. Nhìn số sao rồi đọc thành “STAR-1 dễ, STAR-4 khắt khe” thì mới chỉ đúng một nửa.

Độ khắt khe của yêu cầu đúng là tăng dần từ STAR-1 lên STAR-4. Tuy nhiên, thứ thay đổi về bản chất của chế độ lại nằm giữa STAR-2 và STAR-3. STAR-1 và STAR-2 là do nhà cung cấp tự công bố; STAR-3 và STAR-4 là do IPA chứng nhận dựa trên báo cáo đánh giá của tổ chức đánh giá độc lập bên thứ ba. Một đường ranh giới đậm được kẻ ngay tại đây.

Tự công bố sự phù hợp và chứng nhận bên thứ ba có vai trò khác nhau

Khi biết STAR-1 là hình thức tự công bố sự phù hợp, đôi khi chúng tôi nhận được phản ứng: “Vậy nhãn STAR-1 chẳng có ý nghĩa gì sao?”. Cách đọc này không chính xác.

Tự công bố sự phù hợp là cơ chế để phổ biến một ngưỡng tối thiểu tới thật nhiều sản phẩm trong thời gian ngắn. Đánh giá bên thứ ba là cơ chế để bảo đảm độ tin cậy bằng cách bỏ ra thời gian và chi phí. Hai bên không cạnh tranh nhau, mà là sự phân vai giữa độ phủ và độ sâu. Thiết bị IoT đưa vào nhà máy có rất nhiều chủng loại; nếu phải cho từng sản phẩm đi qua đánh giá bên thứ ba thì thế hệ thiết bị đã thay đổi trước khi chế độ kịp phổ biến. Nhờ đặt STAR-1 ở dạng tự công bố mà việc vạch ngưỡng cho nhiều nhóm sản phẩm rộng lớn trong thời gian ngắn trở nên khả thi.

Mặt khác, vì là tự công bố nên chỉ dựa vào việc có nhãn hay không thì chưa thể nói “sản phẩm đó an toàn”. STAR-1 thể hiện sự thật rằng nhà sản xuất đã tuyên bố sản phẩm đáp ứng các yêu cầu tối thiểu được đòi hỏi chung, chứ không phải là một bảo đảm chất lượng tổng thể của sản phẩm. Hai điều này không hề mâu thuẫn. Chỉ đơn giản là chế độ được thiết kế như vậy.

Về mặt thực hành cho bên mua, cách phân biệt tự nhiên nhất là như sau.

• STAR-1 / STAR-2 – dùng để loại vòng đầu. Đây là bộ lọc ngưỡng dưới: “sản phẩm nào không có cái này thì loại khỏi danh sách ứng viên”.
• STAR-3 / STAR-4 – dùng để cộng điểm. Vì đã có đánh giá của bên thứ ba nên có thể dùng làm căn cứ lựa chọn cho những hệ thống quan trọng cao hoặc cho thiết bị đặt tại điểm kết nối ra bên ngoài.

Nếu cố dùng STAR-1 như một “chứng minh về chất lượng” thì bạn sẽ thất vọng, nhưng nếu dùng nó như một “ngưỡng dưới để thu hẹp danh sách ứng viên” thì khó có chỉ báo nào tiện hơn thế. Bởi chỉ cần đối chiếu mã sản phẩm trên danh sách công khai là xong.

Lịch trình và các nhóm sản phẩm áp dụng từ STAR-2 trở lên

Về STAR-2 đến STAR-4, tại thời điểm bắt đầu vận hành vào tháng 3 năm 2025, chỉ có STAR-1 đi trước, còn từ STAR-2 trở lên được nêu là dự kiến bắt đầu từ năm tài khóa 2026 của Nhật Bản (năm tài khóa bắt đầu từ tháng 4 năm 2026) trở đi.

Theo các nội dung được công bố sau đó, từ STAR-2 trở lên sẽ áp dụng cho hai nhóm sản phẩm là “camera mạng” và “thiết bị truyền thông”, là những nhóm được kỳ vọng sử dụng trong mua sắm công, với kế hoạch bắt đầu tiếp nhận hồ sơ đăng ký từ tháng 1 năm 2026 trở đi. Ngoài ra, các yêu cầu hợp chuẩn của STAR-3 đã được công khai vào ngày 12 tháng 6 năm 2026.

Đọc theo góc nhìn của nhà máy, cách hai nhóm này được chọn là có lý do. Camera mạng và thiết bị truyền thông đều là những thiết bị dễ nhìn thấy từ bên ngoài, có số lượng lớn và hay bị đẩy lùi việc cập nhật. Ở nhà máy, camera giám sát trong khuôn viên và các thiết bị mạng như điểm truy cập không dây, switch công nghiệp, router nằm ở vị trí gần với hai nhóm này. Vị trí của các thiết bị đó với tư cách thành phần cấu thành mạng nhà máy được chúng tôi sắp xếp riêng trong bài Mạng LAN không dây và thiết kế mạng công nghiệp cho nhà máy.

Xin lưu ý, về việc tiếp nhận hồ sơ đăng ký từ STAR-2 trở lên, bài viết này chỉ nêu đến mức “kế hoạch đã được công bố” như trên. Về thời điểm thực tế bắt đầu tiếp nhận hoặc việc bổ sung thêm nhóm sản phẩm, xin hãy kiểm tra thông tin mới nhất trên trang chính thức của IPA. Do chế độ đang tiến triển riêng theo từng lĩnh vực nên giữa kế hoạch được công bố và tiến độ thực tế có thể phát sinh sai lệch.

“Thiết bị không thực hiện truyền thông IP” có thể nằm ngoài phạm vi của chế độ

Còn một cách phân định nữa cần nắm, song song với câu chuyện cấp độ. Thiết bị không có chức năng truyền thông IP có trường hợp được xếp là nằm ngoài phạm vi áp dụng của chế độ.

Một ví dụ cụ thể: ngày 13 tháng 4 năm 2026, Yaskawa Electric (nhà sản xuất Nhật Bản) đã chính thức công bố rằng PCS (thiết bị biến đổi điện, power conditioner) đơn thể của công ty này không có chức năng truyền thông IP nên nằm ngoài phạm vi của chế độ. Nghĩa là, việc không có nhãn không đương nhiên đồng nghĩa với “chậm đáp ứng”.

Đây là một sự phân biệt quan trọng đối với công việc mua sắm. Nếu lập danh sách thiết bị rồi tô màu chỉ dựa trên “có nhãn hay không”, thì cả những thiết bị vốn đã nằm ngoài phạm vi cũng sẽ bị tô đỏ như chưa đáp ứng. Nước đi đầu tiên của việc kiểm kê không phải là kiểm tra nhãn, mà là phân loại xem “thiết bị này có thực hiện truyền thông IP hay không”. Điểm này sẽ được đề cập lại một lần nữa trong danh sách kiểm tra ở nửa sau bài viết.

Các yêu cầu của JC-STAR STAR-1, dịch sang ngôn ngữ hiện trường thì đòi hỏi điều gì

Các yêu cầu bảo mật của STAR-1 được công bố như quy cách của sản phẩm hợp chuẩn gồm 5 hạng mục sau. Vì để nguyên văn điều khoản thì khó đưa vào hồ sơ yêu cầu kỹ thuật, chúng tôi dịch lại sang ngôn ngữ vận hành ở hiện trường.

Trong 5 hạng mục, hạng mục thứ 5 mới là thứ có hiệu lực với mua sắm

Năm hạng mục trông có vẻ ngang hàng nhau, nhưng thứ tác động lớn nhất đến quyết định mua hàng là hạng mục cuối cùng, “cung cấp bản cập nhật bảo mật trong thời hạn hỗ trợ”.

Lý do rất đơn giản: bốn hạng mục còn lại chỉ cần xác nhận xem tại thời điểm bàn giao đã đáp ứng hay chưa là xong, còn riêng hạng mục thứ 5 là một lời hứa đối với trục thời gian trong tương lai. Thiết bị của nhà máy được dùng 10 năm, 15 năm. Nếu đưa vào một thiết bị mà việc cung cấp bản cập nhật bảo mật kết thúc sau 5 năm kể từ khi lắp đặt, lại không có kế hoạch thay mới, thì từ đó trở đi bạn sẽ tiếp tục để một “thiết bị dù lỗ hổng được công bố cũng không được sửa” nằm trong mạng nhà máy.

Cách phản ánh hạng mục thứ 5 này vào hồ sơ yêu cầu kỹ thuật sẽ được viết cụ thể trong danh sách kiểm tra ở nửa sau. Ở đây chỉ nói trước kết luận: thứ cần xác nhận không phải là “có hỗ trợ hay không” mà là “bao giờ kết thúc“.

Tình huống mà hạng mục thứ 3, “mã hóa giá trị cấu hình”, phát huy tác dụng

Còn một điểm nữa dễ bị bỏ sót ở hiện trường, đó là hạng mục thứ 3 về mã hóa giá trị cấu hình.

Hạng mục này phát huy tác dụng không phải lúc đưa thiết bị vào, mà lúc buông thiết bị ra và lúc gửi thiết bị đi. Trả thiết bị thuê, gửi về nhà sản xuất để sửa chữa, thải bỏ thiết bị hỏng, và điều chuyển thiết bị giữa các cơ sở ở nước ngoài. Khi đó, nếu tệp cấu hình vẫn chưa được mã hóa mà vẫn giữ cấu trúc mạng, giá trị băm của mật khẩu và thông tin về các điểm kết nối, thì toàn bộ những thứ đó sẽ theo thiết bị ra ngoài.

Với doanh nghiệp có cơ sở tại Thái Lan, các tình huống giao thiết bị thực tế cho nhà cung cấp bản địa để sửa chữa hoặc thay thế thường nhiều hơn so với trong nước Nhật Bản. Nếu hiểu mã hóa giá trị cấu hình là một yêu cầu nhằm hạ rủi ro của cách vận hành đó ngay tại phía thiết bị, ý nghĩa của nó sẽ dễ nhìn thấy hơn. Về tổng thể thiết kế bảo mật phía nhà máy bao gồm cả thiết bị mạng, chúng tôi đã trình bày trong bài Bảo mật OT cho nhà máy tại Thái Lan và IEC 62443.

Các yêu cầu của STAR-1 không đòi hỏi điều gì “đặc biệt”

Xếp 5 hạng mục cạnh nhau, hẳn bạn đã nhận ra rằng những gì STAR-1 đòi hỏi đều là các điều cơ bản đã được nói đến từ lâu trong thế giới bảo mật. Buộc đổi mật khẩu ban đầu, chặn tấn công dò mật khẩu kiểu vét cạn, mã hóa cấu hình, phân phát bản cập nhật, xác định phát đến bao giờ. Không có lấy một yêu cầu kỹ thuật nào mới mẻ.

Chính vì thế, ý nghĩa của STAR-1 không nằm ở chỗ “đã vượt qua một rào cản cao”, mà ở chỗ những sản phẩm không đáp ứng 5 điều này đã có thể được phân biệt trên thị trường. Giá trị của chế độ không nằm ở việc nâng trần lên, mà ở việc làm cho ngưỡng sàn nhìn thấy được. Cách hiểu này dẫn sang chương tiếp theo.

Thứ có hiệu lực là ngày tháng: lộ trình đưa vào yêu cầu bắt buộc đang đi trước ở lĩnh vực điện mặt trời và lưu trữ điện

Lộ trình của lĩnh vực điện mặt trời và lưu trữ điện

Từ đây là chủ đề chính của bài viết. Thứ có hiệu lực thực tế trong JC-STAR không phải là việc có nhãn hay không, mà là ngày trở thành yêu cầu bắt buộc.

Và lĩnh vực hiện đang có những mốc ngày rõ ràng xếp thành hàng là điện mặt trời và lưu trữ điện.

Bảng này là câu chuyện của lĩnh vực điện mặt trời và lưu trữ điện. Xin đừng khái quát hóa sang các lĩnh vực khác. Không hề có việc những mốc ngày tương tự đã được ấn định cho thiết bị sản xuất, thiết bị FA của nhà máy hay thiết bị mạng khối văn phòng.

Trên cơ sở đó, cấu trúc mà bảng này thể hiện lại có tính phổ quát. Hãy nhìn vào thứ tự. Chế độ bắt đầu, tiếp theo trở thành yêu cầu của chương trình trợ cấp, rồi sau đó trở thành điều kiện đấu nối lưới điện. Khi một chế độ tự nguyện bắt đầu có hiệu lực trong thực tế, phần lớn trường hợp nó đi theo đúng trình tự này. Từ “nên có” sang “không có thì không được cấp trợ cấp”, rồi sang “không có thì không được đấu nối”.

Nghĩa là, chỉ báo mà bên mua cần theo dõi không phải là “đã có bao nhiêu sản phẩm đạt nhãn”. Mà là nhóm thiết bị của công ty mình đã bắt đầu thấy JC-STAR xuất hiện trong yêu cầu của trợ cấp hay trong điều kiện đấu nối hay chưa. Vế trước là chỉ báo của phía cung cấp, vế sau là chỉ báo cho biết hoạt động mua sắm của chính bạn có bị đứng lại hay không.

“Gần như bắt buộc trên thực tế” không phải là “bắt buộc theo quy định”

Xin làm rõ cách dùng thuật ngữ. Việc “gần như bắt buộc trên thực tế” trong chương trình trợ cấp Storage Parity của Bộ Môi trường Nhật Bản ở năm tài khóa 2026 của Nhật Bản có nghĩa là khi nộp hồ sơ xin trợ cấp thì trên thực tế bạn cần chuẩn bị đủ điều kiện đó, chứ không có nghĩa là mọi người mua sản phẩm ấy đều bị áp đặt nghĩa vụ phải có chứng nhận.

Về JC-STAR, tại thời điểm hiện tại chưa xác nhận được quy định nào áp đặt nghĩa vụ phải có chứng nhận một cách đồng loạt. Nếu bạn bắt gặp cách diễn đạt “JC-STAR đã bị bắt buộc” thì đó là cách nói không chính xác. Điều đang thực sự diễn ra là: chế độ vẫn ở dạng tự nguyện, nhưng đã bắt đầu được viện dẫn như một yêu cầu trong từng lĩnh vực riêng lẻ, trong từng tình huống riêng lẻ.

Sự khác biệt này có tác dụng khi giải thích trong nội bộ công ty. Nếu truyền đạt rằng “nghe nói sắp bị bắt buộc”, một cuộc kiểm kê toàn công ty bao gồm cả những thiết bị nằm ngoài phạm vi sẽ khởi động, và thường sẽ dừng lại giữa chừng. Còn nếu truyền đạt rằng “trong lĩnh vực liên quan đến công ty mình, khi nào nó sẽ được viện dẫn như một yêu cầu”, phạm vi cần tra cứu sẽ được giới hạn lại và bạn sẽ có câu trả lời.

Câu chuyện mua sắm của chính quyền địa phương là “dự đoán”, không phải việc đã được quyết định

Xin đề cập thêm một câu chuyện hay được trích dẫn.

Về việc mua sắm sản phẩm IoT của các chính quyền địa phương tại Nhật Bản, có bài phân tích nêu rằng “từ tháng 4 năm 2025 trở đi, dự đoán sẽ có yêu cầu sản phẩm phải đã đạt hoặc dự kiến đạt chứng nhận JC-STAR” (đây là dự đoán tại thời điểm bài phân tích đó được công bố).

Đây là dự đoán trong một bài phân tích, không phải là việc đã được quyết định. Bài viết này cũng không khẳng định điều đó. Tuy nhiên, về cách xử lý trên thực tế, suy nghĩ như sau là hợp lý. Hãy so sánh chi phí khi dự đoán đúng với chi phí khi dự đoán sai. Nếu dự đoán đúng mà sản phẩm liên quan chưa có chứng nhận JC-STAR, bạn có khả năng không tham gia được vào chính cuộc đấu thầu. Nếu dự đoán sai, thứ bạn mất chỉ là công sức thêm một câu vào hồ sơ yêu cầu kỹ thuật. Vì bất đối xứng như vậy nên phán đoán hợp lý là cứ đưa vào hồ sơ một câu yêu cầu “đã đạt chứng nhận, hoặc ghi rõ thời điểm dự kiến đạt chứng nhận”.

Ngay cả khi bạn không ở vị trí cung cấp sản phẩm cho chính quyền địa phương, cấu trúc này cũng đáng để ghi nhớ. Việc trở thành yêu cầu bắt buộc không phải lúc nào cũng rơi xuống dưới dạng thông tin có thể khẳng định chắc chắn. Nhiều trường hợp bạn phải quyết định cách ứng phó ngay từ giai đoạn “được dự đoán”.

Thiết bị IoT/OT của nhà máy thì sẽ ra sao

“Vậy thiết bị của nhà máy thì bao giờ?” – Đây hẳn là điều bạn đọc muốn biết nhất, nhưng những mốc ngày rõ ràng như ở lĩnh vực điện mặt trời và lưu trữ điện thì hiện tại chúng tôi chưa xác nhận được. Vì chưa xác nhận được nên bài viết này không đưa ra ngày tháng theo kiểu suy đoán.

Điều có thể nói là: đối tượng đi trước của STAR-2 trở lên là hai nhóm camera mạng và thiết bị truyền thông, và hai nhóm này cũng tồn tại với số lượng lớn trong khuôn viên nhà máy. Về cách lồng ghép chế độ này vào việc mua sắm thiết bị IoT/OT và kế hoạch thay mới thiết bị của nhà máy, chúng tôi sẽ trình bày chi tiết, bao gồm cả cách đưa vào chu kỳ thay mới, trong bài Mua sắm thiết bị IoT/OT của nhà máy và ảnh hưởng của JC-STAR.

Vị thế quốc tế: công nhận lẫn nhau giữa Nhật Bản và Singapore đã có hiệu lực từ ngày 1 tháng 6 năm 2026

JC-STAR là chế độ trong nước của Nhật Bản, nhưng các kết nối quốc tế đã bắt đầu. Ngày 18 tháng 3 năm 2026, Nhật Bản và Singapore đã ký biên bản ghi nhớ về việc công nhận lẫn nhau giữa JC-STAR và Cybersecurity Labelling Scheme (CLS) của Singapore. Việc công nhận lẫn nhau có hiệu lực từ ngày 1 tháng 6 năm 2026, và các yêu cầu nền tảng của STAR-1 thuộc JC-STAR được công nhận là tương đương với Level 1 của CLS Singapore. Nhật Bản là quốc gia thứ 5 ký công nhận lẫn nhau với CLS Singapore, sau Phần Lan, Đức, Hàn Quốc và Anh.

Bộ Kinh tế, Thương mại và Công nghiệp Nhật Bản (METI) cho biết, ngoài việc công nhận lẫn nhau với Singapore lần này, phía Nhật Bản sẽ tiếp tục đàm phán với Anh (PSTI Act), Mỹ (U.S. Cyber Trust Mark) và EU (Cyber Resilience Act) với tư cách các đối tác công nhận lẫn nhau của chính mình. Điều có ý nghĩa với doanh nghiệp có cơ sở ở nước ngoài là sự phù hợp của sản phẩm đã đạt STAR-1 tại Nhật Bản được chấp nhận đến đâu trong chế độ của các nước khác. Về việc có thể sử dụng thỏa thuận công nhận lẫn nhau này ra sao khi xây dựng tiêu chuẩn mua sắm cho các cơ sở ở nước ngoài như Thái Lan, và về việc đặt cái gì làm chuẩn trong bối cảnh phía Thái Lan không có chế độ tương đương, chúng tôi trình bày trong bài MRA Nhật Bản và Singapore và tiêu chuẩn mua sắm cho cơ sở tại Thái Lan.

Thực hành cho bên mua: biến những điều cần xác nhận lúc này thành danh sách kiểm tra

Chúng tôi chuyển câu chuyện chế độ thành những việc có thể bắt tay làm từ ngày mai. Thứ tự rất quan trọng, xin hãy tiến hành theo đúng trình tự này.

Bước 1: phân loại thiết bị thành 4 nhóm (kiểm kê)

Trước hết, hãy phân loại trước khi đi tra cứu nhãn.

Loại nhóm C ra trước là bí quyết để kết thúc được đợt kiểm kê này. Như đã nói ở trên, thiết bị không có chức năng truyền thông IP có thể nằm ngoài phạm vi của chế độ. Nếu trộn lẫn phần này vào, danh sách sẽ đầy rẫy mục “chưa đáp ứng” và bạn sẽ không xếp được thứ tự ưu tiên.

Với câu hỏi ở nhóm D, nếu có thể thì nên gửi tới bộ phận hỗ trợ kỹ thuật thay vì bộ phận kinh doanh của nhà sản xuất, thường sẽ có câu trả lời nhanh hơn. Cách hỏi không nên là “quý công ty đã có JC-STAR chưa” mà nên là bộ ba câu hỏi: “mã sản phẩm này có thuộc phạm vi của chế độ không, nếu thuộc phạm vi thì đã đạt chứng nhận chưa, và thời điểm dự kiến đạt chứng nhận là khi nào“. Nếu nằm ngoài phạm vi thì bạn sẽ nhận được câu trả lời là ngoài phạm vi, và đợt kiểm kê hoàn tất.

Bước 2: xác nhận “dấu hiệu trở thành yêu cầu bắt buộc” theo từng nhóm sản phẩm

Với các thiết bị đã vào nhóm A, hãy xác nhận xem trong nhóm sản phẩm đó có động thái đưa vào yêu cầu bắt buộc hay không. Có 3 nơi cần nhìn.

1. Hướng dẫn nộp hồ sơ của các chương trình trợ cấp – xem trong yêu cầu của chương trình trợ cấp mà công ty bạn sử dụng có JC-STAR hoặc các yêu cầu hợp chuẩn tương tự hay không. Ở lĩnh vực điện mặt trời và lưu trữ điện, điều này đã gần như trở thành bắt buộc trên thực tế trong chương trình trợ cấp Storage Parity của Bộ Môi trường Nhật Bản ở năm tài khóa 2026 của Nhật Bản.
2. Điều kiện kết nối và đấu nối – xem nó có được đưa vào điều kiện kết nối với hạ tầng hay không, giống như trường hợp đấu nối lưới điện.
3. Hồ sơ mời thầu của cơ quan trung ương và chính quyền địa phương – với mua sắm của chính quyền địa phương thì như đã nói ở trên, hiện mới ở giai đoạn dự đoán, nhưng khi câu chữ bắt đầu xuất hiện trong hồ sơ mời thầu thực tế thì đó là thông tin đã xác định.

Cả 3 nơi này đều là thông tin do phía đặt hàng và phía cơ quan quản lý chế độ đưa ra, không phải do nhà cung cấp. So với việc đuổi theo trang sản phẩm của nhà cung cấp thì những nguồn này chuyển động sớm hơn.

Bước 3: câu chữ đưa vào hồ sơ yêu cầu kỹ thuật

Với các thiết bị nhóm A, chúng tôi nêu ví dụ về câu chữ đưa vào hồ sơ yêu cầu kỹ thuật. Chúng được viết ở dạng có thể dùng ngay.

Yêu cầu về sự phù hợp bảo mật
1. Đối với các thiết bị thuộc gói thầu này có chức năng truyền thông IP, phải đã đạt nhãn hợp chuẩn JC-STAR tại thời điểm bàn giao. Trường hợp chưa đạt, phải ghi rõ trong hồ sơ đề xuất việc thiết bị có thuộc phạm vi sản phẩm của chế độ hay không, và nếu thuộc phạm vi thì thời điểm dự kiến đạt chứng nhận là khi nào.
2. Trường hợp đã đạt, phải ghi trong hồ sơ đề xuất cấp độ đã đạt (STAR-1 đến STAR-4), phạm vi các mã sản phẩm được áp dụng, và ngày đạt chứng nhận.
3. Phải ghi rõ theo từng mã sản phẩm ngày dự kiến kết thúc cung cấp bản cập nhật bảo mật của thiết bị bàn giao.

Cả 3 mục đều có mục đích khác nhau.

• Mục 1 là để loại vòng đầu. Tuy nhiên, nếu chỉ đặt điều kiện “phải đã đạt chứng nhận” thì sẽ loại bỏ luôn cả những thiết bị tốt vốn nằm ngoài phạm vi, nên chúng tôi đặt ở dạng hỏi trước “có thuộc phạm vi sản phẩm hay không”.
• Mục 2 là để xác nhận ai đã đánh giá. Vì STAR-1 và STAR-3 có căn cứ về độ tin cậy khác nhau nên hãy bắt ghi đến cả cấp độ. Đồng thời, nhất định phải bắt ghi “phạm vi các mã sản phẩm được áp dụng”. Có trường hợp nhà cung cấp quảng bá sự phù hợp theo tên dòng sản phẩm, nhưng đối tượng hợp chuẩn thực tế lại tính theo từng mã sản phẩm riêng lẻ.
• Mục 3 thực ra là mục có hiệu lực lâu dài nhất. Ngày kết thúc cung cấp hỗ trợ chính là mốc ngày khởi điểm cho kế hoạch thay mới tiếp theo.

Bước 4: ghi ngày tháng vào kế hoạch thay mới thiết bị

Hãy chép “ngày dự kiến kết thúc cung cấp bản cập nhật bảo mật” thu thập được ở mục 3 của Bước 3 vào sổ quản lý kế hoạch thay mới thiết bị.

Kế hoạch thay mới thiết bị của nhà máy thông thường được lập dựa trên tỷ lệ hỏng hóc và khấu hao. Việc bổ sung thêm vào đó trục thứ ba là ngày kết thúc hỗ trợ chính là thành quả thiết thực nhất thu được từ chế độ này. Về mặt vật lý thì thiết bị vẫn chạy, khấu hao cũng đã xong, nhưng bản cập nhật bảo mật thì không còn về nữa. Không có nhiều nhà máy nắm được trên mạng của mình đang có bao nhiêu thiết bị ở trạng thái này.

Sổ quản lý chỉ cần 3 cột là đủ: “mã sản phẩm”, “ngày dự kiến kết thúc cung cấp hỗ trợ”, “năm tài khóa dự kiến thay mới”. Những dòng có cột thứ 3 nằm sau cột thứ 2 chính là nơi rủi ro nằm.

Bước 5: khi tìm thấy nhãn, hãy xác nhận thêm 3 điểm

Khi bạn tìm thấy thông tin hợp chuẩn trên danh sách công khai hoặc trên trang sản phẩm, phải xác nhận đến 3 điểm sau thì mới dùng được cho quyết định mua sắm.

1. Cấp độ – nếu là STAR-1 hoặc STAR-2 thì đó là tự công bố sự phù hợp của nhà cung cấp; nếu là STAR-3 hoặc STAR-4 thì đó là chứng nhận của IPA dựa trên báo cáo đánh giá của tổ chức đánh giá bên thứ ba. Người đánh giá là khác nhau.
2. Độ chi tiết của mã sản phẩm áp dụng – là cả dòng sản phẩm hay chỉ một mã cụ thể. Hãy đối chiếu xem mã sản phẩm bạn định mua có nằm trong đó hay không.
3. Ngày đạt chứng nhận – nếu ngày đạt chứng nhận đã cũ, hãy xác nhận xem các phiên bản mã sản phẩm sửa đổi sau đó có nằm trong phạm vi áp dụng hay không.

Ngoài ra, việc đạt chứng nhận ở những nhóm sản phẩm cũng được dùng trong nhà máy đã bắt đầu tiến triển. Ví dụ, Buffalo (nhà sản xuất Nhật Bản) đã công bố các sản phẩm hợp chuẩn STAR-1 cho nhóm sản phẩm gồm điểm truy cập Wi-Fi, router, switch và NAS. Mặt khác, mức độ tiến triển của việc đạt chứng nhận có sự chênh lệch tùy theo nhóm sản phẩm. Về sự chênh lệch trong tình hình hợp chuẩn theo từng nhà sản xuất và từng nhóm sản phẩm, chúng tôi sắp xếp trong bài Các nhà sản xuất đã đạt JC-STAR và tình hình sản phẩm tương ứng. Bài viết này không đi vào so sánh hơn kém giữa các nhà sản xuất cụ thể.

Câu hỏi thường gặp (FAQ)

JC-STAR là gì?

Tên chính thức là “Chế độ đánh giá sự phù hợp với yêu cầu bảo mật và dán nhãn”, là chế độ đánh giá sự phù hợp và dán nhãn bảo mật dành cho sản phẩm IoT, do IPA (Cơ quan Xúc tiến Công nghệ Thông tin Nhật Bản) xây dựng và vận hành dưới sự giám sát của Bộ Kinh tế, Thương mại và Công nghiệp Nhật Bản (METI). Tháng 8 năm 2024, METI công bố phương châm xây dựng chế độ, và tháng 3 năm 2025 chế độ bắt đầu vận hành. Chế độ xác nhận và trực quan hóa sự phù hợp của sản phẩm dựa trên các tiêu chí hợp chuẩn do chính chế độ tự quy định, đồng thời hài hòa với các tiêu chuẩn trong và ngoài nước như ETSI EN 303 645 và NISTIR 8425. Mục đích là giúp bên mua sắm và người tiêu dùng nắm bắt tình trạng bảo mật của sản phẩm một cách dễ dàng.

Ai là người đánh giá STAR-1 của JC-STAR?

STAR-1 là hình thức nhà cung cấp tự công bố sự phù hợp. STAR-2 cũng là tự công bố; còn STAR-3 và STAR-4 thì do IPA chứng nhận dựa trên báo cáo đánh giá của tổ chức đánh giá độc lập bên thứ ba. Nghĩa là số sao không chỉ thể hiện độ khắt khe của yêu cầu, mà còn thể hiện sự khác biệt về ai đã xác nhận sự phù hợp. STAR-1 cho thấy “nhà sản xuất đã tuyên bố sản phẩm đáp ứng các yêu cầu chung tối thiểu”, chứ không phải là bảo đảm chất lượng tổng thể của sản phẩm. Cách dùng thực tế là: dùng STAR-1 làm bộ lọc ngưỡng dưới để thu hẹp danh sách ứng viên, còn với những mục đích cần bảo đảm độ tin cậy thì lấy STAR-3 trở lên làm yếu tố cộng điểm.

Việc đạt chứng nhận JC-STAR có bắt buộc không?

Không, bản thân chế độ là tự nguyện. Tuy nhiên, nó đã bắt đầu được viện dẫn như một yêu cầu riêng lẻ theo từng lĩnh vực. Ở lĩnh vực điện mặt trời và lưu trữ điện, nó gần như trở thành bắt buộc trên thực tế trong chương trình trợ cấp Storage Parity của Bộ Môi trường Nhật Bản ở năm tài khóa 2026 của Nhật Bản, và dự kiến được đưa vào yêu cầu đấu nối lưới điện với cao áp vào tháng 4 năm 2027, với hạ áp dưới 50 kW vào tháng 10 năm 2027. Đây là câu chuyện của lĩnh vực điện mặt trời và lưu trữ điện, không có nghĩa là những mốc ngày tương tự được áp dụng cho các lĩnh vực khác. Với bên mua, thay vì hỏi “có bắt buộc hay không”, việc theo dõi “trong nhóm thiết bị của công ty mình, khi nào nó bắt đầu được viện dẫn như một yêu cầu” sẽ gắn trực tiếp với công việc thực tế hơn.

Từ STAR-2 trở lên của JC-STAR thì khi nào có thể nộp hồ sơ đăng ký?

Với STAR-2 trở lên, kế hoạch được công bố là bắt đầu tiếp nhận hồ sơ đăng ký từ tháng 1 năm 2026 trở đi, áp dụng cho hai nhóm sản phẩm “camera mạng” và “thiết bị truyền thông”, là những nhóm được kỳ vọng sử dụng trong mua sắm công. Ngoài ra, các yêu cầu hợp chuẩn của STAR-3 đã được công khai vào ngày 12 tháng 6 năm 2026. Vào thời điểm mới bắt đầu vận hành, chỉ có STAR-1 đi trước, còn STAR-2 đến STAR-4 được dự kiến bắt đầu từ năm tài khóa 2026 của Nhật Bản trở đi. Về tình hình tiếp nhận thực tế và việc bổ sung nhóm sản phẩm, xin kiểm tra thông tin mới nhất trên trang chính thức của IPA.

JC-STAR có giống với chứng nhận ETSI EN 303 645 không?

Không giống nhau. JC-STAR là chế độ dựa trên các tiêu chí hợp chuẩn do chính chế độ tự quy định, đồng thời hài hòa với ETSI EN 303 645 và NISTIR 8425. Do đó, ngay cả khi nhà cung cấp giải thích rằng sản phẩm “tuân thủ ETSI EN 303 645”, điều đó cũng không có nghĩa là sản phẩm đã đạt nhãn hợp chuẩn JC-STAR. Trong hồ sơ yêu cầu kỹ thuật, xin hãy viết tách hai điều này thành hai mục riêng. Cách phân biệt dễ hiểu trong thực tế là: coi việc tuân thủ tiêu chuẩn quốc tế là một tuyên bố, còn coi sự phù hợp với JC-STAR là một sự thật có thể đối chiếu mã sản phẩm trên danh sách công khai.

Thiết bị mua sắm ở cơ sở nước ngoài có dùng được JC-STAR không?

Vì đây là chế độ của Nhật Bản nên nó không đương nhiên trở thành yêu cầu pháp lý tại các cơ sở ở nước ngoài. Tuy nhiên, ngày 18 tháng 3 năm 2026, Nhật Bản và Singapore đã ký biên bản ghi nhớ về việc công nhận lẫn nhau giữa JC-STAR và CLS của Singapore, và văn bản này có hiệu lực từ ngày 1 tháng 6 năm 2026. Các yêu cầu nền tảng của STAR-1 thuộc JC-STAR được công nhận là tương đương với Level 1 của CLS. Nhật Bản là quốc gia thứ 5, sau Phần Lan, Đức, Hàn Quốc và Anh. Về cách tư duy đặt JC-STAR STAR-1 làm ngưỡng dưới chung khi xây dựng tiêu chuẩn mua sắm nội bộ cho các cơ sở ở nước ngoài, xin xem bài MRA Nhật Bản và Singapore và tiêu chuẩn mua sắm cho cơ sở tại Thái Lan.

Tổng kết: thứ cần nhìn không phải là “đã có nhãn hay chưa” mà là “đến khi nào không có nhãn thì không mua được nữa”

Chúng tôi đặt lại các ý chính của bài viết dưới dạng các trục phán đoán.

• JC-STAR không phải là chế độ nâng mức bảo mật lên, mà là chế độ làm cho ngưỡng sàn nhìn thấy được. Chế độ do IPA vận hành dưới sự giám sát của METI Nhật Bản, bắt đầu vận hành vào tháng 3 năm 2025, và từ ngày 25 tháng 3 năm 2025 đã bắt đầu tiếp nhận hồ sơ đăng ký STAR-1 cùng việc công khai danh sách sản phẩm hợp chuẩn.
• Số sao thể hiện đồng thời độ khắt khe của yêu cầu và “ai đã đánh giá”. STAR-1 và STAR-2 là nhà cung cấp tự công bố sự phù hợp; STAR-3 và STAR-4 là IPA chứng nhận dựa trên báo cáo đánh giá của tổ chức đánh giá bên thứ ba. Ranh giới này không phải là khiếm khuyết của chế độ, mà là sự phân vai giữa độ phủ và độ sâu.
• Trong 5 yêu cầu của STAR-1, thứ có hiệu lực lâu dài nhất với mua sắm là “cung cấp bản cập nhật bảo mật trong thời hạn hỗ trợ”. Thứ cần xác nhận không phải là có hay không, mà là ngày kết thúc.
• Lĩnh vực hiện có các mốc ngày trở thành yêu cầu bắt buộc xếp rõ ràng là điện mặt trời và lưu trữ điện. Nó bắt đầu có hiệu lực theo trình tự: chế độ khởi động, rồi thành yêu cầu của trợ cấp, rồi thành yêu cầu đấu nối lưới điện. Không được khái quát hóa sang các lĩnh vực khác, nhưng bản thân trình tự này có thể dùng làm chỉ báo để theo dõi.
• Chế độ là tự nguyện, không phải đã bị bắt buộc. Câu chuyện về mua sắm của chính quyền địa phương là “dự đoán”, không phải việc đã được quyết định. Dù vậy, chi phí để thêm một câu vào hồ sơ yêu cầu kỹ thuật là nhỏ, và thiệt hại khi dự đoán sai cũng nhỏ.
• Công việc của bên mua gồm 5 bước. Phân loại thiết bị thành 4 nhóm, xác nhận dấu hiệu trở thành yêu cầu bắt buộc theo từng nhóm sản phẩm, đưa 3 mục vào hồ sơ yêu cầu kỹ thuật, chép ngày kết thúc hỗ trợ vào kế hoạch thay mới, và khi thấy nhãn thì xác nhận đến cả cấp độ, độ chi tiết của mã sản phẩm và ngày đạt chứng nhận.

Sản phẩm đã có nhãn hay chưa là câu chuyện của hôm nay. Đến khi nào không có nhãn thì không mua được nữa là câu chuyện của kế hoạch thay mới thiết bị lần tới. Với tư cách một bài giải thích chế độ thì cần nắm vế trước, nhưng thứ có hiệu lực với tờ trình phê duyệt và ngân sách lại là vế sau.

Trong số thiết bị của công ty bạn, cái nào thuộc phạm vi của chế độ và cái nào nằm ngoài phạm vi. Việc phân loại này, nếu có sổ quản lý thiết bị và sơ đồ cấu hình mạng thì nhiều trường hợp chỉ cần 1 ngày là nhìn ra hướng đi, và khi đã tiến đến đây thì thứ tự “đến bao giờ cần xác nhận cái gì” sẽ tự nhiên được xác định. TOMAS TECH hằng ngày làm việc với mạng nhà máy và hệ thống IoT/OT của các doanh nghiệp sản xuất Nhật Bản có cơ sở tại Thái Lan, và chúng tôi nhận tư vấn ngay từ giai đoạn kiểm kê thiết bị. Nếu bạn đang phân vân không biết bắt đầu từ đâu, xin cứ thoải mái liên hệ với chúng tôi qua trang Liên hệ.