8 項目の核は 2 と 3 である。ファームウェア更新の署名鍵が何台の機器に共通で、配信サーバーが侵害されたら何台が同じ更新を受け取るのか。一つの管理者認証情報で同時に動かせる容量に上限があるのか。これは製品一台の機能ではなく、メーカーの運用の問題であり、JC-STAR★1 は評価しない。開示できないという回答も、それ自体が「ラベルは評価せず、メーカーも開示しない」という記録になる。評価や形容詞は付けない。
送付先と記録の方法
- 送付先: 国内で系統連系用機器を供給する事業者 21 社（住宅用・産業用 PCS、蓄電システム、EV 充電器、監視装置の各メーカー。国内メーカーと海外メーカーの日本法人を同文で）と、太陽光発電協会・日本電機工業会・電池工業会（会員各社への周知依頼として）。
- 回答期日: 送付日から 14 日。期日までに回答が難しい場合はその旨と見込み日を記す。
- 公開: 回答は原文のまま掲載する。非公開を希望された箇所はその旨のみ記す。期日までに回答がない場合は「期日までに回答なし」とのみ記載し、評価は付さない。無回答の事業者には期日の 7 日後に 1 回だけ再送し、それ以上は追わない。
- 送付日・宛先・回答の有無は、事業者ごとに台帳の時系列に載せる。
照会文（各社共通）
件名: 【製品仕様照会】系統連系要件化（JC-STAR★1）に関する貴社製品のセキュリティ仕様について（回答期日: 送付日から 14 日）
株式会社I-S3 代表取締役の益田周防海と申します。当社は群馬県を拠点に、関東・東海・関西 17 都府県で太陽光発電・蓄電・EV 充電設備の設計・施工・保守を行っております。
資源エネルギー庁は 2026 年 10 月 6 日、「電力品質確保に係る系統連系技術要件ガイドライン」改定案（e-Gov 案件番号 620340012）の意見公募を開始し、2027 年 4 月 1 日以降に系統連系する IP 通信機能付き機器に JC-STAR★1 適合ラベルの取得を求める方針を示しました。当社は施工・保守事業者として、採用する製品の選定にあたり、ラベルの有無だけでなく、実際にどの攻撃経路が防がれ、どの経路が残るのかを把握する必要があります。
つきましては、貴社の系統連系用製品（PCS・蓄電システム・EV 充電器・監視装置等、該当するもの）について、以下 8 項目へのご回答をお願いいたします。製品ごとに回答が異なる場合は、主要な型式ごとにお示しください。
照会事項
- JC-STAR★1 の取得状況取得済み・申請中・予定なし のいずれか。取得済みの場合は対象型式とラベル番号。
- ファームウェア更新の署名と配信経路更新ファイルは署名されていますか。署名鍵は型式ごと・製品系列ごと・全社共通のいずれですか。配信サーバーが侵害された場合、何台の機器が同一の更新を受け取り得ますか（概数で結構です）。
- 遠隔制御面の範囲貴社クラウド（または保守用遠隔接続）から、出力制御・停止・設定変更を実行できますか。できる場合、一つの管理者認証情報で同時に操作し得る機器台数・合計容量（kW）の上限はありますか。
- 認証情報の初期値と共有出荷時に型式共通の初期パスワード・鍵が存在しますか。設置時の変更は必須（強制）ですか。
- 遠隔命令の下限と変化率遠隔命令によって到達し得る最低運転点（出力の下限、例: 0% まで可／定格の 20% まで）と、出力変化率の上限は、機器側で固定されていますか。それとも遠隔から変更可能ですか。
- 通信断時の挙動外部通信が途絶した場合、機器は直前の指令値を保持しますか、安全側の既定運転に戻りますか。
- 脆弱性の受付と公表脆弱性報告の受付窓口（セキュリティ連絡先）と、IPA／JPCERT 経由の報告を受けた場合の対応期限の目安を公表していますか。公表している場合は URL。
- JC-STAR★1 が対象としない事項の認識上記 2〜6 のうち、★1 の適合要件で評価されない項目はどれだと貴社は認識していますか。
回答方法と公開について
- 期日: 送付日から 14 日（期日までに回答が難しい場合、その旨と見込み日をお知らせいただければ、その事実を記します）
- 送付先: s_masuda@i-s3.com
- 回答内容は、当社の公開台帳（ https://www.i-s3.com/jc-star-foreseeability-ledger.html ）に原文のまま掲載します。非公開を希望される箇所は該当箇所を明示してください（当該箇所は非公開である旨のみ記します）。期日までに回答がない場合は「期日までに回答なし」とのみ記載し、評価は付しません。
- 本照会の目的は、施工・保守事業者として製品を選定するための事実確認であり、特定製品の優劣を主張するものではありません。回答いただいた内容を根拠に貴社製品を否定的に評価することはいたしません。
- 当社がこれまでに資源エネルギー庁・IPA へ行った照会と回答の原文は https://www.i-s3.com/jc-star-answers/ にあります。
お手数をおかけしますが、よろしくお願いいたします。
益田 周防海（Suomi Masuda Ph.D.）
株式会社I-S3
https://www.i-s3.com/
〒379-0136 群馬県安中市嶺638-3 TEL 027-381-6583 s_masuda@i-s3.com
照会文は自動翻訳の対象外にしてある（他言語表示でも日本語のまま）。問い合わせフォーム経由で送付した事業者には、字数制限のため要約と本頁の URL を送っている。
なぜこの 8 項目か
| 項目 | 何が分かるか | ★1 の評価対象か |
|---|---|---|
| 1 取得状況 | 2027 年 4 月以降に接続できる製品か | 対象そのもの |
| 2 署名鍵と配信経路 | 配信サーバー・署名鍵の侵害で同時に何台が動くか | 対象外（メーカーの運用） |
| 3 遠隔制御面の範囲 | 認証情報 1 件の漏えいで同時に何 kW が動くか | 対象外（メーカーの運用） |
| 4 初期認証情報 | 型式共通の初期値が残っているか | 対象（★1 の中心要件） |
| 5 最低運転点と変化率 | 侵害されても系統擾乱の規模が機器側で頭打ちになるか | 対象外（機器の制御仕様） |
| 6 通信断時の挙動 | 制御面を失ったとき一斉に零へ落ちるか | 対象外 |
| 7 脆弱性窓口 | 報告から修正までの期限が公表されているか | 一部（受付窓口の有無） |
| 8 ★1 が見ない事項の認識 | メーカー自身がラベルの射程をどう理解しているか | — |
海外の制度では、EU サイバーレジリエンス法が製造者に脆弱性の報告と更新提供を義務づけ、米 NERC CIP-002 が一つのサイバーシステムが制御する容量で管理要件を分けている。日本の改定案にはどちらの観点もないため、購買者が直接メーカーに問うほかない。
この文書が言わないこと
特定の製品に脆弱性がある、特定のメーカーの運用に問題がある、とは言わない。回答の内容を根拠に製品を否定的に評価することもしない。開示できないという回答は、開示できないという事実としてだけ記す。設置側の対策（境界防御、到達容量の制限、段階的な更新適用）で補える項目もあり、それは引受審査・融資審査で確認したい 5 項目に書いた。
出典
- 資源エネルギー庁「『電力品質確保に係る系統連系技術要件ガイドライン』改定案」および意見公募要領（2026年10月6日公示、e-Gov 案件番号 620340012、受付締切 2026年11月6日）
- IPA セキュリティセンター 技術評価部による当社照会への文書回答（2026年7月19日・25日・26日）、資源エネルギー庁 電力基盤整備課による文書回答（2026年7月13日・16日・30日）。原文は回答データセット
- 当社「狙われないと考える根拠は、どこにもない」「予見可能性の台帳」
益田 周防海（Suomi Masuda）／株式会社I-S3。購買者としての事実確認であり、特定製品・事業者の評価ではない。