JSSEC セキュリティフォーラム 20182017年度 利用部会成果発表「企業へIoTを導入する場合のセキュリティ検討事項」～JSSEC IoTセキュリティチェックシート～

2018年3月9日
一般社団法人 日本スマートフォンセキュリティ協会
利用部会 部会長 後藤 悦夫（株式会社ラック）

本日の内容企業へIoTを導入する場合のセキュリティ検討事項（チェックシート）＜講演概要＞
スマートファクトリーをはじめ、企業へのIoT導入事例も出はじめ、今後本格的に企業への導入が進むと思われる。一方、セキュリティ面の課題が今までの情報セキュリティとは異なるのか、何を検討すべきか明確になっていない。JSSEC利用部会で、企業がIoT導入するためにセキュリティ面で何を検討すべきか、IoT推進コンソーシアムの「IoTセキュリティガイドライン」を深読みし、企業利用者の視点から検討した「IoTセキュリティチェックシート」を紹介する。
■提供者に求められる事  Security by Design（設計段階からセキュリティを検討する）■企業へ導入するときに求められる事は？？？

2

JSSECの紹介
一般社団法人会員：104社

日本スマートフォンセキュリティ協会＋

28法人（特別会員、オブザーバー ）＜2018年2月現在＞

スマートフォンの安全な利活用を図り普及を促進するために、2011年5月に任意団体としてスタートし、2012年4月より一般社団法人として活動
利用部会

技術部会

啓発事業部会

ＰＲ部会

利用者の視点で活動

提供者の視点で活動

ｼﾞｭﾆｱ層への啓発活動

JSSECのPR活動

主な成果物
利用部会:スマートフォン＆タブレットの業務利用に関するセキュリティガイドライン
技術部会：Androidアプリのセキュア設計・セキュアコーディングガイド
啓発事業部会：スマートフォンセキュリティ・ワークショップレポート 2015
◆ http://www.jssec.org/ ⇒ 「部会・WGからの報告 / 成果物」 からダウンロード可能
3

利用部会の運営体制■部会長
後藤 悦夫（ラック）■副部会長
北村 裕司（サイバートラスト）■ガイドラインWG・リーダー
松下 綾子（アルプスシステムインテグレーション）■事例研究WG
・リーダー
坂田 孝昭（日立システムズ）・サブリーダー 藤平 武巳（NTTコミュニケーションズ)■IoT調査・研究TF
・リーダー
後藤兼務
・サブリーダー 三池 聖史（ユニアデックス）
・メンバー（上記副部会長、WGのリーダ、サブリーダに加え）笠原 正弘（ソフトバンク）
瀬川紘（セコムトラストシステムズ）
中村 康洋（シャープ）
中村 丈洋（SHIFT SECURITY）
4

利用部会の中期活動方針■２点に重点を置き活動①「一億総活躍時代のモバイルワークとセキュリティ」
・在宅勤務も含めた新たな働き方
・モバイルデバイスの進化に合わせたセキュリティ②「スマホを機軸としたIoT時代のセキュリティ」
・IoT時代、ユーザとの窓口はスマートフォンが担う
・スマートフォンの使われ方の変化に合わせたセキュリティ

5

IoT時代のスマートフォンの役割変化「つながる世界」 と 「人をつなぐ」
JSSECでは、「スマートフォンを機軸としたIoTセキュリティ」へ活動を拡大
6

IoT調査・研究TFの本年度計画
IoT調査研究TFの活動計画■発行されているガイドラインを分析する
・IoTコンソーシアムガイドラインを読み込み・利用企業として検討すべき項目を洗い出す■利用者に関係する部分を抽出、不足分を追加する
・企業への導入＝利用と考える■JSSEC利用部会として発信するイメージ案を作成する
・ IoT全体を網羅し、スマホとの関連を取り上げる
・第１ステップ：チェックシートイメージ作成
利用可否をトライし、解説編を検討する

7

2017年度の活動スケジュール
５月
６月
７月
８月
９月
10月
11月
12月
１月
３月

JSSEC幹事会 （各部会の活動計画案）
JSSEC 総会 （各部会の活動計画）（メンバー募集）
利用部会
第１回TF
第２回TF
第３回TF
第４回TF
利用部会・技術部会 合同成果報告会（中間報告）※総務省へ相談（IoTコンソーシアム資料活用など）
第５回TF※経済産業省へ相談（IoTコンソーシアム資料活用など）
第６回TF
JSSEC セキュリティフォーラム2018（成果発表）


講演資料とチェックシートを公開（ホームページ）

8

IoT推進コンソーシアムGL選定理由
選定理由：IoTの利用対象分野が全般的で、網羅性が高い。
団体

ガイドライン名

発行日

IoT推進コンソーシアム

セキュリティガイドラ
インver1.0

IPA

評価

利用者視点網羅性位置付け

2016/7/5△：一部あり○：IoT サービス関係者
全レイヤ向け

IPA「つながる世界の開発指針」を参考に対象者を広げ、一般化

つながる世界の開発指針

2016/3/24
第2版：
2017/6/30

×：開発者向け○：IoTに関連する様々な製品分野・業界において分野横断的に活用

IoT製品の安全性・セキュリ
ティに関するリスクとその対策に着眼

IPA

IoT開発におけるセキュリティ設計の手引き2016/5/12

×：開発者向け△：対象（デジタルテ
レビ、ヘルスケア機器、スマートハウス、コネクテッドカー）

IPA「つながる世界の開発指針」 に対し、具体的なセキュリティ設計と実装を実現するための手引き

CCDS

製品分野別セキュリ
ティガイドライン

2016/6/8
第2版：
2017/5/29

×：開発者向け△：対象（車載、IoT
ゲートウェイ、金融端
末、決裁端末）IPA「つながる世界の開発指針」を各分野の視点で脅
威やリスクをより具体化

JNSA

コンシューマ向けIoT
セキュリティガイド

2016/6/24

×：開発者向け△：対象（スマートテレビ、ウェアラブルデ
バイス、ネットワークカメラ、汎用マイコン
ボード）

コンシューマ向け IoT 製品の開発者が考慮すべき事柄

CSAジャパン

IoT早期導入者のためのセキュリティガイダ
ンス

2016/2/24○：導入者の視点△：課題と管理策が細かい。理解するのが大変。

CSA本部が公開している資料（2015年４月）の翻訳

9

IoT推進コンソーシアムGLの対象読者

JSSEC利用部会の対象

提供者の視点（60頁）

IoT 推進コンソーシアム「IoT セキュリティガイドラインver1.0」より

10

IoT推進コンソーシアムGLの概要
方針

指針１
IoT の性質を考慮した基本方針を定める

要点1. 経営者がIoT セキュリティにコミットする
要点2. 内部不正やミスに備える

指針２
IoT のリスクを認識する

要点3. 守るべきものを特定する
要点4. つながることによるリスクを想定する
要点5. つながりで波及するリスクを想定する
要点6. 物理的なリスクを認識する
要点7. 過去の事例に学ぶ

指針３
守るべきものを守る設計を考える

要点8. 個々でも全体でも守れる設計をする
要点9. つながる相手に迷惑をかけない設計をする
提供者の視点が要点10. 安全安心を実現する設計の整合性をとる
中心のため割愛
要点11. 不特定の相手とつなげられても安全安心を確保できる設計をする
要点12. 安全安心を実現する設計の検証・評価を行う

指針４
ネットワーク上での対策を考える

要点13. 機器等がどのような状態かを把握し、記録する機能を設ける
要点14. 機能及び用途に応じて適切にネットワーク接続する
要点15. 初期設定に留意する
要点16. 認証機能を導入する

分析

設計

構築・接続

指針５
要点17. 出荷・リリース後も安全安心な状態を維持する
安全安心な状態を維持し、情報発信・共有を行う 要点18. 出荷・リリース後もIoT リスクを把握し、関係者に守ってもらいたいことを伝える
要点19. つながることによるリスクを一般利用者に知ってもらう
運用・保守
要点20. IoT システム・サービスにおける関係者の役割を認識する
要点21. 脆弱な機器を把握し、適切に注意喚起を行う

一般利用者のためのルール（第3章として2頁補足的に記載）

ルール１） 問合せ窓口やサポートがない機器やサービスの購入・利用を控える
ルール２） 初期設定に気をつける
ルール３） 使用しなくなった機器については電源を切る
ルール４） 機器を手放す時はデータを消す

11

IoT推進コンソーシアムGL（方針）
要点
1 方針

指針１
IoT の性質を考慮した基本方針を定める

経営者がIoT セキュリティにコミットする

ガイドラインに記載されているポイント①

要点1. 経営者がIoT セキュリティにコミットする
IoT セキュリティの基本方針を企業とし要点2. 内部不正やミスに備えるて策定し周知するとともに、継続的に実現状況を把握し、見直す。また、そのために必要な体制、人材を整備する。

① IoT の安全を脅かす内部不正の潜在可能性
2

内部不正やミスに備えるを認識し、対策を検討する。

② 関係者のミスを防ぐとともに、ミスがあっても安全を守る対策を検討する。

説明は省略
12

IoT推進コンソーシアムGL（分析）要点

ガイドラインに記載されているポイント① IoT の安全安心の観点で、守るべき本来機能や情報などを特定する。

3

守るべきものを特定する② つなげる機能について、本来機能や情報の安全安心のために、守るべきものとして特定する。

① クローズドなネットワーク向け機器やシ4つながることによるリスクを想定するステムでも、IoT機器・システムとして使われる前提でリスクを想定する。

② 保守時のリスク、保守用ツールの悪用によるリスクも想定する。

① セキュリティ上の脅威や機器の故障の影
5つながりで波及するリスクを想定する

響が、他の機器とつながることにより波及するリスクを想定する。

② 特に、対策のレベルが低い機器やシステムがつながると、影響が波及するリスクが高まることを想定する。
13

IoT推進コンソーシアムGL（分析）要点

ガイドラインに記載されているポイント① 盗まれたり紛失した機器の不正操作や管6

物理的なリスクを認識する

理者のいない場所での物理的な攻撃に対するリスクを想定する。

② 中古や廃棄された機器の情報などの読み出しやソフトウェアの書き換え・再販売などのリスクを想定する。

① パソコン等のICT の過去事例から攻撃事
7

過去の事例に学ぶ例や対策事例を学ぶ。

② IoT の先行事例から攻撃事例や対策事例を学ぶ。

説明は省略
14

IoT推進コンソーシアムGL（設計）要点

ガイドラインに記載されているポイント① 外部インタフェース経由／内包／物理的

8

個々でも全体でも守れる設計をする

接触によるリスクに対して個々のIoT 機器・システムで対策を検討する。

② 個々のIoT 機器・システムで対応しきれない場合は、それらを含む上位のIoT 機器・システムで対策を検討する。

① IoT 機器・システムの異常を検知できる設
9

つながる相手に迷惑をかけない設計をする

計を検討する。

② 異常を検知したときの適切な振る舞いを検討する。

① 安全安心を実現するための設計を見える
10

安全安心を実現する設計の整合性をとる化する。

② 安全安心を実現するための設計の相互の影響を確認する。

説明は省略
15

IoT推進コンソーシアムGL（設計）要点
不特定の相手とつなげられても11
安全安心を確保できる設計をする
安全安心を実現する
12
設計の検証・評価を行う

ガイドラインに記載されているポイント①

IoT 機器・システムがつながる相手やつながる状況に応じてつなぎ方を判断できる設計を検討する。

① つながる機器やシステムは、IoT ならではのリスクも考慮して安全安心を実現する設計の検証・評価を行う。

説明は省略
16

IoT推進コンソーシアムGL（構築・接続）
要点

ガイドラインに記載されているポイント① 機器等の状態や他の機器との通信状況を13

機器等がどのような状態かを把握し、記録する機能を設ける把握して記録する機能を検討する。

② 記録を不正に消去・改ざんされないようにする機能を検討する。

① 機能及び用途に応じてネットワーク接続
14

機能及び用途に応じて適切にネットワーク接続するの方法を検討し、構築・接続する。

② ネットワーク接続の方法を検討する際には、IoT 機器の機能・性能のレベルも考慮する。

① IoT システム・サービスの構築・接続時や15初期設定に留意する

利用開始時にセキュリティに留意した初期設定を行う。

② 利用者へ初期設定に関する注意喚起を行う。

17

IoT推進コンソーシアムGL（構築・接続）
要点

ガイドラインに記載されているポイント① IoT システム・サービス全体でセキュリ

16

ティの確保を実現する認証機能を適用する。

認証機能を導入する②

IoT 機器の機能・性能の制約を踏まえた適切な認証方式を使用する。

説明は省略
18

IoT推進コンソーシアムGL（運用・保守）
要点
出荷・リリース後も安全安心な状態
17を維持する

ガイドラインに記載されているポイント① IoTの提供者等は、セキュリティ上重要なアップデート等を適切に実施する方法を検討し、適用する。

① 脆弱性情報を収集・分析し、ユーザや他出荷・リリース後もIoT リスクを18把握し、関係者に守ってもらいたいことを伝える。のシステム・サービスの供給者・運用者に情報発信を行う。

② セキュリティに関する重要な事項を利用者へあらかじめ説明する。

③ 出荷・リリース後の構築・接続、運用・保守、廃棄の各ライフサイクルで関係者に守ってもらいたいことを伝える。

つながることによるリスクを
19
一般利用者に知ってもらう① 不用意なつなぎ方や不正な使い方は、自分や他人に被害を与えたるなど守ってもらいたいことを一般利用者に伝える。

19

IoT推進コンソーシアムGL（運用・保守）
20

要点

ガイドラインに記載されているポイント

IoT システム・サービスにおける関係者の役割を認識する① IoT 機器メーカやIoT システム・サービス提供者及び一般利用者の役割を整理する。

①
21

脆弱な機器を把握し、適切に注意喚起を行う

ネットワーク上でIoT 機器を把握する仕組みを構築し、脆弱性を持つIoT 機器の特定を行う。

② 脆弱性を持つIoT 機器を特定した場合には、該当するIoT 機器の管理者へ注意喚起を行う。

説明は省略
20

IoT推進コンソーシアムGL（一般利用者）
一般利用者のためのルール

ガイドラインに記載されているポイント

1

問合せ窓口やサポートがない機器やサービスの購入・利用を控える① 問合せ窓口やサポートがない（もしくはサポート期限が切れた）機器やサービスの購入・利用は行わないよ
うにしましょう。

2

初期設定に気をつける① 機器を初めて使う際には、ID、パスワードの設定を行いましょう。

3

使用しなくなった機器については電源を切る① 使用しなくなった機器や不具合が生じた機器は電源を切りましょう。

機器を手放す時はデータを消す① 機器を手放す際は、自分や家族等の利用者のプライバシー情報が漏れないよう、情報を確実に削除しましょう。

4※第3章として2頁補足的に記載されている
21

アウトプットイメージ（目標）◆想定する対象者：
・企業のIoT導入推進者◆発信する内容：
・一般企業がIoT導入する時、サイバーセキュリティ面の検討項目一覧（チェックシート）◆想定する活用イメージ：・社内IoT導入推進者の検討のベース
・社内の経営層などへの報告時の指標（ものさし）・IoT構築ベンダーとの確認用◆チェックシート構成上の工夫：
・早い段階（POCなど検証）からの検討着手を促す
・共通して検討すべき推奨項目を明記
・企業/法人の特性や利用形態の特性に合わせ項目追加可能
22

チェックシートイメージ

23

チェックシート構成①IoTチェックシートの使い方②IoTコンソーシアム
ガイドラインの指針と要点※開発時のライフサイ
クルで導入時のライフサイクルと異なるが今回は対比に重点を置き枠組みは変更していない③深読みし、企業のIoT推進者や管理者の視点で検討すべき点□：検討すべき観点
・：チェック項目
ー：補足説明④フェーズ毎の検討事項□：推奨レベル
POC ⇒ 本番

24

チェックシート構成（裏面下部）⑤IoTの使われ方などに合わせ、各企業で追加頂く項目※IoTが利用される分野や形態は多様であり、特性にあわせ検討項目を追加する形態とした⑥補足、注意事項や連絡先など

25

チェックシート活用のポイント
 配布いたしました、A3両面の資料にて以下説明致します。

＜ポイント＞
・POC（検証）のフェーズからセキュリティを考慮する。
・チェックシートを参考に共通して検討すべき項目を決める。
・各社独自に検討すべき項目を追加する。

26

チェックシート活用のポイント
方針＜要点１：ポイント＞
・IoTの特性やリスクを認識し情報セキュリティとの違いをセキュリティポリシーに反映し、体制整備を行う＜要点３：ポイント＞・守るべきものに機能が加わる
・信頼性のある機器などを選定

分
析＜要点４：ポイント＞
・つながらない前提の組込み系からの意識改革が必要
・保守（USBも含め）は要注意＜要点５：ポイント＞
・既にインターネットでIoTによる不正な通信が多数発生
・社内も含め、攻撃したり、されたりするリスクが増加
27

チェックシート活用のポイント分
析
設
計

構
築・
接
続

＜要点６：ポイント＞
・スマホ等と同様、紛失・盗難廃棄・中古品の利用に注意＜要点８：ポイント＞
・保管データの暗号化について「設計」にしか書かれていないため、ここに記載（今後の改定で利用の視点から構築に移動）＜要点13：ポイント＞
・ログの保管について検討する

28

チェックシート活用のポイント＜要点14：ポイント＞
・インターネットに接続する必要があるか検討する。
・IoT機器への攻撃の多くがTelnetが使われるので、可能であれば無効にする
構
築・
接
続

＜要点15：ポイント＞
・パスワードの初期設定を必ず変更する
・管理者パスワード管理が重要・不要なポートは必ず止める・ファームウェアを最新にする＜要点16：ポイント＞
・ユーザ、機器、サービスの認証を検討する・ファームウエアが本物か判定できるかを確認する
29

チェックシート活用のポイント

運用
・
保守

＜要点17：ポイント＞
・機器のサポート期間、ファームウェアのアップデート期間を確認する
・アップデート、動作確認、戻しなどの手順を策定する＜要点18：ポイント＞
・システム構成を管理する・機器の不具合、脆弱性の情報を外部から収集する・IoT機器の廃棄の時、初期化など情報を削除する
・中古機器を使う場合、不正に改造されていないか確認する（具体的には難しいが）

30

チェックシート活用のポイント＜要点19：ポイント＞
・社内利用者へ禁止事項などを周知する
運用・
保守＜要点20：ポイント＞
・CSIRTとの連携などの体制を検討する＜要点21：ポイント＞
・脆弱性の影響を特定できる様に設置場所などを管理する
・IoT機器のログ分析や異常監視を検討する

31

チェックシート活用のポイント＜個別追加：ポイント＞
・業種や企業風土の違いによるセキュリティ要求レベルの差にあわせ、検討すべき項目を追加
・IoTの利用分野や用途にあわせ、検討すべき項目を追加

32

今後の予定１．第１版の公開
・本日の資料、チェックシートをJSSECホームページ掲載
・ご意見、ご指摘など募集予定
・説明会、意見交換会など開催予定
 ご要望などありましたら、JSSEC事務局までご連絡下さい

２．チェックシートの有効性検証
・チェックシートが役立つか・トライの時、最低限やらねばと感じる点
・個別に追加された項目の収集
３.

解説編の発行・企業の方が活用しやすい工夫
・チェック項目の見直し

４．スマートフォンをIoTの一部として使用する場合の考慮点
・JSSEC内で検討し、チェックシートへ反映
33

おわりに■提供者に求められる事  Security by Design（設計段階からセキュリティを検討する）■企業へ導入するときに求められる事は？？？

①IoT機器は後追いでセキュリティ対策をする事は困難である②情報セキュリティと組込み系システム担当の協調が必要である■企業へ導入するときに求められる事は
 Security by POC（検証段階からセキュリティを検討する）

34

ご清聴ありがとうございました35