JC-STAR trong ngành sản xuất – tiêu chí mua sắm thiết bị cần quyết định năm 2026

Khi nâng cấp hệ thống mạng của nhà máy, những thứ xuất hiện trên bảng báo giá thường là access point, switch, NAS và camera mạng. Từ trước đến nay, các tiêu chí đem ra so sánh là giá, hiệu năng và điều kiện bảo trì. Giờ đây sắp có thêm một cột nữa: nhãn hợp chuẩn JC-STAR. Lý do JC-STAR trông có vẻ khó nắm bắt đối với bộ phận mua sắm của ngành sản xuất là vì mọi người thường bị cuốn vào câu hỏi “có phải lấy chứng nhận không”. Bên đăng ký nhãn là nhà cung cấp sản xuất ra thiết bị, còn công việc thực tế của nhà máy không nằm ở đó. Bài viết này sắp xếp lại cách nhà máy nên dùng JC-STAR như một trục phán đoán khi mua sắm thiết bị IT/OT, bám theo mốc thời gian của các nguồn thông tin gốc đã được công bố.

JC-STAR thay đổi điều gì trong việc mua sắm thiết bị IT/OT của nhà máy

Hầu hết các câu hỏi mà chúng tôi nhận được từ phía nhà máy về JC-STAR đều có chung một hình dạng: “Chúng tôi có bắt buộc phải lấy không?”. Chính cách đặt câu hỏi này đã lệch khỏi thực tế công việc một chút. Bên nộp hồ sơ xin nhãn hợp chuẩn JC-STAR là nhà cung cấp đưa sản phẩm ra thị trường, chứ không phải nhà máy mua và sử dụng thiết bị đó. Với nhà máy, đây không phải câu chuyện về chứng nhận mà là câu chuyện về mua sắm.

Luận điểm của bài viết này gói gọn trong một câu: JC-STAR không phải là chuyện “lấy hay không lấy”, mà là chuyện phán đoán trong mua sắm, tức là “khi nào và ở mức nào thì đưa JC-STAR vào tiêu chí lựa chọn thiết bị IT/OT của nhà máy”. Chỉ có hai điều cần quyết định. Một là khi nào đưa JC-STAR vào tiêu chí lựa chọn cho những thiết bị sắp mua. Hai là với những thiết bị đang dùng và sắp đến kỳ thay thế, sẽ rà soát lại theo thứ tự nào.

Vì sao lúc này cần sắp xếp lại như vậy? Vì lịch trình phía chế độ đã bắt đầu chuyển động một cách cụ thể. Mức ★1 mở nhận hồ sơ từ ngày 25 tháng 3 năm 2025, còn từ ★2 trở lên khởi động lần lượt theo từng chủng loại sản phẩm kể từ tháng 1 năm 2026. Đi đầu trong số đó là camera mạng và thiết bị truyền thông, với dự thảo tiêu chuẩn hợp chuẩn ★3 dành cho hai nhóm này được công bố ngày 12 tháng 6 năm 2026. Camera mạng và thiết bị truyền thông chính là những thứ nhà máy vẫn mua sắm hằng ngày.

Một thay đổi khác đến từ phía bên mua. Trong mua sắm công, hướng dẫn đã được sửa đổi vào tháng 9 năm 2025 và theo các bản tin, mức tương đương JC-STAR ★1 đã được đưa vào tiêu chí lựa chọn thiết bị IoT. Đây là ví dụ cho thấy áp lực từ phía bên đặt hàng, tức tư duy Secure by Demand với nội dung “ưu tiên mua sản phẩm an toàn”, đã đi vào các văn bản mua sắm thực tế tại Nhật Bản. Tiêu chuẩn của bên đặt hàng có đặc tính lan truyền, từ khối công sang khối tư, rồi từ khách hàng đầu chuỗi xuống các nhà cung ứng.

Và với người đi chọn thiết bị, điều quan trọng là đã có sẵn lựa chọn hay chưa. Danh sách sản phẩm đã đạt nhãn hợp chuẩn do IPA công bố, tính đến ngày 3 tháng 8 năm 2026, đã có hơn 500 mục và hơn 100 nhà cung cấp được đăng tải. Các hạng mục được liệt kê bao gồm thiết bị mạng như router, switch, gateway, camera giám sát và đầu ghi, thiết bị NAS và lưu trữ, cùng các sản phẩm liên quan đến hệ thống tích trữ điện và PCS. Nói cách khác, khi bạn viết tiêu chí “ưu tiên thiết bị đã đạt JC-STAR”, tình huống không còn ứng viên nào và việc mua sắm bị đình trệ đang dần không còn nữa.

Bài viết này hướng đến những người phụ trách mua sắm thiết bị IT/OT cho doanh nghiệp sản xuất Nhật Bản, bao gồm cả các cơ sở ở nước ngoài như Thái Lan, với mục đích đưa chế độ này vào khung phán đoán mua sắm. Cơ chế chi tiết của bản thân chế độ xin nhường cho một bài viết khác, ở đây chúng tôi tập trung vào việc “nó tác động thế nào đến công việc thực tế của nhà máy”.

Nhắc lại nhanh – JC-STAR là gì (chi tiết xem bài giải thích chế độ)

JC-STAR (Japan Cyber-Security Technical Assessment Requirements) là chế độ dán nhãn giúp trực quan hóa mức độ phù hợp về bảo mật của sản phẩm IoT, do Bộ Kinh tế, Thương mại và Công nghiệp Nhật Bản xây dựng khung và IPA (Cơ quan Xúc tiến Công nghệ Thông tin) vận hành. Đối tượng là các sản phẩm giao tiếp bằng IP và có khả năng kết nối Internet, với bốn mức từ ★1 đến ★4 tương ứng với các cấp yêu cầu bảo mật khác nhau. Mức ★1 và ★2 có thể đạt được bằng tuyên bố tự đánh giá hợp chuẩn của nhà cung cấp, còn ★3 và ★4 cần đánh giá bởi bên thứ ba độc lập. Mức ★1 là đường cơ sở đã mở nhận hồ sơ từ ngày 25 tháng 3 năm 2025, còn từ ★2 trở lên được thiết kế để khởi động lần lượt theo từng chủng loại sản phẩm kể từ tháng 1 năm 2026.

Về việc yêu cầu của từng mức được định nghĩa ra sao và vì sao chế độ này ra đời, chúng tôi đã sắp xếp trong bài viết giải thích chế độ JC-STAR. Bài viết bạn đang đọc không bàn về nội dung chế độ mà bàn về cách đưa chế độ đó vào công việc mua sắm của nhà máy, nên nếu bạn muốn xem kỹ phần định nghĩa từng mức thì đọc bài kia trước sẽ dễ theo dõi hơn.

Những thiết bị nào nhà máy mua có thể thuộc phạm vi JC-STAR – AP, switch, NAS, camera mạng, PCS

Trước khi bước vào phán đoán mua sắm, cần nắm được rằng trong số những thiết bị công ty đang mua thì loại nào nằm trong tầm ngắm của chế độ. Cửa vào của việc xác định rất đơn giản: thiết bị đó có giao tiếp bằng IP và có khả năng kết nối Internet hay không. Nhìn lại danh sách thiết bị của nhà máy theo điều kiện này, bạn sẽ thấy số thiết bị có thể thuộc phạm vi nhiều hơn tưởng tượng.

Trong bảng này, có một điểm chúng tôi muốn bạn lưu ý là PCS. Bộ biến đổi điện tùy model có thể không có chức năng giao tiếp IP, và khi đó nó nằm ngoài phạm vi chế độ. Trên thực tế, cũng có nhà cung cấp đã thông báo chính thức rằng riêng PCS của họ không thuộc đối tượng. Điều cần rút ra ở đây không phải kết luận “PCS nằm ngoài phạm vi”, mà là nguyên tắc xác định: cùng một tên hạng mục sản phẩm nhưng tính thuộc phạm vi vẫn thay đổi tùy theo có hay không có chức năng giao tiếp IP. Đừng quyết định thuộc hay không thuộc phạm vi chỉ dựa vào tên hạng mục trong catalog, hãy nhìn vào việc model đó có giao tiếp hay không. Ngược lại, với cấu hình mà bộ giám sát từ xa hoặc gateway được bán rời rồi ghép vào, chính bộ phận đó mới có thể là đối tượng.

Còn một luận điểm nữa mang tính đặc thù của nhà máy. Phần lớn các thiết bị nêu trên đều nằm trên đường thu thập dữ liệu từ thiết bị sản xuất. Cấu hình gom dữ liệu thu từ PLC về máy chủ thông qua switch và gateway giờ đã không còn hiếm. Chính vì mọi thiết bị trên tuyến đường đó đều có thể có khả năng tiếp cận Internet nên việc xác nhận yêu cầu ngay từ giai đoạn mua sắm mới phát huy tác dụng. Về thiết kế kết nối mạng và bản thân tuyến thu thập dữ liệu, chúng tôi đã sắp xếp phần kỹ thuật trong hướng dẫn triển khai thu thập dữ liệu PLC, nên đọc kèm với phần tiêu chí mua sắm bảo mật của bài này sẽ giúp bạn hình dung được toàn cảnh tuyến đường. Bài này trả lời “chọn thiết bị theo tiêu chí nào”, còn bài kia trả lời “thu thập dữ liệu bằng thiết bị đó ra sao”.

Ngoài ra, nhìn vào các hạng mục thực tế đang được đăng tải trong danh sách sản phẩm đạt nhãn hợp chuẩn của IPA, ta cũng thấy thiết bị mạng, camera giám sát và đầu ghi, thiết bị NAS và lưu trữ, hệ thống tích trữ điện và các sản phẩm liên quan đến PCS xếp cạnh nhau. Có thể xem như phần giao nhau giữa đối tượng mà chế độ nhắm tới và thiết bị mà nhà máy đang mua sắm là khá lớn.

Lịch trình năm 2026 – vì sao từ ★2 trở lên lại bắt đầu từ camera mạng và thiết bị truyền thông

Muốn đưa vào kế hoạch mua sắm thì phải nắm được các mốc thời gian. Từ thông tin đã công bố, có ba cột mốc xác nhận được.

Nhìn vào trình tự này, có thể thấy trọng tâm của chế độ đang chuyển từ giai đoạn “phổ cập rộng rãi đường cơ sở” sang giai đoạn “đòi hỏi mức cao đối với một số chủng loại sản phẩm nhất định”. Vì ★1 có thể đạt bằng tuyên bố tự đánh giá nên diện phủ dễ mở rộng, và thực tế tính đến ngày 3 tháng 8 năm 2026 đã có hơn 500 mục cùng hơn 100 nhà cung cấp được đăng trong danh sách sản phẩm. Ngược lại, ★3 và ★4 cần đánh giá bởi bên thứ ba độc lập, nên cả khâu chuẩn bị của nhà cung cấp lẫn bản thân việc đánh giá đều mất thời gian.

Vậy vì sao nhóm đi đầu từ ★2 trở lên lại là camera mạng và thiết bị truyền thông? Điều này không được giải thích minh thị trong thông tin công bố, nhưng nếu xét đến đặc tính của hai hạng mục này thì sẽ dễ hiểu hơn. Cả camera mạng lẫn thiết bị truyền thông đều thường được đặt ở ranh giới với mạng bên ngoài, và cách dùng của chúng lấy việc xem từ xa, truy cập từ xa làm tiền đề. Số lượng lắp đặt cũng nhiều, và có xu hướng chạy liên tục trong thời gian dài mà không ai đụng tới sau khi lắp. Nói gọn lại, đó là những thiết bị có khả năng tiếp cận từ Internet cao và lại khó được cập nhật. Nếu phải chọn nhóm để nâng mức yêu cầu trước, thì việc bắt đầu từ hạng mục mang đặc tính này có thể xem là điều tự nhiên. Xin nói rõ đây là cách sắp xếp của bài viết này, không phải giải thích chính thức từ phía chế độ.

Hàm ý cho phía nhà máy thì rất rõ. Nếu bạn đang đưa việc thay mới camera giám sát hay thay thế thiết bị mạng vào kế hoạch đầu tư sắp tới, thì đợt mua sắm đó rơi đúng vào hạng mục mà mức yêu cầu đang chuyển động. Việc dự thảo tiêu chuẩn đã được công bố cũng đồng nghĩa với việc phía nhà cung cấp đã bước vào giai đoạn chuẩn bị sản phẩm đáp ứng. Ngược lại, nếu vội vàng mua theo đúng quy cách cũ ngay lúc này, bạn có nguy cơ phải ôm những thiết bị ở mức cũ cho tới kỳ thay thế tiếp theo.

Vì sao đây không phải chuyện “lấy hay không lấy” mà là “khi nào và ở mức nào”

Đây là phần cốt lõi của bài viết. Khi nhà máy xử lý JC-STAR như một việc thực tế, biến số cần quyết định không phải là “Có hay Không”, mà là hai biến “từ khi nào” và “ở mức nào”. Chúng tôi sắp xếp khác biệt này thành ba hiểu lầm thường gặp.

Hiểu lầm 1 – Công ty mình phải lấy chứng nhận. Như đã nói ở trên, bên nộp hồ sơ xin nhãn hợp chuẩn là nhà cung cấp đưa sản phẩm ra thị trường. Không tồn tại cấu trúc trong đó nhà máy lấy nhãn cho thiết bị của chính mình. Vai trò của nhà máy là nêu ra tiêu chuẩn với tư cách bên mua. Tuy nhiên có một ngoại lệ: nếu sản phẩm mà chính công ty bạn sản xuất là thiết bị IoT giao tiếp bằng IP, thì bạn sẽ đối diện với chế độ này ở vị thế nhà cung cấp. Khi đó đây không còn là chuyện mua sắm mà là chuyện phát triển sản phẩm, cần xem xét riêng ngoài khung của bài viết này.

Hiểu lầm 2 – Cứ đợi chế độ hoàn chỉnh hẳn rồi hãy động. Chế độ được thiết kế để khởi động lần lượt theo từng chủng loại sản phẩm, nên khoảnh khắc “mọi thứ hoàn chỉnh” còn lâu mới tới. Mức ★1 đã vận hành từ ngày 25 tháng 3 năm 2025 và đang ở trạng thái có thể viết vào tiêu chí lựa chọn. Quyết định chờ cho đến khi mọi thứ ổn định thực chất mang cùng ý nghĩa với “không làm gì cả”.

Hiểu lầm 3 – Mức càng cao càng tốt. Vì ★3 và ★4 cần đánh giá bên thứ ba nên thời gian chờ đến khi có sản phẩm đáp ứng khá dài, và điều đó cũng phản ánh vào giá. Một bản quy cách mua sắm đòi hỏi mức cao nhất đồng loạt cho mọi thiết bị sẽ dẫn tới một trong hai kết cục: không còn nhà cung cấp ứng viên nào, hoặc phải trả chi phí cao hơn mức cần thiết. Trên thực tế, nên thay đổi mức yêu cầu tùy theo vị trí lắp đặt và vị trí của thiết bị trên mạng.

Từ ba điểm trên, cách viết tiêu chí lựa chọn có thể sắp xếp thành ba cấp.

Với phần lớn nhà máy, điểm xuất phát thực tế là yêu cầu cộng điểm và yêu cầu cung cấp thông tin. Nếu đặt ngay thành yêu cầu bắt buộc, có khả năng các nhà cung cấp đang giao dịch sẽ bị loại khỏi danh sách và bản thân việc mua sắm không vận hành được. Mặt khác, chỉ riêng yêu cầu cung cấp thông tin cũng đã đủ để phát tín hiệu cho nhà cung cấp rằng “khách hàng này đang để mắt tới”. Chừng nào bên đặt hàng chưa nêu tiêu chuẩn thì bên cung cấp cũng chẳng có lý do gì để nâng mức ưu tiên.

Về cách phân định mức, cách dễ giải thích nhất là suy nghĩ theo vị trí trên mạng. Thiết bị tiếp xúc trực tiếp với Internet, thiết bị đặt ở ranh giới giữa mạng thông tin và mạng điều khiển, và thiết bị khép kín bên trong mạng điều khiển có bản chất rủi ro khác nhau ngay từ đầu. Cách sắp xếp “thiết bị càng gần phía ngoài thì đòi hỏi mức càng cao, thiết bị khép kín bên trong thì phán đoán kết hợp với các biện pháp bảo mật khác” thường dễ truyền đạt tới hiện trường.

Mua sắm công và Secure by Demand – con đường lan sang khối tư nhân và chuỗi cung ứng

Điều củng cố cho “lý do nên viết vào dù chỉ ở mức cộng điểm” chính là cấu trúc lan tỏa từ phía bên đặt hàng. Hướng dẫn đã được sửa đổi vào tháng 9 năm 2025 và theo các bản tin, mức tương đương JC-STAR ★1 đã được đưa vào tiêu chí lựa chọn thiết bị IoT trong mua sắm công. Thông tin này dựa trên nguồn báo chí, và vì các con số chi tiết như tỷ lệ áp dụng theo từng bộ ngành chưa xác nhận được từ nguồn gốc nên bài viết này không đưa ra khẳng định kèm số liệu. Tuy vậy, về mặt xu hướng thì hoàn toàn đọc được.

Đứng sau chuyển động này là tư duy Secure by Demand. Thay vì phó mặc bảo mật cho nỗ lực của phía sản phẩm, bên mua tuyên bố rằng mình “ưu tiên mua sản phẩm an toàn”, qua đó nâng mặt bằng của cả thị trường. Nếu Secure by Design, tức tích hợp bảo mật ngay từ khâu thiết kế, là nỗ lực của phía cung, thì Secure by Demand là nỗ lực đối ứng ở phía cầu, hiểu như vậy sẽ dễ hình dung.

Với ngành sản xuất, điều quan trọng là con đường mà yêu cầu này được truyền đi. Tiêu chuẩn của bên đặt hàng chảy xuống hạ nguồn theo các quan hệ hợp đồng.

• Chính phủ đưa vào tiêu chí mua sắm
• Doanh nghiệp cung cấp cho khối công phản ánh cùng tư duy đó vào tiêu chí mua sắm của mình
• Nhà cung ứng của doanh nghiệp đó bị yêu cầu đáp ứng điều kiện bảo mật như một phần điều kiện giao dịch
• Từng công ty rà soát lại tiêu chí mua sắm thiết bị nhà máy và thiết bị IT của mình

Nếu công ty bạn nằm ở đâu đó trên tuyến này, thì sớm hay muộn các câu hỏi liên quan đến JC-STAR sẽ xuất hiện trong bảng câu hỏi bảo mật của khách hàng. Ở các ngành như ô tô, điện tử, cơ khí chính xác, bảng kiểm tra bảo mật từ khách hàng đã trở thành thông lệ. Việc thêm một mục “khi lựa chọn thiết bị mạng, có xác nhận mức độ phù hợp về bảo mật hay không” vào bộ câu hỏi hiện có là diễn biến nên lường trước, xét theo bản chất của chế độ.

Lúc đó, thứ gây khó không phải bản thân yêu cầu mà là việc “không trả lời được”. Không ít nhà máy thậm chí còn không nắm được access point hay camera mạng mình đang dùng là mã model nào và nhà cung cấp đó đã đạt nhãn hợp chuẩn hay chưa. Nếu đợi bảng câu hỏi tới rồi mới bắt đầu tra, bạn sẽ phải khởi động từ việc lần theo đường dây tại hiện trường. Trục phán đoán trình bày ở chương sau cũng nhằm giải quyết trước tình trạng này.

Hai trục phán đoán mà nhà máy nên có – thiết bị mua mới và thiết bị hiện có sắp đến kỳ thay thế

Bây giờ hãy chuyển những gì đã sắp xếp ở trên thành dạng có thể triển khai ngay từ ngày mai. Công việc thực tế của nhà máy sẽ bớt lúng túng nếu chia thành hai trục: thiết bị sắp mua và thiết bị đã có và sắp đến kỳ thay thế. Hai nhóm này khác nhau cả về mục đích lẫn tốc độ phán đoán, nên nếu gom chung vào một khung thì chắc chắn sẽ tắc.

Trục 1 – Ở mua sắm mới, một dòng trong bản quy cách là đủ tạo khác biệt

Thứ cần thiết cho mua sắm mới không phải là một quy trình đánh giá phức tạp. Chỉ cần thêm một dòng vào bản quy cách ngay từ giai đoạn hỏi hàng, tình hình đã thay đổi đáng kể. Trong ba cấp của tiêu chí lựa chọn, tức yêu cầu bắt buộc, yêu cầu cộng điểm và yêu cầu cung cấp thông tin, bắt đầu từ yêu cầu cung cấp thông tin là cách ít ma sát nhất. Một câu như “Vui lòng ghi rõ tình trạng đạt nhãn hợp chuẩn JC-STAR của sản phẩm này, và nếu chưa đạt thì có kế hoạch đăng ký hay không” là đủ.

Câu này mang lại ba hiệu quả. Thứ nhất, bạn có thể so sánh ngang hàng hiện trạng của các sản phẩm ứng viên. Thứ hai, bạn nhìn ra được thái độ ứng phó của nhà cung cấp. Giữa một nhà cung cấp giải thích được nỗ lực của mình với chế độ và một nhà cung cấp không hiểu câu hỏi có nghĩa gì, khả năng xử lý lỗ hổng về sau cũng có thể khác nhau. Thứ ba, còn lại bằng chứng rằng bạn đã nêu tiêu chuẩn với tư cách bên đặt hàng. Bằng chứng này sẽ phát huy tác dụng khi bạn phải trả lời bảng câu hỏi bảo mật của khách hàng.

Khi đã thu được phản hồi, hãy đánh giá bằng cách đối chiếu với vị trí của thiết bị trên mạng. Nếu là thiết bị đặt ở ranh giới với bên ngoài và đã có nhiều sản phẩm hợp chuẩn thì nâng lên thành yêu cầu cộng điểm, còn nếu là hạng mục còn ít lựa chọn thì giữ ở yêu cầu cung cấp thông tin và xem lại vào kỳ cập nhật sau. Hãy xem tiêu chuẩn không phải thứ viết một lần rồi thôi, mà là thứ được nâng dần theo tiến độ đáp ứng của từng hạng mục.

Trục 2 – Với thiết bị hiện có sắp đến kỳ thay thế, hãy kiểm kê sớm hơn dự định

Với những thiết bị đang chạy, đây không phải chuyện thay ngay bây giờ. Điều thực tế làm được là tạo ra trạng thái có thể phán đoán khi kỳ thay thế đến. Muốn vậy thì cần kiểm kê. Hãy tổng hợp các mục sau vào một bảng theo dõi duy nhất.

• Hạng mục thiết bị (AP, switch, NAS, camera mạng, các sản phẩm liên quan PCS và tương tự)
• Tên hãng, mã model, năm lắp đặt
• Vị trí trên mạng (có tiếp cận được Internet hay không, thuộc mạng thông tin hay mạng điều khiển)
• Tình trạng cung cấp bản cập nhật firmware và thời điểm dự kiến kết thúc hỗ trợ
• Thời điểm thay thế dự kiến

Khi có bảng theo dõi này, hai điều được quyết định cùng lúc. Một là thứ tự ưu tiên, tức nên bắt tay vào thiết bị nào trước. Thiết bị có khả năng tiếp cận Internet, sắp kết thúc hỗ trợ và cũng sắp đến kỳ thay thế sẽ được ưu tiên cao nhất. Hai là việc đối chiếu với tiến độ của chế độ. Những hạng mục như camera mạng, vốn đã có dự thảo tiêu chuẩn hợp chuẩn ★3 được công bố, rất đáng để xem xét đẩy sớm kế hoạch thay thế. Vì từ lúc tiêu chuẩn được chốt đến lúc sản phẩm đáp ứng có mặt đầy đủ trên thị trường luôn có độ trễ, nên thu thập thông tin ngay khi yêu cầu còn đang chuyển động sẽ giúp bạn phán đoán trong trạng thái có sẵn lựa chọn.

Chỗ dễ vấp khi làm bảng theo dõi là trường hợp lịch sử lắp đặt thiết bị không còn lưu tại chỗ. Ở các cơ sở nước ngoài, nhà thầu phụ trách thi công mạng lúc khởi động nhà máy có khi đã đổi từ lâu, và sơ đồ đi dây cũng không được cập nhật. Trong trường hợp này, việc lập bảng theo dõi sẽ phải bắt đầu từ chỗ lần theo đường dây tại hiện trường. Chính vì vậy, đợi bảng câu hỏi của khách hàng tới rồi mới khởi động là không kịp.

Cách lồng vào kế hoạch ngân sách

Điều phát huy tác dụng thực tế khi vận hành hai trục này là thời điểm ngân sách. Việc thay mới thiết bị mạng không diễn ra thường xuyên, nên nếu phán đoán sai vào đúng thời điểm đó thì phải chờ tới cơ hội sau mới nâng được mặt bằng. Ngược lại, nếu mỗi lần thay thế lại nâng tiêu chuẩn lên một nấc, thì qua nhiều đợt thay thế, mặt bằng tổng thể sẽ được thay mới mà không cần khoản đầu tư bổ sung lớn. Nếu bạn định lập riêng một khoản “đầu tư bảo mật đặc biệt” cho việc ứng phó JC-STAR thì sẽ khó được phê duyệt, nhưng nếu lồng nó vào như tiêu chí lựa chọn của kế hoạch thay thế thông thường thì chi phí tăng thêm sẽ nằm trong giới hạn.

Điểm cần lưu ý với doanh nghiệp sản xuất có cơ sở tại Thái Lan

Nếu bạn đang vận hành nhà máy ở nước ngoài, chẳng hạn tại Thái Lan, có một tiền đề cần xác nhận trước. JC-STAR là chế độ của Nhật Bản, do Bộ Kinh tế, Thương mại và Công nghiệp xây dựng khung và IPA vận hành. Pháp luật Thái Lan không yêu cầu nhãn này. Do đó, cách hiểu “vì là nhà máy ở Thái Lan nên có nghĩa vụ tuân thủ” là không chính xác.

Dù vậy, vẫn tồn tại những con đường thực tế khiến chế độ này tác động đến các cơ sở ở nước ngoài. Đó là trường hợp trụ sở chính tại Nhật đặt ra tiêu chí mua sắm và áp dụng cho cả các cơ sở nước ngoài, trường hợp bảng câu hỏi bảo mật từ khách hàng Nhật yêu cầu trả lời theo từng cơ sở, và trường hợp mua thiết bị từ hãng Nhật khiến tình hình đáp ứng tại Nhật được phản ánh trực tiếp. Cũng cần lưu ý rằng hoàn cảnh khác nhau giữa thiết bị được mua khép kín tại chỗ từ nhà cung cấp bản địa và thiết bị được mua theo khung của trụ sở chính tại Nhật.

Mua sắm tại chỗ còn có luận điểm riêng. Danh mục thiết bị lưu thông tại Thái Lan không trùng khớp hoàn toàn với Nhật Bản, và mã model đã đạt nhãn hợp chuẩn ở Nhật chưa chắc mua được tại chỗ. Trong trường hợp này, nếu áp nguyên tiêu chuẩn ấy cho địa bàn thì việc mua sắm sẽ đứng lại. Đây là tình huống cần phán đoán rằng nên bắt đầu từ yêu cầu cung cấp thông tin thay vì yêu cầu bắt buộc, sao cho phù hợp với thực tế địa phương.

Những luận điểm riêng của cơ sở tại Thái Lan, chẳng hạn cách truyền đạt yêu cầu tới nhà cung ứng bản địa, cách phân chia thẩm quyền mua sắm giữa cơ sở và trụ sở chính, hay mối quan hệ với các luật liên quan đến an ninh mạng của Thái Lan, vượt ra ngoài khuôn khổ bài viết này nên chúng tôi không đi sâu. Riêng luận điểm đó đã đủ dung lượng cho một bài viết độc lập, nên chúng tôi dự định sắp xếp lại trong một bài khác. Ở đây, chúng tôi dừng lại ở việc hiểu cấu trúc “là chế độ của Nhật Bản, nhưng lan tới cả việc mua sắm của cơ sở nước ngoài thông qua dòng thương mại Nhật Bản”.

Tổng kết – cách nghĩ về danh sách kiểm tra khi mua sắm

Chúng tôi sắp xếp nội dung bài viết thành một danh sách kiểm tra cho công việc mua sắm.

JC-STAR không phải chế độ để nhà máy đi lấy chứng nhận, mà là tiêu chuẩn để nhà máy sử dụng với tư cách bên mua. Những điều cần quyết định gói gọn trong hai câu hỏi: “từ khi nào thì đưa vào tiêu chí lựa chọn” và “với từng thiết bị thì yêu cầu ở mức nào”. Mức ★1 là đường cơ sở đã mở nhận hồ sơ từ ngày 25 tháng 3 năm 2025 và được cấp dựa trên tuyên bố tự đánh giá hợp chuẩn của nhà cung cấp. Từ ★2 trở lên khởi động lần lượt theo chủng loại sản phẩm kể từ tháng 1 năm 2026, và với nhóm đi đầu là camera mạng cùng thiết bị truyền thông, dự thảo tiêu chuẩn hợp chuẩn ★3 đã được công bố ngày 12 tháng 6 năm 2026. Mức ★3 và ★4 cần đánh giá bởi bên thứ ba độc lập.

Đối tượng có thể thuộc phạm vi là các thiết bị giao tiếp bằng IP và có khả năng kết nối Internet. Trong số hàng hóa nhà máy mua sắm, access point, switch, NAS, camera mạng và các sản phẩm liên quan PCS có chức năng giao tiếp IP là phạm vi dễ rơi vào diện này. Tuy nhiên, như trường hợp PCS, có những sản phẩm cùng tên hạng mục nhưng khác nhau về việc có chức năng giao tiếp hay không tùy theo model, nên hãy xác định bằng chức năng giao tiếp của model chứ không bằng tên phân loại trong catalog.

Về mặt có sẵn lựa chọn hay không, danh sách sản phẩm đạt nhãn hợp chuẩn của IPA tính đến ngày 3 tháng 8 năm 2026 đã đăng hơn 500 mục và hơn 100 nhà cung cấp. Danh sách bao gồm thiết bị mạng, camera giám sát và đầu ghi, thiết bị NAS và lưu trữ, hệ thống tích trữ điện cùng các sản phẩm liên quan PCS, nên tình huống viết tiêu chí lựa chọn rồi không còn ứng viên nào đang dần không còn nữa.

Về sự lan tỏa từ phía bên đặt hàng, theo các bản tin, đợt sửa đổi hướng dẫn tháng 9 năm 2025 đã đưa mức tương đương JC-STAR ★1 vào tiêu chí lựa chọn của mua sắm công, và tư duy Secure by Demand đang ở trong cấu trúc lan sang khối tư nhân cùng chuỗi cung ứng. Ranh giới phân định trên thực tế nằm ở chỗ bạn có trả lời được hay không khi câu hỏi tương ứng xuất hiện trong bảng câu hỏi bảo mật của khách hàng.

Trên cơ sở đó, hành động mà nhà máy nên thực hiện gồm hai tầng. Với mua sắm mới, hãy thêm vào bản quy cách hỏi hàng một dòng xác nhận tình trạng và kế hoạch đạt nhãn. Với thiết bị hiện có, hãy tổng hợp các thiết bị thuộc hạng mục liên quan vào bảng theo dõi và đối chiếu thời điểm thay thế với tiến độ của chế độ. Nếu hai việc này vận hành đều, thì dù chế độ tiến tới hạng mục nào, bạn vẫn giữ được trạng thái phán đoán được ngay lúc đó.

Với các cơ sở ở nước ngoài, điểm xuất phát là hiểu rằng JC-STAR là chế độ của Nhật Bản, đồng thời nắm được cấu trúc lan tỏa qua dòng thương mại, tức qua tiêu chí mua sắm của trụ sở chính tại Nhật và yêu cầu từ khách hàng Nhật.

Thiết bị của công ty bạn có thể thuộc phạm vi đến đâu, nên nâng tiêu chuẩn từ hạng mục nào trước, những ranh giới này không thể quyết định chỉ bằng cách ngồi xem catalog thiết bị. Cần một công việc xem đồng thời sơ đồ cấu hình mạng và thực tế thiết bị nào đang giao tiếp với bên ngoài. TOMAS TECH hỗ trợ các nhà máy Nhật Bản tại Thái Lan xây dựng hệ thống quản lý sản xuất và mạng OT/IoT, và chúng tôi cũng tiếp nhận trao đổi ngay ở giai đoạn cân nhắc khi bạn chưa chốt phương án ứng phó với JC-STAR. Chỉ đơn giản là cùng bàn xem áp trục phán đoán trong bài viết này vào bảng theo dõi thiết bị của công ty bạn thì sẽ ra sao, cũng hoàn toàn được. Mời bạn liên hệ thoải mái qua trang liên hệ.

Câu hỏi thường gặp (FAQ)

JC-STAR liên quan thế nào đến việc mua sắm thiết bị IT/OT của ngành sản xuất

Bên nộp hồ sơ xin nhãn hợp chuẩn là nhà cung cấp đưa thiết bị ra thị trường, chứ không phải nhà máy đi lấy nhãn cho thiết bị của mình. Với ngành sản xuất, chế độ này liên quan ở vai trò tiêu chí lựa chọn của bên mua. Cụ thể, đó là quyết định có đưa mục xác nhận tình trạng đạt nhãn JC-STAR vào bản quy cách của thiết bị sắp mua hay không, và với từng thiết bị thì yêu cầu ở mức nào. Bối cảnh khiến mối liên quan này ngày càng mạnh là việc hướng dẫn được sửa đổi vào tháng 9 năm 2025 và theo các bản tin, mức tương đương JC-STAR ★1 đã được đưa vào tiêu chí lựa chọn thiết bị IoT trong mua sắm công, và tư duy này đang lan sang khối tư nhân cùng chuỗi cung ứng. Khi câu hỏi dạng này xuất hiện trong bảng câu hỏi bảo mật của khách hàng, việc bạn có giải thích được tình trạng hợp chuẩn của thiết bị công ty mình hay không sẽ là ranh giới phân định trên thực tế. Ngoài ra, nếu sản phẩm mà công ty bạn sản xuất chính là thiết bị IoT giao tiếp bằng IP, thì cần xem xét riêng ở vị thế nhà cung cấp.

Access point và switch của nhà máy có thuộc phạm vi JC-STAR không

Chúng nằm trong phạm vi có thể thuộc đối tượng. Cửa vào của việc xác định là thiết bị đó có giao tiếp bằng IP và có khả năng kết nối Internet hay không. Access point có giao tiếp IP là chức năng gốc, và giao diện quản trị của nó dễ bị lộ qua mạng. Switch có chức năng quản lý cũng tương tự, đều có thể tiếp cận được qua IP. Trong danh sách sản phẩm đạt nhãn hợp chuẩn do IPA công bố cũng thực sự có hạng mục thiết bị mạng gồm router, switch và gateway, với hơn 500 mục cùng hơn 100 nhà cung cấp tính đến ngày 3 tháng 8 năm 2026. Tuy nhiên đừng xác định chỉ bằng tên hạng mục. Như trường hợp PCS (bộ biến đổi điện), cùng một hạng mục sản phẩm nhưng có model không có chức năng giao tiếp IP và nằm ngoài phạm vi. Cách xác định chính xác là nhìn vào việc model đó có thực sự giao tiếp hay không, chứ không nhìn phân loại trong catalog.

Thiết bị chưa đạt JC-STAR có bị cấm dùng ngay lập tức không

Không phải như vậy. JC-STAR là chế độ dán nhãn giúp trực quan hóa mức độ phù hợp, chứ không cấm sử dụng thiết bị chưa đạt nhãn. Mức ★1 mới mở nhận hồ sơ từ ngày 25 tháng 3 năm 2025, còn từ ★2 trở lên đang ở giai đoạn khởi động lần lượt theo chủng loại sản phẩm kể từ tháng 1 năm 2026. Chế độ không được thiết kế để toàn bộ chuyển đổi cùng một lúc. Thứ phát huy tác dụng trên thực tế không phải hình thức cấm sử dụng, mà là hình thức tiêu chí lựa chọn khi mua sắm. Trong mua sắm công, theo các bản tin, đợt sửa đổi hướng dẫn tháng 9 năm 2025 đã đưa mức tương đương ★1 vào tiêu chí lựa chọn, và tư duy này đang ở trong cấu trúc lan rộng qua các đối tác giao dịch. Do đó, điều nhà máy cần làm không phải vội vàng thay thế thiết bị đang dùng, mà là chuẩn bị sẵn bảng theo dõi thiết bị để có thể phán đoán khi kỳ thay thế đến.

An ninh OT và JC-STAR khác nhau ở chỗ nào

Khác nhau ở đối tượng và phạm vi. An ninh OT là khái niệm rộng, chỉ toàn bộ các hoạt động nhằm bảo vệ hệ thống điều khiển của nhà máy. Nó bao gồm phân tách mạng, quản lý quyền truy cập, trực quan hóa tài sản, xây dựng cơ chế ứng phó sự cố, hoàn thiện quy tắc vận hành, tức là gồm cả cơ chế và vận hành chứ không chỉ thiết bị. Trong khi đó, JC-STAR là chế độ dán nhãn ở phía sản phẩm, trực quan hóa mức yêu cầu bảo mật mà từng sản phẩm IoT đáp ứng theo các mức từ ★1 đến ★4. Về quan hệ, JC-STAR tương ứng với phần bảo đảm mặt bằng của thiết bị được mua sắm, một trong các yếu tố cấu thành an ninh OT. Do đó, xếp cạnh nhau một loạt thiết bị có nhãn hợp chuẩn không có nghĩa là an ninh OT của nhà máy đã hoàn tất, và ngược lại dù phân tách mạng triệt để đến đâu, nếu thiết bị đặt ở ranh giới có mặt bằng thấp thì rủi ro vẫn còn. Cách làm thực tế là không tiến hành hai việc này tách rời nhau, mà đặt JC-STAR với vai trò tiêu chí mua sắm vào bên trong kế hoạch tổng thể về an ninh OT.

Việc đáp ứng JC-STAR của camera mạng sẽ trở thành bắt buộc từ khi nào

Không có mốc thời gian bắt buộc đồng loạt nào được công bố. Những dữ kiện xác nhận được là từ ★2 trở lên khởi động lần lượt theo chủng loại sản phẩm kể từ tháng 1 năm 2026, nhóm đi đầu là camera mạng và thiết bị truyền thông, và dự thảo tiêu chuẩn hợp chuẩn ★3 cho hai nhóm này đã được công bố ngày 12 tháng 6 năm 2026. Vì ★3 cần đánh giá bởi bên thứ ba độc lập nên cả khâu chuẩn bị của nhà cung cấp lẫn bản thân việc đánh giá đều mất thời gian. Trên thực tế, “bắt buộc” không đến dưới dạng chế độ cấm đoán mà đến dưới dạng yêu cầu trong tiêu chí mua sắm của bên đặt hàng. Trong mua sắm công, theo các bản tin, đợt sửa đổi hướng dẫn tháng 9 năm 2025 đã đưa mức tương đương ★1 vào, và yêu cầu tương tự có khả năng được phản ánh vào tiêu chí mua sắm của khối tư nhân. Nhà máy đang đưa việc thay mới camera giám sát vào kế hoạch đầu tư nên lấy tiền đề rằng đây là hạng mục có tiêu chuẩn đang chuyển động, và bắt đầu sớm việc xác nhận với nhà cung cấp về tình trạng cùng kế hoạch đạt nhãn thì sẽ an toàn hơn.

Thông tin tham khảo

• Thông tin chính thức về chế độ JC-STAR. Định nghĩa các mức từ ★1 đến ★4 và khung nộp hồ sơ IPA (Cơ quan Xúc tiến Công nghệ Thông tin Nhật Bản) xác nhận tại thời điểm tháng 8 năm 2026
• Danh sách sản phẩm đã đạt nhãn hợp chuẩn. Nguồn xác nhận số mục đăng tải, số nhà cung cấp và các hạng mục sản phẩm Danh sách sản phẩm đạt nhãn hợp chuẩn của IPA xác nhận tại thời điểm ngày 3 tháng 8 năm 2026
• Thông cáo báo chí công bố việc bắt đầu nhận hồ sơ cho mức ★1 Bộ Kinh tế, Thương mại và Công nghiệp Nhật Bản xác nhận tại thời điểm tháng 8 năm 2026
• Bài bình luận về vị trí của JC-STAR trong mua sắm công và tư duy Secure by Demand PwC Japan Group xác nhận tại thời điểm tháng 8 năm 2026
• Bài giải thích về khái quát chế độ JC-STAR và lịch trình từ mức ★2 trở lên Unitis xác nhận tại thời điểm tháng 8 năm 2026
• Bài phỏng vấn giới thiệu nỗ lực ứng phó với JC-STAR nhìn từ phía nhà cung cấp thiết bị Buffalo xác nhận tại thời điểm tháng 8 năm 2026