JC-STAR ネットワーク機器｜タイ工場RFP・FAT/SAT調達ガイド

JC-STAR ネットワーク機器をタイ工場へ導入するとき、ラベルの有無だけでルーター、スイッチ、IoTゲートウェイを選ぶのは不十分です。調達時点の対象型番とファームウェア（FW）、ラベルの有効期間、日本での適合情報、タイで必要となるNBTC等の現地適合、さらにFAT・SAT・運用移管後の更新責任まで、一つの証拠チェーンとして固定する必要があります。

本記事は制度一般の解説や取得メーカーの一覧ではなく、比較・発注を進める工場、SIer、購買、IT/OTセキュリティ担当者向けの実務ガイドです。どの証跡をRFPへ要求し、受入時に何を再確認し、候補型番が登録一覧に無い場合にどの代替要件を置くかを、タイ工場への持込・現地調達という条件に絞って説明します。

結論：ラベルではなく「型番×FW×期限×現地適合×運用責任」を買う

JC-STARのラベルは有力な判断材料ですが、製品群やブランド全体を包括的に保証する印ではありません。調達で固定すべき単位は、少なくとも次の組み合わせです。

1. メーカー、製品名、正確な型番・SKU・ハードウェアリビジョン
2. JC-STAR登録番号、レベル、QRから確認した公開ページ
3. 登録対象となるFWの条件と納入時FW
4. ラベルの有効期間、失効・取消し・変更の確認方法
5. タイ国内で必要な無線・通信機器のNBTC等の適合、輸入主体、表示・文書
6. FAT、出荷、輸入通関、SAT、運用移管の各時点で証跡を再確認する責任者
7. 脆弱性対応、FW更新、設定バックアップ、交換、廃棄までの運用条件

JC-STARは日本のIoT製品セキュリティ適合性を可視化する制度であり、タイの無線・通信規制を代替しません。反対に、NBTCへの登録・認証やSDoCが必要条件を満たしていても、製品セキュリティの調達要件を自動的に満たすわけではありません。二つの確認を別ゲートにし、両方の証跡が揃うまで採用確定としないことが実務上の要点です。

2026年のJC-STARを調達担当者が押さえる時系列

JC-STARは、ETSI EN 303 645やNISTIR 8425等と調和しつつ、IPAが定める適合基準に基づいてIoT製品のセキュリティ機能を確認・可視化する制度です。2025年3月25日に★1の申請受付が始まりました。2026年4月22日からは申請番号の取得方法が変更され、専用フォームから申し込む方式が案内されています。

IPAは2026年7月31日、申請件数の急増により確認作業に通常より時間を要していると告知しました。したがって、RFPで「申請中」を採用条件にする場合でも、ラベル交付日を根拠なく確約させないことが重要です。IPAは、申請が必ず受理・交付されるわけではなく、交付前の「JC-STAR適合予定」等の表示についても注意を示しています。受理番号または仮登録番号の扱いを含め、申請中と交付済みを区別します。

また、IPAトップの現行更新履歴では、2026年6月12日に「通信機器★3適合要件」「ネットワークカメラ★3適合要件」が公開され、関連セキュリティ要件が更新されています。2026年6月5日は評価機関承認等に関する要求事項の掲載日です。調達文書では日付と資料名を対応させ、旧資料や二次情報の見出しだけを転記しないようにします。

★1と★2は、ベンダーが適合基準・評価手順に沿って自己評価したチェックリストに基づく自己適合宣言方式です。★3と★4は、独立した第三者評価機関の評価報告書に基づく方式です。星が多ければどの工場にも常に最適という意味ではなく、使用場所、通信境界、重要度、想定脅威、代替統制を踏まえて要求レベルを決めます。

一般論ではなくネットワーク機器の調達に絞る理由

ネットワーク機器は、製造設備と上位システムの間、工場とクラウドの間、保守拠点との遠隔接続など、信頼境界に置かれます。ルーターやIoTゲートウェイの設定不備・未更新は、一台のセンサー不良より広い範囲へ影響する場合があります。一方で、スイッチは無線機能の有無、管理機能、使用ポート、設置層によって確認対象が変わります。

製造業のJC-STAR調達全般では制度を機器調達へ取り込む全体像を説明しています。本記事はそこからさらに狭め、ルーター、管理スイッチ、IoTゲートウェイの対象型番・FW・受入証跡を扱います。ネットワーク設計、セグメント、冗長化、配線、監視の全体像は産業用ネットワーク構築の実務と併読すると、製品証跡と構成証跡を切り分けやすくなります。

JC-STAR対応製品を確認する五つの証跡

1. 登録ページを正本にする

提案書、カタログ、販売店のWebページに「対応」と書かれていても、それだけで交付済みとは判断しません。IPAの適合ラベル取得製品情報ページを開き、登録番号、レベル、製品名、型番、ベンダー、対象FW、公開日・有効期間、セキュリティ情報への導線を確認します。PDFやスクリーンショットだけでなく、確認日とURLを評価表へ記録します。

2. 型番を文字列完全一致で照合する

同じシリーズ名でも、通信モジュール、地域SKU、電源、無線周波数、ポート構成、ハードウェア世代が違えば別製品です。「シリーズ対応」ではなく、見積明細、発注書、梱包ラベル、本体銘板、Web管理画面の型番を同じ文字列で照合します。代理店が末尾記号を省略した場合は、メーカーに対応関係を文書で示してもらいます。

3. FW条件を照合する

ラベルはハードウェアだけの印ではありません。公開情報でFWの範囲・下限・指定版を確認し、納入機の実バージョンを管理画面またはコマンド出力で取得します。FAT時点で適合していても、現地保管中に別在庫へ差し替わる、RMA品が古いFWで届く、初期化で旧イメージへ戻る可能性があります。SATでも再確認し、運用台帳へ残します。

4. 有効期間と状態を照合する

登録時に有効でも、量産導入、追加購入、交換品手配の時点では状態が変わり得ます。RFP回答日に一回見るだけでなく、発注前、FAT、出荷前、SAT、追加購入前に再照会します。QRは登録情報へ到達する入口として使い、印刷された画像だけを証拠にしません。

5. セキュリティ情報と連絡経路を読む

脆弱性の報告窓口、セキュリティ更新の公開方法、サポート終了、初期設定、認証、ログ、更新手順を確認します。ラベルがあることは完全・完璧なセキュリティを保証しません。使用構成、設定、外部公開、認証情報管理、運用監視が不適切なら、ラベル付き製品でもリスクは残ります。

登録例から分かる「シリーズ名だけでは買えない」という原則

IPAの公開ページには、NEC UNIVERGE IX-R2510、IX-R2520、IX-R2530、IX-R2610について、FW 1.5.1以降を対象とし、利用時にVer.1.5以降への更新が必要という条件の登録例があります。また、amnimoのG/R/XシリーズにはFW V3.4.0を条件とする登録例があります。

これらは特定製品の採用を推奨するための例ではありません。調達実務では、次のように「製品名」から「検証可能な構成」へ分解するための例です。

FW 1.5.1以降という登録情報と、「利用時はVer.1.5以降へ更新」という注意を、似ているから同じ意味だと省略してはいけません。調達者は公開ページの原文を読み、納入版が範囲内か、工場で採用する標準版は何か、導入時に誰が更新するかを別々に決めます。将来の公開ページ更新もあり得るため、最終判断時には必ず現行情報を再取得してください。

タイ工場ではJC-STARとNBTC等を別ゲートで確認する

日本で交付されたJC-STARラベルは、タイでの輸入、販売、設置、無線利用に必要な適合を代替しません。タイの通信・無線機器については、NBTCの技術基準、機器区分、登録・認証・SDoC、周波数・送信出力、表示、輸入者責任などを、対象機器と用途に応じて確認します。

NBTCの通信機器適合評価に関する英訳資料では、対象機器をClass A、Class B、SDoC等の手続に分け、技術基準への適合、登録または認証、供給者の文書保持、適合表示、変更時の責任などを定めています。ただし英訳は理解支援用で公式なタイ語本文を代替しない旨の注意があります。実案件では現行のタイ語規則、最新の機器区分、対象周波数、輸入形態を、現地の担当者または資格ある専門家へ確認します。

特に次の区別が重要です。

• 有線のみのスイッチと、Wi-Fi・LTE/5G・LPWA等を内蔵する機器では確認範囲が違う。
• 日本向けSKUとタイ向けSKUで無線モジュール、周波数、電源、ラベルが違う場合がある。
• 一時持込、評価機、商用輸入、量産設備組込では手続が同じとは限らない。
• 海外の試験報告書があることと、NBTCで認められることは同義ではない。
• JC-STARの登録型番と、NBTC側の登録・認証対象モデルの表記を対応付ける必要がある。

IoT機器 セキュリティ 調達基準をRFPへ落とす

RFPの目的は、候補各社を同じ証拠で比較できるようにすることです。「JC-STAR取得済みを優先」「最新FWで納入」とだけ書くと、各社が異なる前提で回答します。要求をMust、Should、Evidence、Exceptionに分けます。

推奨するRFP回答表

「最新FW」という言葉を禁止する

最新は時点で変わり、OTではアプリケーションや通信ドライバーとの互換性が未検証の場合があります。RFPには、基準日、承認版、最低版、禁止版、適合ラベルとの関係、既知脆弱性、更新期限、検証方法を書くよう求めます。納入時に新版が出た場合も、自動的に採用せず変更管理へ入れます。

証跡の有効期限を決める

提出されたURLや証明書を永続的に有効とみなしません。「発注承認時点から何日以内に再確認」「出荷前に再確認」「SAT時に画面出力を取得」など、検証の鮮度を契約へ入れます。価格と納期についても、申請増加や輸入・試験条件の影響があり得るため、根拠のない標準期間を置かず、ベンダーが前提と除外を示す方式にします。

対象型番が無いときの代替要件

登録一覧に対象型番が無いことは、直ちに不採用を意味しません。しかし「メーカーが安全と言っている」「海外規格に対応している」という一文だけで置き換えてはいけません。使用重要度と接続範囲に応じ、以下の代替要件を組み合わせます。

1. セキュア開発・脆弱性対応の公開方針とPSIRT連絡先
2. 初期パスワード変更、多要素認証または強固な管理者認証、最小権限
3. 不要サービス停止、管理面の分離、許可元制限、暗号化通信
4. 署名付きFW、真正性検証、ロールバック、更新失敗時の復旧
5. SBOMまたは構成部品情報を用いた脆弱性影響回答
6. 監査ログ、時刻同期、外部転送、ログ保全
7. サポート期限、セキュリティ更新提供期間、通知SLA
8. 独立した脆弱性診断またはペネトレーションテストの範囲と結果要約
9. 工場側のセグメンテーション、ジャンプホスト、通信許可リスト、遠隔保守統制
10. 将来ラベル取得を要求する場合は、申請の根拠番号と未交付時の契約条件

代替案は「ラベル無しを許容する免罪符」ではなく、残留リスクを誰が承認したかまで記録する仕組みです。インターネット境界、拠点間VPN、重要設備の集中接続など影響が大きい用途ほど、第三者評価、構成レビュー、実機試験を厚くします。単体試験結果が良くても、共有アカウントや恒久的な遠隔接続が残れば運用リスクは下がりません。

FATで確認すること：納入前の証拠を固定する

FATは機能デモではなく、契約した機器・版・設定が本当に存在するかを確認する場です。可能なら量産納入と同一の型番・HW revision・FWを使います。

FAT前の文書確認

• BOMと見積の型番・数量・無線モジュールを照合する。
• IPA公開ページのURL、登録番号、レベル、FW条件、有効期間を再取得する。
• NBTC等の対象区分、登録・認証・SDoC、輸入者、表示方法を確認する。
• FWイメージの入手元、ハッシュまたは署名確認、リリースノートを確認する。
• hardening設定、通信許可表、管理アカウント、証明書発行手順を承認する。

FAT実機試験

1. 本体銘板と管理画面から型番、serial、HW、FWを取得する。
2. 初期認証情報の変更強制、不要サービス、管理プロトコルを確認する。
3. 許可した送信元以外から管理面へ到達できないことを試す。
4. syslogやAPIへ認証失敗、設定変更、再起動、FW更新のログが出ることを確認する。
5. 設定バックアップ、復元、FW更新、失敗時のロールバックを安全な試験環境で行う。
6. WAN/クラウド切断時に工場機能がどう縮退し、復旧後にどう再同期するかを確認する。
7. 工場側通信表と実測パケットを比較し、未申告の宛先・ポートが無いかを見る。

FAT証跡には、日付、試験者、機器serial、画面出力、設定版、ログ、例外、再試験結果を含めます。合否欄だけのチェックシートでは、現地で違う在庫が届いたときに比較できません。

出荷・持込・現地調達で証拠チェーンを切らない

日本でFATした機器をタイへ持ち込む場合、出荷単位とFAT対象をserialで紐付けます。梱包リストに型番、serial、数量、必要な適合文書を付け、通関・輸入責任を契約で明確にします。機器を手荷物で運ぶ、評価品として入れる、後で量産転用する、といった扱いは担当者判断で進めず、用途と輸入形態に応じて現地確認します。

タイで現地調達する場合も、日本本社が承認したシリーズ名だけを発注しません。タイ向けSKU、NBTC表示、保証・サポート、同梱FW、現地代理店のRMA在庫を確認します。現地在庫を優先した無断代替が起きやすいため、「同等品」は型番、機能、JC-STAR情報、NBTC情報、FW、サポート期限を再審査してから承認します。

SATで確認すること：実環境の差分を潰す

SATでは、FAT証跡と現物を再照合し、タイ工場の電源、回線、DNS、NTP、認証基盤、監視、ファイアウォール、クラウド接続、保守経路の条件で確認します。

SAT中にFW更新が必要になった場合は、「適合条件を満たすから更新してよい」で終わらせません。構成バックアップ、署名確認、互換性、停止時間、ロールバック、ログ、再試験を一つの変更票へまとめます。価格・所要時間は機種、回線、停止可能時間、検証範囲で変わるため、具体値は前提を付けた個別見積にします。

運用移管：ラベル確認を一回の購買作業で終わらせない

引渡し後に必要なのは、誰が何をいつ確認するかが分かるRACIと台帳です。購買担当だけが登録URLを知り、運用担当が型番・FW条件を知らない状態を避けます。

運用台帳の最低項目

• asset ID、設置場所、用途、重要度、ネットワークゾーン
• メーカー、製品名、型番、SKU、HW revision、serial
• JC-STAR登録番号、レベル、URL、有効期間、最終確認日
• 基準FW、稼働FW、禁止FW、更新履歴、次回レビュー日
• NBTC等の番号・区分・文書場所・輸入者
• 管理IP、管理方式、認証・証明書の所有者
• 設定バックアップ、復元手順、予備機、RMA条件
• PSIRT、保守窓口、EOL/EOS、脆弱性通知の受信者
• 例外、代替統制、承認者、期限

更新判断のワークフロー

脆弱性通知を受けたら、対象型番・FWに該当するか、工場で機能が有効か、到達可能か、悪用条件は何かを評価します。そのうえで緊急緩和、検証環境での更新試験、停止承認、本番更新、動作確認、台帳更新を行います。ラベル情報の条件内であっても、アプリケーション互換性や構成差分は別に試験します。

登録の有効期間や状態、サポート期限、NBTC要件の改定も定期レビュー対象です。少なくとも追加購入、RMA、FW変更、用途変更、工場間移設の前には再確認します。元の承認をコピーして流用しないことが、長期運用での取り違えを防ぎます。

評価点数は「証跡の強さ」と「残留リスク」を分ける

RFP採点で、JC-STARラベルの点数だけを大きくすると、ラベル付きでもサポートが短い製品や、タイで使用できないSKUが上位になる可能性があります。次のように分けて採点します。

TCOには本体価格だけでなく、現地適合確認、試験、設定、監視、更新、停止、予備機、RMA、廃棄まで含めます。ただし本記事から一律の価格や導入期間を示すことはできません。台数、機種、無線機能、工場停止条件、必要な第三者試験、既存ネットワークとの互換性を明示したうえで比較見積を取ってください。

よくある失敗と防止策

「同じシリーズだから対象」と判断する

対象型番、末尾記号、HW revision、FWを完全一致で確認します。メーカーの対応表が必要なら契約添付にします。

QR画像だけを保存する

QRから公開ページへ遷移し、登録番号、レベル、型番、FW、有効期間を確認します。URLと確認日時も保存します。

FAT後の在庫差替えを見逃す

serialと梱包リストを紐付け、SATで再照合します。RMAにも同じ承認フローを適用します。

JC-STARでタイ規制も満たすと思う

NBTC等は別ゲートです。無線機能、周波数、輸入形態、タイ向けSKUを現行規則で確認します。

FWを上げれば自動的に安全だと思う

適合条件、脆弱性修正、互換性、設定移行、ロールバックを別々に確認します。最新版という言葉ではなく承認版を管理します。

運用担当へURLだけ渡す

台帳、通知経路、更新SOP、予備機、例外期限、RACIを引き渡し、実際に復元と交換を訓練します。

FAQ：JC-STAR ネットワーク機器の調達でよくある質問

JC-STAR対応製品ならタイ工場ですぐ使えますか？

いいえ。JC-STARはタイのNBTC等の現地適合を代替しません。対象型番・FWのセキュリティ適合情報に加え、無線・通信機器の区分、輸入、登録・認証・SDoC、表示、タイ向けSKUを別に確認してください。

ラベルの星が多い製品を必ず選ぶべきですか？

用途とリスクに応じて決めます。★1/★2は自己適合宣言、★3/★4は第三者評価という違いがありますが、構成、設定、運用、現地適合、サポート期限まで含めて採用を判断します。

IoTゲートウェイのFWは何を確認しますか？

登録対象のFW条件、納入版、工場標準版、禁止版、更新先、署名確認、互換性、ロールバックを確認します。amnimo G/R/XシリーズのFW V3.4.0条件のように、シリーズと版をセットで公開ページから照合することが重要です。

NEC UNIVERGE IX-R2510等はどのFWが対象ですか？

指定された登録例ではIX-R2510/2520/2530/2610にFW 1.5.1以降の条件があり、利用時にVer.1.5以降への更新が必要という案内があります。購入時には必ずIPAの現行登録ページとメーカー情報を再確認してください。

対象型番が登録一覧に無い場合は不採用ですか？

必ずしも不採用ではありません。重要度に応じ、PSIRT、セキュア更新、認証、ログ、SBOM、第三者試験、セグメンテーション、サポート期限などの代替要件を設定し、残留リスクを明示的に承認します。

「JC-STAR申請中」という回答をどう評価しますか？

交付済みと区別し、IPAが認める番号の種類と根拠を確認します。申請増加による確認遅延の告知もあるため、交付日を根拠なく確約させず、未交付時の代替品、契約解除、受入保留などの条件を決めます。

FATとSATの両方で同じ確認が必要ですか？

必要です。FATは納入前の構成を固定し、SATは実際に届いたserial、FW、現地表示、ネットワーク設定、ログ、遠隔保守を確認します。輸送・在庫差替え・現地設定変更があるため、一度の確認では証拠チェーンが完成しません。

導入費用と期間の目安はありますか？

機種、台数、無線機能、輸入形態、試験範囲、停止可能時間、既存構成によって大きく変わります。ベンダーには前提、除外、証跡、再試験条件を明示した見積を求め、根拠のない定額・標準期間で判断しないでください。

まとめ：調達から運用まで証拠をつなぐ

JC-STAR ネットワーク機器の調達では、ラベル画像やシリーズ名ではなく、正確な型番、FW条件、登録番号、レベル、QRから到達する公開情報、有効期間を確認します。タイ工場ではNBTC等の現地適合を別に確認し、JC-STARで代替しません。RFPで証跡を揃え、FATで納入前構成を固定し、出荷・輸入のserialをつなぎ、SATで実環境を再確認し、運用台帳と更新責任へ引き渡すことが、調達失敗を防ぐ最短ルートです。

TOMAS TECHでは、候補型番が決まる前のRFP整理から、タイ向けSKU・ネットワーク構成の確認、FAT/SAT項目、運用移管台帳まで相談できます。特定メーカーの採否を決める前段階でも、お問い合わせください。

参考情報

• IPA「セキュリティ要件適合評価及びラベリング制度（JC-STAR）」：制度概要、評価方式、2026年更新履歴、申請遅延告知

https://www.ipa.go.jp/security/jc-star/index.html

• IPA「★1と★2の新規申請手続き」：2025年3月25日の★1受付開始、2026年4月22日の申請番号取得方法変更

https://www.ipa.go.jp/security/jc-star/shinsei/shinki-1-2/index.html

• IPA「セキュリティラベリング制度（JC-STAR）についての詳細情報」：制度詳細と関連資料

https://www.ipa.go.jp/security/jc-star/detail.html

• IPA「適合ラベルの確認方法」：登録番号、レベル、二次元コード等の確認

https://www.ipa.go.jp/security/jc-star/label-description.html

• IPA「★1適合基準・評価手順」：★1の適合基準、評価手法、評価ガイド

https://www.ipa.go.jp/security/jc-star/tekigou-kizyun-guide/label1/index.html

• IPA「規程集」：JC-STARの要求事項、手引、関連規程

https://www.ipa.go.jp/security/jc-star/kitei.html

• 経済産業省「産業サイバーセキュリティ研究会WG1 IoT製品に対するセキュリティ適合性評価制度構築方針」：制度構築の政策背景

https://www.meti.go.jp/shingikai/mono_info_service/sangyo_cyber/wg_cybersecurity/iot_security/20241106.html

• IPA JC-STAR適合ラベル取得製品情報（NEC UNIVERGE IX-R2510/2520/2530/2610の登録例）：型番・FW条件の確認例

https://jc-star.ipa.go.jp/conformance/CNF_019c788d-013b-731f-9eda-f539ae8e83a6.html

• IPA JC-STAR適合ラベル取得製品情報（amnimo G/R/Xシリーズの登録例）：型番・FW V3.4.0条件の確認例

https://jc-star.ipa.go.jp/conformance/CNF_019b34a2-42c2-7280-aeae-5694c6f97c78.html

• NBTC「Conformity Assessment of Telecommunication Equipment」（英訳・理解支援用）：タイの通信機器適合評価、Class A/B、SDoC、表示・供給者責任

https://standard1.nbtc.go.th/getattachment/2583af14-e879-4b21-8295-5789f34492ec/e8001.aspx

※本記事は2026年9月2日時点の公開情報に基づく一般的な調達実務の解説です。法務・通関・認証の個別判断ではありません。制度、登録状態、機器区分、規則は変更され得るため、発注・輸入・使用の直前にIPA、NBTCその他の所管機関および専門家へ最新情報を確認してください。