ネットワークカメラ・防犯カメラのセキュリティ対策はどこまで必要？9割が「外から見えるつもりはなかった」という現実と、映像を覗かれる仕組み・費用ゼロでできる7つの手順【中小企業向け】

結論から申し上げます。
総務省が国内の重要施設に設置されたIoT機器を調べた調査で、インターネットから管理画面や施設名が見えていた機器の利用者のうち、9割を超える人が「外から見えることを意図していなかった」と回答しています。
つまりカメラの事故は、狙われて破られたというより、本人が知らないうちに外へ開いていたという形で起きています。

しかも防犯カメラやネットワークカメラは、パソコンと違ってウイルス対策ソフトを後から入れられません。
守り方はパソコンとまったく別で、やることは「台帳に載せる」「初期パスワードを変える」「ファームウェアを更新する」「外から見えないようにする」「業務ネットワークから分ける」の5つに集約されます。
このうち大半は、追加費用ゼロで今日できます。

この記事では、総務省・NICT（NOTICE）、IPA、警視庁、国土交通省、個人情報保護委員会の一次資料をもとに、中小企業がカメラをどこまで守ればよいのかを、費用の話まで含めて整理します。

▶ 関連記事：社内のネットワーク機器（ルーター・スイッチ・無線AP）のセキュリティ対策はどこまで必要？

そもそも「ネットワークカメラ」とは、どれのこと？

この記事で扱うのは、インターネットまたは社内LANにつながっているカメラと、その映像をためている機器です。
「防犯カメラ」「監視カメラ」という言い方をしていても、ネットワークにつながっていれば同じ話になります。

機器	どんなものか	なぜセキュリティの対象になるか
ネットワークカメラ（IPカメラ）	LANケーブルやWi-Fiでネットワークにつながるカメラ	小さなWebサーバーが動いており、IDとパスワードでログインする管理画面を持っている
防犯カメラ・監視カメラ	防犯目的で設置しているカメラ	ネットワークにつながっていればネットワークカメラと同じ。つながっていなければ対象外
レコーダー（NVR・DVR）	映像を長期間ためておく録画機器	過去の映像がまとまって保存されている。1台落ちると全カメラの記録が失われる
カメラ管理用のパソコン	映像を見る・書き出すためのPC	ここが乗っ取られると映像を自由に見られる。PC側は通常のウイルス対策の対象
クラウド型カメラ	映像をメーカーのクラウドにためる方式	機器側の管理は軽くなるが、ログインアカウントの管理は自社の責任
インターホン・入退室カメラ	来客対応や入退室管理と一体の機器	ネットワークにつながる製品が増えており、カメラと同じ扱いが必要

総務省とNICTが運営するIoT機器のセキュリティ対策プロジェクト「NOTICE」は、注意喚起の対象を「ルーター」と「ネットワークカメラ」の2つに絞って情報を出しています。
NOTICEは、ネットワークカメラの代表例として防犯カメラと監視カメラを名指しし、「※インターネットに接続しているカメラ」と注記しています。

なぜカメラが狙われる？──国が毎月数えている数字

カメラが狙われていることは、感覚の話ではありません。
総務省とNICTは参加インターネットサービスプロバイダのIPアドレスを毎月観測し、危険な状態のIoT機器の数を公表しています。次の表は2026年7月時点の数字です。

観測項目	件数	意味
IoT機器の観測総数	月 1.18億件	参加プロバイダのIPアドレスに対して観測している総数
容易に推測可能なID・パスワードの機器	月 13,753件	管理権限を乗っ取られたり、攻撃に加担させられる危険がある機器
ファームウェアに高リスク脆弱性がある機器	月 2,230件	第三者に不正利用される危険性がある機器
マルウェア感染を検知した機器	最大 378件/日	すでにMiraiに感染していると推定される機器
リフレクション攻撃の踏み台にされうる機器	月 11,705件	他社への攻撃に使われうる状態の機器

（出典：総務省・NICT「NOTICE」最近の観測状況／2026年7月時点）

この観測の対象がまさに「ルーターとネットワークカメラ」です。
総務省は報道資料の中で、これまでの活動によって悪用されるIoT機器の多くがルーターやネットワークカメラであることが分かっていると明言しています。

感染しても、カメラは何も知らせてくれない

カメラの怖さは、感染してもいつもと同じ映像が映り続けることです。
パソコンなら動作が遅くなる、警告が出る、といった変化がありますが、カメラには画面もウイルス対策ソフトもありません。

NICTが2026年2月5日に公表した「NICTER観測レポート2025」は、この点を正面から書いています。

従来主流だったMirai型とは異なるIoTボットの感染活動が拡大し、家庭用ルータや監視カメラの録画機器など、利用者が感染に気付きにくい機器が引き続き標的となっています。
（NICT「NICTER観測レポート2025」2026年2月5日公表）

同レポートは、IoT機器に感染するマルウェア「Mirai」の説明でも、「家庭用ルータやネットワークカメラといったIoT機器に感染するマルウェアの一種」と、カメラを名指しで挙げています。
さらに2025年は、Miraiの特徴を持たないIoTボットの感染ホスト数が、Mirai感染を上回る状況が世界的に観測されました。
加えて、感染後の不正な動作を管理者から見えにくくする仕組み（プロセス隠蔽）を備えた新しいIoTボットも観測されています。

つまり、「何も起きていないから感染していない」は成り立ちません。カメラは異常を伝える手段を持っておらず、最近のボットは隠れる機能まで備えています。映像が正常に映っていることは、安全の証明にはなりません。

なお、NICTERのダークネット観測網（約28万IPアドレス）に2025年に届いた攻撃関連通信は合計7,010億パケットで、1IPアドレス当たり年間約250万パケットに相当します。
レポートは、上位10ポート以外の通信の割合が増えており、IoT機器やネットワーク機器を幅広く探索する傾向が顕著になっていると分析しています。

9割が「外から見えるつもりはなかった」──総務省の調査が示した実態

この記事でいちばんお伝えしたいのが、この調査です。
総務省は「令和5年度 重要IoT機器のセキュリティ対策に係る調査」として、インターネット上から管理画面や施設名が確認できてしまっている国内の重要IoT機器を探索し、その利用者を特定して注意喚起を行いました。遠隔監視に使うカメラがまさにこの対象です。

調査の段階	実績	読み取れること
機器の探索	2,883件を発見	令和2年度の962件と比べて約3倍に増加
利用者の特定	1,122件（39%）の連絡先を特定	残る約60%には連絡が取れなかった
利用環境の調査	868件（77%）で実施	リスクを受容した利用や、詳しくない層の利用を確認
注意喚起	868件（77%）に実施	4つの観点（施設名・アクセス制御・パスワード・更新体制）で助言
改善の確認	802件（92%）で改善を確認	一方で対策が進まない事業者も確認された

（出典：総務省「令和5年度 重要IoT機器のセキュリティ対策に係る調査の請負」IoT機器チェックリスト／2024年3月29日）

そして、この調査の結論部分に決定的な一文があります。

「令和５年度重要IoT機器のセキュリティ対策に係る調査の請負」にて調査対象の90％を超えるIoT機器が、「インターネット上から（管理画面、施設名等の情報を）確認できることを意図していない」との調査結果となりました。
（同チェックリストより）

9割を超える機器が、持ち主の意図しないまま外に開いていたということです。
「うちは外から見えるようにしていないから大丈夫」という感覚が、実際には最も危ういという意味になります。

もっと重要なのは「どの対策が進まなかったか」

同じ調査は、注意喚起した4つの観点それぞれについて、対策率（対策完了＋対策予定）を出しています。
ここに、はっきりした偏りがあります。

注意喚起した観点	対策率	コメント
推測されにくいパスワードの設定	87%	やり方が分かりやすく、進みやすい
ソフトウェア更新体制の構築	88%	脆弱性への理解は高まっている
アクセス制御の導入	18%	「誰から見えるか」を絞る作業は進んでいない
施設名・施設種別の情報の修正または削除	17%	「何が見えているか」への対処が最も遅れている

パスワードと更新は8割超が対応する一方で、「そもそも外から見えている」という状態への対処は2割弱にとどまっています。カメラ対策の記事はパスワードとファームウェアの話に集中しがちですが、実際に放置されているのはアクセス制御と、画面に出ている情報のほうです。

しかもこの調査は、優先順位まで書いています。
4つの観点のうちアクセス制御（項番A）を最優先で実施すべき対策とし、「アクセス制御の実現により、必要なユーザーにしか見えなくなることが期待される」ため、一部しか実施できない場合はここから着手するよう構成されています。

カメラが乗っ取られると、何が起きる？

NOTICEは、ルーターとネットワークカメラを放置してはいけない理由を6つ挙げています。
注目していただきたいのは、自社が損をするものと、他社に迷惑をかけるものが混ざっている点です。

起きること	内容
機器のボット化	攻撃者に操られる状態になり、マルウェアの拡散や攻撃に使われる
公開サービスの悪用	NTPやDNSを踏み台にされ、他社への大規模な攻撃（リフレクション攻撃）に加担させられる
LANへの侵入、情報漏洩や情報破壊	社内LANに入られ、個人情報や機密データの漏洩、バックドアの設置につながる
機器の機能低下	帯域・CPU・メモリを消耗して動作が不安定になり、通信できなくなることがある
加害者に仕立てられる	自社の機器が踏み台にされ、攻撃を受けた相手から自社が攻撃者だと疑われる
意図しない映像公開	カメラに不正ログインされ、映像や保存データを第三者に勝手に閲覧される

（出典：総務省・NICT「NOTICE」ルーター／ネットワークカメラに潜むリスク）

6つのうち最後の1つが、カメラ固有のリスクです。
事務所の中、レジの周り、倉庫、駐車場、来客の顔——撮っているものが、そのまま外から見えるようになるということです。

「加害者にされる」のはカメラでも起きる

警視庁は「家庭用IoT機器を悪用するレジデンシャルプロキシ」というページで、ネットワークカメラを名指しして注意喚起しています（更新日：2026年8月21日）。

一般家庭向けのインターネット回線に接続されたIoT機器が、第三者の通信を中継する仕組みです。
通信先サーバ等のアクセスログには、レジデンシャルプロキシとなっているIoT機器に割り当てられたIPアドレスが記録されるため、犯罪者は身元を隠してサイバー攻撃をすることが可能になります。
（警視庁「家庭用IoT機器を悪用するレジデンシャルプロキシ」より）

自社は何も盗まれていないのに、他社への攻撃の発信元として自社のIPアドレスが記録されるということです。
同ページは、レジデンシャルプロキシになる原因として「製造過程又は流通過程で仕込まれたマルウェア」も挙げています。安価な機器を選ぶときに気をつけたい点です。

そして警視庁は、事業者・組織がIoT機器を使う場合の対策として、次の3つを挙げています。

• 組織で承認していない機器や端末の業務ネットワークへの接続を防止する
• 業務用ネットワークとIoT機器等のネットワークを適切に分離する
• ファイアウォールやアクセス制御の設定を適切に運用する

3つとも、カメラにそのまま当てはまります。
とくに2番目の「分離」は、この記事の後半で具体的に見ていきます。

実際に何が起きたのか？──国内で公表されている3つの事例

抽象的な話ではなく、日本国内で実際に起きた事例を挙げます。
いずれもNOTICEが「ネットワークカメラの乗っ取り事例」として掲載しているものです。

事例	何が起きたか	対応	中小企業への教訓
国土交通省 河川監視カメラ（2023年1月）	簡易型河川監視カメラで大量の通信が発生。機器を回収して通信記録を調べたところ不正アクセスの疑いがある痕跡が確認された	337台の運用を停止し、機器交換・通信ポートの閉塞・パスワードの再設定	パスワード変更だけでは済まず、機器そのものの交換が必要になった
小学校・保育所のカメラ	NICTが学校防犯システムや保育所見守りカメラでマルウェア感染の疑いがある通信を観測。どちらも第三者から映像が閲覧できる状態になっていた。保育所ではインターネットが使えない状態にもなった	文部科学省とこども家庭庁から、インターネットからのアクセス範囲の制限とファームウェア更新の確認について注意喚起	「見られていた」と「業務が止まった」が同時に起きる
太陽光発電の計測システム	インターネットから閲覧可能な計測システムに、製品の脆弱性を狙った不正アクセスが発生。監視画面が開けない不具合が生じた	対策済みファームウェアが配布。機器の全画面を認証対象にすることが推奨された	カメラ以外の遠隔監視機器も同じ。一部の画面だけ認証なしで見えていた

（出典：総務省・NICT「NOTICE」ルーター／ネットワークカメラの乗っ取り事例、国土交通省報道発表資料）

337台の事例が示す、いちばん重い事実

国土交通省の発表（令和5年3月31日）を読むと、被害の重さがよく分かります。

今回、停止をしている簡易型河川監視カメラを回収し、通信記録などの調査を行ったところ不正アクセスの疑いがある痕跡が確認されましたので、下記の対策を実施するものとしました。
【実施する対策】
・機器交換
・通信ポートの閉塞とパスワードの再設定
（国土交通省「配信を停止している簡易型河川監視カメラの再開について」令和5年3月31日）

対策の1つ目が「パスワードの変更」ではなく「機器交換」だという点にご注目ください。
カメラは、一度侵入されると設定を戻すだけでは安全だと言い切れず、買い替えに至ることがある機器です。
停止は令和5年3月1日から始まり、再開は5月までを目標とされました。つまり約2か月にわたって映像が使えない状態だったことになります。

中小企業に置き換えると、こうなります。
カメラ8台が侵入されて交換になれば、機器代だけで数十万円、これに設置工事費が乗ります。
その間、防犯カメラのない状態で店舗や倉庫を運営することになります。

▶ 関連記事：オフィスの物理セキュリティ・入退室管理はどこまで必要？

うちのカメラは法令の基準を満たしている？──端末設備等規則と技適マーク

ここは、カメラの記事でほとんど触れられていない論点です。
インターネットにつなぐ機器が備えるべきセキュリティ機能は、日本では法令で決まっています。

NOTICEは、この点をはっきり書いています。

ネットワークの安全性を確保するために、ルーターやネットワークカメラなどのIoT機器が備えるべきセキュリティ機能の技術基準が、法令で規定されています。この技術基準を満たさない機器を、通信事業者のネットワークに接続することは禁止されています。
（総務省・NICT「NOTICE」ルーター／ネットワークカメラに関する制度・基準）

根拠は端末設備等規則 第34条の10で、2019年の法令改正により次の4条件が義務づけられました。
2020年4月以降に販売された機器は、この基準の適合性が確認されています。

法令上の条件	かんたんに言うと
アクセス制御機能を有すること	設定を変更するにはログインが必要になっていること
初期のID・パスワードの変更を促す機能があること、または機器ごとに異なるものが付されていること	「全機種でパスワードが同じ」ではないこと
ソフトウェアを更新できること	ファームウェアを更新できる仕組みがあること
電源が切れても、アクセス制御の設定と更新したソフトウェアを維持できること	電源を抜いたら初期設定に戻る、という機器ではないこと

（出典：端末設備等規則 第34条の10／総務省・NICT「NOTICE」）

この条文には、注目すべきただし書きがあります。
「利用者が任意のソフトウェアにより随時かつ容易に変更することができる」機器は対象外とされています。
つまりパソコンやスマートフォンのように後からソフトを入れられる機器は除かれ、カメラやルーターのように後から手を加えられない機器こそが、この規則の狙いだということです。

確認方法は「技適マーク」を見るだけ

法令の基準を満たしているかどうかは、技適マークの有無で判別できます。
NOTICEは、確認する場所まで機器別に案内しています。

• ルーター：本体側面や底面などに、本体情報と一緒に表示されている
• ネットワークカメラ：本体の底面や接続面などに、本体情報と一緒に表示されている
• 機器によっては、パッケージや取扱説明書、端末の液晶画面から確認できることもある

マークは、四角で囲んだ「T」（電気通信事業法に基づく認証）と「D」（デジタルデータ伝送用設備に接続されることを示す）の記号のあとに、認定年と番号が記載されています。

NOTICEは、「電気通信事業法に基づく技適マークが付いていない製品の使用は、法令違反であるとともに、電気通信回線設備を損傷するおそれがあります」と明記しています。
ネット通販で海外から取り寄せた安価なカメラを業務で使っている場合は、セキュリティの問題である以前に法令の問題になりえます。まず本体の底面を確認してください。

さらに、経営リスクとして知っておくべき記載があります。
NOTICEに参加しているインターネットサービスプロバイダは、機器が原因でインターネットの安全に被害を及ぼす攻撃が発生する、または発生する可能性が高い状態になれば、被害が広がらないように接続を一時的に停止することがあると説明されています。

つまり最悪の場合、「カメラを放置していたせいで、会社のインターネット回線が止まる」という事態が起こりえます。
カメラが止まるのではなく、会社全体の通信が止まるという点が重要です。

なぜカメラにウイルス対策ソフトを入れられない？

「パソコンと同じようにウイルス対策ソフトを入れればいい」と考えたくなりますが、これはできません。
理由は、IoT機器の公的な定義そのものにあります。

IPAが運営するJC-STAR（セキュリティ要件適合評価及びラベリング制度）は、IoT機器を次のように定義しています。

インターネットプロトコル（IP）を使用したデータの送受信機能を持つ、インターネットに接続可能な機器又は内部ネットワークに接続可能な機器であって、利用者自身によって、当該IoT機器本体に対してソフトウェア製品のインストール等により容易にセキュリティ対策を追加することが困難であるもの
（IPA「セキュリティラベリング制度（JC-STAR）についての詳細情報」より）

「後からセキュリティ対策を追加できないこと」が、IoT機器の定義に入っているということです。
カメラもレコーダーも、まさにこれに当たります。

守る場所	パソコン・サーバー	ネットワークカメラ・レコーダー
ウイルス対策ソフト（EPP）	入れられる	入れられない
EDR（侵入後の検知）	入れられる	入れられない
資産台帳への登録	エージェントで自動収集	手入力または任意項目での登録
脆弱性の把握	自動診断できる	メーカーの告知を人が見るしかない
更新の適用	OS・アプリの更新で自動化できる	ファームウェアを人が当てる
守る手段	機器の中に入れる	機器の外側（ネットワークと運用）で守る

ここが、カメラ対策の出発点です。
カメラは「中に守りを入れる」ことができないので、「外から触れないようにする」「見つけたら更新する」「そもそも台帳に載せる」という外側の対策しかありません。
逆に言えば、やるべきことの範囲は限られており、その大半に追加費用はかかりません。

▶ 関連記事：複合機・プリンターのセキュリティ対策はどこまで必要？「コピー機」ではなくサーバーである理由

何を確認すればいい？──総務省チェックリストのA〜D

総務省の重要IoT機器調査は、注意喚起に使った内容をそのまま使えるチェックリストとして公開しています。
カメラを含む遠隔監視機器の利用者が対象で、これが最も実務的な確認手順です。

まず、着手前に確認する4項目

項番	確認すること
項番1	所有者・構築者・運用者・利用者などの関係者を定義し、確認結果を共有・協議する準備を行う
項番2	インターネットを介してその機器へアクセスする必要が本当にあるか、部外者に閲覧・操作してもらうことを意図しているかを確認する
項番3	所属する業界に機器設定や運用に関する指針・ガイドラインがないか確認し、あれば併せて活用する
項番4	下記A〜Dの4項目について、必要な対応を確認する

項番2について、チェックリストは重い注記を付けています。

本調査結果として、「インターネット上から機器が確認できることを意図していなかった」という回答が90％を超えている状況であり、インターネットからの利用が本当に必要なものであるか、再度確認をお願いします。
（総務省「令和5年度 重要IoT機器のセキュリティ対策に係る調査の請負」IoT機器チェックリストより）

多くの中小企業で、カメラを外から見られるようにした理由は「経営者がスマホで店舗を確認したいから」です。
それ自体は問題ありませんが、その仕組みが「経営者だけが見られる」形になっているかは、別の話です。

A〜Dの8つのチェック項目

分類	項番	チェック内容
A：ユーザー認証・アクセス制御 （最優先）	A1	画面内容が直接閲覧できる状態にせず、IDとパスワードによるログイン認証などのユーザー認証画面を設定しているか
A：ユーザー認証・アクセス制御 （最優先）	A2	利用者が不特定多数でなく限られている場合、ユーザーを限定したアクセス制御（IPフィルタ等）を設定できるか
B：施設名などの情報	B1	ログイン画面・管理画面に「施設名」「地域名」「機器名」「機器のバージョン」やそれらを推測させる情報を表示していないか
C：パスワード	C1	IDとパスワードが「工場出荷時の初期設定あるいは容易に推測される値」ではないか
C：パスワード	C2	IDとパスワードを複数の利用者で共有せず、必要な利用者分を個別に払い出しているか
D：更新体制	D1	構成する機器（ルーター、Webカメラ等のIoT機器、サーバー等）のネットワーク構成と各設定内容を管理できているか
D：更新体制	D2	機器の台数、メーカー名、型番、ファームウェアのバージョンを一元管理できているか
D：更新体制	D3	ソフトウェアの最適なバージョンを判断し、最新のものに更新する体制があるか

A2の具体的な実現方法として、チェックリストは「インターネット環境との境界となるルーター、Webサーバー（IoT機器）、またはファイアウォールを含むUTM機器でアクセス制御を行う」ことを挙げ、次の確認事項を示しています。

• アクセスを行うユーザー数の確認
• アクセスユーザーのIPアドレスの確認
• アクセス制御を実施可能な機器の確認と、設定する機器の確定（ルーター、Webサーバー、ファイアウォール等UTM機器）
• 機器の設定方法の確認、機器の設計、アクセス制御設定の実施
• 動作確認試験後の運用開始

つまり、カメラ側の設定だけでなく、出入口の機器で絞るという考え方です。
この点は、後半の製品の話につながります。

▶ 関連記事：UTM（統合脅威管理）とは？法人向けおすすめ製品の比較と費用相場・クラウド型の選び方

「うちの会社名が見えている」ことが、なぜ危ないのか？

総務省のチェックリスト項目Bは、他の資料でほとんど見かけない独特の項目です。
ログイン画面や管理画面に、施設名や地域名を出すなという指摘です。

更改されているログイン画面、管理画面に攻撃者の対象となりやすい情報（「施設名」「地域名」「機器名」「機器のバージョン」「またはそれらを推測させる情報」等）を表示していないか確認する。
→ 施設名、地域名、機器名、機器のバージョン、またはそれらを推測させる情報が見える状況になっていることで、何も情報が無い場合と比較し、攻撃者の興味を引き、攻撃の対象となる可能性があります。
（総務省「令和5年度 重要IoT機器のセキュリティ対策に係る調査の請負」IoT機器チェックリストより）

攻撃者の立場で考えると分かりやすくなります。
インターネット上には、無防備な機器を探し続ける自動化されたスキャンが常に走っています。
そのとき「◯◯株式会社 △△工場 正門カメラ」と表示されている機器と、記号だけの機器が並んでいたら、前者のほうが「調べる価値がある標的」に見えます。

対策は簡単です。チェックリストは「記号等、利用者のみが判別可能な情報への変更、または削除」を勧めています。
カメラの名前を「本社1F受付」から「C-01」に変えるだけで済む話で、費用はかかりません。

同じことを、IPAも別の文書で書いている

興味深いのは、まったく別の公的文書が同じ指摘をしていることです。
IPAの「ネットワークカメラシステムにおける情報セキュリティ対策要件チェックリスト」は、調達仕様を作る段階の注意として次のように書いています。

ネットワークカメラシステムでは、建屋のレイアウトやネットワーク構成、IPアドレスの他、カメラの位置やカメラの画角・稼働時間など、セキュリティ上外部に公開して大丈夫な情報であるかを吟味して調達仕様を作成してください。（中略）上記の他にも、機器名に部署名や場所を付けた場合、その情報から所内の機器のレイアウトが推測されてしまうこともあります。
（IPA「ネットワークカメラシステムにおける情報セキュリティ対策要件チェックリスト 第2版」JISEC-PROC-2018-A01）

総務省とIPAという2つの独立した公的資料が、同じ「機器名に場所や部署名を入れるな」という指摘をしています。
しかも総務省の調査では、この項目の対策率が4項目中で最も低い17%でした。
費用ゼロで、誰も手を付けていない対策——優先して着手する価値があります。

IPAはさらに、カメラを新しく入れるとき（見積りを取るとき）の注意にも踏み込んでいます。
見積り依頼のために業者へ渡す資料に、建物のレイアウトやIPアドレス、カメラの画角まで書いていないかという指摘です。
中小企業なら、相見積りを取るときに複数の工事会社へ渡す図面の扱いがこれに当たります。

▶ 関連記事：委託先・外注先のセキュリティ管理はどこまで必要？個人情報保護法25条の監督義務

カメラ専用の公的チェックリストがある？──IPAの66要件

あまり知られていませんが、IPAはネットワークカメラシステム専用のチェックリストを無料で公開しています。
政府機関の調達だけでなく、自治体や民間の調達にも活用できるとされており、Excel形式でも配布されています。

特徴は、機器単体ではなくフェーズ（段階）ごとに要件を分けている点です。
全体で66の要件番号が割り振られています。

フェーズ	何を見るか	この段階でよくある失敗
調達仕様の策定	外部に出す情報の吟味	見積り依頼書にレイアウトやIPアドレスを書いてしまう
設計構築	初期パスワードの変更、不要サービスの停止、ファームウェアの確認	「つなぐだけで使える」便利機能をそのまま有効にしている
運用	保守計画、ファームウェア適用の判断基準、時刻設定の維持	24時間監視なので止められず、更新が永久に後回しになる
保守	作業手順、作業者の管理	工事会社に任せきりで、誰が何をしたか記録がない
廃棄	レコーダーに残った映像の消去	「削除」しただけで返却・廃棄してしまう

（出典：IPA「ネットワークカメラシステムにおける情報セキュリティ対策要件チェックリスト 第2版」）

このチェックリストが想定している脅威は4つで、非常に具体的です。

想定する脅威	入口として名指しされているもの
機器への不正アクセスやマルウェア感染（ボット化）	TELNET（TCP/23）やUPnP（TCP/81）への通信、管理機能の認証情報の設定不備、機器固有の脆弱性
管理者へのなりすまし	管理機能の識別認証の不備、機器の脆弱性
通信データの盗聴や改ざん	カメラやカメラが接続されているハブが、第三者でも触れる場所に設置されていること
サービスや機器の停止	物理的なカメラの破壊や持ち去り、露出したネットワーク回線の切断

パスワードを変えても塞げない穴がある

このチェックリストの中でとくに重要なのが、次の記述です。

管理機能を使うためのパスワードは、調達者が意識して変更することができますが、IoTには、調達者が停止したりパスワードを変更したりできないバックドアと言われる侵入口が存在する場合があります。バックドアが発見されると、それを塞いだ新しいファームウェアが機器の提供元から公開されます。
（IPA「ネットワークカメラシステムにおける情報セキュリティ対策要件チェックリスト 第2版」）

パスワードを強くしても、ファームウェアを更新しないと塞げない穴があるということです。
カメラ対策では「パスワードを変えたから安心」で止まりがちですが、パスワード変更とファームウェア更新は別の対策で、両方が必要です。

同チェックリストは、こうも書いています。
「ネットワークカメラは購入して繋ぐだけで利用できるようになる便利なサービスも動いています。不要なサービスは設計構築時に停止しましょう」。
ここで言う便利なサービスが、脅威の一覧に出てきたUPnPです。ルーターに自動で穴を開けて外から見えるようにする仕組みで、「外から見えるつもりはなかったのに見えていた」の主な原因のひとつです。

あわせて、機器選びの助言もあります。
「管理機能上でのバージョンアップ操作が解りやすく、間違って不正なファームウェアが入らないように工夫された機器を選ぶことも重要です」。
更新しやすい機器を買うこと自体が対策という考え方です。

「24時間録画しているから更新できない」への答え

現場でいちばん多い反論がこれです。
IPAのチェックリストは、この問題にも実務的な答えを出しています。

例えば、ネットワークカメラシステムで24時間監視を行っている場合、保守作業や障害が発生した際の一時的な停止や再起動に関しても、事前にセキュアな手順や保守計画を策定しておく必要があります。（中略）その時になって慌てないように、バージョンアップするかどうかを決定できるような適用基準と検討体制をあらかじめ決めておき、組織の情報セキュリティ対策基準や実施手順に規定しておくことが重要です。
（同チェックリストより）

そして、次の一文が続きます。

カメラ同士でお互いの画角を補い合うことにより、カメラ単位の停止が可能となるかもしれません。
（同チェックリストより）

つまり「全部を同時に止める」のではなく、隣のカメラが同じ範囲を映しているなら、1台ずつ止めて更新すればよいという発想です。
費用はかかりません。カメラの配置図を見て、どのカメラとどのカメラが範囲を重ねているかを確認するだけです。
これを事前に決めておけば、緊急のファームウェアが出た日に「今は止められない」と諦めることがなくなります。

映像を証拠として使えるようにしておく

もうひとつ、カメラ特有の重要な論点があります。時刻です。

例えば監視カメラのシステムであれば、証拠として使われる可能性のある映像データやアラームに紐づけられる正確な時刻の維持が重要となります。システム内の各機器の時刻同期は一般的にNTPなどを用いて行われますが、その情報がいつも信頼できるとは限りません。定期的に不自然な時刻の変化が無いことを確認することが重要です。
（同チェックリストより）

さらに、費用ゼロの対策として次の一文があります。

物理的な時計や時報を、記録している画角内に設置するといった手法も対策の一つです。
（同チェックリストより）

カメラが映している範囲の中に壁時計を置いておけば、映像に記録された時刻と、映像内の時計が一致しているかで異常に気づけるという考え方です。
窃盗や労務トラブルで映像を証拠として使う場面を考えると、時刻がずれている映像は価値が下がります。
時計を1つ掛けるだけで、その不安が減ります。

▶ 関連記事：セキュリティログの保持期間は6か月で十分？主要製品のデフォルト保持期間と延長オプション

カメラのLANケーブルとハブは、誰でも触れる場所にありませんか

IPAの脅威一覧にあった「盗聴」は、ネットワーク越しの高度な攻撃ではなく、もっと物理的な話です。

NWCシステムでは、カメラやカメラが接続されているハブが第三者でも触れる場所に設置される場合があります。そこから通信内容を盗聴されると、映像データやパスワードなどの情報が漏えいしてしまいます。
（同チェックリストより）

駐車場の柱、倉庫の入口、外階段の下——カメラの近くには、そのカメラのLANケーブルとスイッチが露出していることがあります。
ここに機器をつながれると、建物の中に入らずに社内ネットワークへ足を踏み入れられることになります。

無線LANでカメラをつないでいる場合は追加の要件があるとされており、同チェックリストの用語集には「MACアドレスは詐称可能」「正しいSSIDであれば正しいアクセスポイントであるとは言えない」と明記されています。
MACアドレスフィルタリングだけを頼りにするのは避けてください。

物理的な破壊や持ち去りについては、同チェックリストも「完全には防ぐことはできません」と率直に認めており、「攻撃の検知と、ある程度の低減」で対応するとしています。
手の届かない高さに設置する、屋外の配線は配管に通す、といった基本が有効です。

無線でつないでいるカメラには、もう1つのリスクがあります

IPAのチェックリストは、脅威のひとつに「露出したネットワーク回線の切断」を挙げていました。
カメラを無線（Wi-Fi）でつないでいる場合、これに相当するのが電波の妨害です。
LANケーブルを切らなくても、電波を邪魔されればカメラの映像は届かなくなります。

故意に妨害電波を発することは電波法違反にあたりますが、犯罪目的でカメラを無効化しようとする相手には、法律が抑止になるとは限りません。
また悪意がなくても、電子レンジや近隣の無線機器との混信で映像が途切れることがあります。

対策はシンプルです。

• 金庫・レジ・サーバールーム・出入口といった重要な場所のカメラは、できるだけ有線でつなぐ
• 無線を使う場合は、暗号化をWPA2以上（できればWPA3）にし、共有パスワードを推測されにくいものにする
• MACアドレスフィルタリングだけを頼りにしない（IPAの用語集も「MACアドレスは詐称可能」と明記しています）
• 映像が途切れたことに気づける仕組み（録画の欠落を確認する運用）を持つ

カメラのSDカードやレコーダーのハードディスクを抜かれたら？

IPAのチェックリストは、脅威として「物理的なカメラの破壊や持ち去り」も挙げていました。
ここで見落とされやすいのが、持ち去られるのは機器だけでなく、中に入っている映像も一緒だということです。

カメラ本体のSDカードや、レコーダーのハードディスクを抜かれると、ネットワークに侵入されなくても映像がそのまま読み取られる可能性があります。
JC-STARのネットワークカメラ★3セキュリティ要件にも、「セキュアに保存する」と「ハードウェアの完全性を確実にする」（製品に対する物理的な破壊や改ざんからの保護）という要件カテゴリが設けられています。

中小企業でできる対策は、次のとおりです。

• レコーダーは、鍵のかかる場所（サーバーラック・施錠できる部屋）に置く
• カメラは手の届かない高さに設置し、屋外の配線は配管に通す
• 機器が対応していれば、保存データの暗号化を有効にする（SDカードを抜かれても読めなくなる）
• 重要な映像は、機器の中だけでなく別の場所（クラウドや別棟のレコーダー）にも保存する

レコーダーは「壊されたら記録が消える」機器でもあります。
侵入者が真っ先にレコーダーを持ち去れば、証拠が丸ごと失われます。
レコーダーを施錠された場所に置くことは、セキュリティ対策というより防犯カメラを防犯カメラとして機能させるための前提です。

▶ 関連記事：オフィスの物理セキュリティ・入退室管理はどこまで必要？

カメラのネットワークは、業務のネットワークと分けていますか？

カメラ対策でいちばん効くのに、いちばんやられていないのがこれです。
警視庁の対策にも、総務省チェックリストのA2にも、同じことが書かれています。

多くの中小企業では、カメラ・レコーダー・パソコン・複合機・サーバーがすべて同じネットワークにぶら下がっています。
この状態でカメラ1台が乗っ取られると、そこを起点に社内のファイルサーバーやパソコンへ手が伸びます。

分け方	やること	費用感	効果
ネットワークを分ける	カメラとレコーダーを業務用とは別のVLAN（または別のネットワーク）に置き、業務側との通信を必要最小限だけ許可する	UTM・ファイアウォールがあれば設定作業のみ	カメラが乗っ取られても業務側へ広がらない
外から見えないようにする	ルーターのポート開放（ポートフォワーディング）とUPnPを見直し、不要なものを閉じる	0円	「意図せず外に開いていた」を解消する
見る人を絞る	外から見る必要がある場合は、接続元のIPアドレスを限定する、またはVPN経由に限定する	0円〜（既存機器の設定）	不特定多数からの試行を受けない

総務省チェックリストのA2は、この作業を「インターネット環境との境界となるルーター、Webサーバー（IoT機器）、またはファイアウォールを含むUTM機器でアクセス制御を行う」と説明しています。
つまり、カメラ側で頑張るのではなく出入口の機器で絞るのが正しい順序です。

「カメラを外から見られるようにしている」場合、ポート開放でカメラの管理画面をインターネットに直接さらしているケースが少なくありません。
この形は、パスワードだけが唯一の防御になります。認証を回避される脆弱性が1つ見つかれば、パスワードの強さは関係なくなります（次の章で実例を挙げます）。
VPN経由に切り替えるか、メーカーのクラウド経由方式に変えるほうが安全です。

なお、製造業でOT（生産設備）とIT（業務）を分けている会社では、カメラがどちらの側に置かれているかを確認してください。
生産ラインを映すカメラがOT側に置かれ、しかも外から見えていると、分離の意味が薄れます。

カメラにグローバルIPアドレスを持たせない

もう一段シンプルな考え方もあります。
カメラ自体には、インターネットから直接たどり着けるアドレスを持たせないという方法です。
佐賀県警察も、対策として「プライベートIPアドレスの設定」を挙げ、同時に「インターネットからのアクセスができなくなるので、設定するときは注意が必要」と注記しています。

つまり、外から見る必要が本当にあるのかという判断が先だということです。
外から見る必要がなければ、カメラは社内だけから見える状態にしておくのが最も安全で、費用もかかりません。

DDNSは便利機能ですが、攻撃者にも便利です

カメラを外から見るための設定として、DDNS（ダイナミックDNS）を使っている会社があります。
固定IPアドレスがなくても、決まった名前で自宅や会社の機器にたどり着けるようにする仕組みです。
これ自体は正当な機能ですが、攻撃者が乗っ取りを続けるためにも使われます。

警視庁は、家庭用ルーターの不正利用に関する注意喚起の中で、定期的に確認すべき項目として次を挙げています。

見覚えのない「VPN機能設定」や「DDNS機能設定」、「インターネット（外部）からルーターの管理画面への接続設定」の有効化がされていないか確認する。
VPN機能設定に見覚えのないVPNアカウントが追加されていないか確認する。
見覚えのない設定があった場合、ルーターの初期化を行い、ファームウェアを最新に更新した上、ルーターのパスワードを複雑なものに変更する。
（警視庁「家庭用ルーターの不正利用に関する注意喚起について」更新日2023年4月5日）

ここで大事なのは「見覚えのない」という言い方です。
自分で設定した記憶がないのにDDNSや外部からの管理画面接続が有効になっていたら、それは第三者が設定した可能性があるということです。
そして対処の順番は「まず初期化」です。パスワードを変えるだけでは、相手が有効にした設定が残ります。

カメラを外から見る仕組みを作るとき、「DDNSを設定したから対策になっている」と考えるのは誤りです。
DDNSは「たどり着きやすくする」機能であって、「守る」機能ではありません。
守る役割を担うのは、アクセス元の限定、VPN、メーカーのクラウド経由という3つのいずれかです。

▶ 関連記事：製造業のサイバーセキュリティ｜工場停止を招くランサムウェア対策とOT/ITネットワーク分離の実務

2026年に実際に見つかったカメラの脆弱性は？

「脆弱性」と言われてもピンとこない、という声をよくいただきます。
2025年から2026年にかけて、日本のJVN（脆弱性対策情報ポータル）で公表されたカメラの脆弱性を3件挙げます。
いずれも実在の製品で、内容は具体的です。

公表日・製品	脆弱性の内容	中小企業にとっての意味
2026年2月6日 TP-Link製IPカメラ「VIGIシリーズ」 （JVNVU#93582560／CVE-2026-0629）	隣接するネットワーク上から製品にアクセスできる攻撃者によって、認証無しで管理者パスワードをリセットされ、管理者権限で製品を操作される	パスワードをどれだけ強くしても関係がない。更新しなければ塞げない
2026年1月16日 TOA製ネットワークカメラ TRIFORA 3シリーズ （JVN#08087148）	「モニタリングユーザー」以上の権限でログインしたユーザーによって、任意のOSコマンドを実行される（CVE-2026-20759、CVSS 3.0基本値8.8）。ほかにパストラバーサル（同7.1／任意のファイルを閲覧される）とXSS	「映像を見るだけ」の権限で渡したアカウントが、機器を乗っ取る足がかりになりうる
2025年11月21日 iCam365製CCTVカメラ （JVNVU#96948074）	第三者によってカメラの設定情報へ不正アクセスされる可能性。公表時点で「開発者による対応などの情報提供は確認できていません」	修正ファームウェアが出ない製品もある。買った後で分かっても手遅れ

（出典：JVN 脆弱性対策情報ポータル。影響を受ける製品・バージョンは広範囲に及ぶため、詳細は各ベンダの告知を確認してください）

この3件は、それぞれ別の教訓を持っています。

• TP-Link VIGIの件：認証を回避されてパスワードをリセットされるため、「複雑なパスワードにしたから大丈夫」が通用しません。更新するしかない脆弱性です。
• TOA TRIFORAの件：映像を見るだけの最小権限（モニタリングユーザー）でOSコマンドが実行できました。アルバイトや店長に渡した「見るだけ」のアカウントも、リスクになりうるということです。アカウントは人ごとに分け、退職時に必ず消す運用が必要です。
• iCam365の件：公表時点でメーカーからの対応情報が確認できていませんでした。安いから買った製品が、脆弱性が出ても直らない可能性があるという現実を示しています。

ここで大事なのは、「有名メーカーなら脆弱性が出ない」わけではないことです。
TOAは国内の大手音響・セキュリティ機器メーカーで、後述するJC-STARの適合ラベルも取得しています。
違いは「脆弱性が見つかったときに、修正ファームウェアが出るかどうか」です。だからこそ、機器選びでは価格よりもサポートの継続性を見るべきです。

脆弱性の深刻度を表す「CVSS」という指標については、別記事で解説しています。
CVSS 3.0で8.8という数値は「重要」に分類される高い水準です。

▶ 関連記事：CVSSとは？脆弱性の深刻度を評価する共通指標をわかりやすく解説

▶ 関連記事：脆弱性診断・脆弱性管理サービスの費用相場と選び方

カメラの映像は個人情報？──個人情報保護法での扱い

カメラが他の機器と決定的に違う点は、撮っているものが人の顔と行動であることです。
ここには個人情報保護法が関わってきます。この論点を持っているカメラ記事はほとんどありません。

まず「防犯カメラ作動中」の掲示は義務に近い

個人情報保護委員会のQ&Aは、従来型の防犯カメラ（顔特徴データを抽出しないもの）について、次のように整理しています。

カメラの設置状況等から、カメラにより自らの個人情報が取得されていることを本人において容易に認識可能といえない場合には、容易に認識可能とするための措置を講じなければなりません（法第20条第１項）。例えば、防犯カメラが作動中であることを店舗や駅・空港等の入口や、カメラの設置場所等に掲示する等の措置を講じることが考えられます。
（個人情報保護委員会「カメラに関するQ&A」Ａ１－13より）

一方で、利用目的の通知・公表については「カメラの設置状況等から利用目的が防犯目的であることが明らかである場合には、通知・公表は不要」とされています。
つまり掲示は必要だが、目的をわざわざ公表する義務はないという整理です。

外観からカメラだと明らかな場合でも、同Q&Aは「掲示等の措置を講じることにより、より容易に認識可能とすることが望ましい」としています。
ステッカー1枚で済む話です。まだ貼っていなければ、今日貼ってください。

ネットワークカメラは、名指しで安全管理措置を求められている

個人情報保護委員会のQ&A（Ａ10－８）は、カメラを設置してカメラ画像を取り扱う場合の安全管理措置を5分類で示しています。
その技術的安全管理措置の中で、IPカメラ（ネットワークカメラ、Webカメラ）が名指しされています。

安全管理措置の分類	カメラに求められる内容
組織的安全管理措置	カメラ画像等を取り扱う情報システムを使用できる従業者を限定する、社内の責任者を定める、管理者と取扱いに関する規程等を整備する
人的安全管理措置	従業者に対する適切な研修（個人情報保護法の適用範囲・義務規定、カメラ画像等の取扱いに関する講義等）を実施する
物理的安全管理措置	カメラ、画像データを保存する電子媒体等の盗難・紛失を防止するために、設置場所に応じた適切な安全管理を行う
技術的安全管理措置	IPカメラ（ネットワークカメラ、Webカメラ）のようにネットワークを介してカメラ画像等を取り扱う場合に、必要とされるシステムへの技術的なアクセス制御や漏えい防止策等を講ずる（パスワード設定等を含む）。アクセスログの取得分析により不正利用の有無を監視する
外的環境の把握	外国で個人データを取り扱う場合、その国の個人情報の保護に関する制度等を把握した上で必要な措置を講ずる

（出典：個人情報保護委員会「『個人情報の保護に関する法律についてのガイドライン』に関するQ&A」Ａ10－８）

注目すべきは2点です。
1つはアクセス制御が、法令のガイドラインの側からも求められていること。
もう1つは「アクセスログの取得分析により不正利用の有無を監視する」という一文です。
カメラやレコーダーには、いつ誰がログインしたかのログが残る機種があります。それを一度も見ていないのであれば、ここが宿題になります。

「外的環境の把握」も、カメラでは現実的な論点です。
クラウド型カメラを使っている場合、映像がどの国のサーバーに保存されているかを確認しておく必要があります。

ただし「録画映像は個人データ」と決めつけるのは誤りです

ここは正確に押さえておく価値があります。
同じQ&Aは、防犯カメラの録画映像について次のように整理しています。

特定の個人を識別することができる映像情報であれば、個人情報に該当しますが、特定の個人情報を検索することができるように「体系的に構成」されたものでない限り、個人情報データベース等には該当しないと解されます。すなわち、記録した日時について検索することは可能であっても、特定の個人に係る映像情報について検索することができない場合には、個人情報データベース等には該当しないと解されます。
（同Q&A Ａ１－41より）

つまり、日時でしか検索できない通常の録画映像は「個人情報」ではあっても「個人データ」ではないため、法第23条の安全管理措置が直接適用されるわけではありません。
ただし個人情報保護委員会は、その場合でも「当該画像が漏えい等することがないよう、上記の各種安全管理措置を参考として適切に取り扱うことが望ましい」としています。

一方、顔認証機能を使っている場合は話が変わります。
顔特徴データは個人識別符号に当たり、登録して管理すれば個人データになります。
その場合は、利用目的の通知・公表、保有個人データに関する事項の公表、開示請求への対応などの義務が加わります。
入退室管理で顔認証を使っている会社は、この違いを把握しておいてください。

関連して、犯罪行為が映った映像の扱いも整理されています。
「単に防犯カメラの映像等で、犯罪行為が疑われる映像が映ったのみでは、犯罪の経歴にも刑事事件に関する手続が行われたことにも当たらないため、要配慮個人情報に該当しません」とされています。
要配慮個人情報であれば1人分の漏えいでも報告義務の対象になりますが、映像そのものはそれには当たらないという整理です。

ただし、不正アクセスによってカメラの映像が外部に流出した場合は「不正の目的による行為」による漏えいに当たり、1人分でも報告義務の対象になりえます。
速報はおおむね3〜5日以内、確報は60日以内（不正の目的による場合）という期限があります。
判断に迷う場合は、専門家や個人情報保護委員会へ確認してください。

▶ 関連記事：サイバー攻撃を受けたら報告義務はある？個人情報の漏えい等報告（速報3〜5日・確報30日／60日）

保存期間についても、同Q&Aは法第22条にもとづき「利用の必要性を考慮して保存期間を設定し、個人データを利用する必要がなくなったときは、遅滞なく消去するよう努めなければなりません」としています。
レコーダーの上書き設定が「容量いっぱいまで無制限」になっていないか、一度確認してください。保存期間を決めておくことは、漏えいしたときの被害範囲を小さくすることでもあります。

次に買うときは何を見ればいい？──JC-STARという新しい目印

カメラは壊れるまで使う機器なので、買い替えの機会は多くありません。
だからこそ、次に買うときに1つだけ確認する基準を決めておくと効果が長く続きます。

その基準がJC-STAR（セキュリティ要件適合評価及びラベリング制度）です。
IPAが運営する日本の制度で、IoT製品のセキュリティ機能を評価してラベルを付けます。
NOTICEも「セキュリティ要件を満たした安全なIoT製品を選ぶには、JC-STARの適合ラベルが付いた製品を選ぶようにしましょう」と案内しています。

レベル	評価のしかた	想定される利用者
★1（レベル1）	IoT製品共通の最低限の脅威に対応する適合基準。ベンダーの自己適合宣言	規模を問わずすべての利用者
★2（レベル2）	製品類型ごとの適合基準。自己適合宣言	同上
★3（レベル3）	独立した第三者（評価機関）による評価とIPAの認証	政府機関等、重要インフラ事業者、地方自治体、大企業
★4（レベル4）	第三者による評価・認証（より高い水準）	同上

国が最初に基準を作った製品は「通信機器」と「ネットワークカメラ」の2つだけ

ここが、この記事でお伝えしたい最も強い事実です。
JC-STARの★3は、製品類型ごとに基準を作る必要があります。そして2026年9月時点で★3の基準が公開されている製品類型は、「通信機器」と「ネットワークカメラ」の2つだけです。

公開日	公開されたもの
2026年2月6日	通信機器★3セキュリティ要件、ネットワークカメラ★3セキュリティ要件を公開
2026年6月12日	通信機器★3適合要件、ネットワークカメラ★3適合要件を公開（セキュリティ要件も更新）

（出典：IPA「★3（レベル3）適合基準・評価手順」更新履歴）

ルーターなどの通信機器と並んで、ネットワークカメラが最優先で基準を作るべき製品として選ばれたということです。
それだけカメラが狙われており、影響が大きいと国が判断していることの表れです。

ネットワークカメラ★3のセキュリティ要件は19のカテゴリにわたる45要件で構成されています。
カテゴリには「脆弱な認証・認可メカニズムを使用しない」「ソフトウェアを最新の状態に保つ」「セキュアに保存する」「セキュアに通信する」「露出した攻撃面を最小化する」といった項目のほか、「個人データがセキュアであることを確実にする」「個人データを適切に処理する」というカメラ特有の項目も含まれています。

要件を導き出すにあたり想定された脅威も公開されています。中小企業にとっても他人事ではない内容です。

• MiraiやMirai亜種による攻撃（ボット化リスクへの対応）
• 自動化された攻撃によるマルウェア感染（悪意のあるコードの混入リスクへの対応）
• 正規のID・パスワードを用いた侵入（内部ネットワークへの侵入リスクへの対応）
• 踏み台による他の機器への攻撃（踏み台となるリスクへの対応）

では中小企業は何を見ればいいのか

★3は政府機関や重要インフラ向けなので、中小企業がそこまで求める必要はありません。
中小企業が使うべきなのは★1のラベルが付いているかどうかです。

IPAが公開している「適合ラベル取得製品リスト」を実際に集計しました（最終更新日：2026年9月4日時点）。

集計項目	実数
適合ラベル取得製品の総数	338製品（すべて有効）
レベルの内訳	すべて★1（★2以上の取得製品はまだ0件）
うちカメラ・レコーダー系と判別できる製品	32件
カメラ系のメーカー内訳	i-PRO 12件／ハンファビジョン 11件／国際電気 3件／TOA・アイディス・キヤノン・アクシスコミュニケーションズ・サカキコーポレーション・ソニックガード 各1件
有効期間	2年（取得日から）

（出典：IPA「適合ラベル取得製品リスト」2026年9月4日時点を集計）

つまり、次にカメラを買うときは「JC-STARの適合ラベルは付いていますか」と1問聞くだけです。
費用はかかりません。ラベル付きのカメラ・レコーダーは、すでに32件が登録されています。
ただしラベルは「最低限の脅威に対応している」ことを示すもので、脆弱性が出ないことの保証ではありません。実際、ラベルを取得しているメーカーの製品にも脆弱性は公表されています。買った後の更新は必ず必要です。

メーカーはいつまで面倒を見てくれるのか

中小企業がいちばん知りたいのは「うちのカメラはいつまで使えるのか」です。
NOTICEは、IoT機器メーカーのサポート終了に関する考え方をまとめています。

メーカー	公表されているサポート期間の考え方
i-PRO	ハードウェア機器は生産終了から7年間をサポート期間と定めている
アイ・オー・データ機器	製品の生産終了日から5年以上経過した製品より、順次サポート・修理・関連ソフトウェアの提供が終了
エレコム	ネットワーク製品・NAS製品のサポートおよび修理対応は生産終了後 最長5年
NECプラットフォームズ	Atermのサポート期間、販売終了・保守終了品（法人向け）のページで公表
バッファロー	サポート期間のご案内ページで公表
ヤマハ	修理対応終了予定／生産完了品のページで公表（ソフトウェアのサポートも記載）
サン電子	サポート終了はニュースリリースで案内。生産完了機種の一覧ページあり

（出典：総務省・NICT「NOTICE」IoT機器メーカー サポート情報。詳細は各メーカーの公表ページで確認してください）

カメラは10年以上使われることが珍しくありません。
生産終了から5〜7年でサポートが切れるのであれば、設置から10年経ったカメラは、脆弱性が見つかっても修正ファームウェアが出ない可能性が高いということです。
NOTICEも「サポートが終了したルーターやネットワークカメラは買い替えをご検討ください」と明記しています。

▶ 関連記事：社内の古いPCがサイバー攻撃の入り口になる理由

使い終わったカメラとレコーダーは、どうすればいい？

見落とされやすいのが、機器を手放すときです。
レコーダーの中には、過去数か月分の映像がまとまって入っています。

IPAのカメラ専用チェックリストは、この点をはっきり書いています。

機器の管理機能からデータ消去を実行しても、そのデータは復元可能な状態で機器内に残っています。レコーダーに残った映像情報など、漏えいすると問題となる情報が保存されていた機器に関しては、リース、レンタルの返却や廃棄処理を外部委託する際の処置について調達仕様で要件化（再生不能な電磁的フォーマットや物理的破壊を行い、消去証明書を提出するなどと記載）しておくべきです。
（IPA「ネットワークカメラシステムにおける情報セキュリティ対策要件チェックリスト 第2版」）

やるべきことは3つです。

1. どの機器に映像が入っているかを、あらかじめリストにしておく（同チェックリストも「廃棄処理の対象とする機器をリストアップしておく必要があります」と明記）
2. リース返却・廃棄を外部に委託する場合は、契約時に「復元不能な消去または物理破壊」と「消去証明書の提出」を条件に入れる
3. 交換したカメラ本体も対象に含める（設定情報や無線LANのパスワードが残っている場合がある）

カメラを入れ替えるとき、古い機器は工事会社が持ち帰るのが一般的です。
そのとき「レコーダーの映像はどう処理されますか」と1問聞くだけで、大きな抜けを防げます。

▶ 関連記事：パソコン・スマホを廃棄／リース返却するときのデータ消去は？「初期化しただけ」が危ない理由

費用をかけずにできることは？

ここまでに出てきた対策を、費用の有無で仕分けします。
結論として、10項目のうち9項目は追加費用ゼロです。

やること	費用	根拠となる資料
事務所・店舗・倉庫・駐車場を歩き、カメラとレコーダーの台数・設置場所・メーカー・型番を紙に書き出す	0円	総務省チェックリスト D1・D2
カメラの管理画面のIDとパスワードを、初期設定から変更する（10桁以上・英大文字小文字・数字・記号・ランダム）	0円	NOTICE 安全な管理方法／総務省 C1
IDとパスワードを人ごとに分け、共有をやめる。退職者のアカウントを消す	0円	総務省 C2
ファームウェアを最新に更新し、自動更新があれば有効にする	0円	NOTICE／総務省 D3
インターネットから見る必要が本当にあるかを確認し、不要ならポート開放とUPnPを閉じる	0円	総務省 項番2・A1・A2
ログイン画面・管理画面から施設名・地域名・部署名を消し、記号に変える	0円	総務省 B1／IPAチェックリスト
使わない機能（SSH・Telnet・外部からの管理画面接続）を無効にする	0円	NOTICE／IPAチェックリスト
カメラの底面で技適マークを確認する	0円	NOTICE 制度・基準
「防犯カメラ作動中」の掲示を入口とカメラの設置場所に貼る	数百円	個人情報保護委員会 Ａ１－13
画角内に壁時計を置き、映像の時刻がずれていないか定期的に確認する	数千円	IPAチェックリスト
カメラを業務ネットワークから分離する（VLAN）	既存のUTM・ファイアウォールがあれば設定作業のみ	警視庁／総務省 A2

この順番には理由があります。
1〜9は入られにくくするための対策、10と11は気づける／広がらないようにするための対策です。
1つ目（台帳）を飛ばして先へ進むと、「どのカメラのパスワードを変えたのか分からない」という状態になります。
まず数えることから始めてください。

なお、パスワードについてNOTICEは重要な補足をしています。
「初期パスワードが複雑なものに設定されているルーターやネットワークカメラは、変更する必要はありません。近年の製品は個体個別に複雑なパスワードが設定されており、そういった製品は安全に使用いただけます」。
つまり、変えるべきはマニュアルに書いてある共通のパスワードのほうです。
また購入時の推奨として「一つ一つの機器に異なるIDやパスワードが割り当てられているものを購入することを推奨します」とも書かれています。

もう1つ、NOTICEが挙げている重要な注意があります。
「特にルーター等を中古で購入しパスワード等を変更せず使用している場合は、以前の所有者等の第三者がパスワードを知っている状態になり、悪用される可能性が高まります」。
中古のカメラやレコーダーを使っている場合は、初期化してからパスワードを設定し直してください。

そして万一、管理画面を見て身に覚えのない設定があった場合の手順もNOTICEに書かれています。
「万が一、不審な設定があった場合は、第三者がルーターやネットワークカメラに侵入している可能性があるため、直ちに初期化を行い、ファームウェアを最新版にアップデートし、管理用パスワード変更を実施しましょう」。
順番は「まず初期化」です。パスワードを変えるだけでは、攻撃者が有効にした設定が残ります。

▶ 関連記事：サイバー攻撃を受けたらまず何をすべき？初動対応チェックリスト

お金をかけるとしたら、どこからですか？

繰り返しになりますが、カメラ本体にセキュリティソフトを入れることはできません。
そのため、お金をかける先は次の4つに絞られます。

• 台帳を仕組みで持つ：カメラやレコーダーを含めて、社内の機器を一覧で管理する
• ネットワークを分ける・出入口で絞る：カメラを業務ネットワークから分離し、外からの通信を制御する
• 端末側を守る：映像を見るパソコンのWeb通信を守る
• 万一のときに調べられるようにする：感染や不正アクセスが疑われたときに調査できる

当社が取り扱う製品を、この4つの役割で整理します。
価格はいずれも税別で、構成や台数、契約期間によって変わります。

項目	LANSCOPE エンドポイントマネージャー	ISM CloudOne	Sophos Firewall	Webセキュリティ Plus	マルウェア感染調査
提供元	エムオーテックス	クオリティソフト	ソフォス	アクト（Check Point Harmony SASE搭載）	当社サービス
カメラの守りで担う役割	資産台帳（手順①）	資産台帳＋PC側の脆弱性把握（手順①③）	ネットワーク分離・出入口の制御（手順⑤⑥）	映像を見るPCのWeb通信の保護	事故が疑われたときの調査
カメラを台帳に載せられるか	可能（エージェントを入れられない機器も最大10,000件まで登録可）	可能（PC・スマートデバイスの管理が主）	—（機器の通信を制御する側）	—	—
初期費用	30,000円／契約	30,000円	本体 124,400円〜（XGS 107）	60,000円	0円
月額・年額の目安	プランⅢ ベーシック 月500円／台（年6,000円） ライトA 月300円／台（年3,600円）	基本機能 月600円／台（1〜）〜360円／台（1,000〜）	年間ライセンス 42,000円（Standard）／55,200円（Xstream・推奨）	月1,580円／台（年18,960円）	300台まで 298,000円 500台まで 498,000円
特徴	PC・スマホの資産管理とMDM。プリンターやルーターなどエージェント非対応機器もまとめて登録できる	毎日更新されるセキュリティ辞書と突合する自動脆弱性診断、サポート終了OSの可視化	IPS・TLSインスペクション・サンドボックス・DNS保護を統合。Sophos Centralでファイアウォール・スイッチ・Wi-Fi・エンドポイントを一元管理	IPA「サイバーセキュリティお助け隊サービス」2類。簡易サイバー保険が付帯	EDRツールで全端末を網羅的に調査。17時までの注文で翌日対応
注意点	カメラ本体の脆弱性は自動で分からないため、型番の管理までが役割	同じくカメラ本体にはエージェントを入れられない	カメラ用のネットワークを分ける設計・設定が必要	カメラ本体ではなくPC側の対策	詳細レポートは別途500,000円
試用	60日間の体験環境あり	最低契約期間1年	評価機あり（要相談）	最低契約年数1年	—
詳細	詳細を見る	詳細を見る	詳細を見る	詳細を見る	詳細を見る

（価格は2026年9月時点の目安です。最新の価格と構成はお問い合わせにてご確認ください）

カメラのために新しい製品を買う必要は、必ずしもありません。
すでにUTMやファイアウォールをお持ちであれば、ネットワーク分離とアクセス制御は「設定作業」でできます。
IT資産管理ツールをお持ちであれば、カメラを台帳に登録するのも設定作業です。
まずは手元にある機器で何ができるかを確認するところから始めてください。

▶ 関連記事：IT資産管理ツールの比較｜法人向けおすすめ製品と費用相場・クラウド型の選び方

全部そろえると、いくらになりますか？

従業員30名、パソコン30台、カメラ8台、レコーダー1台、1拠点という前提で試算します。

構成	初期費用	年額	初年度合計
LANSCOPE ライトA（30台） ※カメラ8台とレコーダー1台は任意項目として登録	30,000円	108,000円	138,000円
Sophos Firewall XGS 107＋Xstream Protection	124,400円（本体）	55,200円	179,600円
合計	154,400円	163,200円	約317,600円（月約26,500円）
2年目以降	—	163,200円	月約13,600円
まず台帳だけを仕組みで持つ場合	30,000円	108,000円	約138,000円（月約11,500円）
映像を見るPCのWeb通信まで守る場合（＋Webセキュリティ Plus 30台）	＋60,000円	＋568,800円	＋628,800円

この金額を、事故が起きた場合と比べてみます。

事故が起きた場合の費用	金額
マルウェア感染調査（300台まで）	298,000円
詳細レポート（別途）	500,000円
調査だけの小計	798,000円
カメラ8台の交換（国土交通省の事例では機器交換が必要になった）	機器代＋設置工事費
警察庁の統計：ランサムウェア被害で調査・復旧費用が総額1,000万円以上だった組織	全体の51.7%

（出典：警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」。同レポートでは被害報告226件のうち中小企業が143件・63.3%を占めています）

初年度約317,600円に対して、調査費用だけで798,000円——約2.5倍です。
しかも調査費用を払って分かるのは「何が起きたか」であって、外部に流出した映像が戻ってくるわけではありません。
そして国土交通省の事例が示すように、一度侵入されたカメラは交換になることがあります。

もう一度強調しますが、お金が必要なのは11項目のうち2項目だけです。
台帳・パスワード・更新・ポートの見直し・施設名の削除・技適マークの確認・掲示は、いずれも0円でできます。
しかも1〜9をやってからでないと、10と11で何を買えばよいかが決まりません。

補助金は使えますか？

セキュリティ対策の費用は、デジタル化・AI導入補助金の対象になる場合があります。
当社は同補助金のIT導入支援事業者として、申請のご支援まで対応しています。

枠	補助額	補助率
通常枠	5万円〜450万円	原則1/2（小規模事業者は要件により最大4/5）
セキュリティ対策推進枠	5万円〜150万円	小規模2/3・中小1/2（サービス利用料は最大2年分）

申請にあたっては、次の点にご注意ください。

• 交付申請までにSECURITY ACTIONの自己宣言IDとGビズIDが必要です
• 交付決定前に発注した費用は対象外になります。先に契約しないでください
• セキュリティ対策推進枠は、IPA「サイバーセキュリティお助け隊サービスリスト」に掲載されたサービスのうち、IT導入支援事業者が登録したものに限られます

カメラ本体や設置工事費は、補助対象にならない場合があります。
ハードウェアの扱いは枠と年度によって変わるため、補助金で賄いやすいのはIT資産管理ツールやセキュリティサービスの側です。
金額・要件は年度ごとに変わりますので、必ず最新の公募要領を確認し、専門家にご相談ください。

▶ 関連記事：セキュリティ対策の費用は補助金で抑えられる？デジタル化・AI導入補助金2026の対象・補助率・申請の流れ

▶ 関連記事：SECURITY ACTION（セキュリティ対策自己宣言）とは？一つ星・二つ星の違いと宣言のやり方

何から始めればいいですか？──7つの手順

最後に、実際の進め方を順番に整理します。
①〜⑥は費用ゼロ、または既存機器の設定作業でできます。

順番	やること	所要時間の目安	費用
①	数える：事務所・店舗・倉庫・駐車場を歩き、カメラとレコーダーの台数・場所・メーカー・型番・設置年・設置業者を書き出す	半日	0円
②	本当に外から見る必要があるかを決める：不要ならポート開放とUPnPを閉じる。必要ならVPN経由かメーカーのクラウド経由に切り替える	1〜2時間	0円
③	パスワードと権限を整える：初期パスワードを10桁以上の推測されにくいものに変更し、人ごとにアカウントを分け、退職者のアカウントを消す	1〜2時間	0円
④	ファームウェアを更新する：メーカーサイトで最新版を確認。自動更新があれば有効にする。24時間監視なら、画角が重なるカメラを確認して1台ずつ止める段取りを決める	半日	0円
⑤	見えている情報を削る：ログイン画面・管理画面から施設名・地域名・部署名を削除し、記号に変える。使わない機能（SSH・Telnet・外部からの管理接続）を無効にする	1〜2時間	0円
⑥	ネットワークを分ける：カメラとレコーダーを業務用とは別のネットワーク（VLAN）に置き、業務側との通信を必要最小限に絞る	半日〜1日	既存のUTM・ファイアウォールがあれば設定作業のみ
⑦	仕組みで持つ：台帳をツールで管理し、機器を買い替えるときはJC-STARの適合ラベルとサポート期間を確認する。廃棄・返却時は消去証明書を条件にする	継続	IT資産管理ツールの費用

①を飛ばさないでください。
総務省チェックリストのD1・D2も、IPAのチェックリストも、出発点は「どこに何台あるか」を把握することに置かれています。
カメラは工事会社が設置し、社内の誰も型番を知らないことが珍しくありません。数えた結果「これは何の機器か分からない」という1台が出てきたら、それがいちばん危ない機器です。

あわせて、事業継続の観点でも整理しておくと安心です。
カメラが2か月使えない状態になったときに、店舗や倉庫の運営をどうするかを決めておくのが、サイバー攻撃を想定した事業継続計画（BCP）の考え方です。

▶ 関連記事：サイバーBCPはどう作る？事業継続力強化計画（ジギョケイ）にサイバー攻撃を書く手順

カメラを入れたのは工事会社です。それでも自社の責任ですか？

カメラが管理されない最大の理由がこれです。
カメラは電気工事会社・警備会社・内装業者・リース会社が設置することが多く、社内のIT担当者が型番もパスワードも知らない、という状態が普通に起きています。

総務省のチェックリストは、この状態を前提にした項目を最初に置いています。

チェックリストの確認に伴い、所有者、構築者、運用者、利用者等のステークホルダを定義し、確認結果をそのメンバーに共有、協議するための準備を行う。
（総務省「令和5年度 重要IoT機器のセキュリティ対策に係る調査の請負」IoT機器チェックリスト 項番1）

つまり、まず「誰が持ち主で、誰が作って、誰が運用しているのか」をはっきりさせるところから始めよ、ということです。
責任の所在についても、あわせて押さえておきましょう。

論点	整理
機器の管理責任	ネットワークにつなぐ判断をしたのは自社なので、原則として自社の責任範囲です。NOTICEも「ルーター設置者には、この機能を用いてセキュリティ対策を実施することが期待されています」としています
映像に映る個人情報の責任	カメラ画像を取り扱っているのは自社です。個人情報保護法上の義務は自社に生じます
委託先の管理	設置・保守を外部に委託している場合、個人情報保護法25条により委託先を監督する義務が自社に生じる場合があります
契約で確認すべきこと	ファームウェア更新は誰がやるのか／管理者パスワードは誰が知っているのか／保守で入るときの記録は残るのか／廃棄時の映像消去はどうするのか

工事会社に丸投げしている場合、次の3つを1回だけ聞いてください。
①このカメラの管理者パスワードは初期設定から変更されていますか
②ファームウェアの更新は誰が、どのタイミングでやる約束になっていますか
③このカメラは、インターネットから直接見える設定になっていますか
3問とも即答できない場合、その時点で確認する価値があります。

▶ 関連記事：委託先・外注先のセキュリティ管理はどこまで必要？個人情報保護法25条の監督義務

業種によっては、もっと重い話になりませんか？

はい。カメラの映像が「事務所の様子」ではなく人の生活そのものを映している業種では、同じ事故の重さがまったく違います。

NOTICEが挙げていた事例を思い出してください。
小学校の防犯システムと保育所の見守りカメラで、どちらも第三者から映像が閲覧できる状態になっていました。
この事案を受けて、文部科学省とこども家庭庁が注意喚起を行っています。

業種	カメラが映しているもの	あわせて確認すべきこと
介護事業所	利用者の居室・食堂・入浴前後の動線	厚生労働省「介護事業所における情報安全管理の手引き」のチェックリスト
医療機関	待合室・受付・病棟の廊下	医療情報システムの安全管理に関するガイドライン（3省2ガイドライン）
学校・保育所	児童・園児の日常	文部科学省・こども家庭庁の注意喚起（ネットワークカメラの設定確認）
製造業	生産ライン・作業手順・図面が置かれた机	OT（生産設備）とIT（業務）のネットワーク分離。カメラがどちら側にあるか
小売・飲食	レジ周り・来客の顔・従業員の勤務状況	クレジットカード情報を扱う場合はEC・決済側の要件も併せて確認

とくに介護・医療・学校では、映像そのものが取扱いに慎重さを求められる情報になります。
「防犯のために入れたカメラ」が、結果として最も繊細な情報を扱う機器になっている——という点をご認識ください。

▶ 関連記事：介護事業所のセキュリティ対策はどこまで必要？厚労省「情報安全管理の手引き」チェックリスト21項目

▶ 関連記事：3省2ガイドラインとは？医療情報システムの安全管理ガイドライン第7.0版の変更点

▶ 関連記事：学校・教育機関のサイバーセキュリティ｜GIGAスクール端末の運用とMDM選定ポイント

よくあるご質問

Q. 従業員10名の会社でも、カメラの対策は必要ですか？

A. 必要です。理由は2つあります。
1つは、攻撃が会社の規模を見て選んでいるわけではないことです。インターネット上を自動で走るスキャンが、無防備な機器を見つけて入ってくるだけなので、規模の大小は関係ありません。
もう1つは、費用がほとんどかからないことです。この記事で挙げた11項目のうち9項目は0円で、必要なのは半日から1日の作業時間です。
まずはカメラの台数を数えることから始めてください。

Q. カメラは工事会社に入れてもらったので、当社では管理していません。それでも自社の責任ですか？

A. 原則として自社の責任範囲になります。
ネットワークにつなぐ判断をしたのは自社であり、映像に映る個人情報を取り扱っているのも自社です。
設置・保守を外部に委託している場合は、個人情報保護法25条により委託先を監督する義務が生じる場合もあります。
ただし、いま全部を引き取る必要はありません。「管理者パスワードは変更済みか」「ファームウェア更新は誰の担当か」「インターネットから直接見える設定か」の3点を確認するところから始めてください。

Q. カメラの管理画面のIDとパスワードが分かりません。どうすればいいですか？

A. まずは設置した工事会社やリース会社に照会してください。保守契約があれば、業者側が管理しているのが一般的です。
どうしても分からない場合、機器を初期化してパスワードを設定し直す方法がありますが、初期化すると録画設定やネットワーク設定も消えるため、業者に依頼するのが安全です。
なお「分からない」という状態そのものが、退職した担当者や過去の業者が知ったままになっている可能性を意味します。優先して解消すべき状態です。

Q. 24時間録画しているので、ファームウェアの更新で映像が途切れるのが困ります。

A. これは現場で最も多いご相談です。IPAのカメラ専用チェックリストが実務的な答えを出しています。
1つは事前に段取りを決めておくことです。「バージョンアップするかどうかを決定できるような適用基準と検討体制をあらかじめ決めておき」と書かれています。
もう1つはカメラ同士で画角を補い合うことです。同チェックリストは「カメラ同士でお互いの画角を補い合うことにより、カメラ単位の停止が可能となるかもしれません」としています。
カメラの配置図を見て、範囲が重なっているカメラを確認しておけば、1台ずつ止めて更新できます。費用はかかりません。

Q. ネットワークカメラを社外から見られるようにしています。すぐ止めるべきですか？

A. 止める必要はありませんが、見せ方を変えることを強くおすすめします。
カメラの管理画面をインターネットに直接さらす形（ポート開放）だと、防御はパスワードだけになります。実際に2026年2月、TP-Link製IPカメラで認証無しで管理者パスワードをリセットされる脆弱性が公表されました。この種の脆弱性では、パスワードの強さは意味を持ちません。
代わりに、VPN経由に切り替えるか、メーカーのクラウド経由で見る方式にしてください。どうしても直接見る必要があるなら、少なくとも接続元のIPアドレスを限定してください。

Q. カメラの映像が漏れたら、個人情報保護法の報告義務がありますか？

A. 不正アクセスによって映像が外部に流出した場合は「不正の目的による行為」による漏えいに当たり、1人分でも報告義務の対象になりえます。
速報はおおむね3〜5日以内、確報は60日以内（不正の目的による場合）です。
なお、日時でしか検索できない通常の録画映像は「個人情報」ではあっても「個人データ」ではないと整理されており、判断が分かれる場合があります。実際に事故が起きたときは、専門家や個人情報保護委員会に確認してください。
また、ログが残っていないと「何人分の映像が見られたのか」を特定できず、報告そのものが困難になります。

Q. 「防犯カメラ作動中」の掲示は必要ですか？

A. 実質的に必要とお考えください。
個人情報保護委員会は、カメラにより自らの個人情報が取得されていることを本人が容易に認識できない場合、「容易に認識可能とするための措置を講じなければなりません（法第20条第1項）」としています。
具体例として「防犯カメラが作動中であることを店舗や駅・空港等の入口や、カメラの設置場所等に掲示する等の措置」が挙げられています。
外観からカメラだと明らかな場合でも、掲示することが望ましいとされています。ステッカー1枚で対応できます。

Q. 海外製の安いカメラを使っています。何を確認すればいいですか？

A. 3点を確認してください。
①技適マーク：本体の底面や接続面を見てください。NOTICEは「技適マークが付いていない製品の使用は、法令違反であるとともに、電気通信回線設備を損傷するおそれがあります」と明記しています。
②修正ファームウェアが提供されているか：2025年11月に公表されたiCam365製CCTVカメラの脆弱性では、公表時点で「開発者による対応などの情報提供は確認できていません」とされていました。脆弱性が出ても直らない製品があります。
③映像の保存先：クラウド型の場合、映像がどの国のサーバーに保存されるかを確認してください。個人情報保護法の「外的環境の把握」に関わります。

Q. カメラにウイルス対策ソフトを入れることはできませんか？

A. できません。これは製品の良し悪しではなく、機器の性質です。
IPAのJC-STAR制度は、IoT機器を「利用者自身によって…ソフトウェア製品のインストール等により容易にセキュリティ対策を追加することが困難であるもの」と定義しています。カメラもレコーダーもこれに当たります。
そのため守り方は、台帳に載せる／初期パスワードを変える／ファームウェアを更新する／外から見えないようにする／業務ネットワークから分けるという「機器の外側」の対策になります。
なお、映像を見るパソコンの側には通常どおりウイルス対策ソフトとEDRを入れてください。

Q. IT担当者がいなくても運用できますか？

A. はい。この記事の①〜⑤は、経営者や総務のご担当者だけで実施できる内容です。
難しいのは⑥のネットワーク分離ですが、これは既存のUTMやファイアウォールの設定作業なので、設定は外部に任せて、判断だけ社内で持つ形にできます。
また、カメラの台帳をIT資産管理ツールで管理すれば、「誰かが覚えている」状態から「仕組みで持っている」状態に変えられます。
当社では、台帳づくりから設定作業、補助金の申請までまとめてご支援しています。

Q. まず何から相談すればいいですか？

A. カメラの台数と設置場所が分かるもの（配置図でも、手書きのメモでも構いません）をご用意ください。
それを見ながら、外から見えているカメラはどれか／分離すべきネットワークはどこか／今の機器でどこまでできるかを一緒に整理します。
あわせて、対策費用に使える補助金があるかもその場で確認します。
「型番が分からない」「工事会社の連絡先も分からない」という状態からのご相談でも問題ありません。

まとめ

この記事の要点を整理します。

• 総務省の調査で、インターネットから見えていた重要IoT機器の利用者のうち9割超が「外から見えることを意図していなかった」と回答しました。カメラの事故は「狙われて破られた」より「知らないうちに開いていた」という形で起きます。
• 同じ調査で、パスワード（87%）とソフトウェア更新（88%）は進む一方、アクセス制御（18%）と施設名の削除（17%）はほとんど手が付いていません。ここが空白です。
• カメラにはウイルス対策ソフトを入れられません。守り方は台帳・パスワード・更新・外から見せない・ネットワーク分離という「外側」の対策になります。
• インターネットにつなぐ機器のセキュリティ機能は端末設備等規則第34条の10で義務化されており、技適マークのない機器の使用は法令違反にあたります。カメラは本体の底面や接続面を確認してください。
• 国土交通省の事例では、河川監視カメラ337台が運用停止となり、パスワード変更だけでなく機器交換に至りました。小学校と保育所の事例では、第三者から映像が閲覧できる状態になっていました。
• 2026年には、認証無しで管理者パスワードをリセットされる脆弱性や「映像を見るだけ」の権限でOSコマンドが実行できる脆弱性が国内で公表されています。
• JC-STARで★3の基準が作られた製品類型は「通信機器」と「ネットワークカメラ」の2つだけです。次に買うときは「JC-STARの適合ラベルは付いていますか」の1問を加えてください。
• 11項目のうち9項目は追加費用ゼロです。お金が必要なのは、台帳を仕組みで持つことと、ネットワークを分けることの2つだけです。

カメラは、防犯のために入れた機器です。
それが放置されて「映像を覗かれる入口」や「他社への攻撃の踏み台」になってしまうのは、本来の目的と正反対の結果です。
そして幸いなことに、それを防ぐ作業の大半には、お金がかかりません。

今日1つだけやるなら、事務所と店舗と倉庫と駐車場を歩いて、カメラとレコーダーの台数を数えてください。
費用はかかりません。
そこで「これは何のカメラか分からない」「誰が入れたのか分からない」という1台が出てきたら、それがあなたの会社でいちばん危ない機器です。
その事実を、事故の日ではなく今日知れることに意味があります。

カメラの台数と設置場所の整理から、ネットワーク分離の設計、資産台帳の仕組みづくり、補助金の活用まで、まとめてご相談いただけます。
「型番が分からない」という状態からでも構いません。まずは現状の確認からお手伝いします。

▶ 関連記事：社内のネットワーク機器（ルーター・スイッチ・無線AP）のセキュリティ対策はどこまで必要？

▶ 関連記事：ファイルサーバー・NASのセキュリティ対策はどこまで必要？

▶ 関連記事：ネットワークセキュリティ徹底比較｜UTM・SASE・ZTNA・SWG・FWaaSの違いとおすすめ製品

▶ 関連記事：中小企業はなぜサイバー攻撃の標的になりやすいのか？