メルトピア

経営基盤を強化するIT戦略

三菱電機メルトピア。様々な事例がご覧いただけます。

  • 巻頭特集

  • 経営基盤を強化するIT戦略
  • 2016年 8・9月号(No.219)
  • IoT時代に求められる
    サイバーセキュリティーの
    基礎知識とその対策

あらゆるモノがインターネットに繋がり、情報のやり取りや遠隔制御を行うIoTの普及が急速に進んでいます。IoTでは様々な機器をインターネットに繋ぐことで新たな価値を創出しますが、その一方で、インターネットに繋がる機器は、不正アクセスなどのサイバー攻撃の対象になりえます。このため、IoT時代のものづくりでは、セーフティーに加えてセキュリティーも考慮した開発が求められます。今回は、IoT時代のサイバーセキュリティーの現状と求められる対策について解説します。

▲ ページトップに戻る

あらゆるものがサイバー攻撃の
対象となるIoT時代

 従来、サイバーセキュリティー対策と言えば、サーバーやパソコンといったIT機器からの情報漏えいを防ぐことが主でした。しかし、IoT時代になると、家電製品、ビルやマンションの設備、ガスや水道の設備、列車や自動車の設備など、今までスタンドアローンやクローズドな環境で使われていた機器が、オープンなインターネットに繋がるようになります。これにより、ネットワーク経由の攻撃にさらされるリスクが生じました。
 例えば、家電製品や自動車など人々の身近にあるものがネットワークに繋がるようになりました。こうした機器がサイバー攻撃の対象となると、本人が気づかないうちに個人情報が漏えいする怖れがあります。
 また、情報漏えいだけでなく、停止・誤動作といった物理的な被害をもたらす可能性もあります。電気・ガス・水道、あるいは交通機関といった、重要な社会インフラの制御システムも攻撃の対象となります。こうしたインフラ制御システムへの侵入や破壊を許せば、例えば大規模停電のような、大きな社会的混乱を招く怖れがあります。
 サイバー攻撃を実行する側の組織化、高度化も進んできました。近年のサイバー攻撃の実行者は、インターネット黎明期のような愉快犯ではなく、金銭を目的とするプロの犯罪者集団が増えました。また、カルト団体が自らの思想信条を広めるためにサイバー攻撃を利用することもあります。さらに、攻撃者には軍隊も想定され、サイバー空間は第五の戦場と言われています。
 組込み・制御系のものづくりでは、これまで安全性(セーフティー)が重視されてきましたが、IoT時代にはセーフティーとセキュリティーを両立させる必要があります。しかし、組織化、高度化した今のサイバー攻撃からの防御は、一企業の努力だけでは難しくなっています。万が一の時の影響の大きさから言っても、産官学が国際的に連携して取り組むことが求められています。  

▲ ページトップに戻る

増大するサイバー攻撃リスクに対して
国も対策を本格化

 増大するサイバー攻撃の脅威に対して、国も様々な施策を打っています。我が国では、2014年に「サイバーセキュリティ基本法」が成立。2015年には「内閣サイバーセキュリティセンター(NISC)」が設置され、「サイバーセキュリティ戦略」が発表されるなど、国レベルでも対応が本格化しています。
 NISCの「サイバーセキュリティ戦略」では、セキュリティーマインドを持った企業経営の推進が提唱されています。そして、事業戦略としてサイバーセキュリティーを確保していくためには、組織内にセキュリティーインシデントに対応する組織であるCSIRT(Computer Security Incident Response Team)を設置するとともに、経営層に最高情報セキュリティー責任者(CISO:Chief Information Security Officer)を置く必要性と、サイバーセキュリティー人材を育成することの重要性を指摘しています。経済産業省も経営者向けに「サイバーセキュリティ経営ガイドライン」を策定するなど、日本でも経営上の重要課題として、セキュリティー対策に取り組むべきだという認識が広がってきました。セキュリティー対策は現場任せにせず、トップダウンで行うべき、というのがセキュリティーの専門家の共通した見解です。CISOの設置は、セキュリティー人材のキャリアパスのゴールともなり、高いスキルを持った人材の確保・育成にも繋がる施策と言えるでしょう。

▲ ページトップに戻る

安全性を第三者が証明する
機器認証制度がすでにスタート

 複数の企業や異なる国の間で協調してセキュリティー対策を施すためには、共通の言語や物差しとなる規格が必要になります。各ベンダーが独自に高いセキュリティーを主張しても客観的な評価指標が存在しなければ比較することができません。そこで、サイバーセキュリティーの分野でも、国際標準規格とそれに基づく認証が重要になってきました。
 国際標準規格を使うメリットは、定義された共通の言葉で、お互いのセキュリティー対策が説明できることです。規格に沿った認証を受けている組織や製品であれば、利用者は一定のセキュリティーが確保されている事を前提に取引や調達を進められ、高度なセキュリティー対策を実現しやすくなります。
 組織がもつ情報を守るうえでは、すでに国際標準規格ISO27001(ISMS)が普及しています。機器に作り込むセキュリティーの国際標準として注目されているのが、IEC62443です。IEC62443は、EDSA認証(Embedded Device SecurityAssurance)(図)で規定された規格を取り込み、汎用性が高く、様々な組込み・制御機器に対して適用できる規格として採用が広がりつつあります。IEC62443に取り込まれるEDSA認証の規格は、制御システムの機器を対象とし、第三者機関が審査するものです。日本では2012年に「技術研究組合制御システムセキュリティセンター(CSSC)」が発足し、その中のCSSC認証ラボラトリーが重要インフラのセキュリティー確保のためISASecure@ EDSA認証を行う評価機関となっています。
 ISASecure@ EDSA認証は、国際的な認証推進組織であるISCIが運営する制御機器のセキュリティー保証に関する認証制度であり、「ソフトウエア開発セキュリティ評価(SDSA)」「開発セキュリティ評価(FSA)」「通信ロバストネス試験(CRT)」の3つの評価のカテゴリーがあります。また、3段階のセキュリティーレベルがあり、高レベルになるほど、審査項目が多くなります。
 その中でSDSAでは、ソフトウエア開発プロセスの各段階において、適切なセキュリティー活動フェーズが組み込まれているかどうかが審査されます。最終製品の機能や性能だけでなく開発プロセスも評価されるところが特徴と言えます。FSAでは、機器のセキュリティー機能の実装が審査され、CRTでは通信の堅牢性がテストされます。まだスタートしてから日が浅いEDSA認証ですが、将来的には、ユーザーからの機器調達条件としてESDA認証のレベルが指定されるようになる可能性があります。
 EDSAのような機器認証は、IoTセキュリティーの共通言語として、今後、重要性が高まっていくでしょう。それに伴いIEC62443に準拠したものづくりや認証取得のサポートが新しいビジネスとなることも期待されます。

▲ ページトップに戻る

整備が進む組込み機器認証制度

EDSA認証は、第三者機関により、組込み・制御機器のセキュリティーを認証するもの
整備が進む組込み機器認証制度

▲ ページトップに戻る

  • 正しい知識の習得と
    セキュリティーの専門家との連携が
    セキュアなものづくりを推進する

IoT時代には、組込み・制御機器にもサイバーセキュリティー対策を施す必要があります。そのために、これからの組込み・制御機器開発者には、セキュリティーに関する基礎的な知識と、IoT時代のセキュリティー技術を身につけることが求められます。また、高度なセキュリティー対策の実装には専門家とのコラボレーションが欠かせません。組込み・制御機器の開発におけるセキュリティー対策のあり方について考えてみましょう。

▲ ページトップに戻る

IoTの各レイヤーで
守る多層防御

 IoT時代には、組込み・制御機器もセキュリティーに関するリスクが高まり、開発プロセスを通じ製品等に実装されるセキュリティー技術の重要性が高まります。これから本格的なIoT時代を迎えるにあたり、この分野に関わるすべての人にとってセキュリティーに関する知識が重要になります。
 IoTでは多種多様な機器やサーバー、クラウドなどが組み合わさってシステム全体を構成します。IoTの形態は様々ですが、どのようなシステムでも共通するのは、図のような複数のレイヤーから構成されているという点です。一番下のレイヤーには各種のデバイスがあります。ここでいうデバイスとは、各種のセンサーや、それらを搭載した家電、FA機器、車載機器などの末端の機器を指します。それがネットワーク、プラットフォーム、サービスといった上位のレイヤーに繋がっていきます。
 一般的に下のレイヤーに行くほど機器の数が多くなり、上のレイヤーに行くほど情報の価値が高まり、サイバー攻撃を受けた時の社会的影響も大きくなります。そこで、IoT時代のセキュリティー対策では、システム全体でのセキュリティー対策とともに、最上位サービスに至るまでの各レイヤーで防御する多層防御の考え方が重要です。各レイヤーによって、守るべきものや防御の方法も変わってきます。例えば、末端のセンサーなどでは、通信路に不正なデータを混入されても誤動作をしないとか、異常時にも正しい終了処理ができるといったセキュリティー対策を講じます。
 センサーなどのシンプルな機器は暗号を扱うほどの処理能力を持たない場合もあります。コスト面での制約もありますから、多重防御では各レイヤーの機器やソフトウエアに適したセキュリティー対策を講じる役割分担が必要です。
 またソフトウエアの開発においては、セキュアコーディングが求められます。サイバー攻撃を行う側は、コーディングによって生じるシステムの脆弱性を狙ってきます。こうした攻撃に耐えられるプログラムを書くことでセキュリティー上の穴を開けないことが必要です。
 IoT時代のセキュリティーは、データの暗号化やファイアウォールの設置、ウイルス対策ソフトの導入にとどまりません。機器の開発プロセスにセキュリティーを適切に組込む、機器とクラウドの通信は認証・暗号化で保護する、クラウドのデータはアクセス制御や暗号化で保護する、機器の脆弱性が報告された場合には迅速にソフトウエアをアップデートする体制を整える等、多面的にかつ多層的に行う必要があることを関係者は認識しておくことが重要です。  

 

▲ ページトップに戻る

組織が守るべきセキュリティーと
作り込むセキュリティーの違いを理解する

 これまでオープンなネットワークに繋がることが少なかった組込み・制御系の開発者にとり、サイバーセキュリティー対策は新しい課題となります。また技術者だけでなく、この分野に関わるすべての関係者も、「セキュリティーとは何か」という基本的な部分を整理して理解しておくことが望まれます。
 まず、組織が保有する情報を守るセキュリティーと、個別の製品やシステムのセキュリティーを守ることは別だということを正しく理解する必要あります。
 組織が保有する情報を守るセキュリティーとは、オフィスへの入退室管理や、メールの誤送信対策、パスワード管理など、企業が持っている情報の漏えいを防ぐため組織人が守るべき対策です。組込み・制御系システムの開発においてもこうした視点は必要ですが、これだけでは不十分です。製品にセキュリティー機能を作り込むためには、組織人が守るべきセキュリティーとは別の、様々な知見が必要になります。暗号化のような具体的な方法を検討する以前に、まずは、組織が守るべきことと、製造物に対して作り込むものを明確に分けておく必要があります。  

 

▲ ページトップに戻る

基礎知識の習得に推奨される
「情報セキュリティマネジメント試験」

 セキュリティーの基本を身に付けるための方法として、独立行政法人情報処理推進機構(IPA)の「情報セキュリティマネジメント試験※1」があります。
 この試験に合格すれば、プロとして最低限必要なセキュリティーの基本が習得できます。開発者はもちろん、発注者やスタッフ部門の人などもこの試験を受けることで、用いる用語やその意味を揃えることができ、意思疎通がより的確になります。
 セキュリティーの重要性は今後も高まっていくことが予想されます。セキュリティーに関する基本的な知識は、職種を問わず必須のものとなっていくでしょう。

 

※1:情報セキュリティマネジメント試験(SG) [Information Security ManagementExamination] 情報セキュリティーマネジメントの計画・運用・評価・改善を通して組織の情報セキュリティー確保に貢献し、脅威から継続的に組織を守るための基本的なスキルを認定する試験。

 

▲ ページトップに戻る

アセスメントや機能選択では
専門家の力を活用すべき

 IoTの具体的なセキュリティー対策について検討する際のアセスメントでは、検討する対象がIoTのレイヤーのどこに属しているかを認識する必要があります。前述のように、製品の属するレイヤーによって求められるセキュリティー対策が異なります。この製品はどういう所で使われ、どのような攻撃があり得るのか、この製品に障害が起きたらどのような被害がでるのか、それに対するセキュリティー機能は足りているのかといった事を分析、評価します。
 セキュリティーリスクアセスメントを進める上では、サイバー攻撃に関する知識や経験が必要です。セキュリティー対策の選択においては、守るべきセキュリティーと、機器の特性を考慮し運用にも配慮する必要があります。後からセキュリティー機能を入れ込むのは大変で膨大なコストがかかる恐れもあります。セキュリティーの専門家にアドバイスを求めることが適切な場合もあるでしょう。

 今後もサイバー攻撃が巧妙化し続ける一方でIoTの普及、拡大が見込まれる中、企業においてはセキュリティー教育や人材育成が重要になります。ところが、セキュリティー技術の習得のためには、時間と労力がかかります。実際2014年のIPAの試算では情報関連以外の業種で2万人(その後の追加調査で8万人と言われている)の技術者が不足するとされています。そのため、今後は高度なセキュリティー技術を持つ人材を確保していくことが重要視されるようになるでしょう。

▲ ページトップに戻る

IoT時代のサービスを構成するレイヤー

IoTサービスはいくつものレイヤーにから構成されている。それぞれのレイヤーに適したセキュリティー機能を実装して多層防御を行うのが基本
IoT時代のサービスを構成するレイヤー

▲ ページトップに戻る