{{item.videoDuration}}
{{item.title}}
{{item.text}}
{{item.videoDuration}}
{{item.text}}
「PSIRT徹底解説」製品セキュリティ統括組織PSIRTの全貌を解き明かす：なぜPSIRTが製造業で必要なのか
2022-11-14
IoT製品が普及するにつれ、IoT製品のセキュリティに係る問題も目立つようになってきています。この問題に対峙するには、従来の品質対応とは少し異なった体制づくりが求められます。本インサイトシリーズでは、製品セキュリティに対応するための体制「PSIRT1」に必要となる基本的な取り組みや将来像についてご紹介します。その第1回となる本稿では、製造業を取り巻くセキュリティ環境について解説します。
IoT機器を取り巻く環境
インターネットにつながり、そのアプリケーション機能を実行するIoT機器は、一般に低価格な組み込みシステムとして開発されるため、機器のリソースは限られており、自己防御機能も制約されます。防御能力の低い端末を、攻撃者が自分の攻撃の手足にしようと乗っ取りを考えるのも自然と言えます。NICT（国立研究開発法人 情報通信研究機構）の「NICTER2観測レポート2021」によれば、インターネット上の攻撃パケット数は2021年はやや減少したもの、年々増加の一途をたどっていました（図表1）。
こういった攻撃パケットを発するマルウェアの1つに「MIRAI」という、社会的インパクトの大きいマルウェアがありました。MIRAIはIoT機器を主なターゲットにしており、2016年には50万台規模のIoT機器群が感染してBotnet3を形成し、攻撃者の指示に合わせて、一斉に攻撃パケットをターゲットへ投げつけるDDoS4攻撃がありました。この攻撃により、大手ウェブサイトの多くを下支えするDNS（ドメイン・ネーム・システム）が停止し、多くのユーザが利用するサイトが世界規模で一時接続不能になるなど、大きな被害が出ました。MIRAIの亜種となるIoTマルウェアも年々増加傾向にあります。
IoTセキュリティ施策の動向
MIRAIの問題により、製品利用者のセキュリティ面の安全性を確保するため、何かしらの対策を打つ必要性が求められ、特にIoT機器メーカーにセキュリティ対応を求める声が高まりました。1つは、法規制面から一定の対応を要求する施策です。もう1つは、利用者やIoT機器メーカー自身のセキュリティ意識を高め、セキュリティ面の安全性の高い製品が求められる市場への変革を促すという、セキュリティ要件の国際標準化施策です。ここではそれぞれの動向を簡単にお伝えします。
1. 法制化の動向
MIRAIへの感染対策として、日米では2020年にいち早く法律が整備されました。米国のカリフォルニア州やオレゴン州では住民保護を目的に、インターネットに接続する製品を州内で製造または販売する法人に対し、主に、端末へのユーザアクセス制限機能となるIDとパスワードに関するセキュリティ要件を満たすことが法律で定められました。これらの州法では特別な適合試験などは要求されていませんが、監査請求などがあった場合にはセキュリティ要件に合った製品であることの説明責任を果たせるよう、準備しておく必要があります。
日本では、総務省が電気通信事業法の技術適合要件において、インターネットに直接接続する端末を対象に最低限のセキュリティ機能要件として、カリフォルニア州同様のIDとパスワードに関する要件や電源喪失後の回復に関する要件などを求め、2020年4月より施行されました。事業者はこれまでの通信機器としての適合試験をパスすることに加えて、これらの要件に適合する必要があります。
一方、英国政府は独自の視点から法制化を目指しています。2018年には市場に対して「Code of Practice for Consumer IoT Security（消費者向け IoT 製品のセキュリティに関する行動規範）」という13箇条の提言を行い、その中から主に3つの要件を抽出し、「PSTI法5」として法制化する方針を固めました。要件の１つは、「工場出荷時のデフォルトパスワードの禁止」という日米と似た要件ですが、IoT機器メーカーに対する要件がある点が特徴的です。その要件とは「脆弱性6情報の公開方針を開示すること」、および「消費者に対して製品のアップデート（脆弱性の改修）の提供があるのか、あるのであればその提供期間を提示すること」というものです。
2.国際標準化の動向
2015年頃から日米欧の各地域でIoTセキュリティに関するガイドラインの議論が官民の間で活発化しました。そして乱立気味のガイドラインを世界で統一していこうという機運が高まり、国際標準化する流れになりました。
日本では、総務省と経済産業省が協力して2016年に発行した「IoTセキュリティガイドラインv1.0」を基に2つの国際標準7に貢献しました。一方、米国はNIST8がとりまとめたIoTセキュリティに関するベースライン（最低）要件（NISTIR 8259A）と同様のものをISO/IEC9へ提案しています。これは米国独自要件とならないように国際協調を図る動きかもしれません。
欧州では、英国がETSI10と協力し、前述の13箇条を「欧州国際標準EN 303 645」としてリリースしました。これは対応すべき点が13項目と絞られていて理解しやすい点と、技術的な評価手法もTS 103 701に整備された点が評価されたと思われ、多くのIoT企業が参照しています。EN 303 645の要件を満たした製品であることを示す民間認証サービスも始まっており、利用者のセキュリティ意識へ訴求する動きも出てきています。
まとめ
以上のように、IoT機器のセキュリティ問題が顕在化し、法規制や国際標準の整備が進んでいます。利用者のセキュリティへの関心の高まりもあり、利用者から信頼されるIoT機器メーカーとなる対策として「PSIRT」を備える動きが国際的に広まりつつあります。
未知の脆弱性は予見できなくても、過去の事例を参考として、再発防止策を整備することは少なくとも可能です。過去事例から予見可能な問題への対策を講じることや、すでに発覚しているセキュリティ問題への早急な改修や復旧対応を行うことを怠った場合には、メーカーの社会的責任が問われる可能性があります。実際に、訴訟やリコールに発展した事例も既に見られます。
IoT機器を提供するメーカーとして、製品のセキュリティ品質（セキュリティ面の安全性）を確保することは、コンプライアンス活動の一環としても重要になってきています。そして、製品を構成するソフトウェア部品がセキュリティの問題を抱えていないかを確認する責任、そして問題があった場合には適切に対処に応じる責任があります。その上でPSIRTは、製品の安全性を担保できる組織をリードするにあたり、重要な役割を担うでしょう。
1 Product Security Incident Response Team、製品セキュリティインシデント対応チーム
2 NICTER：“ニクター”、ダークネットと呼ばれる未使用のIPアドレスに対する攻撃パケットを大規模に観測するNICTのシステム
3 Botnet：“ボットネット”。ウィルス感染により悪意ある攻撃者の指令に従うようロボット化された機器の集団
4 DDoS: “ディードス”、Distributed Denial of Service。分散型サービス停止
5 the Product Security and Telecommunications Infrastructure Bill
6 脆弱性：ソフトウェアなどにおけるセキュリティ上の弱点
7 ISO/IEC 27400:2022 IoT security and privacy — Guidelines、およびISO/IEC 30147:2021 Internet of Things (IoT) - Integration of IoT trustworthiness activities in ISO/IEC/IEEE 15288 system engineering processes（IoTシステム全体の信頼性を確保する視点のガイドライン）
8 NIST: National Institute of Standards and Technology, 米国標準技術研究所
9 ISO/IEC 27402.2 IoT security and privacy — Device baseline requirements
10 ETSI: European Telecommunication Standards Institute, 欧州電気通信標準機構
{{filterContent.facetedTitle}}
{{contentList.dataService.numberHits}} {{contentList.dataService.numberHits == 1 ? 'result' : 'results'}}
{{contentList.loadingText}}
{{contentList.loadingText}}
{{filterContent.facetedTitle}}
{{contentList.dataService.numberHits}} {{contentList.dataService.numberHits == 1 ? 'result' : 'results'}}
{{contentList.loadingText}}
{{item.videoDuration}}
{{item.title}}
{{item.text}}
{{item.videoDuration}}
{{item.text}}
{{contentList.loadingText}}
{{filterContent.facetedTitle}}
{{contentList.dataService.numberHits}} {{contentList.dataService.numberHits == 1 ? 'result' : 'results'}}
{{contentList.loadingText}}
{{item.videoDuration}}
{{item.title}}
{{item.text}}
{{item.videoDuration}}
{{item.text}}
{{contentList.loadingText}}
