JC‑STAR（Japan Cyber STAR）日本 IoT 安全标签制度

主管：日本経済産業省 METI，由 IPA（情報処理推進機構）运营，自愿性 IoT 网络安全标签，对标 ETSI EN 303 645、NIST IR 8425，和英国 PSTI、新加坡 CLS 有互认安排。

注意：不是强制认证，是安全符合性标签；带 QR 码，可在 IPA 官网查询产品安全信息。

适用产品范围
核心：具备 IP 协议收发数据能力的 IoT 产品
可以直连互联网，也可以通过网关间接联网；
定义：独立 IoT 设备，或设备 + 必需配套云服务成套产品；
典型产品：家用路由器、智能摄像头、智能家电、智能门锁、工业 IoT 传感器、PLC、网关、智能照明、暖通 IoT 控制器等。

明确排除：
PC、笔记本、智能手机、平板（通用可自行安装杀毒 / 安全软件的通用计算机）
整套集成系统（只针对单个销售单元 IoT 产品，不针对项目集成系统）

四个等级（STAR-1～STAR-4）

TAR‑1 基线核心要求（所有品类通用）
这是 JC‑STAR 最基础、落地最多的一套，一共 13 项大类：

1. 无默认密码：出厂不能固定默认密码，首次开机必须设置独立密码
2. 弱口令防护：密码复杂度、暴力破解限制、登录失败锁定
3. 安全更新机制：提供固件更新渠道、更新通知、更新周期承诺；明确停止支持（EOL）时间
4. 漏洞管理：漏洞接收窗口、漏洞响应流程、安全联系人公开
5. 最小权限原则：设备进程、账号权限最小化，不开放不必要端口 / 服务
6. 加密通信：远程管理、云端通信采用 TLS 等加密，禁止明文传输敏感信息
7. 数据最小化：只采集必要数据；隐私信息处理说明
8. 安全日志：可记录登录、配置变更等安全事件日志
9. 配置安全：管理接口防护、禁止不必要调试接口、调试口访问受控
10. 软件物料清单 SBOM：提供固件组件清单，便于漏洞追踪
11. 安全文档公开：用户手册写明安全配置、更新方式、风险提示
12. 防篡改：固件校验、签名校验，防止刷入恶意固件
13. 安全状态披露：产品安全信息、支持周期在 IPA 标签页面公开

STAR‑2 / STAR‑3 / STAR‑4 差异
STAR‑2：STAR‑1 全部 + 品类附加要求（例如摄像头额外要求视频流加密、本地访问权限；路由器额外防火墙、WAN 侧防护），自声明
STAR‑3：STAR‑1+STAR‑2 全部 + 更高等级加固、渗透测试、第三方实验室评估，用于政府 / 关键基础设施采购准入
STAR‑4：STAR‑3 基础上再叠加高可靠、隔离、审计、应急响应等高安全要求，面向核心关键系统