《Organization and Operational Manual for Certification Body and Label-issuing Body under JC-STAR（JSM-01）》是日本 IPA（信息处理推进机构） 制定的JC-STAR（日本网络安全技术评估要求标签计划）核心操作手册，于2024 年 8 月 23 日生效、2025 年 7 月 1 日修订，核心是规范认证机构与发标机构的组织架构、服务流程及通用操作：明确两类标签服务路径（自我声明路径，对应 STAR-1/2 标签由发标机构审核授标；第三方评估 + 认证路径，对应 STAR-3/4 标签由认证机构基于评估报告授标），规定标签初始有效期 2 年、延长规则（自我声明无次数限制，第三方最多 3 次），建立标签监管与撤销机制（基于 surveillance 结果或违规行为），同时明确保密义务（需签订 NDA）、人员资质要求（如 certifier 需符合 JSM-01-C）及争议处理流程，是保障 JC-STAR 计划公正、规范运行的操作性文件。
一、文档总则（Chapter 1 General Provisions）
核心定位
作为 JC-STAR 计划的操作手册，规范认证机构（Certification Body） 与发标机构（Label-issuing Body） 的组织运营、标签服务流程，确保符合JIS Q 17065（产品 / 过程 / 服务认证机构要求），最终保障 JC-STAR 计划的公正性与可靠性。
关键基础信息
项目
内容
制定方
日本信息处理推进机构（IPA）
生效时间
初版 2024 年 8 月 23 日，修订版 2025 年 7 月 1 日
立法依据
《独立行政法人通则法》《信息处理促进法》
术语依据
对应 JSS-01（JC-STAR 体系文件）及 JIS Q 17065
质量政策
IPA 专员（CEO）需制定并公示质量方针与质量目标，确保认证 / 发标机构人员理解并执行，且服务过程无歧视、无利益冲突。
二、组织架构（Chapter 2 Certification Body and Label-issuing Body）
法律地位：认证机构与发标机构均为IPA 内设组织，依据《独立行政法人通则法》设立，无独立法人资格。
核心人员及职责
角色
核心职责
CEO（IPA 专员）
1. 制定质量方针 / 目标；2. 保障服务资源（预算、人员）；3. 决策体系文件修订
管理总监
1. 最终决策标签授标 / 撤销、评估机构审批；2. 运营委员会；3. 财务管控
管理系统经理
1. 维护服务质量；2. 文档管理（最新版本控制）；3. 处理投诉与整改
技术经理
1. 技术事务决策（如合规标准解读）；2. 验证评估报告技术有效性
Certifier（认证员）
1. 验证评估机构的评估结果；2. 参与评估机构资质审核
委员会设置两类常设委员会，均由最多 15 名委员组成（含企业专家、学者、政府官员），任期不超过 2 年（可连任）：
委员会类型
核心职责
管理委员会
1. 审议服务政策与管理体系；2. 监督服务公正性，向 CEO 提建议
技术委员会
1. 制定安全要求、合规标准及评估指南；2. 审议技术争议（如标准解读）
临时工作组（WG）
针对专项议题（如产品类合规标准修订）开展详细讨论，由委员会主席组建
三、人员管理（Chapter 3 Personnel）
人员资质要求所有参与服务运营的人员需具备必要专业知识，且需签署《道德声明》（含保密义务、利益冲突规避），未签署者不得参与服务。
培训与教育认证 / 发标机构需根据需求为人员提供培训，内容包括合规标准更新、操作流程优化等，确保服务质量。
四、标签服务流程（Chapter 4 Certification and Label-issuing Services）
（1）自我声明路径（STAR-1/2 标签）
申请接收发标机构按《JSM-02（标签获取要求）》接收申请人材料，细节见《JSM-01-A（标签服务操作流程）》。
标签授标审核材料无违规（如自我声明符合 STAR-1/2 要求），则授予标签；否则拒绝申请。
（2）第三方评估 + 认证路径（STAR-3/4 标签）
申请审核认证机构验证材料，符合 JSM-02 则发《申请受理通知》，否则拒绝。
评估报告审核认证机构确认评估机构提交的《合规评估报告》符合 STAR-3/4 要求，且评估流程合规。
标签授标验证通过则授予标签；未通过则通知申请人原因。
（3）标签有效期管理
管理类型
自我声明路径（STAR-1/2）
第三方评估路径（STAR-3/4）
初始有效期
2 年（可应申请人要求缩短）
2 年（可应申请人要求缩短）
延长次数
无限制
最多 3 次
每次延长时长
2 年（可缩短）
1 年（可缩短）
重认证要求
无
初始授标满 5 年后，需按 STAR-3/4 流程重认证
（4）标签维护
自我声明路径申请人（registrant）提交维护申请，发标机构确认无 JSM-02 违规，则维持标签；否则撤销。
第三方评估路径registrant 提交《影响分析报告》，认证机构审核（必要时参考评估机构报告），确认产品变更无安全影响，则维持标签；否则撤销。
（5）标签撤销
触发条件有效期届满未申请延长；
申请人自愿撤回；
Surveillance（监管） 发现违规：如申请材料虚假、未在规定期限修复严重漏洞、标签滥用。
操作流程通知 registrant 整改，给予指定期限；
逾期未改则正式撤销标签，并公示。
五、合规标准变更（Chapter 5 Change of Conformance Criteria）
变更通知合规标准变更前，需给予申请人充足缓冲期并提前通知，确保申请人有时间适配。
追溯效力变更后的标准不影响已授标产品（标签有效期内仍适用旧标准），但有效期延长申请需按新标准执行。
六、通用操作（Chapter 6 Common Operations）
评估机构管理
审批认证机构按《JSM-03（评估机构审批要求）》审核评估机构资质，通过则批准，细节见《JSM-01-B（评估机构审批流程）》。
终止审批评估机构违规（如评估流程不合规），认证机构可终止其资质。
保密义务
必须与申请人、评估机构签订《保密协议（NDA）》，申请人未同意则拒绝其标签申请；
监管过程中如需获取机密信息，需额外签订 NDA。
争议处理针对申请人、评估机构的申诉或投诉，需按《JSM-01-A》流程处理，确保公正透明。
管辖法院所有与本计划相关的诉讼，东京地方法院为一审专属管辖法院，申请人需同意此条款，否则拒绝其申请。
探索 · 专注 · 领先工匠精神 从始至终 探索之途 一往无前