JASAETセミナー
第24回JASA/ETセミナー
自動車等組込みシステムのセキュリティ技術

組込みシステムのセキュリティ調査報告～自動車・情報家電・制御システムなど～
2010年10月15日
独立行政法人 情報処理推進機構
セキュリティセンター
情報セキュリティ技術ラボラトリー 主任
中野 学 （博士（情報学））
mn-naka@ipa.go.jp

様々な組込みシステム
情報システム情報システムｅ-マーケット
プレイス

公共機関

パートナー
家庭

インターネット
組込みシステムのセキュリティ
屋外

制御システム

監視・制御装置
コントローラ
制御機器
ベンダ
センサ、製造装置等
Copyright © 2010, IPA all right reserved.

2身近な組込みシステム
流通を支える組込みシステム
RFID

識別・認証

カーライフを支える組込みシステム
通信サービス

カーナビ・ETC
消費を支える組込みシステム
安心・便利を支える組込みシステム
モバイルを支える
携帯電話
組込みシステム
A
情報家電
T
ICカード
M 金融端末生活を支える組込みシステム
RFID（Radio Frequency IDentification）
ETC（Electronic Toll Collection System）

3

組込みソフトウェアを用いた機器の現状
ネットワーク機能を備えた組込み機器の例

背景 ： あらゆるものが、ネットワークにつながるホームページ接続

ホームページ接続

PDA（Personal Digital Assistants）
HDD（Hard Disk Drive）

4

組込みシステムセキュリティの特殊性• もしパソコンにセキュリティ対策をしていなかったら・・・• ウィルス等のマルウェアへの感染• 悪意あるユーザの攻撃による被害• PCの場合の対策例• アンチウィルスソフトウェアの導入• セキュリティファイアウォールの利用• セキュリティパッチのダウンロード・適用

組込みシステムにおいては、開発環境や製品の特徴等の違いから、PCと同じような対策を実施するのは困難。

5

具体的なセキュリティ課題
利用者(ユーザ）が攻撃者になる

リバースエンジニアリング

リソースの制約

組込みシステムのライフサイクル

企画

セキュリティ課題の混在

開発

情報資産の改竄・漏洩

運用

脆（ぜい）弱性の作りこみ

企画書の漏洩

廃棄個人情報の漏洩

情報漏えいのようなインシデントの発生

リバースエンジニアリング：
機械を分解したり、ソフトウェアを解析するなどして、製品の構造を分析し、そこから製造方法や動作原理、ソースコードなどを調査する事

6

具体的なセキュリティ対策
耐タンパー性付与等のシステム解析(攻撃）への耐性強化
低リソースで利用できるセキュリティ技術の普及

組込みシステムのライフサイクル

企画

セキュリティ対策
ガイドラインの策定

開発

暗号・認証の利用

運用

セキュアプログラミング
セキュリティ検証

一環したセキュリティ対策

廃棄

廃棄方法の周知

インシデント対応方法体制の確立
7

情報家電と自動車の情報セキュリティ

8ネットワークで広がる情報家電の世界• 情報家電の全体像が分からない– 何がつながるか、どのような情報が来るか、それらは信頼できるか– どのような情報が出て行くか、どのように利用されるかＡＶ向けサービス（ネットショップ等）

設備向けサービス（防犯サービス等）

モバイルサービス
事業者

音楽
デジカメ プレーヤー

アップロード（遠隔検針、みまもり等）

デジタル
ビデオ

ＰＮＤ

娯 高機能テレビ
楽

エアコン

生活

遠隔設備操作（照明、鍵、ドアホンの操作等）

遠隔ＡＶ操作（録画予約等）
ネットワーク

HDD
レコーダ

玄関のドア
お風呂

9

ネットワークで広がる自動車の世界• 自動車の全体像が分からない– 何がつながるか、どのような情報が来るか、それらは信頼できるか– どのような情報が出て行くか、どのように利用されるか故障車有り！
ＩＴＳ（運転支援）

ＧＰＳ（ＩＴＳ、カーナビなど）
ＥＴＣ

光ビーコン、ＤＳＲＣ等

ＥＴＣ
衛星通信

ITS(車車間通信)

ＤＳＲＣ等

ＰＮＤ、携帯音楽プレーヤー等

着脱

ＤＳＲＣ等
ドライブレコーダ等着脱ＯＢＤ インタフェース（着脱）
車検用機器接続

インターネット、電話回線等
Ｗｅｂサイト、プローブ、遠隔ダイアグ等

情報家電の全体像（フレームワーク）• 委員へのヒアリング、研究会での審議等により、全体像を策定
家 庭ア
クセス
手段
情報
家電の本
体
機
能ア
クセス
手段

直接入力

直接出力

着脱

（テレビ・ゲーム機リモコン、監視カメラ、他）（テレビ画面、警報、情報家電の作動、他）（携帯音楽プレーヤー,デジカメ、PND、他）

設備家電

白物家電

ＡＶ家電

情報通信機器等（ドア、エアコン, （電子レンジ、 （TV、DVDレコーダ, (PC、ルータ、照明等）
冷蔵庫、洗濯機等） ゲーム機等）
携帯電話等)

外部ネットワーク
電話回線、インターネット、地上デジタル波、データ通信サービス、他
宅内ネットワーク
Wi-Fi,Ethernet,Bluetooth,PLC,DLNA,ECHONET,メーカー独自規格 等

外部サーバ(防犯サービス、ネットショッピング、他)

自動車の全体像（フレームワーク）• 委員へのヒアリング、研究会での審議等により、全体像を策定
アクセス
手段

自動車
本体
機
能等
アクセス
手段

直接入力

直接出力

着脱

（運転者の操作、センサ、他）（パネル、カーナビ画面、アクチュエータ、他）（PND、携帯音楽プレーヤー、OBD用車検機器、他）

車体系

駆動系

安全制御系

（ボディ）

(パワートレイン）（シャーシ）

インフォテイン
メント系

外部サーバ

（メータ、エアコン、（エンジン、トランス （ブレーキ、（AV、カーナビ、 (交通情報提供、ウィンドウ等）
通行料課金、ステアリング、 ETC､リアルタイム
ミッション等）
プローブ、他)
衝突防止機能等） 交通情報等)
車載ネットワークマルチ
メディア用
CAN（A/B/C）/LIN、FlexRay、他
車載ネット
車載型故障 ワーク
診断装置 MOST等制御用車載ネットワーク（OBD）

専用ネットワーク
ビーコン(VICS),DSRC(ETC)等

汎用ネットワーク
Wi-Fi,インターネット等

自動車本体
外部ネットワーク

守るべき対象（情報等資産）• 従来の情報資産の定義：情報システム、ハードウェア、ソフト
ウェア、データ、ノウハウ・社会的信用（IPA Webページより）• 守るべき対象は、情報家電や自動車上の情報資産だけでなく、組込み機器から外部に出て行く情報、ネットワークを介したサービス、さらには組込み機器本体までを含める。
• これらを総括して、「情報等資産」と呼ぶ。

情報家電に対する脅威（情報家電周辺）• 情報家電本体に対する攻撃を、以下の５パターンに分類– ①「直接、入出力」により攻撃– ②「宅内ネットワーク経由」での攻撃– ③「持込機器経由」での攻撃– ④「広域ネットワーク（電話回線）経由」での攻撃– ⑤「広域ネットワーク（インターネット）経由」での攻撃
外部ネットワーク経由（④携帯電話、⑤インターネット等）
で侵入、攻撃（踏み台化、DoS攻撃等）②近所や隣室から宅内ネットワーク経由で侵入、攻撃（Wi-Fi、PLC盗聴等）①ネットワークに繋がっていない③持込機器の家電もその場で直接攻撃（点検員なりすまし等）

中に脅威が潜在（ウィルス等）14

自動車に対する脅威（自動車周辺）• 自動車本体に対する攻撃を、以下の３パターンに分類– ①「近接」での攻撃– ②「中間（持込機器着脱等）」での攻撃– ③「広域ネットワーク経由」での攻撃②持込機器の中に脅威が潜在（ウィルス等）①近接して、直接攻撃（ユーザ本人、整備員なりすまし等）③外部ネットワーク経由で侵入、攻撃

車体系
（ボディ）

駆動系
安全制御系
(パワートレイン） （シャーシ）

インフォテインメント系（メータ、エアコン、 （エンジン、トランス （ブレーキ、（AV、カーナビ、ミッション等）ウィンドウ等）
ステアリング、 ETC､リアルタイム
衝突防止機能等）
交通情報等)

マルチ
専用ネットワーク
メディア用 ビーコン(VICS),CAN（A/B/C）/LIN、FlexRay、他
車載ネット
DSRC(ETC)等
車載型故障 ワーク
汎用ネットワーク
診断装置 MOST等
Wi-Fi,制御用車載ネットワーク（OBD）

インターネット等

情報家電に対する脅威の例（情報家電周辺）
情報家電分類

設備系

白物系

ＡＶ系

アクセス経路・居住者なりすましによる攻撃
・家電店員による外部アクセス
研究会では（ドア錠等）
用設定情報の漏えい
特に重要な脅威が・点検員なりすましによる外部
直接、入出力（Webカメラ等）
挙げられていない
アクセス用設定情報の詐取（ホームゲートウェイ）
・宅内ネットワーク経由で侵入、 ・宅内ネットワーク経由で侵入し ・宅内ネットワーク経由で侵入し無線LANやPLC等 乗っ取り（ホームゲートウェイ） OS・アプリケーションを改ざん OS・アプリケーションを改ざん
・盗聴による個人情報漏洩・盗聴による個人情報漏洩で宅内で繋がる ・盗聴による個人情報漏洩（宅内ネットワーク上）（宅内ネットワーク上）（宅内ネットワーク上）・中古家電でウィルス感染（同） ・中古家電でウィルス感染（同）家庭に持ち込んでPCと繋がる電話回線で外部と繋がる
インターネットで外部と繋がる

現状では対象が尐ない・着脱機器によるウイルス感染
・持ち出した家電の盗難、情報漏洩（着脱機器上）・コンテンツの違法コピー（同）研究会では特に重要な脅威が挙げられていない
・乗っ取り、踏み台・通信機能の停止（DoS）
・OS・アプリケーション改ざん（情報家電）

・乗っ取り、踏み台・通信機能の停止（DoS）
・OS・アプリケーション改ざん（情報家電）

・乗っ取り、踏み台・通信機能の停止（DoS）
・OS・アプリケーション改ざん（情報家電）

自動車に対する脅威の例（自動車周辺）
自動車機能分類

アクセス経路近接
中間（持込機器着脱等）
専
広域ネット 用
汎
ワーク
用
経由

制御

インフォテインメント

セーフティ上クリティカル

セーフティ上影響小

損害大(金銭、個人情報等)

不正ECU取付け
パラメータ改ざん
プログラム改ざん（駆動系ＥＣＵ）

他人のETCカードに成りすまし

個人情報の吸い出し、プロファイリング、プログラム改ざん（エンタメ系ＥＣＵ）

運転情報の破壊、改ざん、漏洩（ドライブレコーダ）

損害小・持込機器からエンタメ系ECUへのDoS攻撃、無線へのDoS攻撃
持込機器からウィルス感染

サーバなりすましによる
虚偽メッセージの表示（車車間(路車間)通信）研究会では特に重要な脅威が挙げられていない

エンタメ系ECU・車載ネットワークへのDoS攻撃

決済情報 虚偽情報の表示、ウィルス感染、フィッシング インフォテインメント系ECUや・盗聴
通信機能へのDoS攻撃

情報家電と自動車のセキュリティ対策の方向性

情報家電における脅威の特徴（１）• 情報家電の脅威が拡大する可能性a）情報リテラシーが充分でない利用者が存在する可能性b）情報等資産の多種多様化、範囲拡大の可能性
c）オークションや譲渡による情報の漏洩の可能性
d）セキュリティ対策が不十分な情報家電が混在する可能性
e）何が繋がり、誰が利用しているか、把握できなくなる可能性

持っている
情報も多様

情報リテラシーの差も大きい

高齢者から小児まで多様な利用者

一軒の家の中にも多種多様な情報家電

様々な情報が家電の中に分散

様々な情報がインターネットで拡散

個人情報
設定
情報
履歴情報

情報

情報

金銭情報
譲渡や中古買取、オークションなどで19他の家庭に移動情報家電における脅威の特徴（２）• ネットワーク経由による脅威の可能性
f）着脱機器やテレメトリングによる情報の拡散の可能性
g）偽のダウンロードパッチを受け入れてしまう可能性h）情報家電経由でインターネットの不正サイトにアクセスしてしまう可能性
i）宅内ネットワークのセキュリティ設定が行われていない可能性
無線ＬＡＮやＰＬＣに接続された情報家電に近所から攻撃

インターネットに接続された情報家電に遠隔から攻撃持ち込んだ携帯機器に潜んだウィルスで攻撃盗んだ携帯電話で情報家電を不正操作

気がつかないうちに、様々な脅威の可能性

情報家電における脅威の特徴（３）• 直接的な攻撃の可能性
j）第三者の侵入による不正な設定変更の可能性k）メーカ点検員になりすました第三者による不正な設定変更の可能性l）利用者自身による改造の可能性• 重大な被害が減少しない可能性m）重大な被害が減少しない可能性
家の中に入り込むのは、意外に簡単？

ごくろうさま！

家電の緊急点検に来ました

外から操作できるように、設定を変えちゃおう！

点検員なりすまし自動車における脅威の特徴（１）• 自動車の脅威が拡大する可能性
a）情報等資産の多種多様化、範囲拡大の可能性
b）オークションやレンタルによる情報の漏洩等の可能性
c）セキュリティレベルが低い組込み機器が混在する可能性
d）移動先で何が繋がり、誰が利用しているか分からない可能性
着脱機器の中にも情報等資産持ち運んだ先で漏洩？
第三者に販売格納された個人情報も移動？
移動先でネットワーク接続
第三者が盗聴？

自動車における脅威の特徴（２）• ネットワーク経由による脅威の可能性e）着脱機器やプローブによる情報等資産の拡散の可能性f）偽のダウンロードパッチを受け入れてしまう可能性
g）カーナビ経由でインターネットの不正サイトにアクセスしてしまう可能性
アップリンク（外部サーバへの情報提供）
ネットワーク接続を利用した脅威

情報漏洩の可能性
偽パッチの可能性
アップデートパッチ

ダウンリンク（外部サーバからの情報提供）

プローブ情報（走行速度等）

インターネット
Ｗｅｂサイトフィッシングの可能性

自動車における脅威の特徴（３）• 直接的な攻撃の可能性
h）駐車場等での第三者による不正な改造の可能性
i）メーカ点検員になりすました第三者による不正な改造の可能性j）利用者自身による改造の可能性

ＥＣＵを不正書き換え、不正なＥＣＵを追加

窓を割ってPNDを盗む

屋外に置かれていると攻撃しやすい

自動車における脅威の特徴（４）• 重大かつ広範囲の被害の可能性k）重大な被害の可能性l）社会的混乱を招く可能性

身体への被害の可能性も偽の情報で日本中が大渋滞（「地震が来る」等のデマなど）

情報家電と自動車のセキュリティ対策の方向性
1. 利用者にセキュリティ対策を施す意識、被害に気づく知識をもたせる
2. 利用者側にセキュリティ対策にコストをかける文化を醸成する
3. メーカやサービス提供企業に充分なセキュリティ対策を働きかける
4. 情報家電のセキュリティ対策に関連した制度やしくみを充実する
5. 何が繋がっているか、誰が利用しているかを明らかにする
6. セーフティとセキュリティの連携により安全・安心を実現する
家族が買ってきたり、誰かにもらったり、自分で買ったことも忘れていたり問題の家電を発見！

パッチを送信！

メーカ

でも、ネットワーク接続があれば・・・
家電のメーカや機種など知らない場合がほとんど

セーフティ

セキュリティ

安心して乗れる自動車や 自動車の情報等資産の可用性、自動車の安全を支援する 完全性、守秘性を保つしくみを実現する
サービスを実現する両輪として安心・安全な自動車社会を実現

情報家電や自動車のセキュリティ対策の方向性（1/2）

セキュリティ対策の方向性

対策の成果目標

期待効果

中期目標
利用者が自分で守る(1)利用者にセキュリティ対策を施す意識、被害に気づく知識をもたせる(2)利用者側にセキュリティ対策にコストをかける文化を醸成する(3)メーカやサービス提供企業に充分なセキュリティ対策を働きかける

脅威に対する知識や警戒心の醸成等

偽のダウンロードパッチに注意する
情報家電やカーナビ経由での不正サイトへのアクセスを防ぐ

利用者側の意識改革

組込み機器の有料
セキュリティサポート
組込み機器に関するセキュリティ検討
組込み機器へのセキュリティ対策反映
PC用セキュリティ対策適用の検討

メーカやサービス企業が守る
情報リテラシーが充分でない利用者も保護できる情報等資産の多種多様化、範囲拡大に対応したサポート
セキュリティ対策が不十分な情報家電をアップデート

情報家電や自動車のセキュリティ対策の方向性（2/2）
セキュリティ対策の方向性

対策の成果目標
中期目標
個人情報保護に関する制度や基準に基づいた対策など(4)情報家電や自動車のセキュリティ対策に関連した制度を充実する制度実現に向けた検討

メーカやサービス会社に対する制度など
利用者に協力を求める制度など

期待効果

制度で守る
オークションや譲渡による情報等
資産の移動も安全にユーザとメーカの責任範囲を明確にする
情報家電や自動車のしくみで守る(5)何が繋がっているか、誰が利用しているかを明らかにする(6)セーフティとセキュリティの連携により安全・安心を実現する

利用者や接続機器を認識するしくみの実現

家電や自動車のセーフティとセキュリティの課題の検討

何が繋がり、誰が利用しているかを把握する
第三者の侵入による不正な設定変更を防止する
セーフティとセキュリティの連携で守る

両者の連携による安心・安全の実現

重大な被害を減尐させる

セキュリティに関する取り組み状況の比較• 自動車、情報家電ともセキュリティに関する取組みはこれからセキュリティやセーフティを保つための仕組みや制度

オフィスの情報機器

自動車

情報家電

セキュリティポリシーや社内規則に基づき、情報システム部門の管理担当者が、チェック。

車検（道路運送車両法）等で定期的な検査が義務付けられている。

特になし。
ただし2009年4月より「長期使用製品安全点検制度」が施行。

車検、点検等に費用がセキュリティや 情報システム管理や、セーフティに料 セキュリティ・ソフトウェア かかることは、自動車の金を支払う慣習 にコストが必要であるこ 所有者には認知されて特になし。とは一般的。

いる。

運転免許取得時時に、知識および技術の習得が義務付けられている（道路交通法）。

特になし。

利用者教育の仕組み

社員は業務の一環としてセキュリティ対策に必要な知識を学習することが一般的。

個人的な改造に対する制限

会社の物品であり、個人的な改造は許可されないことが一般的。

合格基準を満たさない改造を行うと、車検は通らない。

所有物については自由（保証を受けられなくなる場合はある）

制御システムセキュリティ

30

2009年度
制御システムのセキュリティ調査
情報システム情報システムｅ-マーケット
プレイス

公共機関

パートナー

インターネット

制御システム

監視・制御装置

今回の発表内容

コントローラ
制御機器
ベンダ
センサ、製造装置等
Copyright © 2010, IPA all right reserved.

31

制御システムの現状「オープン化」：汎用製品＋標準プロトコル
オープン化

情報ネットワーク

ファイアウォール
生産管理
サーバ

HMI

WindowsPC、汎用
アプリケーション
標準プロトコル

制御情報ネットワーク

EWS

WindowsPC、汎用
アプリケーションコントロールネットワーク
PLC

DCS

独自/標準プロトコル

PLC
フィールドネットワーク
センサバス

リモート
I/O
M

独自ハードウェア、独自OS
センサ、アクチュ
エータ

センサ・アクチュエータなど

Copyright © 2010, IPA all right reserved.

32

制御システムのセキュリティ課題【課題１：オープン化に伴う脆弱性リスクの混入】• 汎用製品、標準プロトコルネットワーク採用により、脆弱性リスク、ワームなどのウイルスの侵入や、機密情報漏えいのおそれ【課題２：製品の長期利用に伴うセキュリティ対策技術の陳腐化】• 制御システムは通常10～20年使用。セキュリティ対策も最新ではない可能性【課題３：可用性重視に伴うセキュリティ機能の絞込み】• 可用性重視の観点から、一般的に、システム上の負荷となるウイルス監視やチェックプログラムの自動更新せず

制御システム情報システムセキュリティ優先順位

A.I.C（可用性重視）

C.I.A（機密性重視）

セキュリティの対象

モノ（設備、製品）
サービス（連続稼動）

情報

資料：IPA「重要インフラの制御システムセキュリティとITサービス継続に関する調査」より抜粋
Copyright © 2010, IPA all right reserved.

33

2009年度
制御システムのセキュリティに関わる取組みのポイント
欧州や米国の制御システムセキュリティについて、四つの視点から調査を行い、日本の制御システムに必要とされる施策について提言。

制御システムセキュ
リティの評価検証

制御システム

制御システムに関わる製品の認証

監視・制御装置
コントローラ

脆弱性共有等のためのデータベース

センサ、製造装置等

Copyright © 2010, IPA all right reserved.

制御システム関係者を助けるガイド、ツール

34

取組み状況調査結果のまとめ● 日米欧の取組み状況比較（１／２）
施策

欧州・推奨されるプラクティス集（Good Practice）を公開（英国CPNI、オランダTNO水セク
ター向け）
・セキュリティ基準を策定（ドイツBSI standard 100-1～4）
ガ イ ド ・ ・自己評価ツールを配布（英国ツール
CPNIのSSAT）
・情報共有の仕組みを整備（欧州のE-SCSIE、
英 国 CPNI の SCSIE 、ス ウ ェ ー デ ン SEMA のFIDI-SC）

米国
日本
・ 推 奨 さ れ る プ ラ ク テ ィ ス 集 ・「重要インフラにおける情報（ Good Practice ） を 公 開セキュリティ確保に係る『安（DHS/CSSP）
全基準等』策定に当たっての指針」（2007年6月 情報・セキュリティ基準を策定中
セキュリティ政策会議）など（NISTのSP800-82およびISAに基づき分野ごとに安全基のISA99
準を設定
100、NERCのCIP002～008）
・ 自 己 評 価 ツ ー ル を 配 布 ・独自のツール類は少ない（DHS/CSSPのCS2SATおよびその後継のCSET）
・情報共有の仕組みを整備（2008年までPCSF、2009年よりICSJWG）

・ヨーロピアンテストベッド取組 ・DOEがSCADAテストベッドを ・電力中央研究所で制御シス
み の 一 部 と し て IPSC で は開設しセキュリティ技術の開テムセキュリティの評価・検SCADAテストベッドを開設し発、検証を実施
証を行っているが、事業者
評 価 ・セキュリティ検証を実施
または制御機器ベンダー内検証で共通的に利用可能なセキュリティテスト環境等は少ない
Copyright © 2010, IPA all right reserved.

35

取組み状況調査結果のまとめ● 日米欧の取組み状況比較（２／２）
施策

欧州
米国
日本
・CPNIが制御システムセキュ ・US-CERTが制御システム ・JPCERT/CCが制御システ
リティプログラムのひとつの脆弱性関連情報のデー
ムの脆弱性関連情報の収であるSCSIEを運営しておタベースを持つが15～20集、公開を実施。但し件数り、インフラ運用者間での件と少数は少ない
脆弱性情報共有カンファレ ・ RISI が 制 御 シ ス テ ム の セ ・IPAが脆弱性対策情報DBンスを定期的に実施（JVN iPedia）を運用
キュリティ事象データベースを運用
デ ー タ ・制御機器ベンダーが脆弱性 関 連 情 報 を ユ ー ザ グ ・制御機器ベンダーが脆弱ベースループに直接通知、対策し、 性 関 連 情 報 を ユ ー ザ グ
ユーザグループ内での解ループに直接通知、対策し、決を図る
ユーザグループ内での解・TNOがインシデント情報の決を図る
データベースを構築

認証・TUViTが複数の基準を顧客 ・製品認証機関による認証 －要件により組み合わせ、制製品を利用することで、一御システムの監査・認証を定のセキュリティレベルが実施担保されていることを確認、保証可能
Copyright © 2010, IPA all right reserved.

36

調査分析結果を踏まえて（1/2）（１/２）● 欧米で脆弱性対策への取組みが拡大中
 ガイド・ツールに関しては、セキュリティ基準の策定、推奨プラクティ
ス集の公開、自己評価ツールの配布を実施
 評価・検証に関しては、SCADAテストベッドの開設によるセキュリティ検証を実施
 データベースに関しては、制御システムのインシデント情報のデー
タベース構築・公開を開始
 認証に関しては、民間主導によるセキュリティ監査・認証サービスが行われており、ISA ISCIによる標準化が進展中
 制御システムセキュリティ強化に向けた認識向上や関係者間の信頼関係構築により施策の普及を促進させるための、情報共有コミュニティを設置し運用
Copyright © 2010, IPA all right reserved.

37

調査分析結果を踏まえて（2/2）● 日本としても具体的な対策を進める必要性あり日本独自のガイド・ツール類の提供はまだ尐なく、テスト環境も一部セクターのみ。脆弱性対策情報（JVN iPediaなど）のデータベースはあるがインシデンツを含む幅広い制御システムセキュリティの情報収集はこれから
制御システムのセキュリティ対策のあり方は日本と欧米とで必ずしも同一ではなく、日本の重要インフラにとっての優先度を判別した上で、最も効果のある課題から始めていくことが必要
セキュリティ規格標準化の動向に関しては、産業の国際競争力強化の観点からも日本独自の規格ではなく、国際標準への対応を念頭に推進することが重要欧米での制御システムセキュリティへの取組みも、まさに現在進行形であり、今後の動向を注視しながらアジアの展開も視野に幅広く対応
制御システムセキュリティの脆弱性対策においては、関係者の認識改善と対策の実効性向上の観点からも、官民連携による情報共有の仕組みづくりが鍵
Copyright © 2010, IPA all right reserved.

38

まとめ

全体まとめ その１（1/2)
制御システムと自動車システムの課題
オープン化の方向にある制御システムと自動車システムで検討されたセキュリティ課題についてのまとめ制御システム
課題１

課題2

課題3

自動車システム

オープン化に伴う脆弱性リスクの混入○同じ課題が当てはまる

・汎用製品、標準プロトコル採用により、脆弱性リスク、ワームなどのウィルス進入、機密情報朗詠の恐れ・ウィルス進入や個人情報漏洩の脅威は昨年指摘されている製品長期利用に伴うセキュリティ対策陳腐化○同じ課題が当てはまる

・制御システムは通常 10-20年使用。セキュリティ対策も最新ではない可能性

・自動車のライフサイクルは、およそ 10年前後。常に最新の対策を施しておくことは困難な可能性

可用性重視に伴うセキュリティ機能絞込み○同じ課題が当てはまる・可用性重視の観点から、一般的にシステム上の負荷となるウィルス監視やチェックプログラムの自動更新せず

・機能安全性（可用性、完全性）と低コスト重視の観点から、ウィルス監視機能などは搭載機能順位が低くなる

制御システムのセキュリティ課題と類似性は高い。
制御システムにおけるセキュリティ対策の取り組みは、自動車業界での取り組みの参考になると考える
Copyright © 2010, IPA all right reserved.

40

全体まとめ その２ （2/2）
特徴比較•

制御システムと自動車システムの特徴と位置づけ

セキュリティ上、必要となる要件

情報システム

制御システム自動車システム

技術のサポート期間

3-5年

20年以上

一般的に10年前後

パッチ提供サイクル

頻繁・定期的ベンダごとに不定期、長期間隔で実施（公表値なし）

法廷点検、定期点検時などで実施可能（実施状況は不明）

システム上流れるデータの処理速度

データ受け取り遅延が致
命的な被害となるケース
は尐ないシステム /機器制御にはリアルタイムのデータ受け取りが不可欠

稼働中のシステム /機器制御にはリアルタイムなデータ受け取りが不可欠

可用性(Availability)

再起動は許容可能

24時間365日の安定稼動が不可欠（再起動不可）

一旦停止しエンジン再始動は可能

セキュリティに関する意識民間企業、公的機関との意識行き渡り、対策が定義されている

発展途上にあり未成熟。情報システム技術の適用で対策するケースもある

開発メーカー、利用者とも未成熟。対策への取り組みも顕在化していない

被害の結果

金銭的損失、プライバ
シー被害

人命損失の可能性

金銭的損失、プライバシー被害、人命損失の可能性

自動車システムの特徴は制御システムにより近い。
したがって、制御システムにおけるセキュリティ対策の取り組みは、自動車業界での取り組みの参考になる
Copyright © 2010, IPA all right reserved.

41

今後の検討課題• 利用者、メーカ、サービス事業者等の情報リテラシー向上– 利用者の情報セキュリティのリテラシー向上、対策コストの必要性の理解促進。
– リテラシー向上が難しい利用者を誰がどのように保護するかの方策検討。
– 自動車関係企業に対するガイドライン、利用者向け説明資料の整備、配布。

• 状況の可視化と役割分担の明確化– 不正な機器の接続や不正利用の発見・対策を行う可視化のしくみの実現。
– セキュリティ上の脅威に対する役割分担や、自動車や家の「物理的なバリア」と「ネットワーク上のバリア」のあり方の明確化。

• ライフサイクルを通じた検討– 設計段階からのセキュリティ検討、廃棄時の個人情報やセキュリティ機能の適切な消去などライフサイクルを通じた検討。

• 協力および提言の場の確立– 利用者、メーカ、サービス事業者、セキュリティ技術者が協力し、セキュリティ対策を検討するとともに、法制度の整備について国に提言していく場の設置。

• ネットワークの両側でのセキュリティ対策の実施– 機器側（メーカ側）とサービス側（サービス提供企業側）の双方でのセキュリティ対策による、より確実な脅威の解消。
42

安全な組込みシステム社会にむけて• 課題解決に向けた提案– 組込みシステムの特徴（省電力、低リソース、等）を考慮した上で、従来の情報システムのセキュリティインシデントやその対策についてのセキュリティに関する考察– 組込みシステム間の相互接続や融合時の複合的な環境でのセキュリティに関する考察– 利用者の個人情報、金銭被害に繋がる情報、さらに人命に繋がる情報等、取扱う情報資源の特徴の観点を考慮に入れた考察– 組込みシステム開発者・技術者のセキュリティを含めた意識共有の為の活動

様々な観点から課題を検討し、組込み開発者やユーザ、事業者、セキュリティ研究者といった組込みシステムに係る方々の連携で、課題の解決に向けて取り組む必要がある。

43

組込みセキュリティに対するIPAの活動
２００７年５月１０日公開

組込みシステムの脅威と対策に関する
セキュリティ技術マップの調査

２００８年１月２９日公開

組込みシステムのセキュリティへの取組みガイド
２００９年１１月２５日公開

複数の組込み機器の組み合わせに関するセキュリティ調査
２００９年３月１０日公開

自動車と情報家電の組込みシステムのセキュリティに関する調査
２０１０年４月１５日公開

国内外の自動車の情報セキュリティ動向と意識向上策に関する調査

組込みシステムのライフサイクル

２００９年６月２４日公開

上下水道分野用のSCADAセキュリティ グッド・プラクティス
２００９年３月３０日公開

重要インフラの制御システムセキュリティとITサービス継続に関する調査
２００９年３月３０日公開

制御システムセキュリティの信頼性と推進施策に関する調査

企画 開発 運用

廃棄

２００６年５月１９日公開

現場技術者向け「40のポイント集」
経営者向け「組込みセキュリティ資料」
報告書（第四版）、検証ツール：２００９年１月８日公開

TCP/IPに係る既知の脆弱性検証ツール
報告書、検証ツール：２００９年４月２３日公開

SIPに係る既知の脆弱性検証ツール

２００７年４月２５日公開

組込みシステムを含んだソフトウェアの脆弱性関連情報の受付・蓄積・公開
２００７年９月２６日公開

セキュア・プログラミング講座

44

ご清聴ありがとうございました！
本成果はIPAのWebサイトでダウンロードする事ができます。
http://www.ipa.go.jp/security/index.html
Contact：
IPA（独立行政法人 情報処理推進機構）
セキュリティセンター
情報セキュリティ技術ラボラトリー
ＴＥＬ ０３（５９７８）７５２７
ＦＡＸ ０３（５９７８）７５１８
電子メール vuln-inq@ipa.go.jp（担当：小林・萱島・中野・長谷川）45