この記事の要点
- IoTセキュリティガイドラインは、IoT機器やサービスを作る側が、企画から運用・保守までの各段階でとるべき対策の考え方をまとめた指針です。
- 総務省と経済産業省が2016年7月5日に「IoTセキュリティガイドライン ver1.0」として公表しました。
- 特徴は、方針 → 分析 → 設計 → 構築・接続 → 運用・保守というライフサイクルに沿って対策を考える点です。出荷して終わりではなく、使われている間も安全を保つ前提に立ちます。
- 法律で罰則を定めるものではなく、事業者が自ら取り組むための指針です。製品評価の JC-STAR、利用者への注意喚起の NOTICE とは役割が違います。
IoTセキュリティガイドラインとは、ひと言でいうと何か？
一言でいうと、IoT のサービスや機器を提供する事業者向けに、セキュリティ対策の考え方をライフサイクルの段階ごとに示した指針です。
総務省の報道資料によると、総務省と経済産業省は2016年7月5日に「IoTセキュリティガイドライン ver1.0」を公表しました（2026年9月27日確認）。本文とサマリの2つの資料から成り、公表前には意見募集も行われています。目的は、IoT を使った新しいビジネスを後押ししつつ、必要な対策がとられるようにすることです。
対象は、機器メーカー、システムやサービスの提供者、通信事業者などの「作る・提供する側」です。一般の利用者向けの注意点も含みますが、中心は事業者の取り組みです。
ライフサイクルに沿って考えるとは、どういうことか？
ガイドラインの骨格は、製品やサービスのライフサイクルの段階ごとに指針を置く構成です。各段階で何を考えるのかを、当サイトの言葉で整理すると次のようになります。指針の正式な名称や細かな要点は、原本で確認してください。
| 段階 | 考えること | IoTでの具体例（当サイトの例） |
|---|---|---|
| 方針 | 経営として取り組む姿勢を決め、体制を整える | 責任者を置き、事故時の連絡の流れを決めておく |
| 分析 | 守るべきものと、起こりうるリスクを洗い出す | カメラの映像、錠の開閉など、被害が大きいものを特定する |
| 設計 | 守るべきものを守れる作りにする | 機器ごとに異なる初期パスワード、更新できる仕組みを入れる |
| 構築・接続 | ネットワークにつなぐときの対策を考える | 機器を業務用ネットワークから分け、不要な通信を止める |
| 運用・保守 | 安全な状態を保ち、情報を発信・共有する | 脆弱性の情報を公表し、修正版を配り、利用者に知らせる |
← 表は横にスクロールできます →
IoT でこの考え方が重視されるのは、機器が長く使われ、つながる相手が多く、影響が現実の物にまで及ぶためです。脅威の種類はIoTの脅威と脆弱性で整理しています。
4択では、段階と対策の組合せを入れ替える形が考えられます。たとえば「ネットワークの分離」を分析の段階の作業とするような記述です。「何をするか」ではなく「いつ考えるか」で見分けると迷いにくくなります。
関連する国の取り組みには何があるのか？
IoTセキュリティに関する国内の取り組みは、働きかける相手と時期で整理すると混同しにくくなります。年は各機関の公式ページで確認したものです（2026年9月時点）。
| 名称 | 担い手 | 開始・公表 | 役割 |
|---|---|---|---|
| IoTセキュリティガイドライン ver1.0 | 総務省・経済産業省 | 2016年7月5日 | 事業者向けに、ライフサイクルに沿った対策の考え方を示す |
| NOTICE | 総務省・NICT・ICT-ISAC・ISP など | 2019年2月20日開始 | 弱いパスワードの機器を調べ、利用者に注意喚起する |
| JC-STAR | IPA | 2025年3月25日運用開始 | 製品が要件を満たすかを確かめ、★のラベルを付ける |
← 表は横にスクロールできます →
ガイドラインは「どう作るか」、JC-STAR は「作った製品をどう示すか」、NOTICE は「使われている機器をどう見守るか」と覚えておくと、選択肢の入れ替えに気づきやすくなります。詳しくはJC-STARとはとNOTICEとはを参照してください。
IoT中級ではどの範囲で、どう問われそうか？
MCPC の公式ページでは、IoTシステム技術検定 中級（80問・90分・4者択一・CBT）の出題カテゴリ「IoT情報セキュリティ対策技術」の比率が20〜25%と図で示され、内訳に「標準と法制度」が挙がっています（2026年9月27日確認）。当サイトでは、公式テキスト『IoT技術テキスト 第4版』の第7章「IoT情報セキュリティ」がこの範囲に当たると推定しています（章名からの当サイトの判断です）。
出題頻度は公表されていないため、次は考えられる観点の例です。
- 発行者：総務省と経済産業省によるものであること。
- 考え方：ライフサイクル全体、とくに出荷後の運用・保守まで対策を続けること。
- 段階と対策の対応：ある対策がどの段階で考えるものかを選び分ける。
- 性格：罰則のある法律ではなく、事業者向けの指針であること。
試験の形式・日程はIoTシステム技術検定 中級とはにまとめています。
どこで取り違えやすいのか？
選択肢が左の列のように書かれていたら、右の問いで確かめてください。
| 取り違え | 正しい考え方 | 確認する問い |
|---|---|---|
| IPA が単独で発行した | 総務省と経済産業省が公表 | 報道資料を出したのはどこか |
| 守らないと罰則がある法律 | 事業者が自ら取り組むための指針 | 違反したときの罰則が定められているか |
| 出荷前の対策だけを扱う | 運用・保守まで含むライフサイクル全体 | 出荷後に修正を届ける話が含まれるか |
| 利用者だけが守るべき注意事項 | 中心は作る・提供する側の取り組み | 主な読み手は誰か |
| 製品にラベルを付ける制度 | ラベルは JC-STAR | 星の表示が出てくるか |
← 表は横にスクロールできます →
確認問題1：ガイドラインの性格を説明できるか？
IoTセキュリティガイドライン ver1.0 の説明として、最も適切なものはどれか。
- 総務省と経済産業省が、事業者向けに対策の考え方を示した指針である
- IPAが、要件に適合した製品に星の数でラベルを付けるための基準である
- ISPが、弱いパスワードの機器の利用者へ連絡するための手順書である
- 国会が、IoT機器の販売に許可を求めるために定めた罰則付きの法律である
正解：1。ガイドラインは総務省と経済産業省が2016年に公表した、事業者向けの指針です。
2は JC-STAR の説明です。3は NOTICE の注意喚起の流れに近い内容です。4のような罰則付きの法律ではなく、事業者が自ら取り組むための指針です。
確認問題2：段階と対策を結び付けられるか？
ライフサイクルに沿って対策を考えるとき、「運用・保守」の段階で行うこととして最も適切なものはどれか。
- 経営として取り組む姿勢を決め、責任者を置いて体制を整える
- 守るべき情報や機能を洗い出し、起こりうるリスクを見積もる
- 脆弱性が見つかったら修正版を配り、利用者にも情報を伝える
- 機器ごとに異なる初期パスワードを設定できる作りにしておく
正解：3。出荷後に見つかった弱点を修正し、情報を発信・共有するのは運用・保守の段階の取り組みです。
1は方針の段階、2は分析の段階、4は設計の段階で考えることです。どれも大切ですが、問われている段階とは異なります。
確認問題3：関連する取り組みを区別できるか？
IoTセキュリティに関する国内の取り組みと、その説明の組合せとして最も不適切なものはどれか。
- IoTセキュリティガイドライン：事業者向けに対策の考え方を示す
- NOTICE：弱い設定の機器を調べて利用者に注意を促す
- JC-STAR：要件を満たす製品に星の数のラベルを付ける
- NOTICE：製品の設計図を審査し、販売の可否を決める
正解：4。NOTICE は使用中の機器を対象に注意喚起を行う取り組みで、製品の設計を審査して販売を認める仕組みではありません。
1・2・3は、それぞれの取り組みの役割を正しく述べています。
同じ分野の問題を本番と同じ4択で試したい場合は、登録不要のIoT中級の無料お試し20問で、全問の解説まで確認できます。
よくある質問
2016年の資料なので、もう古いのではありませんか？
公表から年数がたっていますが、ライフサイクル全体で対策を考えるという骨格は、その後の JC-STAR などの取り組みにも通じる考え方です。新しい制度の動きは、各機関の公式ページで補ってください。
指針の名前や要点の数まで覚える必要がありますか？
出題の詳細は非公開なので断定できません。当サイトでは、発行者、ライフサイクルの段階、段階と対策の対応を説明できることを優先し、細かな名称は原本で確かめる学び方をすすめています。
小さな会社でも取り組む必要がありますか？
罰則はありませんが、IoT機器は一台の弱点がほかの機器や他社への攻撃につながるおそれがあります。規模にかかわらず、初期パスワードの扱いや更新の仕組みといった基本から取り入れることが考えられます。
出典・参考
本番と同じペースで腕試し
記事の次は、本番形式の問題で。
公式の出題カテゴリの比率どおりに組んだ無料お試しを、登録不要・カード不要で解けます。続きの模試と章別ドリルは買い切りで、月額はかかりません。
あわせて読みたい
当サイトは、モバイルコンピューティング推進コンソーシアム（MCPC）とは関係のない個人が運営する非公式の学習教材です。掲載している問題はすべて当サイトのオリジナルで、実際の試験問題・過去問題・再現問題ではありません。試験の日程・受検料・出題範囲は公式サイト（https://www.mcpc-jp.org/license/ ）で必ず確認してください。合格を保証するものではありません。合格の目安は当サイトの推定です。技術・制度の記述は「最終確認日」時点のものです。