IoT製品に対するセキュリティ適合性評価制度とは―IoT製品・サービスを提供する製造業へのインパクト―
2022年11月から経済産業省の産業サイバーセキュリティ研究会にて「IoT適合性評価制度」の議論が始まりました。IoT製品のセキュリティ品質に投資し、認証マークによってそのセキュリティ品質の高さをユーザに訴求するIoT製品提供者の増加が期待されます。
独立行政法人情報処理推進機構（以下、IPA）が2024年9月末にIoT製品に関する「セキュリティ要件適合評価及びラベリング制度」（以下、JC-STAR）*1を公開し、2025年春より運用が開始されます（2024年10月現在の予定）。セキュリティレベルを評価、ラベリングする制度（以下、IoT適合性評価制度）が生まれた背景には、IoT機器の急速な普及に伴うリスクの高まりがあり、こうした制度の構築・運用は国際的なトレンドにもなっています。
本稿では、IoT適合性評価制度や製品セキュリティにおける基本概念ともいえるSecure by Design、Secure by Default、Secure by Demandという‟3つのD”によって期待されるセキュアなIoT社会について解説します。
IoT適合性評価制度とは
IoT適合性評価制度は、IoT機器に対するサイバー攻撃によるリスクに対応した安心・安全な製品の普及促進のために、セキュリティ品質を評価し、適合ラベルの付与によって可視化する制度を指します。日本国内においては、2024年9月にIPAによってJC-STARと呼ばれるIoT適合性評価制度が公開されました。グローバルでは、米国の「U.S. Cyber Trust Mark」やシンガポールの「Cybersecurity Labeling Scheme（CLS）」などの任意制度のほか、EUの「Cyber Resilience Act（CRA）」や英国の「PSTI法（Product Security and Telecommunication Infrastracture Act）」といった規則が存在し、特に後者の「規則」に関してはグローバル展開している製造業にとって、今まさに対応が急務となっている状況です。
製品セキュリティにおける“3つのD”
製品セキュリティにおける基本概念に、Secure by DesignおよびDefaultがあります。これは、脅威分析やリスク評価による合理的な保護機能が設計に組み込まれ、また保護機能の一部においては、追加料金や手順を必要とせず、最低限の脅威から保護されるよう機能を設計し、消費者に提供することを意味します。この2つの概念は製品を対象としたものですが、その一方で、消費者がよりセキュリティ品質の高い製品を調達する際の選定基準の考え方として、Secure by Demandが存在します。Secure by Demandについては、米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）が主にソフトウェア製品を対象にしたガイダンス*2を2024年8月に公表しています。また、国内では、2024年7月に一部改定された、政府統一基準群のガイドライン*3に日本の制度が反映されており、今後IoT適合性評価制度の普及とともに、消費者がより安心・安全な製品を要求するためのこうした考え方やガイドラインへの制度の盛り込みが広がっていくでしょう。
IoT適合性評価制度によって期待される未来
IoT適合性評価制度の普及は、製品ベンダーがセキュアな製品設計（Secure by Design）をし、標準的かつ分かりやすいセキュリティ機能を提供（Secure by Default）するだけでなく、消費者側も制度によって可視化されたセキュリティ品質に基づいて、より安心・安全な製品を優先的に選択する、あるいは組織内の運用方針をはじめとしたセキュリティルールなどに基づいて積極的に要求（Secure by Demand）するきっかけとなることが期待されます。その結果、製品ベンダーおよび消費者の両者がセキュリティ品質を意識することによる、よりセキュアなIoT社会を実現していくことにつながります。
*1 独立行政法人情報処理推進機構, セキュリティ要件適合評価及びラベリング制度（JC-STAR）
https://www.ipa.go.jp/security/jc-star/index.html
*2 CISA, Secure by Demand Guide: How Software Customers Can Drive a Secure Technology Ecosystem
https://www.cisa.gov/resources-tools/resources/secure-demand-guide
*3 内閣サイバーセキュリティセンター, 政府機関等の対策基準策定のためのガイドライン（令和5年度版）
https://www.nisc.go.jp/pdf/policy/general/guider6.pdf
*4 経済産業省, IoT製品に対するセキュリティ適合性評価制度構築方針～概要説明資料～
https://public-comment.e-gov.go.jp/pcm/download?seqNo=0000278531
執筆者
和栗 直英
シニアマネージャー, PwCコンサルティング合同会社
IoT適合性評価制度が作るセキュアなIoT社会
インサイト／ニュース
20 results
Loading...
「営業秘密」の保護と利活用 第1回：競争優位性の維持向上に不可欠な営業秘密保護対応
営業秘密は企業の競争優位性を支える重要な資産であり、経営層はこれをリスク管理の一環として重視し、戦略的に対応することが求められます。シリーズ第1回となる本稿では、営業秘密の定義とその重要性について解説します。
米国の船舶および港湾のサイバーセキュリティ法規制最新動向
グローバルでは近年、船舶サイバーセキュリティに関する統一規則（IACS UR E26/E27）の発行を筆頭に、海事分野におけるサイバーセキュリティの機運が高まっています。船舶・港湾分野におけるサイバーセキュリティの動向を理解し、発生しうる規制対応リスクについて解説します。
航空サイバーセキュリティの強化 ―EASA Part-ISが求める情報セキュリティ要件―
航空業界は、航空機や関連システムの高度なデジタル化やグローバルなサプライチェーンによる複雑化が進む中、サイバーセキュリティの重要性がかつてないほど高まっています。こうした背景から欧州航空安全機関（EASA）が2023年10月に制定した、情報セキュリティに関する初の規則となるPart-IS（委員会実施規則(EU) 2023/203および委員会委任規則2022/1645）について解説します。
医薬品の安定供給を支える、OTセキュリティ実装の道筋とは
近年、製造設備などの制御系システムを守るOT（運用技術：Operational Technology）セキュリティの重要性が高まっています。第一三共株式会社でOTセキュリティ強化の活動に従事する江口武志氏に、実際の導入から運用立ち上げをどのように進めたか、現場への浸透における難しさやチャレンジについて聞きました。
Loading...
