# SNS 用の紹介文

URL（日本語）: https://www.i-s3.com/jc-star-grid-cyber-effectiveness-2026.html
URL（English）: https://www.i-s3.com/jc-star-grid-cyber-effectiveness-2026-en.html
差出名義: 益田周防海（@SuomiMasuda）／株式会社I-S3

## 短文（X、280 字以内・日本語）

製造国を調べても、攻撃者の国籍は分からない。開発工程を調べても、運用中の侵入は防げない。

JC-STAR★1 の系統連系要件化（意見募集 11/6 締切）が何を防ぎ、何を防がないかを、IPA・資源エネルギー庁の文書回答と公開モデルで検証しました。閉じる経路は 7 のうち 1。
https://www.i-s3.com/jc-star-grid-cyber-effectiveness-2026.html

## 短文（X・English）

Checking where a PCS was made tells you nothing about who will attack it. Auditing the development process does not stop intrusion during operation.

We tested what Japan's JC-STAR★1 grid-code requirement (comments due 6 Nov) does and does not protect, using the regulators' own written answers and an open model. 1 of 7 attack paths closed.
https://www.i-s3.com/jc-star-grid-cyber-effectiveness-2026-en.html

## 長文（LinkedIn／Facebook・日本語）

JC-STAR★1 を太陽光・蓄電池の系統連系の必要条件にする改定案（e-Gov 620340012）について、長文の検証記事を公開しました。

論点は一つです。「セキュリティ認証を取得したこと」と「サイバー攻撃から電力系統を防御できること」は別問題である。

IPA は当社に「『適合ラベル取得済み』は『安全に設置・運用されている』ことではない」「境界防御という考えは導入していない」と文書で回答しています。資源エネルギー庁は、代替措置・境界防御・IEC 62443 との比較資料を「ございません」、第三者検証は「担保する予定はございません」と回答しています。

記事では、
- 7 つの攻撃経路（製造段階混入／更新基盤／クラウド／管理者アカウント／未知脆弱性／第三国経由／内部者）のうち、製造国の確認で閉じるのは 1 つだけであること
- ロシア系 APT28 が中国製 AI モデルを、中国系作戦が米国製モデルを使った事実（Google・Anthropic の一次資料）から、道具の出自と攻撃者が分離していること
- IEC 62443 のゾーン・コンジットに基づく境界防護が、既存の SolarEdge・Huawei・Victron・OCPP 機器の公開仕様で構成できること
- 仮定値を全部公開した費用モデルで、認証費用の負担は小さい（低圧 5 kW で年 265 円）が、安さは到達範囲の代わりにならないこと
- 境界防護自身の共通障害（デンマーク 2023 型）を数字に出し、型式分散で抑える条件
を、確認された事実／技術的推論／制度の評価／提案を枠で分けて書きました。行政への公開質問は 19 問。モデル・証拠台帳・図は CC BY 4.0 です。

意見受付は 2026 年 11 月 6 日まで。一次資料に当たって、ご自身で判断してください。
https://www.i-s3.com/jc-star-grid-cyber-effectiveness-2026.html

## 長文（LinkedIn・English）

Japan is about to make a self-declared IoT label (JC-STAR★1) a precondition for connecting solar inverters and batteries to the grid (public comment until 6 November 2026). We published a long-form review of whether that protects the grid.

One thesis: holding a security certificate and being able to repel a cyberattack on the power system are two different things.

IPA, which runs the label, told us in writing that "label obtained" does not mean "securely installed and operated" and that the scheme "does not adopt the concept of boundary defence". The energy agency told us it has no comparison with alternatives, no comparison with IEC 62443, and no plan to allow third-party verification.

The article shows:
- Of seven attack paths (manufacturing-stage implant, update infrastructure, cloud control plane, admin accounts, post-certification vulnerabilities, third-country pivots, insiders), checking the country of manufacture closes one.
- Russian APT28 used a Chinese open-weight model; a China-attributed campaign used a US model (Google and Anthropic primary sources). Tool origin and attacker have decoupled.
- Boundary protection per IEC 62443 zones and conduits can be built with the published local interfaces of SolarEdge, Huawei, Victron and OCPP chargers.
- An open cost model: the certification burden on operators is small, but cheapness is not reach.
- Boundary devices are themselves a common-mode risk (Denmark 2023); we quantify it and show the diversity condition that keeps it below the cloud risk.

Nineteen public questions to the regulator. Model, evidence ledger and figures are CC BY 4.0.
https://www.i-s3.com/jc-star-grid-cyber-effectiveness-2026-en.html