水道情報活用システム
基本仕様書

別冊

CPS/IoT セキュリティ仕様書
WPSC007 EDITION 1.1

2021 年 2 月

水道情報活用システム標準仕様研究会

WPSC007-Ed.1.1 2021-02

本書は、国立研究開発法人 新エネルギー・産業技術総合開発機構「IoT を活用した新産業モデ
ル創出基盤整備事業」における「水道 IoT の社会実装推進に向けた検討」、及び「高度なデー
タ活用を可能とする社会インフラ運営システムの開発」事業により作成されたものに、経済産業省補助事業（補助事業者：株式会社 JECC）「水道施設情報整備促進事業」により改定され、水道情報活用システム標準仕様研究会により改定されました。

WPSC007-Ed.1.1 2021-02

水道情報活用システム標準仕様研究会及び本ドキュメント(本使用許諾条件に添付されて提供されるドキュメントをいい、以下同じ)の原著作権者である国立研究開発法人新エネルギー・産業技術総合開発機構、（以下「当研究会等」と総称します）は、以下の条件のもとで本ドキュメント
を使用、複製および頒布することを無償で許諾します。本ドキュメントを使用、複製または頒布した場合には、以下の条件に同意したものとします。
1. 本ドキュメントの中に含まれる著作権表示および本使用許諾条件を、本ドキュメントの全部または一部を複製したものに表示してください。
2. 本ドキュメントを使用したサービスの提供を含め営利目的に本ドキュメントを使用することができますが、本ドキュメントのみを単独で販売することはできません。
3. 第４項に定める場合を除き、本ドキュメントを使用したサービスの提供に際して、事前の書面による当研究会等の許可なく、それらの宣伝、広告活動に当研究会等の名称を使用することはできません。
4. 本ドキュメントを使用して得られた結果を、形態を問わず、出版、発表において公表する場
合には、本ドキュメントと当研究会等の名称を引用等において明示してください。
5. 本ドキュメントは現状有姿で提供されるものであり、当研究会等は、本ドキュメントに関して、商品性および特定目的への適合性、エラー・バグ等の不具合のないこと、第三者の特許権、実用新案権、意匠権、商標権、著作権その他の知的財産権を侵害するものではないこと
を含め、明示たると黙示たるとを問わず、一切の保証を行わないものとします。また、当研究会等は、本ドキュメントの誤りの修正その他いかなる保守についても義務を負うものではありません。
6. 当研究会等は、本ドキュメントの使用または使用不能、複製、頒布、その他本ドキュメント
または本使用許諾条件の規定に関連して生じたいかなる損害(特別損害、間接損害、逸失利益を含みますが、これに限りません)または第三者からのいかなる請求についても、法律上の根拠を問わず一切責任を負いません。当研究会等がかかる損害または請求の可能性について知らされていた場合も同様とします。
7. 本ドキュメントは、一般事務用、家庭用、通常の産業用等の一般的用途を想定して作成されているものであり、原子力施設における核反応制御、航空機自動飛行制御、航空交通管制、
大量輸送システムにおける運行制御、生命維持のための医療用機器、兵器システムにおけるミサイル発射制御など、極めて高度な安全性が要求され、仮に当該安全性が確保されない場
合、直接生命・身体に対する重大な危険性を伴う用途(以下「ハイセイフティ用途」という)を想定して作成されたものではなく、当該ハイセイフティ用途に要する安全性を確保する措置を施すことなく、本ドキユメントを使用しないものとします。また、ハイセイフティ用途に本ドキュメントを使用したことにより発生する、いかなる請求または損害賠償に対しても当研究会等は一切の責任を負わないものとします。

WPSC007-Ed.1.1 2021-02

- 目次 –
1. はじめに ........................................................................ 1
1.1 本ドキュメントの目的 ......................................................... 1
1.2 水道情報活用システム標準仕様のドキュメント.................................... 2
ドキュメント体系 .......................................................... 2
対象読者と役割 ............................................................ 3
本書の対象読者 ............................................................ 4
1.3 参考文献 ..................................................................... 5
1.4 用語の説明 ................................................................... 8
1.5 本ドキュメントの記載範囲 .................................................... 10
2. CPS/IoT セキュリティの実装方式 .................................................. 11
2.1 識別子(ID)の付与 ............................................................ 11
2.2 相互認証と通信経路の暗号化 .................................................. 13
2.3 アクセス制限 ................................................................ 15
ユーザ認証 ............................................................... 15
広域向けアプリケーションへのアクセス制限 ................................. 17
ゲートウェイへのアクセス制限 ............................................. 18
2.4 データの暗号化 .............................................................. 19
データ送信時のデータ暗号化 ............................................... 22
データ受信時のデータ復号 ................................................. 23
暗号アルゴリズムと署名アルゴリズム ....................................... 24
2.5 セキュリティ対策の選択 ...................................................... 26
2.6 認定制度 .................................................................... 27

WPSC007-Ed.1.1 2021-02

1. はじめに1.1 本ドキュメントの目的
本ドキュメントは、社会インフラ水道情報活用システム(以下、水道情報活用システム)標準
仕様における基本仕様書の別冊である。
基本仕様書では、水道情報活用システムを実現する基本仕様として、水道情報活用システムの全体構成と基本的に守るべきルール、標準インターフェイスを規定している。
本ドキュメントは、基本仕様で規定した基本的に守るべきルールの 1 つである CPS/IoT セキ
ュリティ（水道情報活用システムで対応すべきセキュリティ対策）の詳細仕様を記載したドキュメントである。
水道情報活用システムは水道標準プラットフォームと、それに接続される様々なアプリケー
ション、ゲートウェイによって構成されるため、流通される事業体のデータを情報漏洩やなりすましによるデータ改ざんから守るためには、アプリケーション開発ベンダー、IoT ゲートウ
ェイ・デバイスベンダー、システムゲートウェイ・システムベンダー、プラットフォーマー、
システムインテグレーターの間で水道情報活用システムのセキュリティ仕様を統一し、またシステムとして構築する必要がある。
本ドキュメントでは、水道情報活用システムにおけるセキュリティの詳細仕様を示し、上記の実現を目的とする。

1
WPSC007-Ed.1.1 2021-02

1.2 水道情報活用システム標準仕様のドキュメント
ドキュメント体系
水道情報活用システム標準仕様のドキュメント体系を以下に示す(図 1-1)。

水道情報活用システム
基本仕様書(WPSC001)

アプリベンダー向け
標準インターフェイス
仕様書(WPSC002)
機器ベンダー向け
標準インターフェイス（デバイス）仕様書(WPSC003)
機器ベンダー向け
標準インターフェイス（システム）仕様書(WPSC004)

IoT ゲートウェイ
外部仕様書(WPSC009)

システムゲートウェイ
外部仕様書(WPSC010)

水道標準プラットフォーム
外部仕様書(WPSC005)

水道 CPS データ
プロファイル仕様書(WPSC006)

CPS/IoT セキュリティ
仕様書(WPSC007)ドキュメント名称/略称

初期情報設定シート(WPSC008)(ドキュメント番号)：水道情報活用システム
基本仕様書：水道情報活用システム
基本仕様書 別冊
：本書

マッピングベンダー向け
データ共有仕様書(WPSC011)

標準汎用インターフェイス
仕様書(WPSC012)

図 1-1: ドキュメント体系

2
WPSC007-Ed.1.1 2021-02

対象読者と役割
水道情報活用システム標準仕様の対象読者と役割を以下に示す。
① 事業体：
水道情報活用システム上のアプリケーションを利用して、デバイス・システムのデータを活用したサービスを享受する事業体。
② アプリケーション開発ベンダー：
水道情報活用システム上のアプリケーションを開発し、デバイス・システムのデータを活用したサービスを事業体に提供するベンダー。
③ IoT ゲートウェイ・デバイスベンダー：
水道情報活用システム上の IoT ゲートウェイを開発し、デバイスのデータを水道標準
プラットフォームへ流通するベンダー。
④ システムゲートウェイ・システムベンダー：
水道情報活用システム上のシステムゲートウェイを開発し、各種台帳システムや料金システム等の業務システムのデータを水道標準プラットフォームへ流通するベンダー。
⑤ プラットフォーマー：水道情報活用システム上の水道標準プラットフォームを提供し、デバイス・システムのデータを流通するサービス提供および運営を行う第三者機関。
⑥ システムインテグレーター：
水道情報活用システム全体の設計を行い、アプリケーション開発ベンダーや IoT ゲー
トウェイ・デバイスベンダー、システムゲートウェイ・システムベンダーを統率し、水道情報活用システムを事業体に導入するベンダー。

3
WPSC007-Ed.1.1 2021-02

本書の対象読者
本書の対象読者を以下に示す（表 1-1)。
水道情報活用システム 基本仕様書は、(1)～(6)の対象読者が必ず参照すべきドキュメントである。その別冊の各仕様書は、読者の役割に応じて参照すべきドキュメントである。
表 1-1: 仕様書別対象読者
対象読者
ドキュメン

WPSC001

WPSC002

水道情報活用システム

基本仕様書

水道情報活用システム

基本仕様書

WPSC004

WPSC005

WPSC006

WPSC007

WPSC009

WPSC010WPSC011

WPSC012

基本仕様書

水道情報活用システム

基本仕様書

別冊

機器ベンダー向け標準インターフェイス(システム)仕様書
水道情報活用システム

基本仕様書

別冊

水道標準プラットフォーム外部仕様書
水道情報活用システム

基本仕様書

別冊

水道 CPS データプロファイル仕様書
水道情報活用システム

基本仕様書

別冊

CPS/IoT セキュリティ仕様書
基本仕様書

基本仕様書

別冊

IoT ゲートウェイ外部仕様書
水道情報活用システム

基本仕様書

別冊

システムゲートウェイ外部仕様書
水道情報活用システム

基本仕様書

別冊

マッピングベンダー向けデータ共有仕様書
水道情報活用システム

基本仕様書

別冊

標準汎用インターフェイス仕様書〇：必読、 △：必要に応じて読む、

(2)

(3)

(4)

(5)

(6)

○

○

○

○

○

〇

－

○

－

－

○

〇

－

－

○

－

○

〇

－

－

－

○

○

〇

－

△

△

△

○

△

－

○

○

－

○

〇

－

○

○

○

○

〇

○

△

△

△

○

〇

－

－

○

－

－

〇

－

－

－

○

－

〇

△

○

－

△

－

〇

△

○

〇

－

△

〇

別冊

初期情報設定シート
水道情報活用システム

(1)

別冊

機器ベンダー向け標準インターフェイス(デバイス)仕様書

水道情報活用システム
WPSC008

別冊

アプリベンダー向け標準インターフェイス仕様書
水道情報活用システム
WPSC003(1)～(6)は 1.2.2 項参照

ドキュメント名称
ト番号－：読まなくてもよい：本書

4
WPSC007-Ed.1.1 2021-02

1.3 参考文献
水道情報活用システム標準仕様を参照する際の参考文献を以下に示す(表 1-2)。
表 1-2: 参考文献
No.

1

参考文献

ISO 8601

説明

日付と時刻の表記について規定する ISO による国際規格。
URL※：https://www.iso.org/iso-8601-date-and-time-format.html

水道標準プラットフォームで利用するメッセージングプロトコルであ2

MQTT Protocol
Specification

る MQTT について、OASIS により規定されたプロトコル仕様。
※

URL

：

http://public.dhe.ibm.com/software/dw/webservices/ws-mqtt/mqttv3r1.html

認証プロトコルについて規定する、OpenID ファウンデーションによる
3

OpenID Connect

プロトコル仕様。
URL※：http://www.openid.or.jp/document/

4

OpenID Connect Core1.0

水道標準プラットフォームで利用するアイデンティティ連携プロトコ
ル仕様。
URL※：http://openid.net/specs/openid-connect-core-1_0.html

Hypertext Transfer Protocol(HTTP/1.1)について規定する IETF による5

RFC 2616

技術仕様。
URL※：https://tools.ietf.org/html/rfc2616

暗号化通信プロトコルである HTTP over TLS( 本ドキュメントでは
6

RFC 2818「HTTP(S)」と表記)について規定する、IETF によるプロトコル仕様。
URL※：https://tools.ietf.org/html/rfc2818

5
WPSC007-Ed.1.1 2021-02

No.

参考文献

説明

セ キ ュ ア な 通 信 を 行 う た め の プ ロ ト コ ル で あ る Transport Layer
7

RFC 5246

Security(TLS)について規定する、IETF によるプロトコル仕様。
URL※：https://tools.ietf.org/html/rfc5246

水道標準プラットフォームで利用する通信プロトコルである
8

RFC 6455

WebSocket について、IETF により公開されたプロトコル仕様。
URL※：https://tools.ietf.org/html/rfc6455

OpenID Connect のベースである OAuth 2.0 のトークン仕様について
9

RFC 6750

規定する、IETF による技術仕様。
URL※：https://tools.ietf.org/html/rfc6750

HTTP/1.1 におけるセマンティクスとコンテンツについて規定する IETF10

RFC 7231による技術仕様。
URL※：https://tools.ietf.org/html/rfc7231

XML Encryption
11

Syntax andProcessing

XML Signature
12

Syntax andProcessing

XML 暗号について規定する W3C 勧告。

URL※：http://www.w3.org/TR/xmlenc-core1/

XML 署名について規定する W3C 勧告。
URL※：http://www.w3.org/TR/xmldsig-core2/※: 2017 年 7 月時点の URL を参考に記載

6
WPSC007-Ed.1.1 2021-02

その他、参考にする報告書を以下に示す。
経済産業省「平成２８年度ＩｏＴ推進のための社会システム推進事業（スマート工場実証事
業）報告書」
http://www.meti.go.jp/policy/mono_info_service/mono/smart_mono/H28SmartFactory_Dat
aProfile_Security_Report.pdf
http://www.meti.go.jp/policy/mono_info_service/mono/smart_mono/H28SmartFactory_Dat
aProfile_Security_Report_Attachment1.pdf
http://www.meti.go.jp/policy/mono_info_service/mono/smart_mono/H28SmartFactory_Dat
aProfile_Security_Report_Attachment2.pd
経済産業省「平成２８年度ＩｏＴ推進のための社会システム推進事業（社会インフラ分野でのＩｏＴ活用のための基盤整備実証プロジェクト）」
http://www.meti.go.jp/meti_lib/report/H28FY/000060.pdf
http://www.meti.go.jp/meti_lib/report/H28FY/000061.pdf
http://www.meti.go.jp/meti_lib/report/H28FY/000062.pdf

7
WPSC007-Ed.1.1 2021-02

1.4 用語の説明
水道情報活用システム標準仕様で使用する用語の説明を以下に示す(表 1-3)。
表 1-3: 用語の説明
No.

1

用語

AI

コンピュータを使って学習・推論・判断等、人間の知能の働(Artificial Intelligence)

きを人工的に実現するもの。

API
2

説明

(Application Programming
Interface)

ソフトウェアコンポーネントが互いにやり取りするのに使用するインターフェイスの仕様。

CPS/IoT を活用して、デバイス・システムのデータを流通さ
3

水道情報活用システム

せ、データを活用した付加価値の高いサービスを提供するシステム。

4

DUNS Number

ダンアンドブラッドストリート（D&B）社が開発した 9 桁の(Data Universal Numbering

企業識別コードのことで、世界の企業を一意に識別できる企

System Number)

業コード。

FQDN
5

(Fully Qualified Domain
Name)

IANA
6

(Internet Assigned Numbers
Authority)

完全修飾ドメイン名。ホスト名とドメイン名などすべてを省
略せずに指定した文字列。

IP アドレス・ドメイン名・ポート番号等の標準化・割り当て等インターネットに関連する番号を管理する組織。

国際的な流通標準化機関である GS1 が定める国際標準の識7

JAN コード

別コードを設定するために必要となるコード。国際的には(Japanese Article Number)

GS1 Company Prefix と呼ばれ、日本では最初の 2 桁が「45」又は「49」で始まる 9 桁又は 7 桁の番号。

MIME タイプ
8(Multipurpose Internet Mail
Extension)

IANA に登録されている、転送するデータの種類や形式を判別する為の識別子。

8
WPSC007-Ed.1.1 2021-02

No.

9

10

用語

TDB 企業コード(Teikoku Data Bank)

耐タンパー性説明
帝国データバンクが独自に取材・収集した企業情報に加え、各種公的情報を基に、1 社＝1 コードとして厳格に設定した数字 9 桁の企業識別コード。

非正規な手段による外部からの解析が容易に出来ないよう、
データの読み取りや改ざんを防ぐ能力。

「平成 28 年度 IoT 推進のための社会システム推進事業（ス11

データプロファイル

マート工場実証事業）」の成果物であり、水道情報活用シス
テム上でデータをやり取りする際のデータ流通のルール。

12

パディング

決められたデータの長さに対してデータが短い場合に、データを追加してデータの長さを合わせる処理。

一般財団法人日本情報経済社会推進協会(JIPDEC)が一元的
13

標準企業コードに管理する、企業を識別する業界横断的な企業コード。
企業を一意に識別できる 6 桁の企業識別コードと、各企業が採番、管理を行う 6 桁の枝番で構成される。
パケット通信において、データの転送先や転送経路などを制

14

ペイロードデータ御するための情報を含むヘッダや、データの破損などを検査するトレーラなどの付加的情報を除いた、ユーザーが送信したいデータ本体。

15

メッセージダイジェスト

16

リダイレクト17

レルム名

任意の長さの文字列を固定長のビット列に変換するアルゴ
リズム。

ウェブサイトを訪れたユーザーを、自動的に他のウェブペー
ジに転送する処理。

それぞれのレルム(同一の認証ポリシーを適用する範囲)を識別する名称。

9
WPSC007-Ed.1.1 2021-02

1.5 本ドキュメントの記載範囲
本ドキュメントは、水道情報活用システムにおける、CPS/IoT セキュリティ仕様として、
CPS/IoT セキュリティの実装方式を示す。
社会インフラ水道情報活用システム標準仕様では、
IoT ゲートウェイからデバイスに対して、制御信号などのデバイスの動作に係わる指示を送ることは想定していない。制御信号などを送る場合は、RAS(Reliability、Availability、Serviceability)の観点を十分に考慮した上で、各社の競争領域として設計し、実装すること。

10
WPSC007-Ed.1.1 2021-02

2. CPS/IoT セキュリティの実装方式
水道情報活用システムにおける CPS/IoT セキュリティの実装方式について示す。

2.1 識別子(ID)の付与
水道標準プラットフォームが、不正なユーザーや不正な広域向けアプリケーション、不正なゲートウェイからの接続を防ぎ、デバイス・システムのデータに対するアクセス管理を正しく行うため、水道情報活用システムの構成要素をそれぞれ一意に識別する識別子(ID)を付与する。
付与する識別子(ID)を以下に示す。
・テナント ID
・事業体 ID・ユーザーID・アプリケーション ID
・ゲートウェイ ID
・施設 ID・設備 ID・機器 ID・システム ID・業務 ID・データ ID
識別子(ID)の詳細については、基本仕様書 3.1.2 項を参照。
アプリケーション ID とゲートウェイ ID に対して発行される電子証明書の種類と用途を以下に示す(表 2-1)。
表 2-1: 識別子(ID)に対して発行する電子証明書
No.

識別子(ID)

種類

用途

アプリケーション証明書

1(TLS 用)アプリケーション証明書(データ保護用)ゲートウェイ証明書

3(TLS 用)「データ暗号化」で使用する。

ゲートウェイと水道標準プラットフォームの間の通信における「相互認証」や「通信経路の暗号化」で使用する。

ゲートウェイ ID
4

ットフォームの間の通信における「相互認証」や「通信経路の暗号化」で使用する。

アプリケーション ID
2

広域向けアプリケーションと水道標準プラ

ゲートウェイ証明書(データ保護用)「データ暗号化」で使用する。

11
WPSC007-Ed.1.1 2021-02

電子証明書の取得方法については、アプリベンダー向け標準インターフェイス仕様書の 2.3
節及び機器ベンダー向け標準インターフェイス(デバイス)仕様書、機器ベンダー向け標準イン
ターフェイス(システム)仕様書の 2.1 節を参照。

12
WPSC007-Ed.1.1 2021-02

2.2 相互認証と通信経路の暗号化
相互認証と通信経路の暗号化の概略については、基本仕様書に記載されている。
本節では、相互認証と通信経路の暗号化の実施手順について示す。
相互認証と通信経路の暗号化は、水道標準プラットフォームをサーバー、広域向けアプリケーション及び IoT ゲートウェイをクライアントとして、SSL/TLS の仕様に従って実施する。
広域向けアプリケーションやゲートウェイが、水道標準プラットフォームとの通信において、相互認証と通信経路の暗号化で利用する鍵情報及び電子証明書を以下に示す(表 2-2)。
表 2-2: 相互認証と通信経路の暗号化で利用する鍵情報及び電子証明書
No.

種類

1

アプリケーション秘密鍵(TLS 用)

2

アプリケーション証明書(TLS 用)

3

サーバールート証明書

4

サーバー秘密鍵(TLS 用)

5

サーバー証明書(TLS 用)

6

アプリケーションルート証明書

7

ゲートウェイルート証明書

8

ゲートウェイ秘密鍵(TLS 用)

9ゲートウェイ証明書(TLS 用)

10

サーバールート証明書

取得方法
アプリケーション開発ベンダーが、プラットフォー
マーから取得する。詳細は、アプリベンダー向け標
準インターフェイス仕様書の 2.3 節を参照。

プラットフォーマーが保持する。

IoT ゲートウェイ・デバイスベンダー、システムゲ
ートウェイ・システムベンダーが、プラットフォー
マーから取得する。詳細は、機器ベンダー向け標準
インターフェイス(デバイス)仕様書及び機器ベンダ
ー向け標準インターフェイス(システム)仕様書の2.1 節を参照。

広域向けアプリケーションと水道標準プラットフォームとの間の通信開始時の処理において、
SSL/TLS の通信手順に従い、通信相手の電子証明書を相互に検証(相互認証)する。同様に IoT
ゲートウェイと水道標準プラットフォームとの間の通信開始時の処理において相互認証する。
相互認証の完了後、通信経路の暗号化を行い、通信を開始する。
相互認証や通信経路の暗号化においては、中立的な PF の運営組織で運営される認証局（CA)が発行した証明書を利用する。また、中立的な PF の運営組織で運営される認証局（CA)が発行した証明書や暗号技術に用いる鍵情報は、必要に応じて、耐タンパー性を持つ領域に格納し、外部からの不正アクセスや改ざんを防止することで、セキュリティを向上させることも可能である。
13
WPSC007-Ed.1.1 2021-02

なお水道標準プラットフォームでは、定期的に証明書のバージョンを最新化するが、古いバージョンの証明書を一定期間保持するため、広域向けアプリケーションやゲートウェイが古いバージョンの証明書でも対応可能とする。
（図 2-1）

証明書保持イメージ

アプリケーション

証明書A
証明書B

証明書
確認

証明書
取得

複数保持期間[PF暗号化処理]
常に最新の証明書で暗号化を行う[PF復号化処理]
複数保持期間、すべての証明書で復号化できるようにする

古い証明書Aのまま処理するアプリケーションのイメージ

新しい証明書Bを取得するアプリケーションのイメージ

証明書
A
復号化

証明書
B

水道標準プラットフォー
ム
暗号化
処理

証明書
B

アプリケーション
暗号化
処理

証明書
A

水道標準プラット
証明書
フォーム
A

指定された
証明書Aで復号化できる

復号化
処理

証明書
B

図 2-1: 証明書の複数バージョン保持による処理イメージ

なお、広域向けアプリケーションは、事業体ユーザーとの間の通信においても同レベルの通信暗号化を実施する。

14
WPSC007-Ed.1.1 2021-02

2.3 アクセス制限
アクセス制限の概略については、基本仕様書に記載されている。本節では、アクセス制限の実施手順と具体例について示す。
事業体ユーザーが広域向けアプリケーションを利用する際には、水道標準プラットフォーム
でユーザー認証を実施する。ユーザー認証の結果は、ユーザーがデータにアクセスする際の制御に利用される。水道標準プラットフォームは、ユーザー認証の結果を利用して、そのユーザ
ーがアクセス可能なゲートウェイ、広域向けアプリケーションであるかを判別し、アクセス制
限を行う。

ユーザ認証
ユーザー認証の例を以下に示す(図 2-2)。

(1) アプリケーションにアクセス
シングルサインオン(2) ログイン画面にリダイレクト
広域向け
アプリケーション A(4) 認証・認可情報

広域向け
アプリケーション B

広域向け
アプリケーション C(5) データ取得

水道標準プラットフォーム
事業体(3) ログイン

ユーザー

図 2-2: 水道情報活用システムにおけるユーザー認証の例

広域向けアプリケーションは、アプリベンダー向け標準インターフェイスを呼び出す際、アクセストークン等の認証・認可情報を使用する。認証・認可情報は水道標準プラットフォーム
で以下の通り評価される。
・ユーザー認証：登録されたユーザーのアクセスか否か
・アクセス制御：アクセスしようとしているデータに対してアクセス権限があるか否か
認証方式は OpenID Connect とする。OpenID Connect の方式においては、水道標準プラット
フォームがリソースサーバー(サービスプロバイダー)、広域向けアプリケーションがクライア
15
WPSC007-Ed.1.1 2021-02

ントに該当する。
広域向けアプリケーションは、認証リダイレクト URL の実装等、OpenID Connectに必要な機能を実装する。
OpenID Connect の仕様により、広域向けアプリケーションにアクセストークンが付与されたタイミングで、ID トークンも同時に付与される。ID トークンは Json Web Token(JWT)形式のトークンであり、トークン上に含まれるユーザー情報を利用して、広域向けアプリケーションで独自の認可処理に利用できる。
広域向けアプリケーションは、OpenID Connect に準拠したアクセス先(トークンエンドポイ
ントやユーザー情報エンドポイント)を利用できる(表 2-3)。
表 2-3: 利用可能なアクセス先(エンドポイント)の URL
No.
1

2

項目

内容※

トークンエンド

https://[水道標準プラットフォームのホスト名]/auth/realms/[レルム名]

ポイント/protocol/openid-connect/token

ユーザー情報エhttps://[水道標準プラットフォームのホスト名]/auth/realms/[レルム名]

ンドポイント/protocol/openid-connect/userinfo※: [水道標準プラットフォームのホスト名]と[レルム名]はプラットフォーマーに確認する。

16
WPSC007-Ed.1.1 2021-02

広域向けアプリケーションへのアクセス制限
広域向けアプリケーションへのアクセス制限では、ユーザーが所属する事業体で利用する広域向けアプリケーションに対してのみログインできるように制限する。これにより、広域向け
アプリケーション内のデータは、他の事業体のユーザーによるアクセスから保護される。広域向けアプリケーションへのアクセス制限の例を以下に示す(図 2-3)。

事業体①

事業体①の
ユーザー

事業体②

広域向け

広域向け

広域向け

アプリケーション A

アプリケーション B

アプリケーション A

事業体①

事業体①

事業体②

データ

データ

データ

水道標準プラットフォーム
事業体①のユーザーは事業体①のユーザーはログイン可

ログイン不可図 2-3: 広域向けアプリケーションへのアクセス制限の例

17
WPSC007-Ed.1.1 2021-02

ゲートウェイへのアクセス制限
ゲートウェイへのアクセス制限では、ユーザーが所属する事業体で登録申請したゲートウェ
イに対してのみアクセスできるように制限する。これによりゲートウェイは、他の事業体のユーザーによるアクセスから保護される。ゲートウェイへのアクセス制限の例を以下に示す(図2-4)。

広域向けアプリケーション A から IoT ゲート
ウェイのデータを要求

事業体①

事業体②

広域向け

広域向け

広域向け

アプリケーション A

アプリケーション B

アプリケーション A

水道標準プラットフォーム

事業体①の対象の企業/事業体以外

ユーザーのゲートウェイからはデータを取得できない

対象の企業/事業体

IoT

システム

IoT

のゲートウェイからデー

ゲートウェイゲートウェイゲートウェイ

タを取得
事業体①

事業体②

図 2-4: ゲートウェイへのアクセス制限の例

18
WPSC007-Ed.1.1 2021-02

2.4 データの暗号化
データの暗号化の概略については、基本仕様書に記載されている。
本節では、データの暗号化の実施手順について示す。
通信経路での盗聴だけでなく、水道情報活用システム内での盗聴を防ぐためには、通信経路の暗号化に加えて、データそのものを暗号化することが必要となる。重要なデータを暗号化することで、流通する経路や一時保存の環境に依らず、データの機密性を確保することが可能となる。
送受信するデータに適用するデータプロファイルの構成概要を以下に示す(図 2-5)。

プロトコル ヘッダ
プロトコル ボディデータプロファイル
業務アクティビティ

ヘッダ

包括タグ
ディレクション(入力)業務アクティビティ
トランザクション(出力)
セキュリティ方式
・条件

セキュリティ方式
・条件

図 2-5: データプロファイルの構成概要

データ暗号化では、データプロファイルのディレクション(入力)、トランザクション(出力)の一部または全てを暗号化する。具体的な暗号化の範囲は、セキュリティ強度と利便性を考慮し、データプロファイルで実装する。暗号化の範囲は、水道 CPS データプロファイル仕様書の2.3.3 項および 2.3.4 項を参照。

19
WPSC007-Ed.1.1 2021-02

データ暗号化で利用する鍵情報及び電子証明書を以下に示す(表 2-4)。
表 2-4: データ暗号化と利用する鍵情報及び電子証明書
No.

種類

取得方法

利用箇所
プラットフォームから受信し

1

アプリケーション秘密鍵(データ保護用)アプリケーション開発ベンダ
ーが、プラットフォーマーから取得する。

たデータを復号化する際に利用する。この秘密鍵は、No.4-1のアプリケーション用公開鍵証明書（データ保護用）に対応
する。

2

3

3-1

アプリケーション証明書

プラットフォーマーが保持す(データ保護用)る。

ケーションにデータ送信する
際の暗号化の際に利用する。
アプリケーションまたはゲー

サーバー秘密鍵(データ

トウェイから受信したデータ保護用)

アプリケーション用

プラットフォームから、アプリを復号化する際に利用する。
プラットフォーマーが保持する。

この秘密鍵は、No.2 のアプリケーション用公開鍵証明書（データ保護用）に対応する。
この秘密鍵は、No.6 のゲートウ

3-2

ゲートウェイ用

ェイ用公開鍵証明書（データ保護用）に対応する。
プラットフォームから受信し4

サーバー証明書(データ プラットフォーマーが保持す
保護用)

る。

たデータを復号化する際に利用する。この証明書は、No.1 のアプリケーション秘密鍵(データ保護用)に対応する。
アプリケーションから、プラッ

4-1

4-2

アプリケーション用

トフォームにデータ送信する
証明書ファイル取得 IF にて際の暗号化の際に利用する。

取得する。

ゲートウェイから、プラットフ

ゲートウェイ用

ォームにデータ送信する際の暗号化の際に利用する。
IoT ゲートウェイ・デバイス

5

ゲートウェイ秘密鍵(デ ベンダー及びシステムゲート
ータ保護用)

ウェイベンダーが、プラット
フォーマーから取得する。

プラットフォームから受信したデータを復号化する際に利用する。この秘密鍵は、No.4-2のゲートウェイ用公開鍵証明書（データ保護用）に対応する。

20
WPSC007-Ed.1.1 2021-02

No.

6

種類

取得方法

ゲートウェイ証明書(デ プラットフォーマーが保持すータ保護用)

る。

利用箇所
プラットフォームから、ゲートウェイにデータ送信する際の暗号化の際に利用する。

広域向けアプリケーションま7

セッション鍵

たはゲートウェイおよびプラットフォームにおいて通信毎に生成する。

7-1

7-2

7-3

7-4

アプリケーションからプ
ラットフォームへ通信用
プラットフォームからア
プリケーションへ通信用
プラットフォームからゲートウェイへ通信用
ゲートウェイからプラッ
トフォームへ通信用

アプリケーションにて生成

データ送信する側がデータ暗号化の際に共通鍵として利用

プラットフォームにて生成する。

プラットフォームにて生成

ゲートウェイにて生成

21
WPSC007-Ed.1.1 2021-02

データ送信時のデータ暗号化
データ暗号化の付与の処理順
広域向けアプリケーション及びゲートウェイがデータ送信をする際の、データ暗号化の付与の処理順を以下に示す(図 2-6)。

データプロファイル内の業務アクティビティ包括タグ(Activities 要素)には、異なる設備に対する業
務アクティビティ(Activity 要素)が複数含まれていても良い

データプロファイル作成

Activities 要素から
Activity 要素取り出し[未処理の Activity 要素なし][未処理の Activity 要素あり]

送信先の証明書
取得

送信先の証明書(ゲートウェイ証明書(データ保護用),表 2-4 No.4-2、又はアプ
リケーション証明書(データ保護用),表2-4 No.4-1)を取得、また該当のバー
ジョン ID を取得する。

Activity 要素内
暗号化

通信毎に生成する共通鍵(セッション鍵,
表 2-4 No.7-1orNo.7-4)を使用して暗号化 セッション鍵は、送信先の証明書に含まれる公開鍵を使用して暗号化[証明書未取得][証明書取得済]

Activities 要素に暗号化したセッション鍵、バージョン ID 付与

終了

図 2-6: データ送信時の処理(データ暗号化の付与)

22
WPSC007-Ed.1.1 2021-02

データ受信時のデータ復号
データ復号の処理順
広域向けアプリケーション及びゲートウェイが、データを受信した際の復号の処理順を以下に示す(図 2-7)。
データプロファイル
読込

水道標準プラットフォー
ムの公開鍵秘密鍵のバージョン ID 取得

Activities 要素に含まれる暗号化されたセッション鍵も取得[証明書取得済][証明書未取得]
送信元(ゲートウェイ、又は広域向けアプリケーション)の証明書取得

暗号化されたセッション
鍵を復号「暗号化セッション鍵文字列」から秘密鍵(アプリケーション 表 2-4 No.1/ゲートウ
ェイ 表 2-4 No.5)を使用して復号化
し、共通鍵(セッション鍵,アプリケーション
表 2-4 No.7-2/ゲートウェイ 表 2-4
No.7-3)を取得

Activities 要素から
Activity 要素取り出し[未処理の Activity 要素なし][未処理の Activity 要素あり]

Activity 要素内の復号
セッション鍵を使用してデータの復号

終了

図 2-7: データ受信時の処理(復号)23
WPSC007-Ed.1.1 2021-02

暗号アルゴリズムと署名アルゴリズム
広域向けアプリケーション、ゲートウェイ、水道標準プラットフォームが採用する暗号アル
ゴリズムおよび署名アルゴリズムは、現時点では、下記のアルゴリズムを採用する。
ただし、セキュリティにおける技術動向や水道情報活用システムのシステム環境は、将来において変化していく為、その時点で適切なアルゴリズムの採用を検討し選択肢として追加されるものとする。
暗号アルゴリズム
暗号アルゴリズムは、データ送信側と受信側で同一のアルゴリズムを利用する。
データの暗号化と復号
共通鍵方式を利用してデータの暗号化、復号を行なう。使用する暗号のアルゴリズムを以下に示す(表 2-5)。

表 2-5: データの暗号化と復号で使用するアルゴリズム
No.

区分

方式

1

暗号アルゴリズム

AES

2

暗号モード

CBC※

3

鍵長

128bit, 192bit, 256bit

4

ブロック長

128bit5

パディング

PKCS#7※: 終端で端数データが発生した場合は、No.5 に示す方式でパディングを行う

共通鍵の暗号化と復号
共通鍵方式を利用してセッション鍵の暗号化、復号を行なう。使用する暗号のアルゴリ
ズムを以下に示す(表 2-6)。

表 2-6: セッション鍵の暗号化と復号で使用するアルゴリズム
No.

区分

方式

1

暗号アルゴリズム

RSA

2

鍵長

2048bit3

ブロック長

2048bit

4

パディング

OAEP

24
WPSC007-Ed.1.1 2021-02

データ暗号化における XML 仕様
データ暗号化したデータと、データ暗号化に使用したセッション鍵は、XML 暗号の仕様に従ってデータプロファイルに組み込む。
署名アルゴリズム
署名アルゴリズムは、データ送信側と受信側で同一のアルゴリズムを利用する。
電子署名で使用するアルゴリズム
電子署名の付与と検証で使用するアルゴリズムを以下に示す(表 2-7)。
表 2-7: 電子署名で使用するアルゴリズム
No.

区分

アルゴリズム1

正規化

Exclusive XML Canonicalization Version 1.0 (omit comments)

2

署名

RSASSA-PKCS1-v1_5

3

メッセージダイジェスト

SHA-256

4

メッセージ認証コード

HMAC

電子署名の付与における XML 仕様
データに付与される電子署名の値は、XML 署名の仕様に従ってデータプロファイルに組み込む。

25
WPSC007-Ed.1.1 2021-02

2.5 セキュリティ対策の選択「データの受け渡しが安全に行われること」を実現するセキュリティ対策として、①閉域網の利用、②通信経路の暗号化、③データの暗号化、の３つが挙げられる。(図 2-8)

図 2-8: 「データの受け渡しが安全に行われること」を実現するセキュリティ対策

対策を数多く実施することはセキュリティを向上させるが、一方で、計算処理量や通信デー
タ量の増加をまねくためシステムコストとのバランスを取る必要がある。そのため、現状の監視制御システムにおける利用状況を鑑み、セキュリティ対策として「①閉域網の利用」を実施
している場合には「②通信経路の暗号化」と「③データの暗号化」の対策は重複する要素が大きく、「③データの暗号化」のほうが計算処理コストが大きいことから「②通信経路の暗号化」の対策のみでも良いとする。
なお、「①閉域網の利用」を実施している場合、ゲートウェイ側や保守端末側のネットワー
クから、公衆網（インターネット）に接続する場合に、①のセキュリティ要件が守れなくなるという問題がある。そのため、ゲートウェイおよび保守端末は水道標準プラットフォーム接続の専用端末とし、公衆網（インターネット）への接続は原則禁止とする。端末の初期セットア
ップやメンテナンスのために公衆網（インターネット）への接続が必要となる場合は、水道標
準プラットフォームのネットワークとは切り離した状態で実施し、端末内のウィルスチェックを十分に実施した上で、水道標準プラットフォームのネットワークに接続すること。

26
WPSC007-Ed.1.1 2021-02

2.6 認定制度
認定制度の詳細については、基本仕様書に記載されている。
詳細は基本仕様書の 3.1.6 項を参照。
本節では、認定の取得要否について示す。
水道情報活用システムの各サブシステムのベンダー、プラットフォーマーは、セキュリティに関する機能の信頼性・実効性や安全性を確認するための手段として、第三者による認定取得が望ましい。
主な認証・規格の取得要否を以下に示す(表 2-8)。
表 2-8: 主な認証・規格の取得要否
取得要否
アプリケー
ション開発
ベンダー

IoT
ゲートウェ
イ・デバイス
ベンダー

システム
ゲートウェイ
・システム
ベンダー

プラット
フォーマー

ISMS

○

○

○

○

2

ITSMS

○

－

－

○

3

CSMS

－

－

－

－

4

EDSA

－

－

－

－

5

FIPS 140-2

－

－

－

－

6

PCI DSS

－

－

－

－

7

SP800-171

－

－

－

－

8

NERC CIP

－

－

－

－

No.

認定制度
（認証・規格）1【凡例】 ○: 推奨、－: 任意- 以上 27
WPSC007-Ed.1.1 2021-02