★☆★JNSAメールマガジン　第310号　2025.4.18☆★☆

こんにちは
JNSAメールマガジン　第310号　をお届けします。

メールマガジンはJNSAのホームページでもご覧いただけます。
JNSAメールマガジン　https://www.jnsa.org/aboutus/ml.html#passed

コラム最後にワンクリックアンケートがあります。
ぜひこのコラムの感想をお寄せください。

今回のメールマガジンは
独立行政法人情報処理推進機構 神田雅透様にご寄稿いただきました。


【連載リレーコラム】
IoTセキュリティラベリング制度（JC-STAR）★1申請受付を3/25から開始！

独立行政法人情報処理推進機構 セキュリティセンター技術評価部・部長
神田雅透

IPAでは、経済産業省の木本様が第301号の記事で紹介していたIoTセキュリティ
ラベリング制度（JC-STAR）の運用を本年3月25日から開始し、「★1」の申請受付を
始めました。JC-STAR発足の背景紹介などは木本様の記事を見ていただくとして、
今回申請受付を始めた「★1」とは何ものなのかについて、紹介したいと思います。
木本様の記事については以下のページを参照ください。
https://www.jnsa.org/aboutus/jnsaml/ml_bk301.html

まず、JC-STARでは、幅広いIoT製品を対象として共通的な物差しで製品に具備
されているセキュリティ機能を評価・可視化することを目的としていますが、
具体的な対象範囲はインターネットとのIP通信が行えるIoT製品のうち、
「セキュリティ機能の提供が当該製品の製造ベンダーに依存する」ものとして
います。その理由は、その製品の購入者は予め当該製品に搭載されるセキュリティ
機能を使うしか選択肢がない以上、セキュリティ機能の提供は製造ベンダーの責任
において実施すべき、というところから来ています。とはいえ、セキュリティ機能
の提供には相応のコストがかかり、最終的には製造ベンダーだけでなく製品購入者
にも一定の負担をしてもらうことになる以上、むやみに高いコストをかけられると
いうものでもありません。そこで、JC-STARでは求められるセキュリティ水準に
応じた4段階（★1～★4）の適合基準を設定しています。
今回受付を開始した「★1」は、IoT製品共通の最低限の脅威に対応するための基準
として設けられた適合要件を満たすと製造ベンダーが自己宣言を行ったIoT製品に
対して付与されるものです。受付開始以来、すでに数十件の申請があり、5月上旬頃
に第1段の適合ラベルの発行を見込んでいます。「★1」の申請に当たっての詳細に
つきましては、以下のページを参照ください。
https://www.ipa.go.jp/security/jc-star/shinsei/index.html

この「★1」基準では、1.マルウェア感染によるボット化を防ぐ（とりわけボット化
したIoT製品からの感染拡大を防ぐ）、2.脆弱性を放置せずにアップデートファイル
の提供を保証させ、また容易にアップデートできるようにする（IoT製品を安全に
使えるサポート期間を明確にする）、3.運用中に生成されたデータの削除機能が
ある（安全にIoT製品の廃棄・転売ができる）、を主に実現することを目指して
います。そこから、16個の適合要件とその要件を満たしているかを判断するための
評価手順が設けられています。
製造ベンダーは、全ての適合要件に対して評価手順にしたがって自己評価を行い、
全ての要件を満たしていると判定した場合に、「★1」申請を行うことができます。
IPAでは、「★1」申請を受理すると、そのIoT製品に対して二次元バーコード付きの
適合ラベルを交付します。この二次元バーコードには、IPAが管理する「ラベル取得
製品情報ページ」へのURLが埋め込まれており、その情報ページで製品詳細や適合
評価結果、セキュリティ情報・問合せ先等の情報を消費者が簡単に取得できるよう
にしています。

ところで、自己適合宣言となるとどこまで「★1」を信用していいのか（信用できる
のか）？という疑問がわくことでしょう。確かにその疑問はもっともなところが
あります。
それでも「★1」については、利便性・実現性と信頼性の適切なバランスをできる
だけとることを念頭に、自己適合宣言を認めたのは以下の理由からです。
1. 今まで認証などを取ったことがない製造ベンダーや、第三者認証では認証費用を
カバーしきれない安価なIoT製品を作っている製造ベンダーでも「★1」申請をして
もらうため、取得コストをできるだけ下げる必要があったこと。
2. 数多くのIoT製品に適合ラベルが貼付されるほど、セキュアなIoT製品の選択肢が
広がり、消費者の購入機会が増えると期待されること。
3. 自己適合宣言とはいえ、宣言したことに対して製造ベンダーに一定の責任が
生じること。特に、守っていないことが発覚した時の社会的・道義的責任が生じる
ことのプレッシャーを与えられること。
4. 疑義が生じた場合に、事後的にサーベイランスを実施し、その結果次第で適合
ラベル取消しも有り得る仕組みを入れていること。そのために、証跡の保管義務を
製品ベンダーに課しており、必要に応じて証跡を提出させる権限をIPAが有している
こと。また、適合ラベルの二次元バーコードから行ける「ラベル取得製品情報ページ」
の「適合ラベルのステータス」で「取消し」されたことを確認できる周知体制を
取っていること。

上述したように、「★1」は高いセキュリティを提供するというよりも、この程度の
セキュリティは最低限もっていてほしいという水準です。ここで想定しているのは、
「普段からセキュリティのことを気にしてIoT製品を使っている人」よりも、
「セキュリティのことなんか知らない・気にしないでIoT製品を使っている人」や
「そもそもIoT製品を使っているという認識すらない人」に向けて、セキュリティを
それほど意識しなくてもいいからせめて「★1」が付いているIoT製品を購入する
ようになってくれればそれだけでもセキュリティ向上につなげることができる、
ということです。また、せっかくセキュリティ対策を進めているのに消費者に
アピールする手段が今までなかった製造ベンダーに対してアピール手段を提供する
という意図もあります。
そういったエコサイクルがうまく回るようにするためにも、多くのIoT製品で
適合ラベルを取得いただく環境を整備していくことと合わせて、パンフレットや
ポスター等でシンプルに意義を分かりやすく伝え、IoT機器を購入する際は少なく
とも「★1」を取得した製品を購入していただけるように促していきたいと考えています。
https://www.ipa.go.jp/security/jc-star/leverage.html

JC-STAR制度の普及・浸透に向けて、皆さんのご理解とご協力をいただけますと幸いです。


＃連載リレーコラム、ここまで

＜お断り＞本稿の内容は著者の個人的見解であり、所属団体及びその業務と
関係するものではありません。

＜ワンクリックアンケートお願い＞
今回のメールマガジンの感想をお寄せください。
　https://tinyurl.com/5n7wdzfd
※googleアンケートフォームを利用しています。


【部会・WGからのお知らせ】
★3月17日開催調査研究部会データベースセキュリティWG主催セミナー
「過去の教訓、未来の防御：企業がとるべきクラウド・セキュリティ対策とデータ保護
　動画公開いたしました！
　https://www.youtube.com/@JNSAseminar/videos
★JNSA主催セミナー／イベントの動画・講演資料は順次公開中です
　JNSAホームページをご確認ください！
　https://www.jnsa.org/
【事務局からのお知らせ】
★JNSA事務局を騙った詐欺事件が発生しています。
　当協会から個人の方へ金銭のご請求を行うことはございません。
　お心当たりのある方は最寄りの警察署に実際に足を運んで御相談下さい！！
★リモートワークに活用ください！
「緊急事態宣言解除後のセキュリティ・チェックリスト」
　https://www.jnsa.org/telework_support/telework_security/index.html

☆コラムに関するご意見、お問い合わせ等はJNSA事務局までお願いします。
　sec@jnsa.org

☆メールマガジンの配信停止は以下URLの「解除」よりお手続き下さい。
配信停止連絡　<https://www.jnsa.org/aboutus/ml.html>

↓　以下、 JNSA会員企業からのご案内です
==============================================================

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
【事例紹介】AIでコールセンター・ヘルプデスクの業務改善
　　　　　　　　　　　　　　　　　　　　　　ＪＢサービス株式会社
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
ＪＢサービス株式会社では、24時間365日で稼働する運用センターSMAC
にて、ITIL®に準拠したコールセンターサービスとヘルプデスクサービス
を提供しています。これらのサービスを提供するにあたり、いくつかの
課題が存在していましたが、課題解決のために生成AI型チャットボット
ツールを活用しました。取り組み内容を下記の記事でご紹介しています。

▼生成AIチャットボット「まなぶくん」で
　コールセンター・ヘルプデスクの業務改善を実現！
https://www.jbsvc.co.jp/useful/ai/chatbot-help-callcenter.html

==============================================================

　＼""わからないまま始める""をなくす／
　AeyeScanを体験できるハンズオンセミナー【5月開催】
┗━━━━━━━━━━━━━株式会社エーアイセキュリティラボ

　■脆弱性診断ツールを比較検討している
　■AeyeScanの機能・操作感を知りたい
という方に向けて、「AeyeScan」の操作方法を含む一連の機能を
体感していただくセミナーを定期開催中です。
当日は質疑応答の時間もございますので、検討及び導入に際し
不安なことや不明な点、懸念事項などをその場で解消いただけます。
「AeyeScanがどんなサービスか知りたい」方も大歓迎！
お好きな日時を、お気軽にお申込みください。
【詳細】https://www.aeyescan.jp/event-seminar/detail-handson/

==============================================================

【IP制限に】プロバイダー変更不要で固定IPアドレス取得

VPN接続を利用した固定IPアドレス付与サービス

IP制限はクラウドセキュリティを強化する方法のひとつですが
固定IPアドレスが利用できる通信環境は限られるため、
導入を先送りにしていませんか？
Glocal VPNが提供する固定IPアドレス付与サービスは
IP制限に必須なグローバル固定IPアドレスを
プロバイダー問わず利用できるサービスです。
モバイルルーターやテザリング、ご自宅のWi-Fiで
いつでも同じ固定IPアドレス通信が叶います。
初期費用・初月無料　1ユーザー660円/月～
サービスページ：https://glocalnet.jp/lp/vpn_01/
[株式会社グローカルネット]

==============================================================

∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞
＼お取り扱い開始／ OSCP トレーニング受付開始
∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞
NRIセキュアはOSCPトレーニングの取扱いを開始しました。
初回は2025年6月9日よりトレーニングを開催いたします。
5日間、ペネトレーションテストを日本語講義で学ぶことが
できますので、是非ご検討ください！

日程：2025年6月9日(月)～13日(金)
時間：9:30～18:30
受講料(試験付き)：660,000円(税込)※初回限定割引価格

▼OSCPトレーニング 詳細・お申込みはこちら
https://www.nri-secure.co.jp/service/learning/oscp
【ＮＲＩセキュアテクノロジーズ株式会社】

==============================================================

ISC2 SECURE Japan 開催決定！近日講演者募集

9月2日（火）、東京都内にてISC2の対面イベント
「SECURE Japan 2025」の開催が決定しました！
ISC2 と ISC2 Japan Chapterの共催による本イベントでは、
まもなく講演者の募集を開始いたします。
最新情報は、ISC2 JapanのWebサイトにて順次ご案内予定です。
ぜひ定期的にチェックして、最新情報をお見逃しなく！
https://japan.isc2.org/

[ISC2]

==============================================================

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
　より手軽に・より簡単に使える自動脆弱性診断ツール
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
脆弱性診断をより手軽に、より簡単に、より身近なものにを
クラウド型Webアプリケーション脆弱性自動検査ツール「VexCloud」

長年選ばれ続けたVexのノウハウを元に生み出されたVexCloudは、
より簡単にご利用いただけるよう開発された脆弱性診断ツールです。
簡単に利用できると言っても、検査性能は「Vex」譲り。
精度の高い脆弱性検査を行います。

■製品詳細
　⇒ https://hubs.ly/Q02wTBrV0
《株式会社ユービーセキュア》

==============================================================

【セミナー】「CNAPP」で始めるセキュリティ高度化
▼オンラインセミナー開催
パブリッククラウドの安全運用に欠かせない、
「CNAPP」で始めるセキュリティ高度化
～CSPM／CIEM／DSPM／KSPMなどを一元管理できる
　最適なCNAPP運用方法をご紹介～
https://majisemi.com/e/c/canon-its-20250422/M2A　
＊こんな方におすすめです
・クラウドセキュリティを強化したいが、
　何から始めればよいのか分からない
・現状のクラウドセキュリティ対策が十分なのか悩んでいる
日時：2025年4月22日（火）11：00 - 12：00
▼お申し込みはこちら
https://majisemi.com/e/c/canon-its-20250422/M2A
《キヤノンＩＴソリューションズ株式会社》

==============================================================

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
【無料ウェビナー】脆弱性を防ぐセキュア開発トレーニング　　　　　　
～セキュア開発の全体像と見落としがちな脆弱性～
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
KDLでは開発の上流工程からセキュリティ対策を行う取り組みを
行っていますが、その一環としてサービス提供している
セキュア開発トレーニングに関するセミナーを開催します。

今回はインジェクション対策について深堀してお話する他、
セキュア開発の全体像や脆弱性診断でよく検出される項目と
その対策についてもご紹介します！
1時間のショートプログラムですのでお気軽にご参加ください。
　•日時：2025年5月20日(火) 14:00～15:00
　•詳細：https://www.kdl.co.jp/event/2025/04/secure-dev-seminar/
　【株式会社神戸デジタル・ラボ】

==============================================================

*************************************
JNSAメールマガジン　第310号
発信日：2025年4月18日
発　行：JNSA事務局　sec@jnsa.org
*************************************