資料４－２

経済産業省におけるサイバーセキュリティ施策の取組状況について

令和６年２月２２日
経済産業省

 2022年１１月より「IoT機器に対するセキュリティ適合性評価制度構築に向けた検討会」を開催しており、2024年3月に最終取りまとめを公表し、パブコメ実施予定。
 本制度は幅広いIoT製品を対象としつつ、製品ごとの特性に応じた基準を既存の制度を活かしながら設けられるよう、複数のレベル（☆1～☆4）を用いた制度を想定。
 ☆1は、幅広いIoT製品を対象に、統一的な最低限の適合基準を想定し、評価方法はチェックリストに基づく自己適合宣言を想定。☆2以上は、製品類型ごとに適合基準を策定することを想定。
 ☆１については2024年7月～9月頃に制度開始案内、2024年度末の運用開始を予定。☆２以上については2025年度下期以降に一部のIoT製品類型に対する制度の開始を目指す。併せて、欧米等の諸外国と制度調和と政府調達含めた各種調達要件等への反映について関係省庁と調整を実施。
2

IoTセキュリティ適合性評価制度設立の目的
 政府機関等・企業等のセキュリティ対策において、調達する製品や製品ベンダーのセキュリティも含めた広義なサプライチェーンリスク管理の取り組みが広がっている。しかしながら、IoT製品の選定時や調達時に、そのセキュリティ機能や対策状況を自組織で確認（第二者評価）できているケースは少ないのが現状である。そこで、第二者評価を代替する仕組みとして、共通的な物差しでIoT製品のセキュリティを第三者が評価し、その結果に対して認証を付与する制度が必要である。（目的①：政府機関等・企業等のIoT製品調達ニーズへの対応）
 様々な機器がネットワークに接続されることで、十分なセキュリティ知識のない中小企業や一般消費者が意識しないまま、サイバーセキュリティリスクに晒されることとなり、情報漏えいやボット化による他者への攻撃に悪用されるなどの被害にあう可能性がある。国民が安心してネットワークを使用したサービスを利用できるよう、特にリスクの高いサービス分野において使用されるIoT機器の最低限のセキュリティ基準を整備し、当該分野のIoT機器はその基準を満たしたもののみを流通させる必要がある。（目的②：特定分野で使用されるIoT機器の最低限のセキュリティ確保）

課題
目的①
目的②解決方法

制度普及のポイント

IoT製品の選定時や調達時に、そ政府機関等・企業等のセキュリティ機能や対策状況を自のIoT製品調達ニーズ組織で確認（第二者評価）できへの対応ているケースは少ない

共通的な物差しでIoT製品のセキュリティを第三者が評価し、その結果に対して認証を付与する制度を整備（→主に☆3、☆4の活用を想定）

政府機関等・企業等の多くの調達者がその認証が必要であると認知し、選定・調達要件に入れる十分なセキュリティ知識のない中小企業や一般消費者が意識しないま
ま、サイバーセキュリティリスクに晒される

特にリスクの高いサービス分野において使用されるIoT機器の最低限のセキュリティ基準を整備（→☆1以上の活用を想定）

特定業界の主要な提供者が協力して認証・ラベル取得を行い、取得済み製品の供給を実質的な業界標準にする

特定分野で使用されるIoT機器の最低限のセキュリティ確保

3

IoTセキュリティ適合性評価制度の概要
2022年11月より「IoT機器に対するセキュリティ適合性評価制度構築に向けた検討会」を開催。現在検討中の制度では、インターネットに直接的に接続される製品及び間接的に接続されるIoT製品を対象とする予定。



幅広いIoT製品を対象としつつ、製品ごとの特性に応じた基準を既存の制度を活かしながら設けられるよう、複数のレベル（☆）を用いた制度を想定。☆1は、幅広いIoT製品を対象に、統一的な最低限の適合基準を想定し、評価方法はチェックリストに基づく自己適合宣言を想定。☆2以上は、製品類型ごとに適合基準を策定することを想定し、評価方法はチェックリストに基づく自己適合宣言（☆2）及び実機試験・侵入試験等の第三者評価（☆3以上）を想定。なお、どの程度の第三者評価をどのレベルで求めるかは今後製品類型ごとに要検討。

☆１については2024年度中の制度開始を予定。米欧等の諸外国との制度調和を図るため並行して議論中。
対象

制度概要（検討中）

インターネット

インターネットに接続可能な製品
ルーター、ネット
ワークカメラ、ドローン等

ネットワークに接続可能な製品
ハブ・スイッチ、スマート洗濯機、OA製品、PLC、DCS等

産業用制御機器、センサ、コントローラ等

☆4

通信機器
☆4

防犯関連機器☆4

☆3

通信機器
☆3

防犯関連
機器☆3

スマート家電
☆3

☆2

通信機器
☆2

防犯関連
機器☆2

スマート家電
☆2

☆1

第三者
評価

自己適合宣言統一的な最低限の適合基準（☆1）
通信機器(ルーター等)

防犯関連
機器

スマート・・・
家電

4

IoTセキュリティ適合性評価制度の全体スキーム


検討会での議論を踏まえ、本制度の各主体の適格性について、政府のガバナンスが効く構造が重要。かかる観点から、CC認証の知見があるIPAのJISEC認証制度（ITセキュリティ評価及び認証制度）を拡張する形の制度を構築予定。

2023年度末までに要求基準・適合基準の検討およびルーター、スマート家電、ネットワークカメラ等を対象とした評価検証を実施中。

政府（経産省）所管独法として監督所管独法として監督認定機関（NITE※3）

ガバナンス

認証機関（IPA※3）

ISO/IEC 17025※1に基づく適格性の付与・確認委員会
適合性評価の実施、評価報告書の提出
評価機関
B

検証
事業者C

・・・
申請、
自己適合宣言評価機関・検証事業者の選定、評価依頼

評価報告書等に基づく認証、適合性ラベルの付与

IoT製品ベンダー等※2

適合基準策定WG2
…

評価機関
A

• 適合基準・評価手順の策定、提示• 製品類型・レベル毎の適合基準案の考え方の提示、整合性確認

適合基準策定WG1

適合基準案の策定、付議（製品類型毎の想定）
IoT製品に対する適合基準の策定、提示※1：ISO/IEC 17025（JIS Q 17025）は、試験所及び校正機関の試験・校正能力に関する一般要求事項を規定した国際標準であり、JISEC認証制度に基づくIT製品及びシステムのセキュリティ評価を行う試験事業者に求められる。なお、ISO/IEC 17065（JIS Q 17065）は、製品認証機関の認証能力に関する一般要求事項を規定した国際標準である。
※2：IoT製品を製造するベンダーだけでなく、海外からIoT製品を輸入・販売する輸入業者も含まれる。
※3：組織名称は制度発足時に変更となる可能性がある。
5

【参考】本制度における確定活動の実施者と証明主体
 ☆１、☆２では、自己適合宣言のスキームを採用する。他方、どのような評価者が評価を行ったかについて、ラベル付与製品の情報提供ページに掲載し、評価能力のある者が評価を行ったかについて、調達者が識別できるようにする。
 ☆３以上では、確定活動をNITEに認定された評価機関、レビュー及び証明（認証）をIPAが実施することを想定している。
☆１
実施者
実施者 証明レビュー及び証明

評価基準

確定活動
(※1)

☆２

☆３以上

特に指定なし調達者が選定時の参考に活用できるように、右記のような評価者区分をラベル付与製品の情報提供ページに掲載する。

☆１適合基準（製品類型共通）• 製造会社• 製造会社(有資格者※2)• 外部有資格者※2• 検証事業者※3• 評価機関☆２適合基準（製品類型別）独立した第三者※4：
NITEに認定された評価機関☆３以上の適合基準（製品類型別）第一者（IoT製品ベンダー）

第三者（IPA）

第一者証明（＝自己適合宣言）

第三者証明
（＝認証）

※1 適合性を判断するために必要なすべての情報を取得する活動、いわば事実を確認する活動。製品要求事項に関する情報をレビュー及び証明機能へのインプットとして提供するための、試験、測定、検査、設計評価、サービス及びプロセスの評価、監査などの適合性評価活動を含んでもよい。
※2 情報処理安全確保支援士等の指定資格保有が、評価の実施または評価結果の確認に関与することを条件とする。資格保有に加え、IoTセキュリティ評価に関する研修受講完了
または評価ガイドラインを理解していることの宣誓を求める。指定資格を情報処理安全確保支援士に限定するか、同等の他資格も許容するかは今後検討する。
※3 情報セキュリティサービス審査登録制度の「機器検証サービス」分野にて、「情報セキュリティサービス基準適合サービスリスト」に登録されている事業者の想定。
※4 製造会社／申請者と利害関係がない独立した第三者。

6

【参考】本制度における☆1/☆2の申請・評価の流れ

通常の開発・購買活動本制度導入による効果

ラベル付与のための対応 ☆1では、広範なIoT製品を対象とした、最低限の脅威に対抗するための統一的な基準とし、☆2では、製品類型ごとに定義された一定程度の脅威に対抗できる、製品類型ごとの基準とする。
 ☆1/☆2ではベンダー自身による自己適合宣言スキームを採用するが、評価機関や検証事業者、有資格者に評価を依頼することも可能とする。
☆1では、検証や評価を行う担当者が、チェックリストや評価ガイドを見て低コストで自己評価可能なレベルとする。

適合性評価チェックリストの提出・ラベル申請☆2では、製品類型ごとの要件を踏まえ、検証や評価を行う担当者が、実際に実機検証を実施し、適合確認を行うレベルとする。
※代理店（輸入業者、ITベンダー等）による申請の場合、製品ベンダーの承諾を得た上で窓口となり、製品ベンダー自体が評価した内容を提出することとする。

評価結果の報告

ラベル付与

適合性評価チェックリストの申請に基づき、形式チェックを行ったうえで、ラベルを付与する。

製品の開発・販売

IoT製品ベンダー

シンガポールCLS＊
1要件や英国PSTI法など、海外制度と国際連携可能な要件とする※。

IPA（スキームオーナー）

セキュリティ対策を実施していることの可視化製品の選定・購入

海外制度への対応

ラベルが付与された製品の選定・購入

適合性評価チェック
リストの記入（自己適合宣言）

評価依頼（自己適合宣言が困難な場合など）

評価機関・検証事業者・有資格者対象となるIoT製品（イメージ）

ベンダー自身による自己適合宣言を許容する。

評価機関・検証事業者・有資格者による評価（自己適合宣言が困難な場合など）

製品ユーザー・
調達者☆1では、特定の製品類型に絞らず、広範なIoT製品を対象とした、最低限の脅威に対抗するための統一的な基準とする。
☆2では、製品類型ごとに定義された一定程度の脅威に対抗できる、製品類型ごとの基準とする。

7

【参考】本制度における☆3以上の申請・評価の流れ

通常の開発・購買活動

本制度導入
による効果

ラベル付与のための対応 ☆3以上では、製品類型ごとに定義された広範な脅威に対抗できる、製品類型ごとの基準とする。
 ☆3以上では、認定機関によって認定され、かつベンダーとの利害関係がない評価機関による、高信頼な第三者評価を必須とする。
評価結果の報告

IPA（スキームオーナー）
認証申請・ラベル付与申請ラベル付与☆3以上では、評価機関による評価結果に基づきラベルを付与する。

製品の開発・販売

IoT製品ベンダー※代理店（輸入業者、ITベンダー等）による申請の場合、製品ベンダーの承諾を得た上で窓口となり、製品ベンダー自体が評価した内容を提出することとする。

評価依頼

評価機関

製品の選定・購入

セキュリティ対策を実施していることの可視化ラベルが付与された製品の選定・購入

海外制度への対応対象となるIoT製品（イメージ）
海外制度と国際連携可能な要件とする。

☆3以上では、認定機関（NITE等）によって認定され、かつベンダーと利害関係がない評価機関による第三者評価を必須とする。

☆3以上では、製品類型ごとに定義された広範な脅威に対抗できる、製品類型ごとの基準とする。
評価機関による評価

製品ユーザー・調達者☆3以上では、主に政府機関等、地方自治体、重要インフ
ラ業界、大手企業による活用を想定する。

8

【参考】発展JISEC認証スキームの事務局・委員会の体制案
 現行JISEC制度（CC認証）とIoTセキュリティ適合性評価制度を発展JISEC制度として、一体となった枠組みで運用する。
 IoTセキュリティ適合性評価制度は、☆2以上を整備する製品類型の検討、国内既存制度との連携・統合の調整、相互承認等の諸外国との調整などが来年度以降もあるため、IPAと経産省による運営事務局を設立し、制度が軌道に乗るまでそれを維持する。

認証機関

IoTセキュリティラベリング制度
運営事務局（※）

理事長
CC認証

IoTセキュリティ
運営審議委員会
ラベリング（既存の運営審議委員会を拡張）(セキュリティ製品認証・ラベリング制度の業務運営方針・マネジメントに関する事項等を審議)

CC認証技術審議委員会（既存の技術審議委員会）（CC認証についての基準規格の策定・技術的事項等の審議）

認証基準案の策定、付議

CC認証基準検討WG（必要に応じ）

IoTセキュリティラベリング
技術審議委員会（IoTセキュリティラベリングについての適合基準の承認・技術的事項等の審議）

製品ごとの適合基準案の策定、付議

適合基準検討WG（複数設置）適合基準検討WG（複数設置）適合基準検討WG（複数設置）＋• 制度拡張（☆2以降）の検討• 国内既存制度との連携・統合検討• 相互承認等の海外連携の調整• 政府調達要件等への働きかけ• 民間企業、一般消費者への制度普及促進• IoT製品ベンダーへの認証取得促進など※以下の条件が満たされ、制度が軌道に乗った段階で、IPAによる運営とし、経済産業省は各委員会に委員またはオブザーバーとして関与する。
• 定常的に新規の認証申請がある。
• 主要な製品類型の☆2以降の制度化および既存制度との統合・すみ分けが合意されている。
• 海外の主要国との相互承認等の方向性が合意されている。

9

【参考】本制度と現行JISEC制度（CC認証）の比較
信頼性の評価レベル

高中低CCRA/相互承認の対象可否〇（強制相互承認対象外）〇（強制相互承認対象）

×（相互承認対象外 ※各国制度と個別調整）

JISEC(CC) – EAL 4

JISEC(CC) – EAL 2

JISEC(CC) – EAL 1

本制度 – ☆4

本制度 – 3

本制度 – ☆2

本制度 – ☆1

ソースコードチェック〇

××

要件による×××

ホワイトボックス侵入試験

〇

〇

×××××

ブラックボックス侵入試験

中程度

基本強化

基本

基本強化

基本××

サイト訪問

不要（オンサイト試験実施

必要の場合あり）必要になる場合あり（要件による）不要

セキュリティ脅威分析

製品特性に応じた分析結果の明記が個別に必要

対象脅威は事前指定（個別には対応不要）

セキュリティ対策網羅性

製品特性に応じた脅威に対する対策網羅性の説明が個別に必要

対象対策は機能要件・保証要件で事前指定（個別には対応不要）

ST仕様書（セキュリティ機能仕様書）※PPは製品分野ごとのセキュリティ機能要件／セキュリティ保証要件を決めたものであるが、PP適合であってもST仕様書の作成は必要

作成不要

TOEごとにST仕様書に明記（申請者が指定）

製品群共通の適合要件としてセキュリティ要件を事前指定

セキュリティ機能要件
セキュリティ保証要件

TOEごとに作成が必要

 脅威に対抗するのに必要なセキュリティ機能要件をST仕様書に記載
 保証レベルに応じた必要なセキュリティ保証要件をST仕様書に記載

製品分野別政府調達要件をベース（基本強化要（基本要件）件）

製品分野別 全製品分野共通の基本要件
最低要件

事前設定した評価基準に従った独立した第三者機関による評価
セキュリティ評価

製品特性を考慮してCC/CEMの評価基準を適用した
独立した第三者機関による認証評価（Attack based or Specification based）

有資格者による
チェックリスト自己検査
チェックリスト自己検査
チェックリスト
自己宣言

評価報告書

ST仕様書に依存

JISEC(CC)認証制度

定型報告書

チェックリストIoTセキュリティ適合性評価制度10製品個別のセキュリティ対策に関するガイドライン【凡例】【参考】製品に関する類型・既存の文書、認証制度等

製品個別のセキュリティ対策基準を定めた文書等（下線は義務）※ 各製品類型に対するセキュリティ対策要件を定めたガイドラインや認証制度のうち、代表的なガイドライン、制度等をマッピングしている。ただし、CC（ISO/IEC 15408）に基づく認証制
度(JISEC制度)については、グローバルで認証付与されている代表的な製品類型又はcPP(Collaborative Protection Profile)が用意されている製品類型に対してマッピングをしている。また、IEC 62443-4に基づく認証について、IEC 62443-4の対象である通信機能を有する産業用自動制御システムのコンポーネントに対してマッピングしている。

製品類型
消費者向け
産業向け

直接的にインターネットに接続する可能性がある製品

通信機器（ブロードバンドルーター、Wi-Fiルーター等）
防犯関連機器（ネットワークカメラ等）
自律型ロボット（ドローン等）
通信機器（ルーター、アクセスポイント、ファイアウォール、UTM等）政重
防犯関連機器（ネットワークカメラ等）政重
産業用自律型ロボット（産業用ドローン、AGV等）政重

製品個別の対策に関するガイドライン、基準を定めた文書、認証制度等
総務省:
技術基準
適合認定
及び設計についての認証

CCDS: 分野別ガイドライン(IoT-GW編)
日本防犯設備協会:RBSS(監視カメラ、デジタルレコーダー)

NEDO:無人航空機分野 サイ
バーセキュリティガイドライン

CCDS:CCD
Sサーティフィケーションプロ
グラム (現状で取得実績は無いが、対象製品範囲に含まれる）

日本防犯設備 CCDSサーティフィケーションプロ IPA:情報セキュリティ対策要件
グラム(カメラで実績あり)
協会:RBSS
チェックリスト(ネットワークカメラ)
NEDO:無人航空機分野 サ
国交省: 機体
イバーセキュリティガイドライン
認証制度

製品個別のセキュリティ対策要件を含む認証制度
システム全体のセキュリティ対策に関する文書等
赤字：Sマークによる認証が行われている製品
高いレベルの基準に基づく認証制度

CCに基づく認証システム全体の対策に関する文書等
CCDS:分野
別ガイドライン(スマートホーム編)

経産省:
スマート
ホームセ
キュリティガイド

CCDS:
分野別ガイドライン(スマート
ホーム編)

IEC
6244
3-4に基づく認証

通信機器（ハブ・スイッチ等）
消費者向け

生活家電（掃除機、洗濯機、冷蔵庫、レンジ、エアコン等）
AV機器（スマートTV、レコーダー、スマートスピーカー等）
防犯関連機器（警報装置、電気錠システム等）
エネルギー関連機器（エネファーム、PCS、ガス給湯器等）

日本防犯設備協会:
RBSS
JET: 系統連系保護装置
等認証制度 (PCSのみ)

CCDS:CCDSサーティフィケーションプログラム(電気錠操作盤、電子シャッターで取得実績あり)
各一般送配電事業者:
CCDSサーティフィケーションプログラ
ム(ガス給湯器リモコンで実績あり)
系統連系技術要件

ヘルスケア機器（ウェアラブル端末、電動トレーニングマシン等）
CCDS:CCD
Sサーティフィケーションプロ
グラム (現状で取得実績は無いが、対象製品範囲に含まれる）

娯楽機器（ゲーム機、スマート玩具等）
通信機器（ハブ・スイッチ等）政重
産業用コントローラー（PLC、DCSコントローラー等）政重
産業用センサー（温度センサー、圧力センサー、変位センサー等）政重
OA機器（複合機等）政重
産業向け

間接的にインターネットに接続する製品

直接的又は間接的にインターネットに接続する製品

経産省:ス
マートホー
ムセキュリ
ティガイド

金融関係機器（決済端末、POS端末等）重
施設管理機器（入退室機器、受変電設備、照明、昇降機等）政重
医療機器（人工呼吸器、人工心臓弁、輸液ポンプ等）重自動車関連機器（ECU、IVI、TCU等）
電気事業関連機器（スマートメーター、発電設備、PCS等）重製造業・流通業関連機器（生産設備、自動倉庫等）重
鉄道事業関連機器（CTC装置、PRC装置等）重
航空事業関連機器（IMS、iDMU等）重・・・

JBMIA:BMsec
CCDS: 分野別ガイドライン(ATM編、オープンPOS編)
IPA:情報セキュリティ対策要件チェックリスト(入退室管理)
厚労省:医療機器のサイバーセキュリ
ティの確保及び徹底に係る手引書
国交省:道路運送車両の保安基準
JESC:スマートメーターシステムセキュリ
ティガイドライン

CCDS:CCDSサーティフィケーションプログ
ラム (ATM、決済端末で取得実績あり)

CCに基づく認証IEC6244
3-4に基づく
認証

CCに基づく認証※※※

FISC:安全対策基準
経産省:ビルガイドライン

厚労省:医療機器の薬事承認等
CCDS: 分野別ガイドライン(車載器編)

厚労省:医療情報ガイドライン
CCに基づく認証IEC6244
3-4に基づく認証

JESC:電制ガイドライン
経産省:
国交省:
工場ガイド
物流ガイド
国交省:鉄道ガイドライン
国交省:航空ガイドライン

政：政府調達される主な製品類型、重：重要インフラ調達される主な製品類型 ※ 各産業分野に設置される機器については、各ガイドラインにおいて、システム全体に求められるセキュリティ対策が示されている。

11

【参考】諸外国の適合性評価制度との国際連携に向けて ☆１開始時に導入されている、シンガポールCLS（の＊１）と英PSTI法を内包するべく基準を設計する。
 ☆１開始時に制度設計途中の見込みである欧CRA及び米Cyber Trust Markについては、差分を確認し、国内基準（☆１更新時又は来年度以降に検討をする☆２以上）で包含又は追加対応を要する差分の公表等で対応する。
 国内制度設計と並行して、☆１相互承認に向けて諸外国と調整を行う。
 同時に、国際標準化に向けてISO/IEC 27404等の動きと連携をする。
国・地域
Product Security andTelecommunication
Infrastructure Act（PSTI法）U.S. Cyber Trust Mark（仮）Cyber Resilience Act（CRA）

制度名

発展JISEC制度

Cybersecurity Labelling
Scheme(CLS)

開始時期☆1：2024年度下期開始予定☆2以上：2025年度以降開始予定

2020年10月制度開始

2024年4月施行

2024年中に開始予定

未定（2027年開始想定）

任意/義務

任意

任意

義務

任意義務

対象

IoT製品

消費者向けIoT機器

消費者向けIoT製品

消費者向けIoT機器（想定）

デジタル製品適合基準☆1：ETSI EN 303 645及びCLSの記載内容を中心に検討中（ただし、一部の記載については、総務省技適の要件、CCDSの要件の参照のほか、事務局にて記載内容を検討）☆1：自己適合宣言
評価方法☆2：自己適合宣言（ただし、一定のスキル要件を満たした評価者による評価を求める）☆3以上：第三者認証を求める方針•＊：ETSI EN 303 645の基準の一部※1•＊＊：＊の基準に加え、ETSIEN 303 645の基準の一部※2•＊＊＊及び＊＊＊＊：＊＊の基準に加え、IMDA「IoT
Cyber Security Guide」の9つのライフサイクル基準•＊及び＊＊：自己適合宣言•＊＊＊及び＊＊＊＊：自己適合宣言及び評価機関による試験

ETSI EN 303 645の基準の一部（5.1-1、5.1-2、5.2-1、5.313）

自己適合宣言NISTIR 8425をベースとした基準となる見込み

検討中•

基本的な対策基準のほか、SBOM等に基づく脆弱性管理、脆弱性報告等、広範な基準が求められる予定•

法案の内容について（欧州委員会・議会・理事会間で）政治合意がなされた
後、法案に伴う基準がETSI EN 303
645等を参照して設定される予定•「重要なデジタル製品」以外の製品：自
己適合宣言

•

「重要なデジタル製品」のクラスⅠ（リスクが低い製品）でEUCCやEN規格の対象外の製品及びクラスⅡ（リスクが高い製品）の製品：第三者認証
12