現在地

IoTセキュリティの各国比較 (日米欧のガイドラインから) ~第2回 IoTへのセキュリティ脅威と対策

前回は、IoTの定義とその特徴を日米欧のガイドラインから紹介しました。今回は、IoTのセキュリティ上の脅威と対策について同様にご紹介します。

1. IoTのセキュリティ脅威

各国では、IoTのセキュリティ上の脅威をどのように定めているのでしょうか?そのアプローチの違いを見ていきたいと思います。

欧州(EU)

EUの文書(Baseline Security Recommendations for IoT in the context of Critical Information Infrastructures)ではIoTのセキュリティ脅威として以下を挙げています。

● 不正操作/悪用
マルウェア、攻撃ツール、標的型攻撃、DDoS、不正機器、プライバシー侵害、情報改ざん
● 盗聴/傍受/ハイジャック
中間者攻撃、IoT通信プロトコルのハイジャック、情報傍受、ネットワーク情報収集、セッションハイジャック、情報収集、リプレイ攻撃
● サービス停止
ネットワーク障害、機器障害、システム障害、サポートサービスの停止
● 損壊/喪失
データ/機微な情報の漏えい
● 障害/誤動作
ソフトウェア脆弱性、第三者要因
● 災害
天災、環境
● 物理攻撃
機器障害、機器破壊

また、文書では、これらとは別に優先すべき攻撃シナリオがいくつかが示されています。その中でIoTの関係者および専門家へのインタビューにおいてトップ3に選ばれているのが以下の攻撃シナリオです。

  1. IoT の管理システム(administration system)に対する攻撃
    - 影響:IoT の不正操作・停止による、人、環境、他システムなどへの影響
  2. センサの測定値、閾値、設定の改ざん
    - 影響:不正な値の受入れ、上位システムの物理的損害
  3. デバイスに対するコマンドインジェクション
    - 影響:他のマシンへの侵入、デバイスの不正使用

米国

米国の文書(Interagency Report on Status of International Cybersecurity Standardization for the Internet of Things (IoT))では、IoTとそれ以外を特に区別してセキュリティ脅威を定義していません。別文書の「NIST SP 800-30 Revision 1」(リスクアセスメントの実施の手引き)の付録E 脅威事象にセキュリティ脅威が示されているとしています。

日本

日本の文書(IoT開発におけるセキュリティ設計の手引き、IoTセキュリティガイドライン)でも、米国同様にIoTのセキュリティ脅威について特別に定義していません。IoTのセキュリティ脅威は、セキュリティ設計における脅威分析によって明らかにしていくものとしています。

セキュリティ設計の手順

Step1:対象とするIoT製品やサービスのシステム全体構成を明確化する。
Step2:システムにおいて、保護すべき情報・機能・資産を明確化する。
Step3:保護すべき情報・機能・資産に対して、想定される脅威を明確化する。(脅威分析)
Step4:脅威に対抗する対策の候補(ベストプラクティス)を明確化する。
Step5:どの対策を実装するか、脅威レベルや被害レベル、コストなどを考慮して選定する。


なお、IoTのセキュリティ脅威の例として、「IoT開発におけるセキュリティ設計の手引き」の中でOWASPなどの文書を参考にした脅威分析の紹介の中でいくつか示されています。

脅威の例

ウイルス感染、不正利用、不正設定、不正コマンド、不正アクセス、不正改造、情報漏えい、操作ミス、設定不良、盗聴、改ざん、DoS 攻撃、SPAMメール、フィッシング、不適切コンテンツ


EUの文書では、ネットワーク経由の攻撃、物理的な攻撃、災害などの様々な脅威が書かれていますが、IoT以外の分野でも見られるものが多いように見えます。そのことを補完するかのように併せて優先すべき攻撃シナリオも記載されており、具体的な攻撃ステップなども説明されています。
日本と米国の文書では脅威の例は書かれていますが、明確に定義していません。

2. IoTのセキュリティ対策

それでは、各国では、IoTセキュリティ対策としてどのように対策を明示しているのでしょうか?各国の記述とそれらのマッピングで見ていきたいと思います。

欧州(EU)

EUの文書では、さまざまなセキュリティ標準で定めている対策を参考に、83個のIoTセキュリティ対策を導出しています。(個別対策の記載は省略しています)
具体的対策の前に「ポリシー」というカテゴリでセキュリティ・バイ・デザインやリスク評価などの考え方を示しているのが特徴です。

● ポリシー(12要件)

  • セキュリティ・バイ・デザイン(7件)
  • プライバシー・バイ・デザイン(2件)
  • 資産管理(1件)
  • リスクおよび脅威の特定と評価(2件)

● 組織的、人的、運用的対策(14要件)

  • 製品ライフサイクルを通じたサポート(3件)
  • 有効性が確認されているセキュリティ対策の利用(1件)
  • セキュリティ脆弱性/インシデント管理(4件)
  • セキュリティ教育(3件)
  • 第三者組織とのセキュリティに関する取り決め(3件)

● 技術的対策(57要件)

  • ハードウェアセキュリティ(2件)
  • 信頼性/完全性管理(5件)
  • 堅牢なデフォルトセキュリティ/プライバシー設定(2件)
  • データ保護/法規へのコンプライアンス(5件)
  • システムの安全性/信頼性(3件)
  • セキュアなソフトウェア/ファームウェアアップデート(3件)
  • 認証(6件)
  • 認可(2件)
  • アクセス制御(5件)
  • 暗号化(4件)
  • セキュアで信頼のおける通信(9件)
  • セキュアなインターフェース/ネットワークサービス(7件)
  • セキュアな入力/出力処理(1件)
  • ログの取得(1件)
  • 監視/監査(2件)

米国

米国の文書では、IoTのセキュリティ対策について明確に定義していません。
なお、IoTに限りませんが、サイバーセキュリティの標準(Standard)に関する11のコア領域を示しており、文書のAnnex Dでこれらコア領域に各機関のセキュリティ文書をマッピングしています。

サイバーセキュリティのコア領域

  • 暗号技術
  • サイバーインシデント管理
  • ハードウェア保証
  • 識別、アクセス管理
  • 情報セキュリティ管理システム(ISMS)
  • ITシステムセキュリティ評価
  • ネットワークセキュリティ
  • セキュリティ自動化と継続的モニタリング(SACM)
  • ソフトウェア保証
  • サプライチェーンリスクマネジメント(SCRM)
  • システムセキュリティエンジニアリング

日本

日本の文書でも、米国同様にIoTのセキュリティ対策について明確に定義していません。
IoTのセキュリティ対策の例として、「IoT開発におけるセキュリティ設計の手引き」の表3-6 対策候補一覧で主なものが例示されています。

対策候補一覧

脆弱性対策、セキュア開発、サーバセキュリティ、FW機能、サーバ認証、
フィルタリング、IDS/IPS、Dos対策、アンチウイルス、仮想パッチ、
ユーザ認証、メッセージ認証、通信路暗号化、データ暗号化、データ二次利用禁止、
ホワイトリスト制御、ソフトウェア署名、出荷時状態リセット、セキュア消去、
耐タンパーH/W、耐タンパーS/W、遠隔ロック、遠隔消去、
ログ分析、説明書周知徹底

※上記対策は、例示であり、すべてのIoTセキュリティ対策を示しているわけではありません。

3. 対策の比較

それでは、EUと日本、米国の文書に記載されている対策(および対策例)にはどのような違いがあるのでしょうか?両社を比較し、共通のものをカテゴライズしてみました。

表1:IoTセキュリティ対策の比較

No. カテゴリー EU
「Baseline Security Recommendations for IoT」
4. セキュリティ対策とグッドプラクティス
日本
「IoT開発におけるセキュリティ設計の手引き」
表3-6 対策候補一覧
米国
「NISTIR 8200 (DRAFT)」
6.サイバーセキュリティ領域とIoT
1セキュリティ・バイ・デザイン・セキュリティ・バイ・デザイン
・プライバシー・バイ・デザイン
(セキュリティ設計)・システムセキュリティエンジニアリング
2リスクアセスメント・資産管理
・リスクおよび脅威の特定と評価
(脅威分析)・情報セキュリティ管理システム(ISMS)
3ハードウェアセキュリティ・ハードウェアセキュリティ・耐タンパーH/W・ハードウェア保証
4システムのセーフティ・システムのセーフティ/信頼性--
5デフォルトセキュリティ設定・堅牢なデフォルトセキュリティ/プライバシー設定・サーバセキュリティ-
6アクセス制御・認証
・認可
・アクセス制御
・サーバ認証
・ユーザー認証
・メッセージ認証
・遠隔ロック
・識別、アクセス管理
7暗号化・暗号化・データ暗号化・暗号技術
8ネットワークセキュリティ・セキュアで信頼のおける通信
・セキュアなインターフェース/ネットワークサービス
・FW機能
・フィルタリング
・IDS/IPS
・DoS対策
・通信路暗号化
・仮想パッチ
・ネットワークセキュリティ
9ソフトウェアセキュリティ・セキュリティ・バイ・デザイン
・セキュアなインターフェース/ネットワークサービス
・信頼性/完全性管理
・セキュア開発
・脆弱性対策
・耐タンパーS/W
・アンチウイルス
・ホワイトリスト制御
・ソフトウェア署名
・ソフトウェア保証
10セキュアなアップデート・セキュアなソフトウェア/ファームウェアアップデート・脆弱性対策-
11データ入出力チェック・セキュアな入力/出力処理--
12ログの取得と監視・ログの取得
・監視/監査
・ログ分析・セキュリティ自動化と継続的モニタリング(SACM)
13信頼できるソリューションの利用・有効性が確認されているセキュリティ対策の利用--
14長期サポート・製品ライフサイクルを通じたサポート--
15インシデント管理・セキュリティ脆弱性/インシデント管理-・サイバーインシデント管理
16教育・セキュリティ教育--
17外部委託管理・第三者組織とのセキュリティに関する取り決め-・サプライチェーンリスクマネジメント(SCRM)
18コンプライアンス・データ保護/法規へのコンプライアンス・データ二次利用禁止-
19安全なデータ消去-・遠隔消去
・セキュア消去
・出荷時状態リセット
-
20利用者への周知-・説明書周知徹底-
21ITシステムセキュリティ評価--・ITシステムセキュリティ評価

EUの文書では組織的、人的対策を含め幅広い対策を記載しています。日本の文書ではOWASPのガイドライン類を参考にしたためと推察されますが、技術的対策を中心に記載しています。安全なデータ消去や利用者への周知といった対策も明確に書かれています。
米国の文書では、対策として具体的には定めていません。なお、ITシステムセキュリティ評価は、主に暗号モジュールのセキュリティテスト・評価を指しています。

4. まとめ

  • 欧州では、産業競争力強化のためにドイツのIndustry 4.0など、政府が深く関与する形でIoTの活用や標準化を推進しています。そのため、IoTセキュリティにおいても標準化への検討が進み脅威や対策の記述が具体的になっていると考えらえます。一方、米国ではIoTはITと同様にその発展は民間企業や企業連合、非営利組織が主導する形となっているため、IoTセキュリティについてはその考え方を示すレベルに落ち着いていると思われます。日本では、IoTセキュリティ設計の考え方や進め方に重きを置いているように見えます。
  • IoTシステム・サービスの開発においては、まずセキュリティ設計よって脅威やリスクの分析が行われるべきというのが各国の共通項であるといえます。しかし、その結果必要となるIoTセキュリティ対策については、標準化の途上にあるといえます。
  • また、各国のIoTセキュリティ対策(もしくは対策例)およびその特徴を見ることで、多様な観点・ノウハウを取り入れることができます。また、制御系システムのセキュリティの考え方もIoTセキュリティを考えるうえで参考になります。
  • 最後に、IoTセキュリティの実現のためには、IT側の関係者はIoT特有の技術や物理的特性を理解することが重要と考えられます。また、IoT側の関係者もITの情報セキュリティの考え方を理解することが重要と考えられます。

参考文書

  • Baseline Security Recommendations for IoT in the context of Critical Information Infrastructures(ENISA(欧州ネットワーク・情報セキュリティ機関))
  • Interagency Report on Status of International Cybersecurity Standardization for the Internet of Things(NIST(米国立標準技術研究所))
  • Guide to Industrial Control Systems (ICS) Security(NIST(米国立標準技術研究所))
  • NIST SP 800-30 Revision 1(NIST(米国立標準技術研究所))
  • Strategic Principles For Securing The Internet Of Things(DHS(米国土安全保障省))
  • IoT開発におけるセキュリティ設計の手引き(IPA(情報処理推進機構))
  • IoTセキュリティガイドライン ver1.0(総務省)
  • ITU-T Y.2060(Y.4000)(ITU(国際電気通信連合))

Writer Profile

セキュリティ事業部
セキュリティコンサルティング担当 チーフコンサルタント
戸田 勝之