IoTセキュリティの各国比較 (日米欧のガイドラインから) ～第1回 IoTの定義と特徴
ここ近年、IoT（Internet of Things）の実用、普及に伴い、世界各国でIoTの情報セキュリティに関するガイドライン類の発行が相次いでいます。
しかし、これらの対象とする読者や使い方、IoTの種類などが多種多様であるため、わかりにくいのが実情です。その大きな原因として、IoTが示す範囲が非常に広いということと、従来の情報セキュリティとの違いが分かりにくいことが考えられます。
ここでは、日米欧それぞれが発行しているガイドライン類が示しているIoTの定義、特徴、そしてIoTのセキュリティ脅威と対策を確認し、その違いを見ていきます。
各国のIoTセキュリティに関する文書
各国のIoTセキュリティに関する文書は、多数公開されています。比較的最近のもので、代表的な文書としては以下のものが挙げられます。（2018年5月現在）
| 欧州(EU) | 「Baseline Security Recommendations for IoT in the context of Critical Information Infrastructures」(重要情報インフラにおけるIoTのベースラインセキュリティに関する提言」) 2017年11月 |
・ENISA（欧州ネットワーク・情報セキュリティ機関）が公開 ・IoT のセキュリティ要件、IoT 資産、脅威、想定される攻撃、セキュリティ対策等の知見を提供するもの ・当文書の 日本語による要約 をIPA（情報処理推進機構）が公開しています |
|---|---|---|
| 米国 | NISTIR 8200 (DRAFT)「Interagency Report on Status of International Cybersecurity Standardization for the Internet of Things (IoT)」(IoTのための国際的なサイバーセキュリティ標準化の状況に関する省庁間報告(ドラフト版) ) 2018年2月 |
・NIST（米国国立標準技術研究所）が公開 ・IoTセキュリティに関する標準化の状況に関する調査結果をまとめたもの ・ドラフト版のため、後日正式版が公開予定（2018年5月現在） |
| 日本 | 「IoT開発におけるセキュリティ設計の手引き」 2017年12月更新 |
・IPAが公開 ・IoT のセキュリティ設計で行う脅威分析・対策検討・脆弱性への対応方法を解説するもの |
| 「IoTセキュリティガイドライン ver1.0」 2016年7月 |
・総務省が公開 ・IoT 機器やシステム、サービスに対してリスクに応じた適切なサイバーセキュリティ対策を検討するための考え方をまとめたもの |
1. IoTの定義
各国では、IoTをどのように定義しているでしょうか？各文書では以下のように記述されています。
欧州（EU）
「意思決定を可能にする、相互接続されたセンサやアクチュエータから成るサイバーフィジカル・エコシステム」（"a cyber-physical ecosystem of interconnected sensors and actuators, which enable intelligent decision making"）
米国
NISTでは、IoTは「ネットワーク化されたエンティティ（例えば、センサー、アクチュエータ、情報資源、人々）を使用して物理的世界と対話するシステムを作成することに基づくコンセプト」として、IoTの定義を明確には定めていません。文書の附属書部分にいくつかの組織が公開している定義を紹介するに留めています。ただし、IoTの主要な機能として、Actuating（作動）、Data Storing（データ保存）、Networking（ネットワーク）、Processing（処理）、Sensing（感知）と示しています。
なお、DHS（米国土安全保障省）によるIoTの定義は以下の通りです。
「主に物理的な目的（センシング、暖房／冷房、照明、電動アクチュエーション、輸送など）を持つシステムや機器が、（多くの場合）組込みシステムに組み込まれた相互運用のためのプロトコルを介して（インターネットを含む）情報ネットワークとつながっていること」（"to the connection of systems and devices with primarily physical purposes (e.g. sensing, heating/cooling, lighting, motor actuation, transportation) to information networks (including the Internet) via interoperable protocols, often built into embedded systems"）
日本
日本では、ITU（国際電気通信連合）の勧告（ITU-T Y.2060(Y.4000)）に記載のあるIoTの定義の紹介に留めています。
「情報社会のために、既存もしくは開発中の相互運用可能な情報通信技術により、物理的もしくは仮想的なモノを接続し、高度なサービスを実現するグローバルインフラ」（"A global infrastructure for the information society, enabling advanced services by interconnecting (physical and virtual) things based on existing and evolving interoperable information and communication technologies"）
EUではIoTを明確に定義しています。米国ではコンセプトと主要な機能を説明し、日本は国際標準の定義をそのまま紹介しています。
EUと米国の文書の記載を見ると、「センサー」・「アクチュエータ」・「物理的」が共通のキーワードとなっていると考えられます。
2. IoTの特徴
それでは、各国ではIoTの持つ特徴はどのように記述されているのでしょうか？文書の具体的な記述から見ていきたいと思います。（※米国の文書には、IoTの特徴に関する明確な記載なし）
表1：IoTの特徴（各国の違い）
| No. | 特徴 | EU 「Baseline Security Recommendations for IoT in the context of Critical Information Infrastructures」 2.2 セキュリティ上の考慮事項 |
日本 「IoTセキュリティガイドライン」 1.1.2 IoT 特有の性質とセキュリティ対策の必要性（末尾に「ガ」と記載） 「IoT開発におけるセキュリティ設計の手引き」 1.1 IoT のセキュリティの現状と課題（末尾に「手」と記載） |
|---|---|---|---|
| 1 | 対象範囲が広いこと | ・膨大な攻撃対象／範囲（attack surface） | ・脅威の影響範囲・影響度合いが大きいこと（ガ） |
| 2 | 全体が複雑であること | ・普及の幅広さ（家庭から産業（重要インフラ）まで） | − |
| 3 | さまざまな普及形態があること | ・複雑なエコシステム（個々のIoT 機器だけでなく、つながっている機器、システム、ネットワーク等、全体として捉える必要性） | − |
| 4 | セーフティの確保が必要なこと | ・安全への影響（安全が脅かされる危険性） | ・生命に関わる機器やシステムが繋がることが想定される（手） |
| 5 | セキュリティ観点や要件が異なること | ・関係者によって異なるセキュリティ観点や要件 | ・IoT 機器側とネットワーク側の環境や特性の相互理解が不十分であること（ガ） ・つながる世界を拡げていくためには、「モノ」同士の技術的（通信プロトコル、暗号、認証等）、およびビジネス的な約束事が不可欠となってくる（手） |
| 6 | 専用プロトコルが必要な場合があること | − | ・IoT 機器側とネットワーク側の環境や特性の相互理解が不十分であること（ガ） ・つながる世界を拡げていくためには、「モノ」同士の技術的（通信プロトコル、暗号、認証等）、およびビジネス的な約束事が不可欠となってくる（手） |
| 7 | リソースが制限されていること | ・個々のIoT 機器における限られたリソース（CPU、メモリ等） | ・IoT 機器の機能・性能が限られていること（ガ） |
| 8 | 低コストであること | ・低コスト（適切なセキュリティ対策を実装する余裕の欠如） | ・「モノ」のコストの観点から、セキュリティ対策が省かれることが想定される（手） |
| 9 | スピード重視の開発 | ・"スピード重視"のセキュアでないプログラミング・開発 | − |
| 10 | ライフサイクルが長いこと | − | ・IoT 機器のライフサイクルが長いこと（ガ） |
| 11 | アップデートが困難であること | ・セキュリティアップデートの問題 | − |
| 12 | 想定外の接続が行われること | − | ・ネットに繋がる脅威をこれまで考慮してなかった分野の機器の接続が想定される（手） ・開発者が想定していなかった接続が行われる可能性があること（ガ） |
| 13 | 機器へのコントロールが行き届きにくいこと | − | ・IoT 機器に対する監視が行き届きにくいこと（ガ） ・「モノ」同士が、無線等で自律的に繋がることが想定される（手） |
| 14 | 収集した情報のコントロールはバックエンド側範囲となる | − | ・ネットを介して収集される情報の用途は、「モノ」側では制御が困難であり、バックエンドにあるシステムやクラウドサービス側での管理範囲となる（手） |
| 15 | 責任分界がわかりにくいこと | ・責任分界の不明確さ | − |
| 16 | その他（人材、基準） | ・IoT セキュリティに関する知識、スキル、経験を有する人材の不足 ・断片的なセキュリティ基準や規制 | − |
EUの記述ではIoTに関する幅広さ・複雑性、そして人材や基準のようなマネジメント側面が強調されているように思えます。日本の記述では機器やデータの管理の難しさが挙げられているように見えます。
両国の記述を見ると、「広くて複雑」、「低コストでリソースに制約」、「セーフティ」、「専用プロトコル」が共通のキーワードとなっていると考えられます。
参考
IoTと類似のものとして論じられることの多いシステムとして、制御システムがあります。IoTの定義によっては制御システムもその範囲に含まれるケースがあるため、その特徴を把握しておくことは有用と考えられます。
制御システムと通常のITシステムとの違いについて、米国のNIST SP800-82 Revision2「産業用制御システム（ICS）セキュリティガイド」で紹介していますのでご覧ください。（同ガイド表2-1）
表2：ITシステムとICSの相違点（簡略化・一部省略）
| カテゴリ | ITシステム | 産業用制御システム（ICS） |
|---|---|---|
| 性能要件 | リアルタイム不要 等 | リアルタイム 等 |
| 可用性要件 | リブート等の応答は可 等 | 要件によりリブート等の応答は不可 等 |
| リスク管理要件 | データの機密性と保全が最重要 等 | 人の安全が最重要 等 |
| システム運用 | 自動展開ツールを利用 等 | ソフトウェアの変更は慎重を要する 等 |
| リソースの制約 | 十分なリソース 等 | セキュリティ追加に必要なリソースは無い 等 |
| 通信 | 標準通信プロトコル 等 | 多数の専用・標準通信プロトコル 等 |
| 変更管理 | 良好なセキュリティポリシー・手順に従いタイムリーに実施 等 | ソフトウェア変更はシステム全体を通じて徹底的に試験・展開 等 |
| 管理サポート | 多様なサポートスタイルあり | サービスサポートは通常1業者のみ |
| コンポーネントの寿命 | 3年～5年 | 10年～15年 |
| コンポーネントの所在場所 | 通常ローカルに所在 | 隔絶された遠隔地 |
※制御システムの詳細については、過去のコラム「制御システムのセキュリティ」 をご覧ください。
次回は、IoTのセキュリティ脅威と対策に関する各国の違いを見ていきたいと思います。
参考文書
- Baseline Security Recommendations for IoT in the context of Critical Information Infrastructures（ENISA（欧州ネットワーク・情報セキュリティ機関））
- Interagency Report on Status of International Cybersecurity Standardization for the Internet of Things（NIST（米国国立標準技術研究所））
- Guide to Industrial Control Systems (ICS) Security（NIST（米国国立標準技術研究所））
- NIST SP 800-30 Revision 1（NIST（米国国立標準技術研究所））
- Strategic Principles For Securing The Internet Of Things（DHS（米国土安全保障省））
- IoT開発におけるセキュリティ設計の手引き（IPA（情報処理推進機構））
- IoTセキュリティガイドライン ver1.0（総務省）
- ITU-T Y.2060(Y.4000)（ITU（国際電気通信連合））
Writer Profile
セキュリティ事業部
セキュリティコンサルティング担当 チーフコンサルタント
戸田 勝之
Tweet