講演会資料

IoT製品の開発における要点
2019/12/18
パ ナ ソ ニ ッ ク 株 式 会 社
コネクティッドソリューションズ社

IoTサイバーリスク
Ｑ：ハッカーはどちらを狙いますか？

ID/PW

Copyright © 2019 Panasonic Corporation . All Rigths Reserved.

情報漏洩
破壊・停⽌

IoTハッキング
2018年度も攻撃の半数がIoT向け

出展：NICTNICTER観測レポート2018よりCopyright © 2019 Panasonic Corporation . All Rigths Reserved.

動向①
2018/12EU（ENISA）：
Cybersecurity Act審議

2018/11
ドイツ：セキュアルーター技術GL【必須要件】
・デフォルトPW禁⽌・PW英数8⽂字以上・セキュアファームウェア更新機能

2019/6制定⇒2020/1施⾏
オレゴン州IoTキュリティ法案
・デフォルトPW禁⽌・情報を適切に守る⇒違反時は販売差⽌めと罰⾦

2019/7実施
英国：IoT製品セキュリティレベルを⽰す新たなラベル制度の法制化
・デフォルトPW禁⽌・アップデートサポート期間の明⽰
・脆弱性通報の連絡先設置

2019/4発⾏⇒2019/10実施
電気通信事業法改正

2019/2実施
NOTICE（NICT）

2018/9制定⇒2020/1施⾏
カリフォルニア州IoTキュリティ法案

・電気通信回線設備に直接接続する機器は技適Tマーク必要

・9⽉時点約600件/98000件の注意喚起を実施
・5年間実施・デフォルトPW禁⽌・適切な情報保護とｾｷｭﾘﾃｨ対策⇒違反時は罰⾦① 具体的対策指針（デフォルトPW禁⽌、セキュアなファームウェア更新）② 罰則規定の導⼊（オレゴン州）③ 認定マークの導⼊＝コストから戦略投資（販売促進）へ
Copyright © 2019 Panasonic Corporation . All Rigths Reserved.

動向②
2014年 サイバー攻撃の被害を受けた業者が開発会社を訴え、開発会社の善管注意義務違反により全⾯敗訴■2016年7⽉ 『IoTセキュリティガイドライン』■2017年11⽉ 『サイバーセキュリティ経営ガイドラインVer2.0』⇒特に「検知・対策・復旧」を追加■2019年度『新防衛調達基準の試⾏導⼊』⇒取引企業9000社に対するSP800-171の準拠■2019年4⽉ 『電気通信事業法改正』発⾏⇒ネットワークに直接繋がるIoTは技術基準適合認定取得。
セキュリティ対策（PW、リモートメンテ）が追加。
※さらに⾃動運転、制御インフラでの規格化及び協議・・・
Copyright © 2019 Panasonic Corporation . All Rigths Reserved.

今後必要なのは『説明責任』

IoTの定義
ネットワークに接続する16/32bitCPU 100M-1GHzのデバイス

CPUスペック

通信機能

セキュリティ対策技術
情報系：PC等／即対策可能

IT

32bit/64bit
1.0GHz以上○

IoT

16bit/32bit
100MHz-1.0GHz○*IT並みの対策技術なし。

Sensor16bit/32bit
100MHz以下

×GW装置（1.0GHz程度）にて情報を収集、上位へ送信。

Copyright © 2019 Panasonic Corporation . All Rigths Reserved.

制御系：OT等／即対策困難

IoTの課題⻑期視点でのコストとセキュリティのギャップ

アプリ層

暗号・認証層安全性＝計算量脆弱
標的型攻撃
⽔飲み場攻撃強固ホワイトリスト？

強固脆弱

CPU=32/64bit
1.5G-2.0GHz

CPU=16/32bit
30M-1.0GHz

アプリケーション
暗号認証

暗号鍵

認証鍵

鍵⽣成
シード

Copyright © 2019 Panasonic Corporation . All Rigths Reserved.

製品開発者の悩み□ 脅威分析に不安（どこまで、何を）⇒ 製品開発ライフサイクル□ 製品単体の対策で⼗分？
⇒ 脅威分析・対策

Copyright © 2019 Panasonic Corporation . All Rigths Reserved.

製品開発ライフサイクル
コストとセキュリティのバランスは上流設計で押さえる
IoT

実装

検証

保守

脅威分析、対策

脆弱性診断

ペネトレー
ションテスト

PSIRT

シード/鍵/暗号認証

アプリ/OS/OSS

要件

設計

アプリ
OS/OSS
暗号認証
鍵⽣成
シード⽣成

Copyright © 2019 Panasonic Corporation . All Rigths Reserved.

総合検証・対策

脅威分析・対策
ビジネスモデルでの製品脅威は変化する
運⽤

設置

保守

廃棄Access
Point

クラウド
サーバー

IoTスマホ

守るべき資産＊安全性が証明された暗号を正しく実装できるか？
＊製品寿命を⾒据えた対策なのか？
Copyright © 2019 Panasonic Corporation . All Rigths Reserved.

製造*

サプライチェーン含参考：トータルサイバーセキュリティ事業
IoT向けコア技術とエコシステムでサイバー攻撃に対応① ソフトウェアライセンス

IoT② セキュリティサービス

サービス基盤

セキュリティベンダー

対策

リモートメンテソフト

リモートメンテサービス

検知

ログ⽣成ソフトサイバー攻撃検知サービス

攻撃分析

デバイス証明書
発⾏サービス

認証局

暗号・認証ソフト

防御
鍵⽣成ソフトIT（PC、NW）③ セキュリティコンサルティング、第三者評価
Copyright © 2019 Panasonic Corporation . All Rigths Reserved.

、サイバーリスク保険

参考：IoT向けコア技術
IoTの課題を当社ソフトウェア・実装技術で解決
トラストチェーン
OS／アプリ②暗号課題①：安全な鍵⽣成→ デバイス内⾼速鍵⽣成技術※ 他社⽐約10倍③認証
課題②：PC並みの暗号強度

暗号鍵

認証鍵→ IoTリソースに最適なセキュアライブラリー※ ⾼速（2〜4倍）、少メモリー（1/10）※ 徹底管理の⾃社100％ソフトウェア①鍵⽣成
シードトラストアンカー
Copyright © 2019 Panasonic Corporation . All Rigths Reserved.

課題③：強固な認証⼿段→ IoTデバイス証明書サービス※ 第三者CA局と連携した安価で安全な発⾏

参考：デバイス証明書発⾏サービス
低コストで安全な証明書発⾏の仕組みをご提供
BeforeAfter

外部で鍵⽣成／証明書発⾏

デバイス内部での鍵⽣成/証明書発⾏

CSR

HSM
【課題】
① 鍵／証明書の外部漏洩リスク② HSMサーバー等の過⼤な設備投資と⽣産設備変更
Copyright © 2019 Panasonic Corporation . All Rigths Reserved.

鍵⽣成ソフト

RACSR

CA

【解決】
① 鍵／証明書を保護② 既存製品にも⼿軽で安全に導⼊可能参考：ＦＡセキュリティ
セキュアな製品はセキュアな⼯場から2019年度 パナソニック国内外⼯場へ展開中① ガイドライン ②⾒える化 ② 脅威分析 ③ 対策サービス
Copyright © 2019 Panasonic Corporation . All Rigths Reserved.

事業リスク
・操業停⽌・製品回収
・⾵評被害