CSA Japan Summit 2021
～大阪・関西万博に向けたスマートシティIT基盤や運用について考える～

CCDS ストラテジックアドバイザー
スマートシティWG（旧：Trusted Data連携WG） 主査
株式会社OZ1 代表取締役
大阪府 スマートシティ戦略 スーパーアドバイザー
エストニア日本商工会議所 理事江川
Copyright 2018 Connected Consumer Device Security Council Proprietary将偉
1CCDSの全体の動き「2020年活動状況」〜より良いガイドライン整備に向けて～

Copyright 2018 Connected Consumer Device Security Council Proprietary2

CCDSの概要• 名称：一般社団法人 重要生活機器連携セキュリティ協議会– 英名：Connected Consumer Device Security council (CCDS)

•
•
•
•

設立：2014年10月6日
会長：徳田英幸（情報通信研究機構 理事長、慶応大学 名誉教授）
代表理事：荻野 司（情報セキュリティ大学院大学 客員教授）
理事：後藤厚宏（情報セキュリティ大学院大学 学長、SIP：PD）
松本 勉（横浜国立大学先端科学高等研究院 教授）• 会員数：216（正会員以上：61、一般会員：120、学術系：18、協賛:17）(2020年11月）• 主な事業：
1.
2.
3.
4.

生活機器の各分野におけるセキュリティに関する国内外の動向調査、内外諸団体との交流・協力
生活機器の安全と安心を両立するセキュリティ技術の開発
セキュリティ設計プロセスの開発や検証方法のガイドラインの開発、策定および国際標準化の推進
生活機器の検証環境の整備・運用管理及び検証事業、セキュリティに関する人材育成や広報・普及
啓発活動等
Copyright 2018 Connected Consumer Device Security Council Proprietary3

協議会組織スマートシティWG

Copyright 2018 Connected Consumer Device Security Council Proprietary

4

IoTセキュリティを取り巻く各国の動向
ガイドライン提案加速

2014年

2015年

法規制に向けて

2016年

2017年
5月

11月

サイバーセキュリティ基本法
サイバーセキュリティを推進するための基本理念や国の責務等を定めた情報セキュリティ戦略の基盤となる法律

日本

米国

EU

2020年
４月

改正個人情報保護法施行 技適にセキュリティ 技適への要件追加提案 セキュリティ
個人情報の取扱いに関するルール
が10年ぶりに改正され施行された12月

策を推進するためのリー
ダーシップのとりかたについてガイドラインを策定

NISTがサーバーセキュリ
ティ対策の全体像を示す
フレームワークを公表

2019年
11月

6月

7月

5月

サイバーセキュリティ IoTセキュリテ 医療情報システムの経営ガイドライン ィガイドライン 安全管理に関するガイドライン第5版
企業経営者を対象に対 IoTセキュリティに2月
サイバーセキュリティ
フレームワーク公表

2018年

関する指針と一般利用者のためのルールを策定

マルウェアの感染によりIoT機器がボットネット化
しないための要件を追加

IoT Cybersecurity
Act 2017法案提出
IoT製品の政府調達条件を規定

12月
改訂版

要件追加
パブコメ
8月-2019年4月

サイバー・フィジカル・
セキュリティ対策フレー
ムワークを策定

医療機関等を対象とする
サイバー攻撃やIoT等の新技術への対応として改定

8月

技術適合
要件施行

2月

9月

NISTIR8200(Draft)公表

5つのユースケースに対する
IoTサイバーセキュリティの目 米国加州で的、リスク、脅威の分析、国 IoTセキュリ
際標準化状況を整理した ティ法成立

9月
10月
11月
5月
近年、IoTセキュリティに関連する法 サイバーENISA EU一般データ保護
英政府
セキュリ
がIoTの 規則(GDPR)施行 コンシューマ
規制、ガイドラインなどが各国から出 ティ認証 ベースラ EU加盟28カ国およびアイス IoT向けセフレーム インセキュ ランド、リヒテンシュタイン、ノ キュリティされており、これらへ対応していかな ワーク導
リティ推ルウェー）の個人データ保 行動規範
入検討を 奨事項を 護を目的とした管理規則
13箇条
いとビジネスに影響を及ぼしつつある。 公表 発表

Copyright 2018 Connected Consumer Device Security Council Proprietary

3末

3月

連邦政府調達に適IoT Cybersecurity

切な管理推奨事項

Improvementを明確化(NIST)Act 2019法案提出

1月

2018/5-2019/2
ETSI

NISTIR
8259DRAFT

加州SB327
施行

ETSI TS103 645
Cyber
Security for
Consumer

IoT

5

CCDS

IoTセキュリティガイドライン整備状況
2016年８月

サイバー
セキュリティ戦略
NISC

IoTセキュリティ
一般的枠組
NISC

日本の考え方の国際展開
IoTシステムの設計・構築・運用にかかる
基本的な一般要求事項の明確化

セキュリティ・バイ・デザイン
思想によるIoTシステム開発の提唱
IoT推進
コンソーシアム参照

2016年3月

2016年７月

つながる
世界の
開発指針

IoTセキュリティ
ガイドライン
提案

IoT推進コンソ
総務省
経済産業省

IoTサービス関係者全レイヤに向けた
セキュリティガイドライン

製品分野横断で活用できる
安全・安心なIoTシステムの開発指針（チェックリスト）

201７年

2016年

検
参討
照協
力

産業分野
へ展開

CCDS

6月
分野別v1.0版公開

4月
分野別v1.0版(英語)公開

CCDS
車載機編

5月
・分野別v2.0版公開
・別冊公開

CCDS
IoT-GW編
CCDS
ATM編
CCDS
オープン
POS編

2018年

6月
・分野別v2.0(英語)公開
・評価検証ガイドv1.0公開

参照

CCDS

CCDS

評価検証
ガイド

車載機編-別冊

海外発信

各種ガイドライン（文書）が発行

CCDS
IoT-GW編別冊

海外発信

11月
・共通要件2018公開
・調達編draft公開

CCDS
共通要件
ガイドライン
2018年版

2019年
10月
・マーク制度開始
・共通要件2019公開
・スマートホーム編
V1.0公開CCDS
共通要件
ガイドライン
2019年版

CCDS
CCDS
バージョンアップ
調達仕様編
CCDS
スマート
新規ガイド作成
ホーム編
ATM編-別冊draft
Copyright 2018 Connected Consumer Device Security Council Proprietary V1.0

2020年
11月

・マーク制度拡張（サービスへ）・共通要件2021公開
・アップデート機能編公開
・ＡTM勉強会報告書

CCDS
共通要件
ガイドライン
2021年版

CCDS
アップデート
機能編

CCDS
ATM勉強会報告書

6

この1年間で発行した報告書・ガイドライン
•
•
•
•
•

「IoT 機器セキュリティ実装ガイドライン～ソフトウェア更新機能～第 1.0 版」「IoT 分野共通セキュリティ要件ガイドライン 2021 年版」「自動預け払い機関連システムにおける物理・サイバー攻撃の対策検討ポイント 」「IoT 分野共通セキュリティ要件ガイドライン2019 年度版11 要件における解説編」「スマートホームガイドライン 1.0 版」
CCDS 幹事会員・正会員により積極的に活動を実施しています。

Copyright 2018 Connected Consumer Device Security Council Proprietary7サーティフィケーションプログラム

一般社団法人重要生活機器連携セキュリティ協議会
Connected Consumer Device Security Council （CCDS）
Copyright 2018 Connected Consumer Device Security Council Proprietary8サーティフィケーションプログラム

Copyright 2018 Connected Consumer Device Security Council Proprietary

9IoTサイバー保険

IoT機器＋IoTサービスを対応

ＣＣＤＳは、三井住友海上火災保険株式会社、損害保険ジャパン日本興亜株式会社、東京海上日動火災保険と連携し国内初となる「ＩｏＴ機器保険付認証制度」を構築。ＣＣＤＳがマーク付与した製品に対してサイバー保険を自動付帯します。
マークによって、分野を問わず最低限守るべき要件を満たしていることが確認できるため、ユーザーがIoT機器を購入する際に選択の指標となります。

安心・安全なIoT機器を選択するための指標

フォレンジック調査等、様々な費用・損害を保険で補償します。
原因調査
インシデントの発生またはそのおそれがある
場合、迅速に調査を実施します。
その他費用損害

損害賠償金
メーカーに過失が発生する場合、賠償金をお支払いいたします。

＋

損害拡大防止・再発防止費用等、インシデントに起因する費用を幅広く補償します。
Copyright 2018 Connected Consumer Device Security Council Proprietary10サーティフィケーションの申請方法
申請書の提出サーティフィケーションを取得
したい機器や申請者の情報を記載し提出。

申請手数料のお支払い

セキュリティ検査

対象機器の１２要件に対する検査結果を提出。※検査には、
CCDS指定検査資格が必要です。

書類審査（CCDS）

検査結果やチェックシートの書
類審査

登録管理料のお支払い

マーク発行（CCDS）

サーティフィケーションを証明するマーク・証明書の発行（登録）

Copyright 2018 Connected Consumer Device Security Council Proprietary11サーティフィケーションプログラム

Copyright 2018 Connected Consumer Device Security Council Proprietary

12

IoT機器が共通して守るべき、11のセキュリティ要件を定義（ミニマムな要求事項）2021年要件確定 12要件へ拡充①②③

管理画面からの侵入脅威を排除
ID,PWを強化（一意、再設定）
未使用ポートからの侵入を排除④ アタックサーフェース
Wifi,Bluetooth,USB

要件の粒度：
１）要件内容と合格レベルを規定
２）要件内容を規定
運用で合格レベルを規定
３）守るべき内容を規定
運用で合格レベルを規定

No.

サーティフィケーション要件

1

Web入力経由によるSQLインジェクションの不具合がないこと

2

Web入力経由によるクロスサイトリクエストフォージェリの不具合がないこと

3

Web入力経由によるパストラバーサルの不具合がないこと

4

未使用のTCP/UDPポートを外部より使用されないこと

5

システム運用上、必要なTCP/UDPセッションにおいて、適切な認証（機器毎にユニークなIDとパスワード）や通信アクセス制御が行われていること。

6

認証情報の設定変更が可能なこと（ハードコーディングされていないこと）

7

・利用者の設定した情報、および機器が利用中に取得した情報は、容易に消去できる機能を有すること・情報消去後も、更新されたシステムソフトウェアは維持されること

8

Wi-Fiアライアンス推奨の最新の認証方式が装備されていること

9・Bluetooth SIG推奨の最新のペアリング方式が装備されていること・Bluetoothにおける不要なプロファイルを認識しないこと
・BluetoothのBlueborne脆弱性の脆弱性がないこと

10

USBについてシステム運用上、不要なクラスを認識できないこと

11・ソフトウェア更新が可能なこと・ソフトウェア更新された状態が電源OFF後も維持できること

12・製品の脆弱性に関する連絡窓口があり、公開していること
・製品のセキュリティアップデートサポートサイトがあること

Copyright 2018 Connected Consumer Device Security Council Proprietary13スマートホームのシステム構成モデル(CCDS版
第三者サービス
情報基盤

第三者サービス
情報基盤

各種サーバー

各種サーバー

モデルハウス）スマートホームサービス情報基盤

インターネット

セキュリティ
サーバ

認証
サーバ

サービス機器
状態管理
サーバ

個人情報
管理サーバ

リモート
メンテナンスサーバ

スマートホーム
スマートホームサービス
対応機器群

携帯網
ブロード
バンド
ルーター

ホーム
ゲートウェイ

空調・照明機器等
住設機器
センサー機器スマートフォン・
タブレット等
アプリ
インターネット等
による通信その他★★サービス
対応機器
その他★★★サービス
対応機器

LTEなど携帯無線通信

PC等、インターネット接続機器
Copyright 2018 Connected Consumer Device Security Council Proprietary14改めて、大阪・関西万博に向けて

Copyright 2018 Connected Consumer Device Security Council Proprietary

15

大阪スマートシティ戦略 Ver.1.0•

2050年には世界人口の約７割が都市に集中する と言われる中、世界の諸都市では、IoT、 AI、ビッグデータ等の先端技術を利用し、都市課題の解決や都市機能の効率化に活かそう とする「スマートシティ」の取組みが始まっている。 大阪府・大阪市の連携により副首都の確立・発展をめざす大阪においても、2025年大阪・ 関西万

人口減少・超高齢社会の到来を見据え、住民の生活の質（QoL）の向上や 都市機能の強化を図っていく
上で、先端技術を活用した「スマートシティ」の実現は不可 欠である。 そのため、最先端技術のショーケースとなる2025年大阪・関西万博を大きなインパクト としながら、府域全体で先端技術による利便性の向上を住民に実感してもらえるような都 市をめざすた
博の開催やめ、具体的な方向性や実践的な取組みを示す「大阪スマートシティ戦略」（以 下、「本戦略」という。）を検討・策定することとした。 今般、これまで実施してき「未来 社

た「大阪スマートシティ戦略会議」での議論や、企業・市町 村との意見交換を踏まえ、2025年大阪・関西万博に向け、大胆な規制緩和等により、会の実験場」にふさわしい、世界に類のない最先端技術を活用した取組みと、府域全体 で先端技術の利便性を住民に実感してもらえるような取組みの二つの取組みを両輪として、 大阪モデルのスマートシティを実現するための指針として、本戦略を策定した。 本戦略は、健康的な生活の確保や福祉の促進、質の高い教
育や生涯学習の機会確保、安 全かつ強靭で持続可能な都市の実現といった、SDGs 1社会の実現を強力に後押しするもので もある。万博開催都市として「SDGs先進都市」をめざすためにも本戦略を推進していく。 本戦略の対象期間は、大阪・関西万博が開催される2025年頃を目途とする。 なお、本戦略は、自動運転、5Gなどの先端技術の実用化に向けた動き、戦略の取組み状 況、大阪スマートシティ戦略会議における議論などを踏まえ、今後、更新していく。

Copyright 2018 Connected Consumer Device Security Council Proprietary16

大阪スマートシティパートナーズフォーラム• 2020年8月設立• 366団体（2021年4月現在）• ６課題（＋1課題）– 16社が企業連携して取り組み中

Copyright 2018 Connected Consumer Device Security Council Proprietary17

大阪スマートシティパートナーズフォーラム

会員企業・団体
連携してシームレスな
スマートシティへ
CCDSは賛助会員
CCDS代表理事 荻野はOSPF企画運営委員
Copyright 2018 Connected Consumer Device Security Council Proprietary18

2020年度スマートシティに対する取組み＠OSPF（大阪スマートシティパートナーズフォーラム）自治体の課題の整理方法

スマートシティの作り方概論

自治体（豊能町）の進め方例

提案資料作成例
自治体と企業の組立方法

IT基盤（簡単に行政サービス開発）
コミュニケーションI/Fを作る

豊能町での事例発表
誰でも始められるスマートシティ

Copyright 2018 Connected Consumer Device Security Council Proprietary

19

CCDS スマートシティへのアプローチ
スマートシティWGのアクティビティ

Copyright 2018 Connected Consumer Device Security Council Proprietary202021年4月 新設スマートシティWG（活動趣意）■概要：（TrustedData連携からスマートシティWGへの変更）
スマートシティは、「IoT（Internet of Things：モノのインターネット）の先端技術を用いて、基礎インフラと生活インフラ・サービスを効率的に管理・運営し、環境に配慮しながら、人々の生活の質を高め、継続的な経済発展を目的とした新しい都市」であり、社会基盤になるIoTや個人データなどサービスを行う為に色々なデータを活用しながらサービスの構築がなされます。

スマートシティWGでは、安心・安全な街づくりに貢献すべく、以下ガイドラインの作成するものとします。
・産業別データ連携基盤の利用ガイドライン
・スマートシティのデータ層（サイバー層）におけるリスクアセスメントガイドライン■活動内容：
１）スマートシティサービスにおける情報の共有
２）産業別データ連携基盤の整理及び利用ガイドラインの作成

スマートシティ（可能であれば、運用ガイドライン）

３）スマートシティにおけるリスクアセスメントガイドラインの作成

データ連携

リスク分析

■本年度ゴール：
ガイドラインの方針の構築。翌年度からガイドラインを作成する検証期間

■参加者：

運用ガイド

・主査：江川 将偉（CCDS/OZ1）、副査：検討中・メンバー：三井住友海上、損保ジャパン、セイコーソリューションズ、帝国データバンク、電通国際、トレンドマイクロ、
Trustdock、日立グループ（日立キャピタル）、関電グループ（オプテージ）、NEC、NECネッツエスアイ、凸版印刷、
両備システムズ、コムソル、フューチャーアクセス、千葉銀行、りそな銀行、大阪府、横浜市、市原市、市川市、エストニア大使館（エンタープライズオブエストニア）、公立校大学大阪、神奈川大学、慶応義塾大学 など
・メンバー募集の有無：募集あり

簡単にまとめると・・・「自治体がスマートシティ始めるのに、IT基盤（データ連携基盤・都市OS）どう選んだらいい？」「IT基盤どうやって運用するの？ 安全性は？」 のガイドライン
Copyright 2018 Connected Consumer Device Security Council Proprietary21

TrustData連携WG2020年度アクティビティ
•

•

•

•

•

•

第一回
– サービス
日立キャピタルLife as a Service （スマートホーム）– セキュリティ・技術 OZ1
データ連携例（エストニア）＋データ連携技術説明（X-Road/FIWARE）
第二回– サービス
市原市
スマートシティ デジタルコミュニケーション基盤の構築に向けた取組– セキュリティ・技術 トレンドマイクロ いえなかに関するIoT関連ソリューションについて
第三回– サービスエストニア大使館 電子立国エストニアと日本での取組について– セキュリティ・技術
帝国データバンク トラストサービスについて（CA/eシール）– オブザーバー
情報処理推進機構
産業アーキテクチャ・デザインセンター取組の狙いについて
第四回– サービス
ビットキー
Bitkey Platformについて（スマートロック）– セキュリティ・技術 TRSUTDOCK
オンラインにおける身元確認について（eKYC)– 告知
大阪府
大阪スマートシティパートナーズフォーラム（OSPF）8月25日スタートお知らせ
第五回– サービスOZ1
エストニアヘルスケアサービス Viveo/Helmes紹介– TDWG
大阪府/OZ1
大阪OSPFの取組み（案）案内、スマートシティフィールドとしての活用検討
第六回

–
–

続・大阪スマートシティパートナーズフォーラムの進め方と自治体の課題を検討
CCDSで取り組む安全なデータ連携の基礎作りを相談
Copyright 2018 Connected Consumer Device Security Council Proprietary22

TrustData連携WG2020年度アクティビティ
•

第七回
–

•

第八回
–
–
–

•

•

・OSPFの進捗・豊能町PJ進捗
・OSPF/CCDSでのデータ連携勉強会検討
・ガイドラインの取組み進捗

第九回
–
–
–
–
–

•

・大阪スマートシティパートナーズフォーラムOSPFの進捗サマリー
・＊スマートシティの基礎になるデータ連携基盤（一部都市OS)の仕様＊＊
・＊スマートシティのオペレーション分析に関して＊＊
・各省庁（総務省、経産省、内閣府など）や外部協議会とのタッチポイント

・OSPFの進捗
・豊能町PJ進捗・OSPFのデータ連携勉強会
・ガイドラインの取組み進捗
・トラストサービスUpdate（帝国データバンク）

第十回
–
–
–
–

・OSPF（大阪スマートシティ）の進捗
１月25日開催 まちづくりのコンセプトセミナーについて（江川分作りかけの資料先出）
今回自治体と企業との文化の違いやコンセプトを考える
意味提案書の見え方などを話します。

–
–
–
–
–
–

・スマートシティの調達基準や考え方 by荻野さん 30分程度
大阪を踏まえてスマートシティのサービスにおける調達基準や監査基準の考え方をシェアします。
＊OSPF参加企業は基準作りする上の準備として検討＊参加自治体は、自治体でどのように考えればよいのかの参考
・NoCode第十一回–

OSPFの進捗・イベント関連（NoCodeイベントなど）
・豊能町の進捗
来年度の取組み・ワーキング名変更
・取組み内容説明

Copyright 2018 Connected Consumer Device Security Council Proprietary23

ガイドラインサンプル

特定の技術に偏ったので現状未公開

Copyright 2018 Connected Consumer Device Security Council Proprietary24スマートシティWGアクティビティについて（説明用資料）

サービス（豊能町をサンプリング）
IT基盤
リスクアセスメント

Copyright 2018 Connected Consumer Device Security Council Proprietary25

スーパーアドバイザープロジェクトとして豊能町のスマートシティをモデリン
グ
元の課題：人口減による過疎化

高齢化対策と移動の問題

豊能町の財務力は900位くらい（1800自治体中）で、平均に近い自治体です。
豊能町がスマートシティ化できるかは、日本全体がスマートシティに進めるかの大きな課題
財務力調べアパマンショップのWebより

街の資産を有効に活用して、街全体の活性化を目指す
関係者みんなで街の在り方を考え、デジタル先進国の北欧文化を含めて取組み
北欧体験ができる東地区（リラックスを中心とした街づくり）

リモートワーク環境充実西地区（市街地へのアクセスもできる街）

野菜スムージー
町内住民8割が西地区

体験
農業

リモートワーク
タウン

リモートワーク
タウン

ハン
ティング
移動手段

発電
ジビエBBQ

まつり
イベント

リモートワーク環境と生活環境の改善を図り
都心部への転出を抑制し、都心部へ流出した人を「UJIターン」を図りながら西地区の活性化を図ります

西地区

エストニアサウナ

北欧文化を学び
住民とも一緒に街づくりを
考える

東地区

街のインフルエンサー

自然豊かな環境を北欧文化を取り込みながら豊能文化を再構築
都会の疲れを癒す街
色々なサービスで地域の活性化やコミュニティを構築豊能町の主になる教育（GIGAスクール環境を活用し教育を豊かに）
北欧（エストニア）の教育環境を参考に豊能町でできる事を考える
5-10年先のスマートシティを支える為にも教育は非常に重要サービスを行う効果
効果の在り方

想定される効果や今までの事例で関係者が理解できる
情報【エストニアの環境】
デジタル先進国エストニア活用
・デジタル教育（GIGAスクール）
既に導入し20年近くの経験
・デジタル教育の結果PISAテストでNo1
・利用しているツールの概要【期待される効果】
・導入すれば街の教育も良くなる
・学生がIT教育されるとIT人材も増える
・スマートシティのサービスを開発する人材も増える

エストニアと豊能町でも交流をGIGAスクール環境を活用した教育を豊かに
GIGAスクールを
国内企業も支援

NoCodeを活用して、街の課題を住民と一緒にデザインする
サービス提供者
スマート
シティ
サービス

サービス開発データ連携

OpenData（施設データ、住民データなど）

利用データ

アプリ例
・街の手の空いた人が高齢者支援
・家事代行
・買い物代行・介護支援・アスマイルなどと連携してヘルスケアアプリ
・農業の支援アプリ（農機具シェア、人材マッチング）
・交通アプリ（シェア型移動サービス）・自治体と一緒にデジタル行政サービス

組み入れるサービスを検討
各企業同士も連携してサービスの拡張を

データ連携基盤活用
企業とサービス・データ活用しシームレスなサービスへ

現在24企業・団体の参加し、豊能町のスマートシティ化を検討

全体取り纏めスーパーアドバイザー 江川
教育改革・省庁調整
OZ1 江川
海外交流
OSPF運営委員 須原

持続可能なエコシステム（収益の地産地消）→ 地域電力（関西電力）＋データ連携（OZ1）持続可能なエコシステム（収益の地産地消）
地域エネルギーやデータ利用での収益を自治体に還元し、スマートシティサービスの維持
JP-Link利用料（アクセスした分だけ）

運用コスト

収益の還元

（OZ1の収益の還元）

JP-Link無料配布

JP-Link無料配布
自治体通知
サービス
税金納付

利益還元

（郵送費軽減）

利用料

地元広告費

サービス

豊能町アプリ
地元広告枠

電力販売

地域電力

始めの設備費は、ふるさと納税・クラウドファンディングなど活用

全体のスケジュール
項目
街づくり

東地区

3
1 2 3 4
リーダー
声がけ

4
5
6
7
8
9
2 3 4 1 2 3 4 1 2 3 4 1 2 3 4 1 2 3 4 1 2 3

1

Estonia
イベント段取り説明

高齢者・子育て政策検討＆調査

全体

10
1 2 3

4

地域電力検討クラウド
ファンディング

実装段取（見守・買い物支援）

一部実装

実装・検証
費用検討

住民ヒアリング
モニター住民募集

特区申請準備＆助成金検討

特区申請

WBS作成

とよの
まつり

予算概算要求移動問題検討
要件・環境調査11
1 2 3 4とよのまつり

北欧・エストニア文化 浸透イベント

電力関連調査

西地区

4

実装・検証

のせでんアートライン

アプリ・データ環境調整

豊能データ整理（Opendata等）
行政サービスデジタル化検討

ITインフラ環境

サービス検討 サービス整理

テストアプリ

企業サービス整理

運用体制検討教育環境

GIGA

GIGA準備開封ITツール慣れアプリ随時強化更新

運用チーム・検証
環境準備

カリキュラム準備

エストニア教育豊能アプリ（スーパーアプリ）

現場状況把握維持管理
現場フォロー

交流先検討

一部交流

eKool準備
NoCodeトレーニング

大学生支援

学生交流準備一部交流

ボランティアorバイト募集

他校交流
他自治体交流市原市*特区例：制限として紙の教科書無償配布（文部科学省）、住民の配送における費用（国土交通省）、外国人医師の診療（厚生労働省）など→特区で規制緩和

IT基盤

Copyright 2018 Connected Consumer Device Security Council Proprietary33

OSPFでのIT共通プラットフォームのガイドライン••

スマートシティはITだけでは、成立しない。オペレーション・ガバナンスが重要
データ連携を順に追って構築し、各社と調整が大切
大阪府リードポータルサイト
2月
開始

大阪府
監査機能

データ取得

市町村リードオープンデータ
データ
プラットフォーム

企業活動

クローズデータ
許諾

サービス開発個人・機密データ

共通課題

共通
プラットフォーム

データ連携都市OS

X-Road（行政）FIWARE（IoT)

市町村A
課題：人口減

市町村B
課題：観光

市町村C
課題：都市

共通利用

コミュニケーション
I/F基盤

介護アプリ
交通アプリ
その他アプリ

共有化

市町村A
住民

市町村A
住民

民間リード

サービス登録

市町村A
住民サービス選択・利用

サービス選択・利用イメージ

Copyright 2018 Connected Consumer Device Security Council Proprietary34

日本が想定するサービス・データ連携の在り方
標準APIを持ち全てのサービスを繋ぎ、データを管理・仲介する事でデータの売買も可能な新しいサービス
このサービスを都市OSと位置づけております。
スーパーシティ・スマートシティで都市OSは非常に重要な役割になります。

スーパーもスマートも都市OS上に構築されている
Copyright 2018 Connected Consumer Device Security Council Proprietary35スマートシティを運営する組織体にもデータ連携基盤（都市ＯＳ）を組織する体制（オペレーション）

Copyright 2018 Connected Consumer Device Security Council Proprietary36データ連携のガイドラインを考えていく

Copyright 2018 Connected Consumer Device Security Council Proprietary37産業分野ごとに使われ方の違うデータ連携基盤

Copyright 2018 Connected Consumer Device Security Council Proprietary38用途によるデータ連携基盤のサービス例

Copyright 2018 Connected Consumer Device Security Council Proprietary39混在するデータ連携基盤は共存できる可能性を模索
サービス上で、複数のデータ連携基盤は共存可能（CPU/メモリの物理リソースは掛かります。）
何を介してデータを連携させるかはサービスの状況次第

サービス

FIWAREはContext Broker（データ仲介）が入り
データコントロールを行う。誰が管理するかを考えて、運用を行う形式が取れる。
Context Broker中心に新しいビジネス策定が可能。

SS
AS

Data
Base

NGSI
X-Roadは企業間をP to Pで繋ぐモジュール
で、データコントロールは個人の許諾による。
個人が情報を提供することで、新しいビジネス策定

IoT

出典：OZ1技術説明資料より

Copyright 2018 Connected Consumer Device Security Council Proprietary40リスクマネージメントにおいて

Copyright 2018 Connected Consumer Device Security Council Proprietary41スマートシティガイドラインもオペレーションと技術に分けてスマートシティWGのレイヤーはアセット含む上位も検討

CCDSのその他ワーキングはアセットが中心でセキュリティの議論を行っております

Copyright 2018 Connected Consumer Device Security Council Proprietary42スマートシティガイドラインも参照しながら都市OSには色々な団体が参加

パトロール

監査

IoTから決済・個人情報まで対応できる組織

自治体で考える領域としては非常に幅広く難しい
Copyright 2018 Connected Consumer Device Security Council Proprietary43日・EUのトラストサービスに関する制度比較
スマートシティをスタートする上でも足りない法律や規制も色々と

出典:トラストサービスに関する総務省の取組 2019/11/13
10月25日(金)「トラストサービスシンポジウム2019秋＠大阪」総務省サイバーセキュリティ統括官室 赤阪晋介参事官による講演の取りまとめ
https://www.dekyo.or.jp/info/2019/11/security/14314/

Copyright 2018 Connected Consumer Device Security Council Proprietary44スマートシティIT基盤に関与している団体

データ連携・標準化を考える団体

セキュリティを考える団体

クラウドシステム

IoT機器中心Copyright 2018 Connected Consumer Device Security Council Proprietary

45 45

セキュリティ運用の再考

仕分けを行いルールやセキュリティ・管理が必要

Copyright 2018 Connected Consumer Device Security Council Proprietary46

46

起こりうるサイバーリスク

SOC/SIRTのみでは解決しない・脅威・脆弱性・運用などリスクも複雑に絡まり整理が困難

スマートシティの責任

自治体の責任誰が考えられるの？
Copyright 2018 Connected Consumer Device Security Council Proprietary47

セキュリティ対策例（トレンドマイクロ）セキュリティも1社じゃなく複数のサービスを組み合わせて使うがどのようなサービスが？

クラウドの設定不備を検出
Trend Micro
Cloud One Conformity

コンテナを防御
Trend Micro
Cloud One Container Security
仮想マシンを防御
Trend Micro
Cloud One Workload Security

Local 5G向け
Trend Micro
Moble Network Security

ネットワークからの攻撃対策
Trend Micro
Cloud One Network Security

IoT機器を防御う
Trend MicroIoT Security

Copyright 2018 Connected Consumer Device Security Council Proprietary48

48

スマートシティセキュリティガイドラインver2
4/26にv2がリリース
パブリックコメント募集中

Copyright 2018 Connected Consumer Device Security Council Proprietary49スマートシティセキュリティガイドラインver2•

法令やセキュリティ上のリスク一覧なども色々と記載されてます

Copyright 2018 Connected Consumer Device Security Council Proprietary50

各ガイド一覧

どこから手を付けるか？→スマートシティのサービスと対比して、重要度の高いものから対応
Copyright 2018 Connected Consumer Device Security Council Proprietary51リスクマネージメントとアセスメント（重要度の高さ）
情報セキュリティ
脅威・脆弱性・データのアセットにより、対策が変ります。
すべてにセキュリティコストを掛けると、コスト面でも運用面でもシステムが使えないものになります。
各分野を整理し、適切にセキュリティ対策を考え、運用していく事でスマートシティの安全性が担保されるのでは？
CCDS的
考え方
ケース
レベル４

人命に関わるケース
緊急災害

レベル３

防犯

節電/エコ

快適性に関わるケース
空調

レベル１

見守り

機器

安全（防犯、防災）
安心（見守り、健康）

電子錠・センサー（人感・開閉etc）

レベル3

省エネ（エネルギー）

HEMS
ガスメーターetc

レベル2

快適性
（暑さ寒さ、静けさ、換気）

家電・センサー（温湿度、照度etc）

財産に関わるケース
緊急災害

レベル２

防犯

ニーズ

日よけ

湿度

エンターテイメントに関わるケース

ゲーム

AV機器

趣味

CCDS共通要件
レベル１
利便性（生活・趣味）家電・ゲーム
趣味用品etc※ (参考）「つながる世界の開発指針」の実践に向けた手引き(IPA)

Copyright 2018 Connected Consumer Device Security Council Proprietary52

52

サーティフィケーションプログラム

Copyright 2018 Connected Consumer Device Security Council Proprietary53

「通信キャリアやサービサー視点から見たIoTセキュリティ要件」
５．ネットワークの管理

１．ヒトの管理・オペレーターの本人性・信頼性を確認する手段

・大量のデバイスを同時に接続し通信させる手段

・オペレーションミスを早期発見する手段

・回線の契約者・利用者を正しく登録・変更する手段

・オペレーターの不正行為を早期発見する手段

・通信量（トラフィック）の集中を防ぎ分散する手段

７．１ 異常（不具合・事件事故・災害）発生時の対策
・異常が発生した箇所（ハード/ソフト/データ）を特定する手段
・原因解析に必要なデータをアナリストに見せる手段

・トラフィック輻輳時に不急の通信を規制できる手段

２．エンドデバイス（センサー/アクチュエーター）の管理
・個体の信頼性確認/すり替え検知をする手段

・重要なデータを確実に伝送し保存できる手段

・CPU・メモリー・電源などの状態を確認する手段

・データの送信エラーや損失を検知し再送する手段

・エンドデバイスの動作が平常か異常かを見分ける手段

・誤送信や迷惑送信を防ぐ手段

・機器の個体差や故障による誤差・異常値を補正する手段

・不審な通信を遮断する手段

・異常発生の原因を解析・推定する手段
・異常を放置した場合の被害を想定・算定する手段
・発生事象と推定原因を運用者や利用者へ知らせる手段
・サイバー攻撃発生時に犯人を追跡する手段

６．システム全体の管理

３．制御システムの管理・接続されている装置の構成を把握する手段

・どの国/地域の安全基準を適用すべきかを決める手段

・接続対象機器の脆弱性を調べる手段

・システム構築プロセスの安全を確認する手段

・脆弱性のある装置を監視し攻撃から守る手段・システム運用プロセスの安全を確認する手段

・設定値の正常/異常を検知する手段

・システム構成の最新状態を正確に把握する手段

・ソフトウェアのバージョンを把握する手段

・システムの動作が平常か異常かを見分ける手段

・多様なプロトコルを理解し通信内容を解析する手段

・システムの稼動状態を利用者/運用者に見せる手段

・危険な制御コマンド/パラメータ設定を検知する手段

・システムの異常を検知し原因を推定し切り分ける手段

・異常検知・解析のための通信ログ・動作ログを収集する手段

・セキュリティ管理サービスレベルに応じて利用料金を変えられる手段

４．通信端末（IoTゲートウェー）の管理

・マルウェアの拡大・蔓延を最小限にとどめる手段
・妨害パケットを遮断する手段
・通信ゲートウェーを強制的に停止/再起動する手段
７．２ 異常（不具合・事件事故・災害）発生時の対策
・国/地域の安全基準に応じて必要な対処法を判断する手段
・異常発生の状況を政府や関係機関に報告する手段

・システムに対する既知の攻撃を発見し、対処策を提案する手段
・事件発生時に警察や軍に開示してよい情報の範囲を決める手段

・接続を要求するデバイスの信頼性を確認する手段
・通信端末の型式やバージョンを把握する手段
・通信端末のセキュリティホールを調べる手段

・システムに対する未知の攻撃を検知し、原因と対策を推定する手段
・被害に対する賠償の責任者を明確にする手段
・セキュリティ対策済ソフトを端末に自動配布・実装する手段

・SIM/eSIMの信頼性を確認し認証する手段
・ソフトの脆弱性やバグを発見する手段
・ソフトウェアを強制的に更新できる手段
・ハードの故障を早期発見する手段
・設定変更・改造・差換えを検知する手段
・盗難・紛失を検知する手段
・怪しいデバイスの接続を拒否/強制切断する手段

Copyright 2018 Connected Consumer Device Security Council Proprietary54

IoT機器を開発段階からセキュリティ

セキュリティ開発プロセスと活動イメージ
Security by Designに基づき、要件定義～保守までセキュリティ品質を確保→ 製品ライフサイクル全般で脆弱性排除、セキュリティ対策にかかるコストを削減
上流の脅威分析から根本対策が必要
要件定義

設計

実装

方
針

混入防止
（脆弱性を作りこまない）

対応

脆弱性分析、
セキュリティアーキ
設計・機能開発

脅威分析、
脅威分析ツール

従来課題：出荷前の診断のみでは対策が限定的出荷

廃棄検証

販売・サービス

検出除去

保守・改修

（脆弱性を検知し除去）（出荷後の対応）

セキュアコーディング
対応、ハードウェア攻
撃対策、
組込み対応
セキュリティ機能群

脆弱性評価、
脆弱性診断

インシデント対応
SIRTコンサル

太字は製造時のセキュリティ対策基準の対応項目

Copyright 2018 Connected Consumer Device Security Council Proprietary55

想定される脅威の抽出• STRIDEにCCDSで脅威を追加したモデル
脅威名称

英語表記

説明

なりすまし（偽装）Spoofing

コンピューターに対し、他のユーザーや機器を装うこと

データの改ざん

Tampering with Data

権限なしでデータを改ざんし、データの完全性を失わせること

否認

Repudiation

ユーザーがあるアクションを行ったことを否認し、相手はこのアクションを証明する方法がないこと

情報の暴露(漏洩)Informal Disclosure

アクセス権限を持たない個人に情報が公開されること

サービス不能(DoS)

Denial of Service

正規のユーザがサーバやサービスにアクセスできないこと※(D)DoS攻撃やジャミングによるサービス妨害など

権限の昇格

Elevation of Privilege

権限のないユーザーがアクセス権限を得ること

不正アクセスUnauthorized access

アクセス権限を持たない者にアクセスされること

マルウェア感染Malware infection

他の機器への汚染源になる。ランサムウェアなどにより業務妨害を受けること

踏み台

Stepping stone attack

他の機器へ不正アクセス等を行う際の中継地点として使用されること

不正改造(HW/SW)

Tampering with device

不正（違法）なハード、ソフトウェアの改造により、内部データを抜き取ったり、脆弱性の要因を組み込まれること

未知の脆弱性Unknown
Vulnerabilities

まだ公知となっていない脆弱性や、新たな攻撃手法による脆弱性のことCopyright 2018 Connected Consumer Device Security Council Proprietary56

CCDS会員企業 セキュリティ技術を提供
CCDSの各企業が提供している技術マッピング
コンポーネント共通
11要件

商品企画～販売時の対策
商品企画

部品調達

製造時

運用開始～終了時の対策
流通
販売

クラウド

検知
通知

緊急

復旧
改善

廃棄
回収

Planetway

ネットワーク
１

DNP

２Soliton
Systems３

Trend MicroIoT Security

４

専用ターミナル（ルーター/
Gateway)

防御
予防

Direx

５
６
７

Panasonic Advanced
Technology Development

LAC

８
９
１０

Fuji
soft

１１

エッジデバイス

Metatechno

モバイル
アプリケーション

Copyright 2018 Connected Consumer Device Security Council Proprietary57スマートシティ参照するエストニアICTのガバナンス体制

Copyright 2018 Connected Consumer Device Security Council Proprietary58

ポストエストニアの勘違い
エストニアは国民IDとX-Road（データ連携基盤）から成り立つデジタル国家として有名ですが、、、

お金のある自治体の解決方法

エストニアみたいな国民IDがあれば全てが出来る、マイナンバーカードもそうなれば、マイナンバーカードは難しい、「自治体IDを作ろう」と言う動きが・・・

エストニアは国民IDとX-Road（データ連携基盤）が対になり構成されている点は非常に強力なシステムですが、利用は必ずしも国民IDではない！
如何に本人確認済みIDを信頼の源泉にするかである。エストニアではマルチIDが基本です
X-Roadは超汎用APIで一度インストールするとP to Pでデータベースを繋げる良いサービスだが、IoT機器には入らない（Xeon 2GHzクラス必要）
Copyright 2018 Connected Consumer Device Security Council Proprietary59エストニア マルチID認証の事例（行政機関）
国民ポータルログイン画面

e-Tax ログイン画面※銀行のIDでもログイン可能

政府発行の国民ID
Smart-ID:民間発行のユニバーサルID※他EU国の国民IDでもログイン可能

銀行のID
他EU国の国民ID

Copyright 2018 Connected Consumer Device Security Council Proprietary60

60

エストニア マルチID認証の事例（民間企業）
通信会社 ログイン画面

銀行 ログイン画面

政府発行の国民ID
Smart-ID:民間発行のユニバーサルID
銀行のID
独自ID
Copyright 2018 Connected Consumer Device Security Council Proprietary61

61

改めてスマートシティWGの活動
多くの自治体にはIT専任者がいなかったり、部署が無かったりします。
各省庁からも色々なガイドは出るが、読んでも何からすれば、どうすればが分かりにくく、スマートシティが遠く感じられます
スマートシティWGは、省庁のガイドラインで分かりずらい部分を整理して、運用できるように組み上げて行きたいと思います
CCDSでの議論１（リスクアセスメント）

ポータルサイト大阪府リード
2月
開始

大阪府
監査機能

データ取得

オープンデータ
データ
プラットフォーム

共通
プラットフォーム

データ連携都市OS

企業活動

クローズデータ
個人・機密データ

共通課題

市町村リード許諾

サービス開発X-Road（行政）FIWARE（IoT)

市町村A
課題：人口減市町村C
共通利用
CCDSでの議論２
課題：都市（データ連携基本ガイド）

市町村B
課題：観光

市町村A
住民

市町村A
住民

介護アプリ

交通アプリ
その他アプリ共有化

サンプリング
豊能町など

コミュニケーション
I/F基盤

民間リード

サービス登録

市町村A
住民サービス選択・利用

サービス選択・利用イメージ

Copyright 2018 Connected Consumer Device Security Council Proprietary62

IT基盤を考える一番ファンクションが複雑な分野はデータ連携基盤

その他データ連携基盤保有企業

富士通：Virtuora DX
Human Bridge（医療）東芝：ifLink
TIS: FIWARE
富士ソフト：FIWARE＋X-Road
HULFT：DataSpider
ユニシス： Dot to Dot
以外にも色々な企業が参加・・・

Copyright 2018 Connected Consumer Device Security Council Proprietary63データ連携比較
自治体サービス側がどのようなIT基盤を用意すればよいのか分かりやすく整理（ガイド）をする為に企業側の視点より利用者側の視点で分かるように作成

サービスを考える

提供元企業

サービスにあったITシステム考える

OZ1

NTT

運用・管理を考える

Hitachi

NEC

安心・安全・セキュリティを考える

Panasonic

Fujitsu

製品名
製品区分
許諾ベースの個人情報
許諾操作
データの扱いデータ可用性
リアルタイムデータ
API
スケーラビリティ

Copyright 2018 Connected Consumer Device Security Council Proprietary64

大阪府スマートシティ戦略■ データの種類と着手の容易度
容着
易手
度の

企業等が自主的に利用① 【行政】 のオープンデータの徹底② 【行政】 の都市系データ（クローズ含む）の利活用③ 【民間】 の都市系データとの連携強化（掛け合わせ）④ 【個人】 の情報を含む全データ利活用（データポータビリティ）

大学、研究機関、企業等と何らかの契約を結び、サービスに繋げる
リアルタイムデータ

人に関するデータ

１
行
政
の
デ
ー
タ

オープン
データ

クローズ
データ

都市に関するデータ【調査結果データ】
・人口動態調査
・景気動向調査
・学力テスト調査
・健康状況調査
・生活保護調査
・住民アンケート 等【記録データ】
・インフラ老朽化
・パーソントリップ
・住宅・土地調査
・公共施設、観光施設
・避難所、無線LAN・ハザードデータ 等【リアルタイムデータ】
・河川防災情報・防災カメラ・道路渋滞情報
・環境観測データ
・天候データ 等【生データ／個人情報データ】
・上記の統計や調査の生データ（元データ）※公表を前提としていないデータ
・住民からの申請、相談、問い合わせデータ
・保健所、児童相談、生活保護等の対応データ
・健診データ、レセプトデータ、感染症データ 等【生データ】
・上記記録データの生データ（元データ）※公表を前提としていないデータ【リアルタイムデータ】
・水道・下水道利用
・消防・救急位置
・交通管制データ
・公用車GPS・公用車ドラレコ

規
制緩和【記録データ】
・健康データ⇒電カルテ、お薬手帳
・経済活動データ⇒売上、雇用・金融データ⇒預貯金、資産【記録データ】
・デジタルマップ
・駅・商業施設情報
・観光文化情報・イベント情報・ビルメンテナンスデータ【リアルタイムデータ】
・GPS情報・モバイル空間統計
・公共交通位置情報
・防犯カメラ（民）・センサー情報個人
情報【統計データ】
・世帯、人口、年齢
・出生、死亡、婚姻・健康、衛生、福祉
・収入、貯蓄、消費・治安、防災、災害
・観光、外国人 等

行
政
努
力
※多くは
公表済

２
個人のデータ
民間のデータ【リアルタイムデータ】
・健康データ⇒バイタルデータ
・移動データ⇒渋滞、位置情報
・購買データ⇒POSデータ

３

Copyright 2018 Connected Consumer Device Security Council Proprietary65

大阪府スマートシティ戦略■ 自治体が持つ公的データの代表例
人・企業系

都市・モノ系【個人の身体に関するデータ】
種
別
健
診
系

医
療
系
介
護
系

分野

【まち系データ】
内容

乳幼児健診

身長、体重、胸囲、頭囲、心音、反応 等

学校健診

身長、体重、視力・聴力、尿、歯、栄養 等

後期高齢者健診

問診、血圧、身長、体重、BMI、血液 等

特定健診

既往歴、BMI、血圧、血液、指導レベル 等

レセプトデータ

傷病、医学管理、投薬、注射、検査 等

電子カルテ

病名、処置、手術、投薬、検査、画像 等

臨床検査データ

統計

内容
交通量、信号、道路構造、老朽化 等

河川

水位（センサー）、流量、高低、整備 等

公園

施設、駐車場、利用形態、利用状況 等

水道・下水道使用量（センサー）、使用頻度、老朽化 等

都市計画

区域区分、用途地域、建蔽率、容積率 等

地図

デジタルMAP、ハザードMAP、観光MAP等

血液、血清、尿、腎機能、内分泌 等

地価

地価公示、路線価、固定資産税評価額 等

要介護認定

身体機能、生活機能、認知機能 等

住宅

種別、構造、規模、密集市街地、老朽化 等

介護記録

食事、移動、排せつ、就寝、サービス利用 等

公共施設

種別、構造、利用頻度、付属物、老朽化 等

介護レセプト

サービス内容、回数、医療、特定疾患 等

商業施設

種別、構造、交通接続、利用状況 等

分野
総合相談

窓
口

分野
道路

【自治体に記録（蓄積）されるデータ】
種
別

種
別
イ
ン
フ
ラ

土
地

建
物

【安全・安心系データ】
内容

種別

相談先の問い、苦情、通報、各種相談 等

防
犯

分野

内容

防犯カメラ

街頭カメラ、施設カメラ、ドラレコ 等

防犯情報

ひったくり、不審者、痴漢、自転車盗 等

行政手続き

マイナンバー、住民票、引っ越し、水道 等

社会福祉相談高齢介護、児童相談、生活保護、雇用 等

刑法犯認知

空き巣、傷害、暴行、強盗、殺人 等

基幹統計

国勢調査、経済センサス、住宅土地統計 等

防災情報

震度、津波、洪水、土砂、避難所 等

健康医療

公衆衛生、健康づくり、福祉計画 等

災害予知情報台風、津波、雨量、土砂、洪水、竜巻 等

消防・救急情報

火災状況、救急状況、救命状況 等

産業・企業

観光統計、景況観測、消費者指数 等

防災

Copyright 2018 Connected Consumer Device Security Council Proprietary66

ご清聴ありがとうございました。
一緒にガイド検討頂ける企業は随時募集中です

Copyright 2018 Connected Consumer Device Security Council Proprietary67