IoT ワーキンググループ活動報告のアーカイブ•

2017 年 10 月
10 月 12 日 18:30～ 会合実施
今年度下期の活動に着いて協議し、以下のように進めることとした。
・グローバル WG で検討が始まっている IoT Control Matrix について、日本からの意見を入れていく・脅威シナリオ集について、シナリオの追加に加え、カテゴリー分けや対策ガイダンスとのマッピングなどの充実をはかっていく
・その他、必要に応じて各種ガイダンス等の比較研究、他団体との連携などを考えていく•

2017 年 7 月
主な活動
・IoT へのサイバー攻撃仮想ストーリー集
・IoT セキュリティセミナーの開催
7 月 25 日中央大学駿河台記念館にて、IoT セキュリティセミナーを開催。申込者 148 名に対し、参加者 96 名。パネリストとして、CCDS から伊藤氏、JNSA から松岡氏、OWASP Japan から岡田氏を招請。CSA ジャパンからは勝見さん、二木がそれぞれ「つながる世界を破綻させないために」及び「IoTへのサイバー攻撃仮想ストーリー集」について紹介セッションを持った。IoTへのサイバー攻撃仮想ストーリー集については、8 月上旬に公開を予定している。

•

2017 年 5 月
主な活動
・Future-Proofing The Connected World: 13 Steps to Develop Secure IoT
Products の翻訳最終チェック
邦題：「繋がる世界を破綻させないための、セキュアな IoT 製品開発１３のステップ」

5 月 24 日に第一版を公開
・オフライン会合はなし
6 月予定
・IoT への脅威シナリオ集の第一版を完成させる予定
・下旬にアウトプット紹介をかね、IoT セキュリティセミナーを開催する予定で準備中•

2017 年 4 月
Future proofing the connected world 翻訳作業、21 日会合にて最終レビューを完了。
現在、最終の編集作業を実施しており、連休明け、5 月中旬頃に公開可能になる予定。

•

2017 年 3 月
主な活動： Future Proofing The Connected World 翻訳作業。
3 月 29 日までに 7 回のレビュー会合を実施。あと 2 回実施予定。現状で約90％がレビュー完了。（あと 2 回でほぼ完了の予定）最後の手直しを含めて4 月中にはリリースしたい。
このリリースに会わせて、WG として発表の場をかねたセミナーを実施できないか検討中。

•

2017 年 2 月"Future proofing the connected world" の翻訳レビュー作業。
2/1, 2/2, 2/9, 2/21 にレビューのための会合を実施。現在、70％程度レビュー完了。3 月中にはリリースにこぎつけたい。

•

2017 年 1 月

Future Proofing the Connected World の翻訳作業が終了し、現在レビューを行っている。
1 月 11 日、20 日、27 日にレビュー作業のための会合を実施。引き続き進めて、2 月中を目途にレビューを終了させる予定。
今年、グローバルの IoTWG が、IoT におけるクラウド側のガイダンスを作る方向なので、これを以前から提唱してきた日本側として、案の作成段階から関与できないか検討中。

•

2016 年 11 月
１．主な活動内容(1) IoT への脅威シナリオ集とりまとめ
IoT システム開発におけるリスク評価のためのツールとして、高度脅威を前提とした脅威シナリオ（ストーリー、原因、推奨される対応策のセット）を作成中。現在８シナリオを検討中。年内に 10 シナリオ程度を揃えて、第一弾を年明けにリリースする方向。
(2) Future proofing the connected world 翻訳作業
グローバル WG の最新アウトプットである、”Future proofing theconnected world: 13 steps for developing secure IoT products” の翻訳作業を WG メンバー他で分担して行っている。12 月中に各自の作業を終え、1 月のレビューを経て 2 月頃にリリースする方向で進めている。
(3) ミーティング
11 月 30 日に東洋ビジネスエンジニアリング様会議室にて 18:30 – 20:00で開催。
(1)(2)等についてのディスカッションを行った。
2. その他CCDS からの要請で 12 月 1 日、2 日に那覇で開催された IoT セキュリティウィークのパネルディスカッションに CSA として二木が登壇した。

•

2016 年 9 月

1. 「IoT への脅威シナリオ」の洗い出しを継続。
2. CSA グローバルの IoT WG より近日リリース予定の Development ofSecure IoT
Products の日本語翻訳を計画中（このドキュメントには、日本サイドからもレビューを通じて意見を出しています）。
3. ID&IT マネジメントコンファレンス 2016 で、二木が IoT と Identity に関して講演を実施。

•

2016 年 8 月

1. IoT クラウドサービスへの脅威候補の正式リリース
上記文書に関して、英文部分を APAC リサーチチームの Ekta にレビューしてもらい、最終版としてリリースしました。CSA-JC ホームページ上で公開しています。
2.次のステップについて

サービスへの脅威分析のためのフレームワークと、脅威分析＋リスク評価のためのガイダンスのドラフトを 3 月末頃をめどにまとめていく予定です。これらを含め、Summit で成果発表（＋メンバー勧誘）ができればと考えています。

•2016 年 7 月(1) 政府パブコメへの意見提出
・総務省：IoT セキュリティガイドライン ６/１４日締め切り
・NISC：IoT セキュリティのための一般的枠組み（案）６月２４日締め切り
いずれも、WG や CSA 自体の取り組みの方向からみた意見を中心に提出。
(2) 会合（６/１６）実施

東洋ビジネスエンジニアリング様会議室 18:30 -20:00
・パブコメ内容の検討
・Cloud Identity Summit 情報共有（二木）・脅威シナリオ集の進め方の確認(3) IoT 脅威シナリオ集の作成
６月は進捗無し。来月の会合までに、シナリオのストーリー部分のネタだし。一人最低一つ案を出すことを確認。

トピックス
・日経 BP 社 IoT セキュリティ ～インシデントから開発の実際まで～
６月２７日出版
第３部【解説編】安全／安心な IoT 開発のための指針
3-2 IoT のセキュリティを守る７つの指針 （IoT 早期導入者のためのセキュリティガイダンス解説）3-3 IoT システムのリスク評価を考える
計約５０ページをＷＧで共同執筆した。

•2016 年 6 月(1) 政府パブコメへの意見提出
・総務省：IoT セキュリティガイドライン ６/１４日締め切り
・NISC：IoT セキュリティのための一般的枠組み（案）６月２４日締め切り
いずれも、WG や CSA 自体の取り組みの方向からみた意見を中心に提出。

(2) 会合（６/１６）実施 東洋ビジネスエンジニアリング様会議室 18:30 - 20:00
・パブコメ内容の検討
・Cloud Identity Summit 情報共有（二木）・脅威シナリオ集の進め方の確認(3) IoT 脅威シナリオ集の作成
６月は進捗無し。来月の会合までに、シナリオのストーリー部分のネタだし。一人最低一つ案を出すことを確認。

トピックス・日経 BP 社 IoT セキュリティ ～インシデントから開発の実際まで～ ６月２７日
出版
第３部【解説編】安全／安心な IoT 開発のための指針
3-2 IoT のセキュリティを守る７つの指針 （IoT 早期導入者のためのセキュリティガイダンス解説）
3-3 IoT システムのリスク評価を考える
計約５０ページをＷＧで共同執筆した。

•

2016 年 5 月
WG 会合（５／１２）「IoT システムのインシデント影響評価に関する考察」について修正版をリリース
日経 BP 「別冊 IoT セキュリティ（仮称）」への寄稿記事２本共同執筆（６月刊行予定）
IoT システムへの脅威シナリオ作成、アイデア出し作業中
CSA ジャパン Summit 2016 にて活動紹介•

2016 年 4 月
主な活動内容・IoT における ID/アクセス管理ガイド翻訳版の公開（４月４日）
・IoT インシデントの影響評価に関する考察の公開（４月４日）
・オフライン会合（４月１４日）
・日経 BP 社ムック寄稿記事の共同執筆
IoT 早期導入者のためのセキュリティガイド解説記事
IoT インシデントの影響評価に関する考察解説記事
オンラインにてとりまとめ中。（５月９日締め切り：６月出版予定）
今後の活動
・IoT に対する脅威シナリオ集の作成などを予定•

2016 年 3 月

•主な活動・Identity and Access Management for the Internet of Things –Summary
Guidance 翻訳及びレビュー作業 （4 月 4 日リリース済み）
・「IoT インシデントの影響評価に関する考察」 （日本独自のドキュメント）作成とレビュー作業 （4 月 4 日リリース済み）
会合：3 月 15 日及び 3 月 29 日に実施 （レビュー作業）
次回会合予定 4 月 14 日 ＊今後の活動について検討する予定

今後の活動案： IoT への脅威（インシデント）シナリオ集作成
引き続きグローバル文書の翻訳など•

2016 年 1 月
1月6日

ミーティング実施

・翻訳状況確認・グローバルの動向や日本としてのキャッチアップの仕方などについて議論した。
・翻訳レビューを次回ミーティングまでに完了させ、次回でファイナライズすることを決定。
・グローバルのコンテンツを各自調べて、ブログで紹介するなどの活動をしてみる。
・とりあえず、グローバルに何かインプット、フィードバックできそうな部分は積極的にやってみる。

翻訳はレビュー後の編集、修正作業中。

一般社団法人重要生活機器連携セキュリティ協議会との情報交換・事務局長の伊藤さんにコンタクトし、今後、情報交換や、グローバル動向の把握などで協力していく方向で一致
・CCDS と CSA ジャパンが相互に連携会員になる方向で調整中• 2015 年 12 月
11 月 5 日定例ミーティングを開催。
IoT Security Guidance for Early Adapters 翻訳分担作業中。
CSA IoT WG とその周辺の動きをキャッチアップすべく、笹原さんに解説を依頼、12月例会にて実施予定。
•2015 年 11 月
11 月 5 日定例ミーティングを開催。
IoT Security Guidance for Early Adapters 翻訳分担作業中。
CSA IoT WG とその周辺の動きをキャッチアップすべく、笹原さんに解説を依頼、12月例会にて実施予定。

•2015 年 9 月
９月１７日 WG ミーティングを開催 （パズル一番町）
・CSA グローバル IoTWG 現状のキャッチアップ → テレカン等に参加されている笹原さんに一度解説をお願いしたい
・IoT guidance for early adopters の翻訳レビューを今後 WG で行っていく・ブログをメーリングリストのアーカイブとして使用していく（諸角さんに作業依頼：難航中）•2015 年 2 月

1. IoT クラウドサービスへの脅威候補の正式リリース
上記文書に関して、英文部分を APAC リサーチチームの Ekta にレビューしてもらい、最終版としてリリースしました。CSA-JC ホームページ上で公開しています。
2.次のステップについてサービスへの脅威分析のためのフレームワークと、脅威分析＋リスク評価のためのガイダンスのドラフトを 3 月末頃をめどにまとめていく予定です。これらを含め、Summit で成果発表（＋メンバー勧誘）ができればと考えています。

•

2015 年 1 月
1. Top Threats ファイナライズ
Top Threats 文書についてレビューを終了し、現在、ファイナライズ作業中。日本語版と英語版に分離し、英語版は APAC Research Team にレビューを要請する予定。

2. 脅威分析
分析方法の叩き台を検討中。一度考えた物が複雑化しつつあり、シンプルにする方法を模索中。

3. その他
新年度のガイダンス執筆にむけ、メンバーを再募集して、作業人員を増やす必要あり。
Top Threats と脅威分析をあわせて解説文書を作ることも検討する。

4. 課題
モバイル WG の IoT（デバイス側）イニシアティブに日本として関与した
いが、手が回らないでいる。