ネットにつながる製品の取扱説明書に、新JISが求める「セキュリティの情報」

ルーターや無線LAN中継器、ネットワークカメラ、スマート家電。当方では、こうしたネットにつながる製品の取扱説明書も多く制作してきました。

以前のこうした製品の取扱説明書は、「どうつなぐか」「どう設定するか」が中心でした。けれども最近は、初期化やファームウェアの更新についての注意を記載することが増えています。製品が乗っ取られたり、情報が漏れたりするのを防ぐための情報が、取扱説明書に求められるようになってきたのです。

この記事では、ネットにつながる製品の取扱説明書に求められるセキュリティの情報を、2026年8月に制定された取扱説明書の新JIS「JIS Z 82079-1」と、国内外の法規制の動きをもとに紹介します。

新JISが求めること

新JIS（JIS Z 82079-1）のもとになった国際規格IEC/IEEE 82079-1には、「情報セキュリティ及びデータプライバシー」という項目があります（7.14）。旧JIS（JIS C 0457）のもとになった2001年の国際規格にはなかった観点です。

要点は次の2つです。

• データを扱う製品では、データの機密性や完全性などを損失や悪用から守るための機能について、説明を含める
• 遠隔操作する製品やネットワークにつながる製品では、初期パスワードの変更など、悪用や不正アクセスを防ぐための機能を、使用情報に含める

あわせて、暗号化、バックアップ、データのマスキング、データの消去といった、情報を守るための代表的な方法も挙げられています（7.14.2）。製品を手放すときにデータを消す初期化も、ここに関わる情報です。

日本の法令と制度

国内でも、ネットにつながる製品のセキュリティについて、法令や制度の整備が進んでいます。

端末設備等規則（2020年4月施行）

ルーターやネットワークカメラなどが乗っ取られ、サイバー攻撃に悪用される事案が増えたことを受けて、電気通信事業法にもとづく端末設備等規則が改正され、2020年4月から施行されています（第34条の10）。インターネットにつながり、外部から設定を変更できる機器には、次のような機能が求められるようになりました。

• 設定を変更するためのアクセス制御機能
• 初期パスワードの変更を促す機能、または機器ごとに異なるパスワードを設定すること
• ソフトウェアを更新できること
• 電源が切れても、設定や更新したソフトウェアを維持できること

これらは製品が備えるべき機能の基準ですが、機能があっても、使う人が知らなければ役に立ちません。パスワードの変更やソフトウェアの更新の方法を伝えるのは、取扱説明書の役割です。

JC-STAR（2025年3月運用開始）

情報処理推進機構（IPA）が運用する「JC-STAR（セキュリティ要件適合評価及びラベリング制度）」は、IoT製品のセキュリティ機能を共通の基準で評価し、適合した製品にラベルを付ける制度です。2025年3月から運用が始まりました。

最低限の要件を満たすことを示す★1から、政府機関や重要インフラでの利用を想定した★3・★4まで、段階が設けられています。ラベルには二次元コードが付いていて、読み取ると製品のセキュリティ情報や問い合わせ先などを確認できます。

法律で義務づけられた制度ではありませんが、私の感覚では、ここ最近の案件では、取扱説明書にJC-STARについての記載を入れることが、ほぼ必須になってきました。

海外の動き

海外でも同じ方向の規制が進んでいます。

• イギリス：2024年4月から、ネットにつながる消費者向け製品について、すべての製品に共通の初期パスワードが禁止されました。セキュリティ更新を提供する期間の公表も求められています。
• EU：ネットにつながる製品やソフトウェアを対象に、EUで販売するためのセキュリティの要件を定めた「サイバーレジリエンス法」（CRA、(EU) 2024/2847）が、2027年12月11日から本格的に適用されます（脆弱性などの報告義務は2026年9月11日から）。製品には、使う人への情報として、セキュリティサポートの終了日、安全に使い始めて使い続けるために必要な対策、セキュリティ更新のインストール方法、使用をやめるときにデータを安全に消す方法などを付けることが求められます。紙でも電子でもよいとされていますが、使う人が理解しやすい言語で、わかりやすく読みやすいものでなければなりません。

EUのCRAが求める情報は、新JISの7.14と重なる部分が多く、取扱説明書が担う役割は、これからさらに大きくなると考えられます。

専門用語をどう伝えるか

セキュリティの情報を取扱説明書に入れるときに悩むのが、専門用語です。

SSIDや暗号化方式、ファームウェアといった言葉は、詳しい人には当たり前でも、一般の人にはわかりにくいことがあります。そのため、クイックスタートガイドのように最初に読まれるものでは、専門用語をなるべく使わないように配慮しています。

一方で、セキュリティに関わる設定は、説明しないわけにはいきません。そこで、初めて使う人に向けた情報と、詳しい人に向けた情報とで、どこに何を書くかを考えるようにしています。全員に同じ説明をするのではなく、読む人に合わせて情報を届けるという考え方は、新JISが重視している「対象者」の考え方とも重なります（言葉づかいについては「「十分に洗浄」が「10分洗浄」に？」でも紹介しています）。

いちばん大切なのは、使う人の意識

どれだけ製品の側で対策をしても、最後に安全を左右するのは、使う人の意識です。こまめにアップデートをすること、そして、更新が止まった古い機種を使い続けないことが重要です。

2026年10月には、Webサーバーで広く使われているプログラミング言語「PHP」に深刻な脆弱性が見つかり、修正版が公開されました。このとき、サポートが終わった古いバージョン（PHP 8.1以前）は、公式の修正の対象外でした。サポートが切れたものには、修正が届かないのです。

IoT機器も同じです。メーカーのサポートが終われば、新しい脆弱性が見つかっても、ファームウェアの更新は提供されません。しかもIoT機器は、部屋の隅に置いたルーターや、玄関に付けたカメラのように、ネットワークにつながっていること自体を忘れがちです。パソコンやスマートフォンのように、更新を意識する機会が多くありません。

だからこそ、取扱説明書での注意喚起が必要です。ファームウェアを更新することの大切さや、サポートが終わった製品を使い続けることの危険を、使う人に伝えておく必要があります。

EUのCRAも、この点をはっきり求めています。

• サポート期間は、原則として5年以上とする
• サポート期間の終了日（少なくとも年と月）を、購入時にわかりやすく示す
• 技術的に可能であれば、サポート期間が終わったことを使う人に通知する
• セキュリティ更新は、原則として自動で適用される設定を初期状態とし、使う人には更新があることを知らせる

イギリスでも、セキュリティ更新を提供する期間の公表が求められています。

日本には、まだCRAのように、サポート期間の明示まで義務づける法律はありません。ただ、政府調達での活用を見据えてJC-STARの基準づくりが進むなど、国内でも対応は広がりつつあります。海外の流れを考えると、いずれは日本でも、同じような対応が義務になっていくと考えられます。

製品をいつまで安心して使えるのかを、使う人が知ることができるようにする。その流れの中で、取扱説明書が伝えるべき情報も増えていくと考えられます。

まとめ

• 新JISのもとになった国際規格は、データを守る機能や、初期パスワードの変更など不正アクセスを防ぐ機能の説明を、使用情報に含めることを求めている
• 国内では、端末設備等規則でアクセス制御やソフトウェア更新の機能が求められ、JC-STARのラベル制度も始まっている
• EUではCRAが2027年12月から本格的に適用され、サポート期間やデータの消し方なども、使う人への情報として求められる
• 機能があっても、使う人に伝わらなければ意味がない。専門用語に配慮しながら、読む人に合わせて情報を届けることが大切
• いちばん大切なのは使う人の意識。こまめな更新と、サポートが終わった機種を使い続けないことを、取扱説明書で呼びかける

新JISの全体像は「JIS Z 82079-1で取扱説明書の何が変わる？」、取扱説明書と製品の安全については「取扱説明書の安全注意は、何のためにあるのか」で解説しています。

当方では、ルーターやネットワークカメラ、スマート家電などの取扱説明書の制作に対応しています。お気軽にお問い合わせください。

---

※規格の内容は、IEC/IEEE 82079-1:2019（日本規格協会の和訳）をもとに要約しています。JIS Z 82079-1:2026の本文とは訳語が異なる場合があります。

※本記事は一般的な情報提供を目的としたもので、個別の製品の法令適合性を保証するものではありません。