つながる世界の安全安心の確保に向けて～IoT高信頼化機能とディペンダビリティ～
第二回 DEOS協会 OSD シンポジウム
2017年11月21日
独立行政法人情報処理推進機構（IPA)
技術本部ソフトウェア高信頼化センター（SEC)調査役 宮原 真次© 2017 IPA

Software Reliability Enhancement Center目次➢IoT/CPSのイメージと適用事例➢つながる世界の課題認識とリスク事例➢ つながる世界の安全安心に向けたSECの取組み➢ つながる世界とディペンダビリティ➢ つながる世界の開発指針の今後の展開© 2017 IPA

Software Reliability Enhancement Center2

IoT時代：様々なモノやサービスがつながる世界
AVネットワーク

HEMSネットワーク
電力会社

医療・ヘルスケアネットワーク

太陽光発電

スマートメータ
蓄電池・
コジェネ

４K・８K
コンテンツ

ロボット介護
ウェラブル
機器

ネットワーク家電

医療・ヘルスケア
機器

医療・ヘルスケア
サーバ

ホームサーバ

HEMS
端末

EV/HV

農地や工場

省エネ制御
家電・照明

HEMS
関連企業

サービス提供サーバ（クラウド）

ホームゲートウェイコンテンツ提供企業

自動運転
ITS路側機

車載 ECU
車車間通信

ITS＆自動車安全機能の連携

後付
車載器
テレマティクス端末、データレコーダ等

医療機関・ヘルスケア企業

持込機器

Newサービス

自動車メーカ・交通管制

Convenience
お弁
当セールATM

機器メーカ
遠隔監視・制御

生活圏の公共エリアのネットワーク機器

出典：一般社団法人重要生活機器連携セキュリティ協議会「セキュアライフ2020」中の図に加筆© 2017 IPA

Software Reliability Enhancement Center

3

CPS社会：大量のセンサーデータを分析・活用する世界
個人から地球環境まで、あらゆるところにセンシングデバイスが遍在する社会が到来。 ※CPS：サイバー・フィジカル・システム
ビックデータ、AI解析
CO2
20:00

22:00

DB

パーソナル情報管理 ・分析センタ

インターネット

社会状況データ管理 ・分析センタ
環境・構造情報管理 ・分析センタ

パーソナル情報センシング

社会状況センシング
渋滞予測

体内環境
室内環境

移動履歴
個人の健康状態や屋内外の環境因子をセンシングし、ヘルスケア情報を提供© 2017 IPA

環境・構造情報センシング
橋梁健全性
地滑り監視

混雑度測定

氾濫監視
水質等環境監視

街頭防犯カメラ
社会状況をセンシングし、渋滞回避等の次のアクションのための意思決定支援情報を提供

環境・構造情報をセンシングし、可視化情報や将来予測等のアセスメント情報を提供

Software Reliability Enhancement Center4分野間連携事例）スマートハウスとスマートカー連携
 Ford社の車載情報システム「SYNC ３」と宅内にあるAmazon社の「Amazon Echo」が連携し、宅内から車内、車内から宅内の操作が可能になる
 例）車内から自宅の玄関照明の点灯やガレージドアの開閉、スマート家電の操作
自宅から車のエンジン始動やドアの施錠・開錠、燃料残量チェック、エアコン操作【出典】JETRO「ニューヨークだより2017年2月」
https://www.jetro.go.jp/ext_images/_Reports/02/21ff0f61ce84fd8e/rpNy-201702.pdf© 2017 IPA

Software Reliability Enhancement Center5保守効率化事例）JR東日本「スマートメンテナンス」センサ・ビックデータを活用した保守コストの大幅削減～ 時間計画保全から状況監視保全へ ～出典：JR東日本WEB、ITproニュース2014.8.26記事© 2017 IPA

Software Reliability Enhancement Center6つながる世界の課題認識とリスク事例© 2017 IPA

Software Reliability Enhancement Center7つながる世界では様々な課題が存在
つながる世界では、製品供給者が想定しない、把握できない課題が発生
様々なモノがつながる

異なる分野のサービスがつながる

１つの製品の不具合による影響が拡大

相手の信頼性レベルが分からない（不安）IoT技術は日進月歩

サービス企業やユーザがモノをつなげられる

時間が経つにつれて安全安心が劣化

メーカが想像もしないつなぎ方、使い方もつながる世界のリスクを認識し、安全・安心への対策が急務！
© 2017 IPA

Software Reliability Enhancement Center8つながる世界のリスク（事例１）

知らないうちに 「つな がっ てしまう 」
ロシアで、中国製アイロンの中に近隣200m以内の無線LANにアクセスし、ウイルスを撒き散らすチップが埋め込まれていることが発見された。
無線ＬＡＮ（認証あり）

無線ＬＡＮ（認証なし）
鍵のない無線
ＬＡＮがあるから使っちゃおう①200m以内の認証のない無線LANにアクセスし、マルウェアをまき散らす②無線LAN上のPCに感染

出典：一般社団法人 重要生活機器連携セキュリティ協議会「生活機器の脅威事例集」© 2017 IPA

Software Reliability Enhancement Center9つながる世界のリスク（事例２）「つながらない」つもりなのに「つながってしまう」
外部に対してクローズなつもりが・・・© 2017 IPAウイルスで工場設備が停止①ネットワークから隔離されたシステムにUSBメモリや持ち込みPC経由でマルウェアが感染
産業制御システム

工場内ネットワーク制御装置（PLC）②不正な命令で設備を破壊

工場内設備

出典：一般社団法人 重要生活機器連携セキュリティ協議会「生活機器の脅威事例集」

Software Reliability Enhancement Center10つながる世界のリスク（事例３）「つながらない」はずが「つながってしまう」
米国blackhat2015で発表があった自動車の攻撃研究事例
スマホから不正に車載器に進入し、ジープのハンドルやエンジンを不正操作した。

出典：一般社団法人 重要生活機器連携セキュリティ協議会(CCDS)© 2017 IPA

Software Reliability Enhancement Center11

最近のサイバー攻撃の特徴◆制御システムへの攻撃
事例：発電所を狙った「BlackEnergy」（ ２０１５年１２月）
ウクライナの発電所が狙われ、州都の一部で大規模な停電が発生。
復旧までに約6時間を要し 40～70万人程度が影響を受けた。
復旧活動を妨害する補助的攻撃も行われた。（遠隔操作・監視の無効化など）
出典：https://www.jpcert.or.jp/present/2016/20160217_CSC-JPCERT01.pdf◆感染の大規模化
事例：家庭の機器を狙った「Mirai」（２０１６年９月）
家庭用ルータやネットワーク、デジタルビデオレコーダなどに感染し、大規模なDDoS攻撃をかける。世界で38万件も感染したともいわれている。
サービスプロバイダーなどが被害に合い、サービス停止に陥った。
出典：https://www.is702.jp/news/2050◆身代金型の被害
事例：企業や個人を狙った「Ransomware」（２０１７年５月）
ロンドンの病院などが狙われ、システムが停止した。
ランサムウェアは、コンピューターのファイルにロックをかけ、解除するために金銭を要求。また、PCの画面をロックし、解除のために金銭を要求する。
出典：http://www.news24.jp/articles/2017/05/13/10361377.html© 2017 IPA

Software Reliability Enhancement Center

12つながる世界の安全安心の確保に向けたSECの取組み© 2017 IPA

Software Reliability Enhancement Center

13つながる世界の安全安心に向けた課題と取組み
本日のテーマ
具体化

実証拡充
報告書：分野間実証実験
2017年5月 公開
セーフティ＆セキュリティ
設計入門

2015年10月
発行

課題２：設計手法
セーフティやセキュリティのリスク分析や設計の手法が分からない実践に向けた手引き
2017年6月 発行

開発指針
2016年5月 発行
第２版：利用時の品質を製品開発の考慮点に追加
2017年6月 発行

課題３：開発指針
経営者や開発者がIoT開発時に考慮すべき事項が分からない

つながる世界の安全安心の実現
課題１：品質モデル
分野毎に品質の捉え方が異なり、品質に関する議論が出来ない

課題４：利用時品質
IoTは利用者が多岐にわたり、利用環境も変化、対応への考慮点

課題５：品質指針
変化が激しいIoTの品質をどう担保すれば良いか分からない
課題６：データ信頼性
CPSやAIで使うデータ自身の信頼性、信憑性に懸念

WG実施中
つながる世界のデータの信頼性指針（仮称）© 2017 IPA

報告書：つながる世界の利用時の品質（HCD-Netと共創）2017年3月 公開

計画中
ソフトウェア品質ガイド
2015年5月 発行

つながる世界の品質指針（仮称）（IVIA,CCDS等と共創）（JASA,MCPC等と共創）

Software Reliability Enhancement Center

14つながる世界の開発指針の概要
IoT機器・システムの開発者、保守者、経営者に最低限検討して頂きたい
安全・安心に関する事項をライフサ
イクル視点で整理

大項目

方針

指針

つながる世界の安全安心に企業として取り組む

指針1 安全安心の基本方針を策定する
指針2 安全安心のための体制・人材を見直す
指針3 内部不正やミスに備える
指針4 守るべきものを特定する

分
析つながる世界のリスクを認識する

指針5 つながることによるリスクを想定する
指針6 つながりで波及するリスクを想定する
指針7 物理的なリスクを認識する
指針8 個々でも全体でも守れる設計をする
指針9 つながる相手に迷惑をかけない設計をする◆つながる世界の開発指針の内容
目次
第１章 つながる世界と開発指針の目的
第２章 開発指針の対象
第３章 つながる世界のリスク想定
第４章 つながる世界の開発指針（１７個）
第５章 今後必要となる対策技術例

設計

守るべきものを守る設計を考える

指針10 安全安心を実現する設計の整合性をとる
指針11 不特定の相手とつなげられても安全安心を確保できる設計をする
指針12 安全安心を実現する設計の検証・評価を行う

保守市場に出た後も守る設計を考える

指針13 自身がどのような状態かを把握し、記録する機能を設ける
指針14 時間が経っても安全安心を維持する機能を設ける
指針15 出荷後もIoTリスクを把握し、情報発信する※指針は、ポイント、解説、対策例を記述※開発指針を書籍化し、２０１６年５月１１日に発刊
http://www.ipa.go.jp/sec/reports/20160511_2.html© 2017 IPA

運用

関係者と一緒に守る

指針16 出荷後の関係事業者に守ってもらいたいことを伝える

指針17 つながることによるリスクを一般利用者に知ってもらう

Software Reliability Enhancement Center15

「つながる世界の開発指針」の実践に向けた手引き
 開発指針のうち技術面での対策を具体化し、高信頼化実現に必要な機能を策定
 2017年5月8日公開：以下のURLにpdf版掲載
http://www.ipa.go.jp/sec/reports/20170508.html
つながる世界の開発指針「つながる世界の開発指針」の実践に向けた手引き①設計段階から考慮して欲しい機能要件とIoT高信頼化機能の具体例を解説②IoT機器・システムやサービスのライフサイ
クルを意識し、クラウド・フォグ・エッジ等の機能配置も考慮

2016年3月③IoTの分野間連携のユースケースによるリスクや脅威分析、対策として必要な機能や機能配置の具体例を提示
2017年5月© 2017 IPA

Software Reliability Enhancement Center

16

IoTの安全安心のために必要なIoT高信頼化機能
 「実践に向けた手引き」における用語

 IoT高信頼化機能とはIoT機器・システムが相互に連携する（つながる）環境において、安全安心を確保するための機能

 IoT高信頼化機能は、様々なIoT機器・システムでの利用を想定
遠隔操作サービス

高信頼化
機能

高信頼化
機能

アダプタ
異なる分野で連携

エアコン
高信頼化
機能

高信頼化
機能

脆弱性を突いた不正アクセス等を防止© 2017 IPA

Software Reliability Enhancement Center

17

検討のスコープ（ライフサイクルと機能配置）
 IoT機器・システムのライフサイクルを考慮し、保守・運用で起こり得る様々な安全安心を阻害する事象に対応できることを目的に、IoTの利用開始から予防・検知・回復、終了の視点で、必要な機能を整理 クラウド・フォグ・エッジ等の機能配置を考慮→ 経済合理性や寿命を考慮し、全体として高信頼化を達成するための現実解を支援＜ライフサイクル＞＜機能配置＞

クラウド層

フォグ層（共通基盤）
エッジ層（個別基盤）：IoT高信頼化機能© 2017 IPA

Software Reliability Enhancement Center18

IoTの高信頼化の実現に向けた機能要件と機能
IoT高信頼化要件

IoT高信頼化のための１２の機能要件実装に向けた２３の高信頼化機能

初期設定機能、設定情報確認機能
導入時や利用開始時 １．初期設定が適切に行われ、その確認ができる
開始 に安全安心が確認で２．サービスを利用する時に許可されていることを確認できる
認証機能、アクセス制御機能きる
３．異常の予兆を把握できる
予 稼働中の異常発生を防 未然に防止できる
４．守るべき機能・資産を保護できる
５．異常発生に備えて事前に対処できる

６．異常発生を監視・通知できる
検 稼働中の異常発生を知 早期に検知できる
７．異常の原因を特定するためのログが取得できる
８．構成の把握ができる
異常が発生しても稼９．異常が発生しても稼働の維持ができる
回
復 働の維持や早期の復旧ができる
１０．異常から早期復旧ができる
利用の終了やシステ １１．自律的な終了や一時的な利用禁止ができる
終 ム・サービス終了後も了 安全安心が確保でき
１２．データ消去ができるる© 2017 IPA

ログ収集機能、時刻同期機能、予兆機能、診断機能、ウイルス対策機能
アクセス制御機能、ログ収集機能、時刻同期機能、ウイルス対策機能
リモートアップデート機能

監視機能、状態可視化機能、ログ収集機能、時刻同期機能
構成情報管理機能
診断機能、隔離機能、縮退機能、冗長構成機能
リモートアップデート機能、停止機能、復旧機能、障害情報管理機能
停止機能、操作保護機能、寿命管理機能
消去機能

Software Reliability Enhancement Center19障害事例とIoT高信頼化対策◆障害事例
世界中のネットワークカメラが見放題になっていることを、ロシアのInsecamが公表（2016年1月）
日本国内でも６０００台のWEBカメラが見放題に！
◆障害の原因WEBカメラのパスワードが工場出荷時の初期値のままで、設定してなかった◆対策例→【機能要件１】
WEBカメラのパスワードの設定状態を確認する機能を設け、初期値の時は警告を発信し、パスワード設定を促す機能を設ける© 2017 IPA

出典：経済産業省

Software Reliability Enhancement Center20

IoTの高信頼化対策は３つフェーズで考えよう！
（１）利用開始時に守る！（接続時の考慮）
IoTデバイス

クラウドサービス

あれ？ デバイスのパスワードが初期値のままだよね？警告しよう！
⇒設定情報確認機能

知らないデバイスがつなげて来たけど許可するの？
⇒認証機能© 2017 IPA

何か怪しいデバイスの様なので使える機能を制限しようか？
⇒アクセス制御機能

Software Reliability Enhancement Center21

IoTの高信頼化対策は３つフェーズで考えよう！
（２）利用中に守る！（予防、検知、回復の考慮）
IoTデバイス

クラウドサービス

脆弱性の問題が発覚！
早期に予防処置しよう！
⇒構成情報管理機能、リモートアップデート機能
守るべきモノを特定しどう守るか対策を入れよう！
⇒ウイルス対策機能、暗号化機能
常時、ログを取って、異常を監視しているし、定期診断もしているから安心！
⇒ログ収集機能、監視機能
診断機能© 2017 IPA

何か怪しい振る舞いだなぁ～
乗っ取られた様だ！そのデバイスは強制停止させよう！
⇒予兆機能、停止機能

Software Reliability Enhancement Center

22

IoTの高信頼化対策は３つフェーズで考えよう！
（３）利用後も守る！（放置、リユース、廃棄時の考慮）
IoTデバイス

クラウドサービス

レンタカーを返したの？
個人情報は消さないとね！
⇒消去機能、（リモート消去）

盗難の連絡が入った！
そのデバイスは、使えない様にしよう！
⇒操作保護機能© 2017 IPA

何年も放置されているなぁ～契約に従って、そのデバイスは電源を落とすか！（野良IoT対策）⇒停止機能（リモート電源Off）

Software Reliability Enhancement Center23つながる世界とディペンダビリティ© 2017 IPA

Software Reliability Enhancement Center24

オープンシステム・ディペンダビリティ（ＯＳＤ）

出典：http://deos.or.jp/summary/about_osd-j.html

ＩｏＴ高信頼化機能の捉え方と同じ方向性を示している© 2017 IPA

Software Reliability Enhancement Center25つながる世界とディペンダビリティの関係

ディペンダブルな世界の実現（目指すところは同じ）

出典：http://deos.or.jp/technology/process-j.html

つながる世界に特化して、機能レベルに具体化© 2017 IPA

Software Reliability Enhancement Center26

つながる世界の開発指針の今後の展開© 2017 IPA

Software Reliability Enhancement Center27

「つながる世界の開発指針」の展開
政府施策への展開• IoT推進コンソーシアムのIoTセキュリティガイドラインへの展開（2016/7）• ERABサイバーセキュリティガイドラインへの展開(2017/4)• その他の政府レベルのガイドラインへの展開

国際標準化• 国内外の産業界や海外の研究機関と連携した国際標準化

海外連携• 米NISTと連携したIoTについての検討• 独IESEと連携した実証実験

産業界への普及• CCDS 4分野の分野別セキュリティガイドライン（2016/6）• チェックリスト化、社内ルール化への支援(2017/3)• その他の分野別ガイドラインの策定への支援

スコープ拡大第２版：利用時の品質を製品開発の考慮点に追加（2017/6)© 2017 IPA• IoT高信頼化に向けた機能要件と機能のまとめ(2017/5)• 利用時品質のまとめ（HCD-netとの共創活動）(2017/3)• IoTの品質確保の検討（IVIA,CCDS等と共創を開始）• データ品質の検討（JASA,MCPC等と共創予定)
Software Reliability Enhancement Center28

ご清聴ありがとうございました。

© 2017 IPA

Software Reliability Enhancement Center29