修士論文

安全な家庭用IoT機器の購買選択に役立つ一般
消費者向けセキュリティラベルの研究

2023. 03.03
情報セキュリティ大学院大学
M2, 上野 瑞己

研究概要
目的：消費者にセキュリティラベルによって安全なIoT機器を見分け購買選択してもらう
セキュリティラベル要件
要件1：セキュリティラベル付与商品が安全なIoT機器であると消費者に伝わる
要件2：セキュリティラベルを見た消費者がラベル付与商品を購買選択する
要件3：セキュリティラベルによって消費者がセキュリティに関心を持つ

日常生活に浸透しているラベリング

セキュリティラベルの研究・調査

エコラベルの先行研究

米・欧・英のセキュリティラベル
研究・調査・ラベリングの情報提供
・ラベルの認知度
・消費者への経済的インセンティブ

・消費者に伝わるラベルの情報表示形式

セキュリティラベルの在り方の提案• マークなどの単一ラベルにすることで消費者は安全なIoT機器かを商品にラベル付与されているかラベルの有無で判断できるようにする• URLやQRコードなどを用いて2階層ラベルにすることで、商品の詳細情報を取得できるようにする• セキュリティレベルに応じてラベルの色の区別でグレード分けをする• 政府などの消費者が信頼をおいている組織が関わることで、消費者からラベルの信用を得る• 消費者に価格インセンティブを与えるキャンペーンを実施する• 消費者のセキュリティの関心を高めセキュリティラベルを活用してもらえるよう、セキュリティ教育を実施する

1

目次♣ 研究の背景と目的♣ 研究対象の家庭用IoT機器について♣ IoT機器のセキュリティラベルの現状♣ セキュリティラベル要件の定義♣ エコラベルについて♣ エコラベルの先行研究から考察♣ 世界各国のセキュリティラベルの現状♣ セキュリティラベル先行研究から考察♣ 本研究の成果：セキュリティラベルの提案

2

研究背景と目的♣ 研究背景● スマートロックやスマートスピーカーなど一般消費者がIoT機器を使用する機会が多くなってきている。その様な状況のなか、市場で販売されているIoT機器が安全でない可能性があり、その様な安全でないIoT機器を消費者が購入してしまい一般家庭で使用される可能性がある。

♣ 本研究の目的● 消費者が購買選択する際に安全なIoT機器を見分け購買選択することで、一般家庭で使用されるIoT機器が安全なIoT機器になっていく。

♣ 目的を達成するために● 消費者が購買選択時に安全なIoT機器を見分けることができるようにするために、ラベリングを用いる。製品に付与されているセキュリティラベ
ルから消費者が安全なIoT機器だという情報を取得することで安全なIoT機器を見分けることができるようになる。
3

家庭用IoT機器
ALSOK
ホームセキュリティBasic

https://www.alsok.co.jp/person/homealsok/basic/

図１.対象外の家庭用IoT機器

スマートプラグhttps://www.switchbot.jp/

図２.対象の家庭用IoT機器

ラベリングを用いる
現状
消費者が家庭用IoT機器を購買選択する選択肢に、安全なIoT機器と安全でないIoT機器が同居している

ラベリングを用いることで消費者が注目することができ、意思決定に有意義な情報を与え、消費者の選択に影響を与える可能性のある手段である5

セキュリティラベル
セキュリティラベル
ラベリング規準のセキュリティ要件に準じたセキュアなIoT機器であることを認証された商品のみに付与されるラベル

IoT機器のラベリング•••アメリカではNISTが2022年に、消費者向けIoT製品のサイバーセキュリティラベルの推奨規準を公表
日本では、 重要生活機器連携セキュリティ協議会（CCDS）が、サーティフィケーションプログラムを2019年に開始
シンガポール、ドイツ、フィンランドでは消費者向けIoT製品に対するセキュリティラベリング制度を既に運用開始しているが、早いもので2020年からの開始である

セキュリティラベルは、始まったばかりで規模も小さく消費者に届いていない6

セキュリティラベル要件の定義

セキュリティラベル付与商品が安全なIoT機器
要件１であると消費者に伝わる
セキュリティラベルを見た消費者がラベル付
要件２
与商品を購買選択する
セキュリティラベルによって消費者がセキュリ
要件３
ティに関心を持つ

7

研究概要
目的：消費者にセキュリティラベルによって安全なIoT機器を見分け購買選択してもらう
セキュリティラベル要件
要件1：セキュリティラベル付与商品が安全なIoT機器であると消費者に伝わる
要件2：セキュリティラベルを見た消費者がラベル付与商品を購買選択する
要件3：セキュリティラベルによって消費者がセキュリティに関心を持つ実施されているラベル

エコラベルの先行研究
・ラベリングの情報提供
・ラベルの認知度・消費者への経済的インセンティブ

セキュリティラベルの研究・調査

米・欧・英のセキュリティラベル
研究・調査・消費者に伝わるラベルの情報表示形式

セキュリティラベルの在り方の提案• マークなどの単一ラベルにすることで消費者は安全なIoT機器かを商品にラベル付与されているかラベルの有無で判断できるようにする• URLやQRコードなどを用いて2階層ラベルにすることで、商品の詳細情報を取得できるようにする• セキュリティレベルに応じてラベルの色の区別でグレード分けをする• 政府などの消費者が信頼をおいている組織が関わることで、消費者からラベルの信用を得る• 消費者に価格インセンティブを与えるキャンペーンを実施する• 消費者のセキュリティの関心を高めセキュリティラベルを活用してもらえるよう、セキュリティ教育を実施する

8

エコラベルとは
エコラベル
エコラベルは、商品が環境に配慮して生産されたことを表す目印で商品に関する環境情報を提供する手段の一つである

消費者の商品選択時に、環境問題への意識を喚起させ、環境保護の商品行動を促す役割が期待されている。

9

エコラベルの先行研究～インセンティブ～

家電エコポイント制度などにより、ポイント交換できる商品を魅力的にすることで、環境問題への関心度の高い層だけでなく、ポイント利用を目的とした消費者も取り込むことができ、この層に環境配慮行動を体験させる機会を与えることにもなる
西尾 チヅル,“見える化情報に対する消費者の受容性と課題”,環境情報科学39-4 2011

セキュリティラベルへの示唆
消費者に実態の気づきを与え配慮行動の指針や選択肢を示すことが期待でき、経済的インセンティブが得られることで製品の購入を促し配慮行動の体験を与えることができる

10エコラベルの先行研究～情報提供～• 詳細な情報や数値の直接的な情報の提示は必ずしも消費者に受容されているとはいえず、むしろ視覚的に比較しやすい色の区別やグラフ表示などの「わかりやすさ」が推奨されている• 消費者はラベルの認証主体の信頼性を重視している
根本志保子, “「環境の見える化」指標と消費者行動”,環境情報科学39-4,2011,pp.34-39

セキュリティラベルへの示唆••

詳細な情報や数値は消費者のセキュリティに関する知識が高くない限り理解することが困難である
消費者に情報を理解してもらうために色やグラフなど視覚的に理解しやすい表示方法は有効である
11

エコラベルの先行研究～認知度～• エコラベルは環境配慮行動を行っている人に多く認知されている。
• 若年層でエコラベルの認知度が高いことから、近年の環境教育の影響がうかがわれる。
藤澤美恵子,平湯直子,“環境ラベル認知度と環境配慮行動の関係”, Journal of Japan

セキュリティラベルへの示唆
セキュリティへの関心やラベルの認知度を高めることにもつながるなど、セキュリティ教育は重要である
12

エコラベルの先行研究について考察♣ エコラベルの先行研究をセキュリティラベル要件について考察した
セキュリティラベル付与商品が安全なIoT機器
要件１であると消費者に伝わる
セキュリティラベルを見た消費者がラベル付要件２
与商品を購買選択する
セキュリティラベルによって消費者がセキュリ要件３
ティに関心を持つ
13

エコラベルの先行研究について考察

要件１ ：セキュリティラベル付与商品が安全なIoT機器であると消費者に伝わる
ラベルを用いることで消費者に商品のセキュリティレベルを伝えることができる。
詳細な情報や数値の直接的な情報ではなく、視覚的に比較しやすい色の区別などで表示するべきである14エコラベルの先行研究について考察

要件2 ：セキュリティラベルを見た消費者がラベル付与商品を購買選択する

家電エコポイント制度のような制度やキャンペーンを通して、ラベル自体の存在の認知向上や、経済的インセンティブを与えることができる。
セキュリティラベルを通してセキュリティを考えた購買選択の「ものさし」となる情報を提供することで、消費者はセキュリティを考えた行動に役立てることができる。

15

エコラベルの先行研究について考察

要件3 ：セキュリティラベルによって消費者がセキュリティに関心を持つ消費者のセキュリティへの関心に影響を与えることで、消費者のセキュリティへの関心が高まっていき新たに商品を購買選択する際にセキュリティを考慮した選択をしていくなどの好循環に繋がっていく16

エコラベルの研究からセキュリティラベルの提案• 消費者が視覚的に比較しやすい色の区別やグラフ表示などで情報提供する• 政府などの消費者が信頼をおいている組織が関わることで、消費者からラベルの信用を得る• 購買選択時消費者にラベルを活用してもらうた
めに、経済的インセンティブを与えるキャンペーンや、セキュリティ教育を通してラベル付与商品を選択してもらう

17

研究概要目的：消費者にセキュリティラベルによって安全なIoT機器を見分け購買選択してもらう
セキュリティラベル要件
要件1：セキュリティラベル付与商品が安全なIoT機器であると消費者に伝わる
要件2：セキュリティラベルを見た消費者がラベル付与商品を購買選択する
要件3：セキュリティラベルによって消費者がセキュリティに関心を持つ実施されているラベル

エコラベルの先行研究
・ラベリングの情報提供
・ラベルの認知度
・消費者への経済的インセンティブ

セキュリティラベルの研究・調査

米・欧・英のセキュリティラベル
研究・調査・消費者に伝わるラベルの情報表示形式

セキュリティラベルの在り方の提案• マークなどの単一ラベルにすることで消費者は安全なIoT機器かを商品にラベル付与されているかラベルの有無で判断できるようにする• URLやQRコードなどを用いて2階層ラベルにすることで、商品の詳細情報を取得できるようにする• セキュリティレベルに応じてラベルの色の区別でグレード分けをする• 政府などの消費者が信頼をおいている組織が関わることで、消費者からラベルの信用を得る• 消費者に価格インセンティブを与えるキャンペーンを実施する• 消費者のセキュリティの関心を高めセキュリティラベルを活用してもらえるよう、セキュリティ教育を実施す
18
る

世界各国のセキュリティラベルの研究・調査からセキュリティラベル要件について考察

アメリカ● ラベル付与の方法については、アメリカ政府の基準に基づき、審査・承認された機関によって検査する方針● NISTが推奨しているラベルタイプは、単一のラベルでありURLやQRコードを載せることで、付加情報の提供を行っている● NISTはラベルスキームの所有者に対して、強力な消費者教育キャンペーンを実施することを推奨している

セキュリティラベルへの示唆• 政府が関ることで消費者の信用を得る• 単一ラベルにURLやQRコードを載せた2階層ラベルである• 消費者教育は重要である

19

世界各国のセキュリティラベルの研究・調査からセキュリティラベル要件について考察

オーストラリア● セキュリティラベルが付与されることで、IoT製品に対する消費者の支払意思額が増加する● シールド1つの「ベースラインレベル」が適切なレベルであるにも関わらず、「レベル1だからサイバーセキュリティが弱い」と約半数49%の人がセキュリティを低いと誤認した

セキュリティラベルへの示唆

シールドなどの数にグレード分けは消費者の誤認につながる
20

世界各国のセキュリティラベルの研究・調査からセキュリティラベル要件について考察

イギリス● 色による等級付けを行うことで、消費者はさまざまな機器の安全性を比較することができる● 情報量は比較的シンプルに保ち、過不足なく伝える必要がある。

セキュリティラベルへの示唆

情報量はシンプルにし、色でグレード分けをすることで消費者に伝わりやすくなる
21

世界各国のセキュリティラベルの研究・調査からセキュリティラベル要件について考察♣ セキュリティラベル要件

セキュリティラベル付与商品が安全なIoT機器
要件１であると消費者に伝わる
セキュリティラベルを見た消費者がラベル付要件２
与商品を購買選択する
セキュリティラベルによって消費者がセキュリ要件３
ティに関心を持つ
22

世界各国のセキュリティラベルの研究・調査からセキュリティラベル要件について考察

要件１ ：セキュリティラベル付与商品が安全なIoT機器であると消費者に伝わる

URLやQRコードなどから、詳細情報を取得できるよ
うにした単一ラベル
グレードラベルは商品間の比較がしやすいマークの色により等級分けをしたラベル情報量は比較的シンプルに保ち過不足なく伝える必要がある。
23

世界各国のセキュリティラベルの研究・調査からセキュリティラベル要件について考察

要件2 ：セキュリティラベルを見た消費者がラベル付与
商品を購買選択する

既に信頼している機関が関係していることを消費者に伝えるなど消費者の信用を得る必要がある

24

世界各国のセキュリティラベルの研究・調査からセキュリティラベル要件について考察

要件3 ：セキュリティラベルによって消費者がセキュリティに関心を持つ• 消費者に対してセキュリティ教育を行っていくことで、セキュリティへの関心を向ける• 関心が高まることで、安全な商品を購買選択する可能性が向上する
25

世界のセキュリティラベルの研究・調査の考察からセキュリティラベルの提案

URLやQRコードなどから、詳細情報を取得できるようにした2階層単一ラベル
グレードラベルは商品間の比較がしやすいマークの色により等級分けをしたラベル情報量は比較的シンプルに保ち過不足なく伝える必要がある。
消費者が既に信頼している機関が関りを持ち、消費者に関係していることを伝えることで信用のできるラベルとなる
消費者にセキュリティ教育を目的としたキャンペーンを行うこと
でセキュリティに関心を持ってもらう26

調査まとめ♣ エコラベル● ラベリングの認知度● ラベルの情報提供● 消費者への経済的インセンティブ♣ セキュリティラベル● 消費者に伝わるラベルの情報表示形式

27

研究のまとめ
目的：消費者にセキュリティラベルによって安全なIoT機器を見分け購買選択してもらう
セキュリティラベル要件
要件1：セキュリティラベル付与商品が安全なIoT機器であると消費者に伝わる
要件2：セキュリティラベルを見た消費者がラベル付与商品を購買選択する
要件3：セキュリティラベルによって消費者がセキュリティに関心を持つ実施されているラベル

セキュリティラベルの研究・調査

エコラベルの先行研究

米・欧・英のセキュリティラベル
研究・調査・ラベリングの情報提供
・ラベルの認知度
・消費者への経済的インセンティブ

・消費者に伝わるラベルの情報表示形式

セキュリティラベルの在り方の提案• マークなどの単一ラベルにすることで消費者は安全なIoT機器かを商品にラベル付与されているかラベルの有無で判断できるようにする• URLやQRコードなどを用いて2階層ラベルにすることで、商品の詳細情報を取得できるようにする• セキュリティレベルに応じてラベルの色の区別でグレード分けをする• 政府などの消費者が信頼をおいている組織が関わることで、消費者からラベルの信用を得る• 消費者に価格インセンティブを与えるキャンペーンを実施する• 消費者のセキュリティの関心を高めセキュリティラベルを活用してもらえるよう、セキュリティ教育を実施する

28

本研究の成果：セキュリティラベルの提案
ラベルデザイン• マークなどの単一ラベルにすることで消費者は安全なIoT機器かを商品にラベル付与されているかラベルの有無で判断できるようにする• URLやQRコードなどを用いて2階層ラベルにすることで、商品の詳細情報を取得できるようにする• セキュリティレベルに応じてラベルの色の区別でグレード分けをする• 政府などの消費者が信頼をおいている組織が関わることで、消費者からラベルの信用を得る• 消費者に価格インセンティブを与えるキャンペーンを実施する• 消費者のセキュリティの関心を高めセキュリティラベルを活用してもらえるよう、セキュリティ教育を実施する
ラベルスキーム

29

研究のまとめ
目的：消費者にセキュリティラベルによって安全なIoT機器を見分け購買選択してもらう
セキュリティラベル要件
要件1：セキュリティラベル付与商品が安全なIoT機器であると消費者に伝わる
要件2：セキュリティラベルを見た消費者がラベル付与商品を購買選択する
要件3：セキュリティラベルによって消費者がセキュリティに関心を持つ

日常生活に浸透しているラベリング

セキュリティラベルの研究・調査

エコラベルの先行研究

米・欧・英のセキュリティラベル
研究・調査・ラベリングの情報提供
・ラベルの認知度
・消費者への経済的インセンティブ

・消費者に伝わるラベルの情報表示形式

セキュリティラベルの在り方の提案• マークなどの単一ラベルにすることで消費者は安全なIoT機器かを商品にラベル付与されているかラベルの有無で判断できるようにする• URLやQRコードなどを用いて2階層ラベルにすることで、商品の詳細情報を取得できるようにする• セキュリティレベルに応じてラベルの色の区別でグレード分けをする• 政府などの消費者が信頼をおいている組織が関わることで、消費者からラベルの信用を得る• 消費者に価格インセンティブを与えるキャンペーンを実施する• 消費者のセキュリティの関心を高めセキュリティラベルを活用してもらえるよう、セキュリティ教育を実施する

30

研究の残課題♣ 提案したラベルの色の違いでラベルの種類やグレードを分ける手法は、消費者がどのように情報を受け取り活用するのかについて調査♣ 現在世界各国で運用されているセキュリティラベルについて追跡調査

31

ご清聴ありがとうございました32

付録

33

エコとセキュリティについて♣ 共通点● 消費者が通常得ることのできない情報● 考慮しないとゆくゆくは被害にあう可能性がある● 消費者一人一人の配慮行動が必要♣ 相違点● エコバックなどエコに関しては日常生活に浸透している文化であるが、セキュリティを意識しようと心掛けることはあっても、日常生活的にセキュリティについて意識する機会が少ない。
● 消費者は製品にセキュリティが備わっている前提で考えている34

世界のセキュリティラベルについて♣ 日本● 一般社団法人 重要生活機器連携セキュリティ協議会（CCDS）による、サーティフィケーションプログラムが2019年10月に開始という状況であり、現在の取得数も約20と少なく、セキュリティラベルは始まったばかりで規模も小さく消費者に浸透していない。
● また本プログラムの対象が、スマートホームの製品や、ATMなど企業による管理が期待できる製品に対して付与しており現状では、本研究で対象とする家庭用IoT機器の対象外である。

35

世界のセキュリティラベルについて♣ シンガポール● すべての消費者向けIoT機器がラベルの対象となるサイバーセキュリティラベリングスキーム（CLS）で、4段階グレードラベルである。

♣ ドイツ● 対象製品を拡大する方針ではあるが、現状ブロードバンドルーター、電子メールサービス、スマートテレビ、スマートスピーカー等の消費者向けIoT機器を対象としたラベル
IT-Sicherheitskennzeichen（IT-Security Label）で、テキストとQRコードのラベルである。

♣ フィンランド● インターネットに接続され、デジタル形式でデータを処理・転送する製品・サービスを対象としたサイバーセキュリ
ティラベルで、QRコードを表示した単一ラベルである。
36

世界のセキュリティラベルについて♣ シンガポールのサイバーセキュリティラベリングスキーム（CLS）は、ドイツ、フィンランドのそれぞれと相互運用を実施している。

37

世界各国によるセキュリティラベルの研究・調査まとめ♣ アメリカ● 検討段階であるラベルは、アメリカ政府の基準に基づき、審査・承認された機関によって検査する方針♣ オーストラリア● グレードラベルに関して購買選択に影響を大きく与えることが分かったが、レベル1の様なグレード段階が低いラベルについては、セキュリティが弱いなどの誤認を生む可能性が高い。

♣ イギリス● ラベルの種類が多数存在することは消費者の理解を困難にし、商品比較をする際に各商品に異なるラベルが付与されていると商品間の比較が難しくなるということが分かった。また、色による等級付けを行うことで商品間の比較をすることができるようになる。また消費者が購入時に消費する認知資源は限られているため、情報量は比較的シンプルに保ち、過不足なく伝える必要がある。

38

セキュリティラベル要件の定義

セキュリティラベル付与商品が安全なIoT機器
要件１であると消費者に伝わる
セキュリティラベルを見た消費者がラベル付
要件２
与商品を購買選択する
セキュリティラベルによって消費者がセキュリ
要件３
ティに関心を持つ

39

セキュリティラベル要件

要件１ ：セキュリティラベル付与商品が安全なIoT機器であると消費者に伝わる

消費者に安全な家庭用IoT機器を購買選択してもらうためには、消費者が安全なIoT機器かを判別する必要がある

40

セキュリティラベル要件

要件2 ：セキュリティラベルを見た消費者がラベル付与商品を購買選択する

購買選択時に消費者がセキュリティラベル付与商品を手にとりセキュリティラベルから安全なIoT機器だと情報を取得できたとしても、セキュリティについて関心や知識がなければ「このIoT機器は安全であると認識」しても安全であるということがどのようなメリットがあるのか、安全でないIoT機器はだめなのか等を理解していないと、購買選択にセキュリティラベルの情報は機能しない可能性があると考える。

41

セキュリティラベル要件

要件3 ：セキュリティラベルによって消費者がセキュリ
ティに関心を持つ
セキュリティラベル
セキュリティを認識
ラベルの価値向上

消費者の関心の高まり
セキュリティを認識

セキュリティ教育42