製品セキュリティにおけるプロダクト・トラストとは――JC-STAR制度・各国規制とサプライチェーンリスクから考える「信頼」と「リスクコントロール」

近年、IoT機器を中心に、製品セキュリティに対する社会的な関心が高まっています。

日本では2025年より「セキュリティ要件適合評価及びラベリング制度（JC-STAR）」の運用が開始されました。IPA（独立行政法人情報処理推進機構）によれば、JC-STARはIoT製品に対するセキュリティ要件への適合性を可視化し、調達者や利用者による製品選定を支援することを目的とした制度です。

また、経済産業省は制度構築方針の中で、IoT製品およびベンダーを含むサプライチェーン全体のリスクコントロールの重要性について言及しています。こうした動きは、製品評価における「信頼」のあり方にも変化をもたらしているように見えます。

本稿では、製品セキュリティの観点から、Trust（信頼）とReliability（信頼性）の違いを整理した上で、これからのプロダクト・トラスト（Product Trust：製品に対する信頼。以下、プロダクト・トラスト）について考察します。

1.ReliabilityとTrustの違いとは

製造業において「Reliability（信頼性）」は評価観点の一つとして使われています。

一般的にReliabilityとは、「製品が期待された機能を、定められた条件下で、一定期間継続的に提供できる能力」を指します¹。例えば、「故障しにくい」、「性能が安定している」、「長期間にわたり安定している」などの特性はReliabilityに含まれます。

一方で、本稿で扱うTrust（信頼）は異なる概念です。Trustとは、「製品に期待された振る舞いが継続的に維持されることに対するユーザー側の確信の度合い」と捉えることができるでしょう。例えば、「不適切な主体がアクセスできない」、「意図しない設定変更が行われない」、「ソフトウェア更新プロセスが適切に管理されている」、「製品ライフサイクルを通じてリスクがコントロールされている」のような要素がTrustに関係します。

この違いを端的に説明すると以下のように表現できます（図表1）。

図表1：Reliability（信頼性）とTrust（信頼）の違い―機能の継続提供能力と振る舞いの維持への確信は異なる概念

※これは標準規格などによる定義ではなく、製品セキュリティおよび信頼を説明するための本稿における概念定義です。

2.サプライチェーンリスクが問い直す「プロダクト・トラスト」

従来、製品の導入・選定に際しては、ブランド、企業規模、実績、製造地域といった製造時点の属性情報が判断・評価材料の中心でした。

しかし、多くのIoT製品では、製造後もソフトウェア更新や外部サービスとの連携を伴う運用が想定されます。その結果、製品に関するリスク評価の対象も、製造時点だけでなく、運用フェーズ全体へと拡大しています。JC-STAR制度の背景資料でも、製品ベンダーを含む広義のサプライチェーン全体のリスクコントロールへの言及が見られました。

このような環境では、「誰が製品を製造したのか」という問いに加えて、「誰が製品のリスクをコントロールできるのか」という視点が重要になるでしょう。

• 誰がファームウェアを更新できるのか
• 誰がデータにアクセスできるのか
• 誰が管理者権限を保有しているのか
• 誰が暗号鍵を管理しているのか

といった事項は、プロダクト・トラストを評価する上で重要な判断材料になると考えられます。

3.プロダクト・トラストの認識転換

ここまでの考察を踏まえると、プロダクト・トラストは従来よりも広い概念として捉える必要があるといえます。ここでは、JC-STARやCRAなどの制度・規制に共通する「継続的なリスクコントロール」という方向性を念頭に、プロダクト・トラストを理解するための枠組みの一つとして、次のように整理します（図表2）。

図表2：プロダクト・トラストはリスクコントロールの観察を通じて形成される。

プロダクト・トラストを単一の指標として直接測定することは難しいと考えられます。一方、その確信を支えるリスクコントロールの設計・運用状況は、複数の指標や証跡を通じて評価できます。信頼は製品の属性ではなく、その製品が期待された目的を安全かつ責任ある形で達成できるという確信の度合いだからです。その確信を裏付けるものとして、以下のような状態を観察できます。

• 製品のリスクが識別・評価されている
• 識別・評価されたリスクに対してコントロールが設計・運用されている
• リスクコントロールの状態が監査可能である

言い換えれば、私たちは製品を直接「信頼」しているのではなく、リスクが継続的に管理されている状態を観察し、その結果として、製品が期待された振る舞いを維持することへの確信を形成しています。この意味において、「リスクコントロールの設計・運用状況」は、信頼そのものではなく、信頼を支える観測可能なエビデンスと捉えることができます。

したがって、これからのプロダクト・トラストは、「どこで誰が作ったのか」だけでなく、「どこまでリスクコントロールされているか」によって評価されるようになると考えられます。

4.ケーススタディ：JC-STAR制度はプロダクト・トラストをどう可視化するのか

日本の制度であるJC-STARに注目してみます。IPAによれば、JC-STARは製品のセキュリティ機能を可視化し、調達者や利用者が適切な製品を選択できるよう支援する制度です。

この点から見ると、JC-STARは単なる適合ラベル付与の仕組みではなく、「製品のセキュリティ状態をどのように説明し、どのように比較可能にするか」という課題への取り組みであるとも解釈できます。また、経済産業省のJC-STAR制度活用ガイドでは、「各組織の求めるセキュリティ水準を満たしたIoT製品の選定・調達を容易にする」ことが制度の目的の一つとして示されています。つまり、調達者にとって重要な判断軸である「この製品を信頼してよいのか」という抽象的な問いを、「この製品のセキュリティリスクはどのように管理されているのか」という具体的な問いに置き換えることです。すなわち、JC-STARは、製品のセキュリティ機能や適合状況に関する観測可能な情報を提供し、調達者・利用者による判断を支える仕組みの一つと捉えることができます。

また、欧州サイバーレジリエンス法（EU CRA）では、デジタル要素を持つ製品について、設計・開発・製造に加え、脆弱性対応プロセスに関する要件が定められています。このように、製品ライフサイクルを通じた管理は、国内外で制度・規制上の検討対象となっています。

この変化は、製品評価の軸が単なる機能品質から、継続的なリスクコントロールへ広がりつつあることを示しています。特に複数のベンダーや外部サービスによって構成されるIoT製品では、製品単体だけでなく、開発・運用・保守を含めたライフサイクル全体のリスクコントロールも重要な評価対象となる可能性があります。

5.製品評価の軸は「作る能力」から「信頼」へ

製造業において、Reliabilityは今後も製品評価の重要な要素です。一方、IoT機器やAI搭載製品がさまざまな領域に普及する中では、それだけで十分とはいえません。

Reliabilityが「期待された機能を提供し続ける『能力』」であるならば、Trustは「期待された振る舞いを維持する『能力に対する確信』」と捉えられるでしょう。

JC-STARやサプライチェーンに対するリスクコントロールの議論は、その変化を象徴する動きの一つであるといえます。そして今後、企業に求められるのは、単に製品を作る能力ではなく、リスクを継続的にコントロールし、その状態を説明できる能力であり、こうした能力は製品に対するステークホルダーの判断を支える要素の一つになり得ます。

プロダクト・トラストは、製品ライフサイクルを通じたリスクコントロールの状態と、その説明可能性を観察することによって支えられる、ステークホルダーの確信の度合いといえるでしょう。

¹ IEC Electropediaではreliabilityを“ability to perform as required, without failure, for a given time interval, under given conditions”と定義