IoTの「リスク評価」を考える
CSAジャパン IoT WGの活動紹介
IoT WG リーダー（アルテア・セキュリティ・コンサルティング）
二木真明

IoT WGの概要•

IoT クラウドサービスWGから改称

••
•

•

もともと、（CSAなので）サービスサイドからIoTを考えようという発想で立ち上げ
でも、グローバルIoT WG（米国本部がデバイス側も含めてアウトプットを出し始めた）（暴走？？）なので、「サービスにフォーカス」しつつも、全体をカバーする方向に独自のアウトプット（リスク評価やサービス側についてのコンテンツ）を模索しつつ、グローバルとも連携する活動を行っている•••

IoTインシデントの影響評価に関する考察（5月リリース）

IoTに関する脅威シナリオ集（現在とりまとめ作業中：年内目途に第一弾を完成させる予定）
グローバルコンテンツのレビューへの参加と翻訳活動•

IoT早期導入者のためのセキュリティガイダンス• Security Guidance for Early Adopters of the Internet of Things (IoT)•

IoTにおけるID/アクセス管理 要点ガイダンス• Identity and Access Management for the Internet of Things – Summary Guidance•

翻訳作業中（2月頃リリース予定）• Future Proofing The Connected World (13 Steps To Developing Secure IoT Products)•

書籍、記事の共同執筆•

日経BP社 IoTセキュリティ～インシデントから開発の実際まで～• IoT早期導入者のためのセキュリティガイダンス解説等の寄稿•

IoTに関連する政府パブコメ等への意見提出

メンバー10名（2016/11時点）

IoT関連のインシデント

Ｗｅｂカメラ、ルーター等に感染するマルウエアの大流行と、それによるDDoS攻撃の発生 （620Gbps超!!）制御システム関連のインシデント

Jeep ハッキングと大規模リコール

IoTと呼ぶかどうかは別として単独で深刻な影響をもたらすものも・・
ウクライナ発電所へのサイバー攻撃(CNN.co.jpより）

IoTブームの危うさ• 簡単に「繋がる」環境• IoT機器は簡単に作れる• 安価なH/Wとオープンソースのプラットホーム• 異業種の参入• ネット利用とは無縁だった業界、業種、部門の参入• 「常識」の欠落・・・・• （企業全体としてはノウハウがあっても）部門の壁が高い• 利用者にとっての “uncontrollable”• できることは、買わないかネットに繋がないことだけ• 製品価値の多くがネットから提供されているから、購入が無意味になる可能性が高い・・・

IoTの「リスク」• 作る側のリスク• サイバー攻撃、マルウエアの標的となることで、利用者や第三者に被害を与える可能性（企業責任の問題）• 機器やサービスの機能停止等による損害、改修、リコール等に多くの労力と費用が発生する可能性• 使う側のリスク• サイバー攻撃、マルウエアの標的になることで、直接的な被害（物理的被害、情報漏洩などの被害）を受ける可能性• 機器が機能しなくなることによる利便性や安全性の低下の可能性• （知らない間に）機器が悪用され、他者に被害を与える可能性• 社会的なリスク• 社会インフラや重要サービスに対して直接、間接に悪影響を与える可能性• 社会的混乱や社会不安を発生する可能性

作る側の大きな「誤解」• 人が死んだり怪我をしたりしないから・・・・• 直接的には影響しなくても間接的には？

• たとえば、車のスピーカーから突如として大音響が出たら何が起きるか・・・といった考察は必要（車載機器でなくても、GPSや位置、速度検出機能があれば、車に乗っていることを認識することは可能）• 誤った情報が与えられることで、人の行動に影響する可能性も検討が必要• 機能や能力が限定されているから、これを攻撃してもメリットはないだろう・・・• 大規模なデバイスネットワーク全体を乗っ取られるリスクも検討が必
要• サービスサイトが乗っ取られたら？
• ファームウエア更新サーバが乗っ取られて、改ざんされたファームウエアが一斉配布されたら？

• mirai worm 感染デバイスのように、ネットワークインフラに破壊的な影響を与える可能性も「想像力」の欠落とも言える

まずは「影響評価」から
脅威は様々な切り口から攻撃を仕掛けてくる

IoT全体を「システム」として捉えて、脅威の影響を見極める必要がある。

影響要素
脅威はその目的によって最も効率の良い影響要素を狙ってくる

影響特性比較
医療用機器

自動車（運転制御）

自動車（情報系）

情報家電

白物家電

スマートメーター

フィットネス機器

デバイスの特性・デバイスが直接、間接に周囲に与える影響

デバイス特性543210

デバイス数

システム例
医療用機器
自動車（運転制御）
自動車（情報系）
情報家電
白物家電
スマートメーター
フィットネス機器

デバイス特性5532333

サービス特性・サービスがその利用者や接続されているデバイスを介して周囲に与える影響

サービス特性サービス特性5533233

デバイス数1455554I
26292017182019「IoTインシデントの影響評価に関する考察」 から抜粋

i
4.3
4.8
3.3
2.8
3.0
3.3
3.2

デバイス数
・機器が多数同時に制御を奪われた場合に、社会や利用者全体に与える影響特性を見極めて対処することが必要

まずは対策の「ベースライン」を決める• 開発しようとするシステムの「影響要素」を分析• デバイス特性、サービス特性、デバイス数の3軸で影響度を評価し、それに応じた基本的な対策レベルを決めて、設計に活かす• 詳細な脅威分析の前に、平均的な影響度を見極め、それを対策の最低ライン（ベースライン）として、各種のガイダンス等を参考に必要なセキュリティ対策を選択する
システム例
医療用機器
自動車（運転制御）
自動車（情報系）
情報家電
白物家電
スマートメーター
フィットネス機器

デバイス特性5532333

サービス特性5533233

デバイス数1455554

評価法は「IoTインシデントの影響評価に関する考察」を参照

I
26
2920171820
19

i
4.3
4.8
3.3
2.8
3.0
3.3
3.2

個別のリスク（脅威）評価
システム例
医療用機器
自動車（運転制御）
自動車（情報系）
情報家電
白物家電
スマートメーター
フィットネス機器

デバイス特性5532333

サービス特性5533233

デバイス数1455554I
26292017182019i
4.3
4.8
3.3
2.8
3.0
3.3
3.2

個々の影響要素でベース値を超える要素は、個別のリスク評価を脅威シナリオベースで行って、それに応じた対策項目を追加する

脅威シナリオベースの評価
脅威の選択（システムが攻撃対象となる可能性があるもの）
シナリオの選択（攻撃の目的に応じたシナリオの選択）
シナリオの選択（攻撃の目的に応じたシナリオの選択：複数）手段の抽出（シナリオから用いられる手段を抽出：複数）手段の抽出（シナリオから用いられる手段を抽出：複数）可能性の評価と対策の検討（複合的な対策）
可能性の評価と対策の検討（複合的な対策）

脅威シナリオ集
現在 IoT WGでとりまとめ中Roadmap
影響評価手法2016年～2017年
シナリオ集の脅威シナリオ集
継続的な追加
改訂
2017年

マッピング

対策ガイダンス
IoT早期導入者のためのセキュリティガイダンス（日本語版）
Future Proofing The Connected World （2017/01日本語化予定）

是非、WGに参加を• 企業会員、個人会員メンバー募集中• コラボレーション、意見交換先も募集中
IoTで「明るい未来」を創造するために

http://www.cloudsecurityalliance.jp/IoT_WG.html