IoT社会に対応したサイバー・フィジカル・セキュリティ～内閣府SIP第2期の取組み ～元 内閣府 SIP プログラムディレクタ
Former Program Director, SIP Phase 2/Cyber Physical Security for IoT Society

情報セキュリティ大学院大学
President, Institute of Information Security

後藤 厚宏
GOTO, Atsuhiroプロフィール 後藤 厚宏◼ 1984年 工学博士。NTT研究所にて先進ICT技術の研究開発等に従事。
⚫ 第5世代コンピュータPJ（1985～1990）、米国シリコンバレー拠点（1994～1996）

産◼ 2011年7月より情報セキュリティ大学院大学教授。 2017年4月より学長⚫ 約7割が社会人。OB・OGは官公庁・企業で活躍中。

学◼ 2015年11月～2023年3月 内閣府SIPプログラムディレクター 併任⚫ SIP第1期：重要インフラ等のサイバーセキュリティ確保（2015～2019）

官⚫ SIP第2期： IoT社会に対応したサイバー・フィジカル・セキュリティ (2018～2022）◼ 2019年2月より日本政府のサイバーセキュリティ戦略本部員
MCPC 2023

1

内閣府 SIPプログラムディレクタ（PD）
2015～20192018～2022

MCPC 2023

2

サイバーセキュリティ戦略の推進体制
内閣総理大臣内閣

サイバーセキュリティ戦略本部
国家安全保障会議（NSC）
我が国の安全保障に関する重要事項を審議

本部長
内閣官房長官
副本部長 サイバーセキュリティ戦略本部に関する事務を担当する国務大臣
本部員
国家公安委員会委員長
デジタル大臣
閣僚が参画
総務大臣
外務大臣
経済産業大臣防衛大臣
有識者 （８名；10名以下）

緊
密
連
携

重要インフラ
専門調査会＜重要インフラ所管省庁＞
金融庁
総務省
厚生労働省 経済産業省
国土交通省

研究開発戦略
専門調査会

ｻｲﾊﾞｰｾｷｭﾘﾃｨ対策推進会議(CISO等連絡会議)

普及啓発・人材育成専門調査会

デジタル庁
整備基本方針作成等における
緊密連携

デジタル社会の形成に向けた司令塔としてデジタル改革を推進連携サイバーセキュリティ
協議会

(事務局)
協
力

＜その他関係府省庁＞
文部科学省 等

重要インフラ事業者等

内閣官房 内閣サイバーセキュリティセンター
政府関係機関・情報セキュリティ
横断監視・即応調整チーム（ＧＳＯＣ)

情報セキュリティ
緊急支援チーム（CYMAT)

政府機関（各府省庁）
MCPC 2023

閣僚本部員６省庁
協
力

個人

警察庁
デジタル庁
総務省
外務省
経済産業省 防衛省

官民の多様な主体が相互に連携した、より早期の段階での、サイバーセキュリティの確保に資す
る情報の迅速な共有等

企業

3

https://www.nisc.go.jp/council/cs/index.html

MCPC 20234重要インフラのサイバーセキュリティに係る安全基準等策定指針◼ 経営層による管理体制の整備◼ サプライチェーンリスク対策の強化⚫ サイバーセキュリティを確保できないこと ＝経営リスクのひとつ⚫ 直接の供給者と、担うべき役割と責任範囲を明確化⚫ CISO等は役員相当。監査にて脆弱性診断、ペネトレーションテスト等の実施を推奨。

① 不正機能等の埋め込み 「汚染」

◼ ランサムウェア対策とクラウドサービス
利用② サービスの供給途絶 「寸断」
③ 外部サービスにおける情報の不適切な取扱い⚫ ランサムウェア対策：バックアップからの復旧確認とネットワーク隔離④ 海外拠点、グループ組織、取引先等を経由したサイバー攻撃等の脅威に対応 「弱点」

⚫ クラウドサービス利用に係る対策：ステーク
ホルダーとの障害対応体制の構築

MCPC 2023

5

アウトライン
IoT社会におけるサプライチェーンのセキュリティ課題
サプライチェーン「寸断」のリスク

サプライチェーンにおけるソフトウェア「汚染」
内閣府SIP：サイバー・フィジカル・セキュリティへの取組み（SIP第2期 2018～2022年度）

まとめとディスカッション（Q&A）
MCPC 2023

6

IoT社会とサイバー・フィジカル・セキュリティ
サイバー空間とフィジカル空間の双方に跨るIoT社会でのサプライチェーン
ソフトウエアサプライチェーン
クラウド
サービス

ソフトウエアソフトウエアサービス

フリーウエア

分析

ＡＩ
サービス

デ
ー
タ

制
御

複合サービスのサプライチェーン

ファームウエア

IoTシステム製品

部品

サイバー空間住民サービスのサプライチェーン

電力

多数のIoT機器が連携して構成産業

物流

社会システム化
IoT製品ライフサイクル全体にわたるサプライチェーン
ビルサービス

IoTシステム

コネクテッドカー

部品

製 造

流 通

構 築
MCPC 2023

自治体行政

運 用

フィジカル空間利 用

7

IoT社会のサプライチェーン：サイバー攻撃リスク
Supply chain Cybersecurity Matters

2018年頃の「将来の想定リスク（懸念）」が、今日「現実の問題」として顕在化
2018年頃の将来の懸念
IoTリスク：サイバー攻撃脅威が、あらゆる産業活動に潜む
IoT社会では、サイバー攻撃がフィジカル空間まで到達し、経済損失が拡大するリスク
欧州、米国等：ネットワークに繋がるIoT機器のセキュリティ
要件の議論が活発に

サプライチェーンリスク：セキュリ
ティ確保が調達要件に
米国：防衛調達の全参加企業にセキュリティ対策（SP800171）を義務化

懸念が現実に
管理不十分なIoT機器による大規模サイバー被害とサイバー攻撃による大規模な事業停止 ⇒世界的な危機感の高まり
大規模ソフトウェアサプラ
イチェーン攻撃⇒米国連邦政府の危機感
コロナ禍やウクライナイ事案によるグローバルサプラ
イチェーンの分断（経済安保＠日本）
MCPC 2023

8サプライチェーン：サイバー攻撃リスク
Supplychain Attacks
2019年 防衛装備品情報の窃取

2020年 米国SolarWinds社：
運用システムの更新プログラム
がサイバー攻撃によって改ざん

2022年 デンソー（独）へのランサムウェア攻撃

弱点

汚染

営業秘密の盗難（設計情報・製造情報等）

不正なソフトウェアの混入

設計情報
製造情報
製品

不正な部品の混入

汚染

2016年 米国セキュリティ会社
が携帯電話部品に仕込まれている不正プログラムを発見

部品

部品供給の停止
2022年 小島プレスへのサイバー攻撃でトヨタが新車生産を停止MCPC 2023

寸断

エネルギー供給の停止
2021年 米国コロニアルパイプ
ライン社へのランサムウエア
攻撃： ガソリン供給網の寸断

9サプライチェーン「寸断」のリスク
課題の深刻化

金銭目的のサイバー攻撃• 情報窃取を狙いとするサイバー攻撃⇒ 銀行口座からの不正引出し• 暗号通貨の窃取（サイバー空間上での金融犯罪）• 金融ATMへの攻撃

社会・産業活動（事業継続性）
へのサイバー攻撃＋
金銭目的サイバー攻撃（ランサムウェア）

サービス妨害のサイバー攻撃• サイバー空間でのサービス停止（妨害）を狙う攻撃（DDoS等）• 重要インフラへの攻撃（ウクライナ停電
2015, 2016）MCPC 2023

事業が停止し、サプライチェーンが寸断
事業停止の被害の拡大・波及
10

サプライチェーン「寸断（事業継続停止）」がもたらす被害の連鎖・大規模化◼ 小島プレス工業事案：サイバー攻撃で停止によるトヨタの自動車生産事業の停止（国内産業全体への負のインパクト）
波及被害

直接被害
生産連携システムへのランサムウェア攻撃

小島プレス工業:

トヨタ

自動車生産

部品の製造・出荷を停止

国内14工場稼働停止

1日で約1万3千台減

ミクロマクロ◼ Colonial社の石油パイプライン事案：重要インフラがサイバー攻撃で停止による社視点
視点
会経済全体への負のインパクト
波及被害
直接被害
業務管理システムへのランサムウェア攻撃

コロニアルパイプライン社:

安全のため石油輸送を停止

MCPC 2023

米国東海岸

NewYork

石油供給不足ガソリン価格上昇
11不正機能・ソフトウェアの混入による「汚染」
サプライチェーンにおける課題の深刻化
不正機能の混入はサイバー攻撃の典型
ソフトウェアに残存する脆弱性• マルウェア（不正機能）混入の入口• Webでダウンロード• メールの添付ファイル• Webアプリケーションでのイ
ンジェクション攻撃

大量の製品で使われる部品への混入（例 2016年 携帯電話部品の問題）

ソフトウェアサプライチェーン攻撃
多数のユーザを持つソフトウェアシステムへの（同時・一斉）「汚染」攻撃• ソフトウェア更新機構の乗っ取り• 利用が多いOSS（特に部品ソフト）の脆弱性への攻撃

被害の大規模・広域拡大・波及
MCPC 202312急増するソフトウェア「汚染」サプライチェーン攻撃◼ 3年間で742％の急増（製造業・非製造業・官公庁）
Source: Sonatype社の2023レポート

2023

https://www.sonatype.com/state-of-the-software-supply-chain/introduction

3CX◼ 特にオープンソースソフトウェアと開発環境◼ ソフトウェアコードの96%はオープンソースを含む

2022
FISHPIG

Source: Synopsys社レポート “2023 Open Source Security and Risk Analysis Report”
https://www.synopsys.com/software-integrity/resources/analyst-reports/
open-source-security-risk-analysis.html

2021

OSSの
脆弱性

Log4Shell
ソフトウェア更新
機構の乗っ取りSolar Winds

2021
2020
MCPC 2023

UA Parser.js
13利用が多いOSSの脆弱性を悪用した攻撃（部品ソフトの「汚染」）
Log4Shellの例
Javaのログ出力ライブラリー「Apache Log4j」の脆弱性（Log4Shell）は脆弱性スコアCVSSが最大 ⇒ランサム
ウエア（身代金要求型ウイルス）攻撃への悪用が容易

Log4JはWebサーバーとして広く利用されているシステ
ムに標準機能として組込み• 米Vmwareの仮想デスクトップ構築用ソフト「Vmware Horizon」などの商用システム など部品として取り込んだ脆弱性のあるOSSによって多くの商用ソフトウェアシステムが「汚染」
MCPC 2023

サイバーセキュリティ関係施策に関する
令和６年度予算重点化方針(2023/7/4決定）
２ サプライチェーン・リスクを踏まえたソフトウェ
アセキュリティの高度化に関する取組
脆弱性情報とSBOM（Software Bill of Materials
ソフトウェアの部品構成表）の機械的な紐付けに係る実証を行うなど、2022年度までの取組を深化させ、ソフトウェアセキュリティの高度化に向けた取組を進める。また、代表的な通信シス
テムを対象にSBOMを作成・評価するなど、通信分野でのSBOM導入に向けた取組を進める。

14

SBOM（Software Bill of Materials）について◼ ソフトウェアの透明性（トランスペアレンシー）向上のための「成分表」 (by 米DOC, NTIA）◼ SBOMの内容⚫ 提供者名、コンポーネント名とバージョン、他固有識別子、依存関係、SBOMデータの作成者、タイムスタンプ 等

アラン・フリードマン氏◼ SBOMのフォーマット
⚫ SPDX（Software Package Data Exchange）⚫ SWID（Software Identification）⚫ Cyclone DX (OWASP)NTIAより引用
https://www.ntia.gov/files/ntia/publications/ntia_sbom_framing_2nd_edition_20211021.pdf
MCPC 2023

15

ソフトウェアセキュリティにおけるSBOMの活用◼ サプライチェーンを通じた脆弱性対応、インシデント対応の迅速化⚫ 経産省：サイバー・フィジカル・セキュリティ確保に向けたソフトウェア管理手法
等検討タスクフォース
https://www.meti.go.jp/shingikai/mono_info_service/sangyo_cyber/wg_seido/w
g_bunyaodan/software/index.html⚫ 総務省：通信分野におけるSBOMの導入に向けた課題の調査◆「ICTサイバーセキュリティ総合対策2023」（案）https://www.soumu.go.jp/menu_news/snews/01cyber01_02000001_00169.html◼ 内閣府SIP：サイバー・フィジカル・セキュリティへの取組み⚫ サプライチェーン攻撃からIoT製品を守るソフトウェア真贋判定⚫ 複合サービスサプライチェーンの信頼構築フレームワーク
MCPC 2023

16

SolarWinds社の事案（2020年）：「更新」機構の乗っ取り◼ SolarWinds社が提供するネットワーク監視ソフト
ウェア「Orion Platform」を用いる米国連邦政府機関（財務省・国務省・国家核安全保障局など）やMicrosoft, Cisco, FireEyeなどの大企業（合計18,000組織）が大規模なサイバー攻撃の被害を受けた◼ 同社が2020年3月と6月に配布したアップデートが改ざんされた? 国家の関与？

ソフトウェアサプライチェーン攻撃はセキュリティ維持の枠組みの危機！
「史上最大かつ最も巧妙」＝マイクロソフト社長◼ SIP CPSシンポジウム2021 招待講演
https://www.youtube.com/watch?v=OL_Q3f4pI94
MCPC 2023

17

ソフトウェアサプライチェーン攻撃と被害の拡大◼ SolarWinds社の事案：ソフトウェアの更新機構が攻撃され、更新プログラムを配布する
正規の仕組みにより多数のシステムに悪性機能が埋め込まれた
ソフトウェアベンダー
SolarWinds社

ソフトウェアメンテナンス機構

更新プログラム
ネットワーク監視ソフトウェア「Orion Platform」
ユーザ組織

企業A

企業B

官公庁C

官公庁D

運用システム運用システム運用システム運用システム米国連邦政府機関やMicrosoft, Cisco,
FireEyeなどの大企業（全体で18,000組織）

MCPC 2023

18

ソフトウェアサプライチェーン攻撃と被害の拡大◼ SolarWinds社の事案：ソフトウェアの更新機構が攻撃され、更新プログラムを配布する
正規の仕組みにより多数のシステムに悪性機能が埋め込まれた
ソフトウェアベンダー
SolarWinds社

ソフトウェアメンテナンス機構

悪性機能付き更新プログラム

多数の組織への被害の拡大
ネットワーク監視ソフトウェア「Orion Platform」
ユーザ組織

企業A

企業B

官公庁C

官公庁D

運用システム運用システム運用システム運用システム米国連邦政府機関やMicrosoft, Cisco,
FireEyeなどの大企業（全体で18,000組織）

バックドアから
情報窃取
MCPC 2023

19

ソフトウェアサプライチェーン攻撃と被害の拡大◼ SolarWinds社の事案：ソフトウェアの更新機構が攻撃され、更新プログラムを配布する
正規の仕組みにより多数のシステムに悪性機能が埋め込まれた
ソフトウェアベンダー
SolarWinds社

ソフトウェアメンテナンス機構

特定組織内での被害の拡大
ネットワーク監視ソフトウェア「Orion Platform」
ユーザ組織

企業A

企業B

官公庁C

官公庁D

運用システム運用システム運用システム運用システム米国連邦政府機関やMicrosoft, Cisco,
FireEyeなどの大企業（全体で18,000組織）

バックドアから
情報窃取
MCPC 2023

サイバー攻撃第２弾
20

サプライチェーンのセキュリティ課題
Supply chain Cybersecurity Matters

2018年頃の「将来の想定リスク（懸念）」が、今日「現実の問題」として顕在化
2018年頃の将来の懸念
IoTリスク：サイバー攻撃脅威が、あらゆる産業活動に潜む
IoT社会では、サイバー攻撃がフィジカル空間まで到達し、経済損失が拡大するリスク
欧州、米国等：ネットワークに繋がるIoT機器のセキュリティ
要件の議論が活発に

サプライチェーンリスク：セキュリ
ティ確保が調達要件に
米国：防衛調達の全参加企業にセキュリティ対策（SP800171）を義務化

懸念が現実に対応策が急遽検討

管理不十分なIoT機器による大規模サイバー被害とサイバー攻撃による大規模な事業停止 ⇒世界的な危機感の高まり

米国 Software Supply Chain対策の指南書 by U.S. NSA, CISA,ODNI （2022/9） とSBOM本格活
用への動き

大規模ソフトウェアサプラ
イチェーン攻撃⇒米国連邦政府の危機感

米国 MITRE社 サプライチェーン
セキュリティの “System of Trust”の枠組み

コロナ禍やウクライナイ事案によるグローバルサプラ
イチェーンの分断（経済安保＠日本）

EU IoT類を含むネットワーク接続
機器類への規制強化（EU Cyber
Resilient Act）

MCPC 2023

SBOM：Software Bill of Materials

21

サプライチェーンのセキュリティ確保に関する連邦政府動向
U.S. Federal Government tackling Supplychain Issues
頻発するサイバーセキュリティ被害
ソフトウェアサプライチェーン攻撃の大規模被害

国家のサイバーセキュリティ
改善に係る大統領令（EO14028）2021/5/21「汚染」

重要インフラで多用されるOSSへの脆弱性へ
の攻撃被害

「汚染」

ランサムウェアによる事業継続攻撃の被害「寸断」※経産省サイバー・フィジカル・セキュリティ確保に向けたソフトウェア管理手法等検討タスクフォース資料等を参照

MCPC 2023

22

MITRE社 サプライチェーンセキュリティの “System of Trust”
MITRE’s System of Trust

米MITREが提唱するサプライチェーン共通の安全性を確保するためのフレームワーク

https://sot.mitre.org/resources/summit/2022.html

SIP CPSシンポジウム基調講演 米MITRE社 ロバート・マーティン氏
https://www.youtube.com/watch?v=llgi-K4ZXhs
MCPC 2023

23

EU Cyber Resilience Act (2022/9に草案⇒2025年？）◼ 法案の狙い⚫ Digital Elementsの設計、開発段階から全てのライフサイクルで製造業者が製品セキュリティの改善を保障すること。
⚫ 既存の規則で対象となる製品（医療機器等）は対象外⚫ 当該製品に対するセキュリティ要件への適合性証明（自己適合宣言もしくは第三者認証）◼他⚫ ドイツ、シンガポール、フィンランド：消費者向けIoT製品に対するセキュリティラ
ベリング制度⚫ 英国：消費者向けIoT製品に対してセキュリティ対策の義務化を求める法律（Product Security and Telecommunications Infrastructure）
MCPC 202324

～ 12課題 ～MCPC 2023

25

MCPC 2023

26

『サイバー・フィジカル・セキュリティ対策基盤』の考え方‘Cyber-Physical Security Infrastructure’ for IoT, Software and Service Supplychain

サイバー空間とフィジカル空間の双方に跨るIoT社会でのサプライチェーン
ソフトウエアサプライチェーン
クラウド
サービス

ソフトウエアソフトウエアサービス

フリーウエア

分析

ＡＩ
サービス

デ
ー
タ

制
御

複合サービスのサプライチェーン

ファームウエア

IoTシステム製品

部品

サイバー空間住民サービスのサプライチェーン

電力

多数のIoT機器が連携して構成産業

物流

社会システム化
IoT製品ライフサイクル全体にわたるサプライチェーン
ビルサービス

IoTシステム

コネクテッドカー

部品

製 造

流 通

構 築
MCPC 2023

自治体行政

運 用

フィジカル空間利 用
27

研究開発体制（～2022年度）
SIP-CPS R&D Teams
PD

後藤 厚宏

サイバー・フィジカル・セキュリティ推進委員会

サブPD （今瀬 真、瓜生 和久）
戦略Ｃ （藤田 恭弘）
内閣府 （事務局）
NEDO （研究推進法人）

ＮＩＳＣ、総務省、 経産省、デジタル庁、他
学会、産業界の有識者
社会実装WG

成果普及・実証評価WG

海外動向調査WG
リーダー委員会

知財委員会

A1
信頼の基点
暗号モジュール「SCU」

A2
IoT機器向けソフト
ウェアの真贋判定

C2
IoT/OTシステムの異常検知・復旧支援

B2
多様なデータ流通の信頼確保

B3
サプライチェーン全体の信頼データ交換・共有

ECSEC, 産総研 (横国大，神戸大，東大，東北大，NAIST，
三菱電機)

NTT
NEC
（FFRI）

NTT, NEC日立, 三菱（阪大、金沢工大）

富士通

日立
KDDI総研（産総研）

A.信頼の創出・証明

C.信頼チェーンの検証・維持
MCPC 2023（NII,名大）B.信頼チェーンの構築・流通28

『サイバー・フィジカル・セキュリティ対策基盤』の考え方‘Cyber-Physical Security Infrastructure’ for IoT, Software and Service Supplychain
IoT機器やサプライチェーンの各構成要素について，セキュリティの確保（信頼の創出）とその確認（信頼の証明）を繰り返し行い，信頼チェーンを構築・信頼のチェーンを維持することで，IoTシステム・サービス及びサプライチェーン全体のセキュリティを確保
ソフトウエア
サプライチェーン全体の
信頼の構築

ＡＩ
サプライチェーン全体の分析
サービス
信頼データ交換・共有

ソフトウエアサービス

フリーウエア

IoT機器向け

IoT機器の信頼 ソフトウェアのファームウエア
の証明技術
真贋判定
製品
部品

クラウド
サービス

デ
ー
タ

多様なデータ流通のサイバー空間
信頼確保

制
御（製造ライン等） IoT/OTの信頼チェーン
IoT/OTシステムの電力維持技術
IoTシステム
異常検知・復旧支援
産業
多数のIoT機器が連携して構成物流

社会システム化
信頼の基点
IoT機器のIoTシステム
コネクテッドカー
暗号モジュール
部品
信頼の創出技術
製「SCU」造
流 通
構 築

MCPC 2023

ビルサービス

フィジカル空間

自治体行政

運 用

利 用

29

IoTサプライチェーンの信頼の創出技術 セキュア暗号ユニット「SCU」
The Secure Cryptographic Unit “SCU” as the “Root of Trust” in the Society5.0 era

サプライチェーン全体
でのセキュリティ対策と信頼性確保の「基点」• 世界最小、最小消費電力のセキュア暗号ユニット（SCU）の
LSIチップ開発に成功• ケーブルコネクターにも搭載可能とし、幅広い実用化に目途

SC02v.2チップ

チップ評価完了

MCPC 2023

30

IoT機器等向け真贋判定技術による信頼の証明技術
Authenticity and integrity monitoring technology for IoT device configuration

製造から流通・運用・保守
までIoT製品ライフサイクル
全体での不正機能の混入「汚染」防止• サプライチェーン攻撃からIoT製品を守る軽量&リアルタ
イム性に優れたソフトウェア真贋判定システムを実現• SBOM対応のソフトウェアサプライチェーン対策で先行【効果①】
納入時に不正なソフトウェア
構成要素を発見できる調達・設備構築担当

機器全体を漏れなく検査（マルウェア等を検出）【効果②】
本来動作に影響を与えず
稼働中に判定できる
IoT機器管理・運用担当

IoT機器
検査
ソフト

納入検査時に判定機能を実行

検査
ソフト

制御ソフト

OS

全ソフトを漏れなく検査判定基準（機器構成の証明情報）はSBOM対応
MCPC 2023

31

IoT/OTの信頼チェーンの維持技術
Anomaly Detection and Managed Security Services for Cyber Physical Systems

サプライチェーン上でのIoT/OTシ
ステムの異常検知・復旧支援• 運用中の設備（製造ライン・制御システム等)を守る異常検知・統合分析システムを実現

効果① 多様な業務環境のリスクを手軽に分析

効果② 多様な通信仕様に自動適応・監視・対処

業務環境上の脆弱性を悪用した攻撃ルートや影響を分析して、リスクと対処策案を提示
リスク診断サービス

センサ

リスク
シミュレータセンサ(1) センサから情報を収集(3) 一次対処の実行と通知

センサ

製造ラインのネットワーク内に異常検知のセンサを追加導入（既存設備にも導入可能）(2) 異常検知、原因推定、対処策の分析

センサ

分析
システム

センサ

MCPC 2023

リスク
シミュレータ代行サービス（セキュリティ監視・対処を代行）

32

IoT/OTの信頼チェーンの維持技術
Anomaly Detection and Managed Security Services for Cyber Physical Systems

リスク診断サービス

CPSのMSSサービス

MCPC 2023

33

サプライチェーン全体の信頼性確保に向けた信頼データ交換・共有技術
Digital Trust for building Trustworthiness in the Supplychain under Society 5.0• 複合サービスサプライチェーンの信頼構築フレーム
ワークを実現するVCPモデル、デジタルエビデンス、
トラストストアを開発

グローバルサプライチェーン
全体でのセキュリティ確保
１• 都心の大規模ビルのテナント衛生管
理サービスで機能実証に成功『信頼の創出・証明』⚫ サプライチェーン上の生産活動が規程どおりに行われたかを確認⚫ デジタルエビデンスに裏付けされた証明可能性による「信頼性」確保
トラストストア

２

信頼の登録

部品ベンダー

信頼の確認 信頼の登録

信頼の確認 信頼の登録
納品

部品ベンダー

登録・確認『信頼チェーン』の繰り返し⚫
各ベンダーの「信頼性」をトラストストアに登録して連鎖信頼の確認 信頼の登録⚫ サプライチェーン全体の「信頼性」を相互に参照して確認

納品

部品ベンダー

納品

完成品ベンダー

2
材料

信頼性

１

デジタル
エビデンス

発注
仕様

信頼性
デジタル
エビデンス

発注
仕様

信頼性
デジタル
エビデンス

発注
仕様

トラストストア

サービス・
製品

信頼性

登録・確認
の
繰り返し

信頼の登録

デジタル
エビデンス

部品ベンダー

材料

信頼性
デジタル
エビデンス

MCPC 2023

信頼の確認 信頼の登録

信頼の確認 信頼の登録
納品

発注
仕様

部品ベンダー

信頼性
デジタル
エビデンス

納品

発注
仕様

部品ベンダー

信頼性
デジタル
エビデンス

信頼の確認 信頼の登録
納品

完成品ベンダー

発注
仕様

信頼性

サービス・
製品

デジタル
エビデンス

34

サプライチェーン全体の信頼性確保に向けた信頼データ交換・共有技術
Digital Trust for building Trustworthiness in the Supplychain under Society 5.0
標準化に向けた国際連携
信頼構築フレームワークの標準化に向け、RRI等を活用した日独米推進体制の構築に成功し、日本単独提案と比べ、ISO標準化提案1年前倒しを達成
ISO/TC292 International Committee (’22～’25)

ドイツ国内委員会

SIP成果を活用した事業化
・都心の大規模ビルのサプライチェーンで実証に成功
・成果を活用し、2022年8月に㈱日立製作所、
イーヒルズ㈱から衛生管理可視化サービス「T*Plats」をサービスイン

ITU-T SG17

日本国内委員会 ANSI/TAC/ 他国
米国国内委員会 国内委員会

Platform Industrie 4.0

管理者

RRI/iSecAG

iSecAG
ドイツと日本の専門家会合利用したいお店や施設の衛生管理状況を確認

施設情報を登録

計測データを取得し、リアルタイムに衛生管理状況を把握

安心してお店・施設を利用

IoT センサー

管理者は常に衛生管理状況を把握できる

SIPメンバ参画

利用者
感染対策をしている
お店・施設の集客アップ

衛生管理可視化サービス概要

凡例： 協力関係構築

お店・施設

関係構築なし地域が活性化

標準化に向けた国際連携体制

MCPC 2023

35

自治体と事業者間を安全につなぐ情報流通技術とその応用
Information Distribution Technology and its Application to Secure Connection between Multi-stakeholders

市民・民間・行政間の多様なデータ流通の信頼確保• 信用情報流通、合意形成、分散セキュリティ制御を可能とする精選接続技術（TFC）を開発

精選接続技術（TFC）

災害時の安否確認名簿更新への応用（自治体サービス）
MCPC 2023

36

『サイバー・フィジカル・セキュリティ対策基盤』社会実装Ready
Cyber-Physical Security Infrastructure, the First Deployments towards Society5.0
機器自体の差し替えや不正機器のネットワークへの接続

既存機器のインターフェース部に外付け可能な
通信暗号化コネクタ
システム
IoT機器向けの改ざん検知
ソフトウェア(サービス化準備)
IoT/OTシステム
におけるセキュリティ異常対処
支援サービス（一部 先行サービス化）

ネットワーク上の通信傍受

サイバー・フィジカル・セキュリティ対策基盤
クラウド
サービス

ソフトウエアソフトウエアサービス

フリーウエア

デ
ー
タ

物流

部品

IoTシステム

製造

流通

不正ソフトウェアの混入

電力

サイバー空間x
ビルサービス

社会システム化
コネクテッドカー構築

脆弱性を発端とする攻撃

フィジカル空間

自治体行政

運用

利用

不正アクセスによる情報漏えいや改ざん

MCPC 2023

信頼できる取引ネットワーク構築サービス（自治体向け実証）
サプライチェーン・
トラスト・
ソリューション

産業

多数のIoT機器が連携して構成製品
部品

制
御IoTシステム

ファームウエア

ＡＩ
サービス

分析

「衛生管理可視化」（先行サービス化）

内部による
不正行為

37

SIP CPSの成果紹介ビデオを技術導入のガイドブック
Cyber-Physical Security Infrastructure, Introductory Video and Guidbook

技術導入のガイドブック

成果紹介ビデオ（短版 約８分・長版 約30分×日本語・英語）

ガイドブック・技術紹介動画 | 事業 | NEDO
https://www.nedo.go.jp/activities/ZZJP_100235.html
MCPC 2023

38

関連ドキュメント・ガイドブック・技術紹介動画
内閣府SIPの全体概要• https://www.youtube.com/@sip9529/videos• https://www8.cao.go.jp/cstp/gaiyo/sip/
SIP CPSガイドブック・技術紹介動画• https://www.nedo.go.jp/activities/ZZJP2_100123.html
SIP CPSシンポジウムより• https://www.youtube.com/watch?v=llgi-K4ZXhs 2023/3 MITRE SoT• https://www.youtube.com/watch?v=OL_Q3f4pI94 2021/11 SolarWinds事案の分析
SIP CPS調査報告書• https://www.nedo.go.jp/content/100956037.pdf NIST, ENISAなどの海外動向関連• https://www.nedo.go.jp/content/100956036.pdf CSIRT, PSIRT関連• https://www.nedo.go.jp/content/100953488.pdf OSS関連MCPC 2023

39

SIP第2期（2018年度～2022年度）「IoT社会に対応したサイバー・フィジカル・セキュリティ」◆ Society5.0への貢献
SIPの開始時（2018年度）の「将来の想定リスク（懸念）」が、今日「現実の問題」として顕在化し、米国やEUにおいて対応策作りが急務になるなか、本SIPにて先行開発してきた成果は「社会実装READY!」であり、必須ツールとして国内外で活用（社会実装）が期待できる。
◆ SIP 成果
Society 5.0 の安全・安心を確立するため， IoTシステムの製造・流通・運用から行政サービス・民間サービスのサプライチェーン全体を守ることができる『サイバー・フィジカル・セ
キュリティ対策基盤』の開発と実証を行い、2030年までの社会実装の目途をつけることができた。
MCPC 2023

40

まとめ
IoT社会におけるサプライチェーンのセキュリティ課題 ⇒ リスクが顕在化（現実問題に！）

サプライチェーン「寸断」のリスク ⇒ 社会経済全体のマクロな視点

サプライチェーンにおけるソフトウェア「汚染」⇒ クリティカルソフトウェアの再点検とOSSの安全性強化
内閣府SIP：サイバー・フィジカル・セキュリティへの取組み （SIP第2期 2018～2022年度）⇒先行開発してきた成果が社会実装READY!

まとめとディスカッション（Q&A）
MCPC 2023

41

ご紹介

情報セキュリティ大学院大学（IISEC）

大学基本情報［名称］情報セキュリティ大学院大学［学長］後藤厚宏［位置］横浜市神奈川区鶴屋町2-14-1（横浜駅きた西口徒歩1分）［開学］2004年4月1日［構成］研究科：情報セキュリティ研究科

専 攻：情報セキュリティ専攻
課 程：博士課程［前期・後期］
学 位：［前期］修士（情報学） Master of Informatics［後期］博士（情報学）Doctor of Philosophy in Informatics

４つのモデルコースとコースリーダー
倫理観を持って、現実の課題解決を担う高度な専門技術者・実務家、及び、将来方向をリードする創造性豊かな研究者を育成

有田教授

技術系
数理科学とAI
コース

村上教授

サイバーセキュリティとガバナンスコース

総合科学

マネジメント系
セキュリティ／リスクマネジメント
コース
藤本教授

システムデザイン
コース
大久保教授

IISECカリキュラムの現在（2023年度）
総合学習

セキュリティ／リスクマネジメント⚫ 情報セキュリティ特別講義⚫ 情報セキュリティ輪講Ⅰ⚫ 情報セキュリティ輪講Ⅱ⚫ Presentations for Professionals⚫ クリティカルシンキングとイノベーション＊⚫ 不確実性下の意思決定⚫ 統計的方法論⚫ セキュリティシステム監査⚫ 国際標準とガイドライン⚫ 情報セキュリティ心理学⚫ リスクマネジメントと情報セキュリティ⚫ セキュリティ経営とガバナンス⚫ 組織行動と情報セキュリティ⚫ マスメディアとリスク管理⚫ データサイエンスとアナリティクス＊

サイバーセキュリティとガバナンス⚫ セキュア法制と情報倫理⚫ 法学基礎⚫ 知的財産制度⚫ セキュリティの法律実務⚫ 個人識別とプライバシー保護⚫ サイバーセキュリティ技術論⚫ ハッキングとマルウェア解析＊＊特設講義

数理科学とAI⚫ 暗号・認証と社会制度⚫ 暗号プロトコル⚫ アルゴリズム基礎⚫ 数論基礎⚫ 量子計算と暗号理論⚫ AIと機械学習⚫ ブロックチェーン理論＊

システムデザイン⚫ ネットワーク設計とセキュリティ運用⚫ 情報デバイス技術⚫ 情報システム構成論⚫ オペレーティングシステム⚫ セキュアプログラミングとセキュアＯＳ⚫ プログラミング⚫ ソフトウェア構成論⚫ 実践的ＩｏTセキュリティ⚫ セキュアシステム構成論

ハンズオン⚫ 情報セキュリティ技術演習⚫ セキュリティ実践Ⅰ＆セキュリティ
実践Ⅱ （SecCap演習）
NWとWebアプリのセキュリティ検
査と対策演習、デジタルフォレン
ジック演習、Capture The Flag
（CTF)入門と実践演習、インシデ
ント対応とCSIRT基礎演習

社会人学生の所属組織（2022-2023実績）◼ 官公庁、自治体：⚫ 金融庁／警察庁／警視庁／海上保安庁／外務省／防衛省（含 自衛隊）／法務省／横浜
市役所／神奈川県警察／国立印刷局 など◼ インフラ系：⚫ NTTコム／NTTドコモ／NTT-ME／協和エク
シオ／日本コムシス／ミライト・テクノロジーズ／JCOM など

◼ 金融関係：⚫ 日本生命保険／農林中央金庫／三井住友信託銀行／三井住友海上火災／イオン銀行／
三井住友銀行 など◼ 製造業：⚫ ホンダ など

◼ IT系企業：⚫ 日立システムズ／NTTコムウェア／NTTテクノク
ロス／IQVIAサービスジャパン／ディー・エヌ・
エー／さくら情報システム／富士フイルムビジネ
スイノベーション／プルデンシャル・システムズなど◼ セキュリティ企業：⚫ NRIセキュアテクノロジーズ／LAC など◼ その他⚫ 弁護士 等

セキュリティ人材育成の取組み URL◼ 情報セキュリティ大学院 https://www.iisec.ac.jp/◼ 情報セキュリティ大学院 入学案内
https://www.iisec.ac.jp/admissions/application/◼ 情報セキュリティプロ人材育成短期集中プログラム（ProSec）
https://www.iisec.ac.jp/admissions/prosec/⚫ 「セキュアシステム技術演習（基礎）」コース⚫ 「IoTセキュリティ」コース⚫ 「CSIRT構築に向けて」コース⚫ 「脅威分析コース」