サイバーセキュリティ
シンポジウム2017inTDU

２０１７年３月１４日

IoT時代のリスク評価技術の研究
東京電機大学未来科学部教授
サイバーセキュリティ研究所所長
佐々木良一
sasaki@im.dendai.ac.jp
1目次
１．リスク評価の動向
２．東京電機大学におけるアプローチ
３．１ 多重リスクコミュニケータの開発
３．２ 標的型攻撃対策に関するリスク評価
３ IoTを含むシステムへのリスク評価法の考察
４．今後の方向2

最近の動向とリスク評価への要求＜リスク評価への要求＞＜最近の動向＞サイバー攻撃が高度化
セキュリティ対策が高コスト化
IoTが普及どこまで対策すべきか明
確にしてほしい
多段にわたる攻撃への評価方法が大切に
経営者のリスク評価への参加が不可欠に制御対象であるIoTを含めたリスク分析が重要に3

最適なリスク対策額
被害Ｄｒ．Ｋａｒｓｔｅｎ Ｎｏｈｌ 「セキュリティはどのぐらいが適量か？」ＣｏｄｅＢｌｕｅ
２０１６

4

http://www.slideshare.net/codeblue_jp/cb16-nohl-ja

アプローチ法＜従来＞(i) 脅威を重視したアプローチ(ii)資産を重視したアプローチ(iii) 脆弱性を重視したアプローチ＜今後＞リスクを重視したアプローチ
リスク＝資産X脆弱性X脅威5

評価のアプローチ法
アプローチ法

長所

欠点

定量的費用対効果分析を最も効果的に支援得られた数値または結果に関する信頼性の説
明が必要

半定量的

比較的少ないコストで相互比較が可能に

厳密性が不足

定性的分析にコストがかからない
FIPS SP 800-30を参考に作成

今後の方向

経験により結果が異なる場合もある
6

FAIRアプローチ
Jack Freund, Jack Jones“Measuring andManaging Information
Risk A FAIR Approach”
Elsevier, 2015
FAIR：Factor Analysis ofInformation Risk

「定量的リスク分析を積極的に扱い発生確率の不確実性を考慮し、モンテカルロ法を用いてリスクの分布を求めるような方法も提案されている。 」

7

ＩＴシステムの安全の階層化＊階層対象

扱う事故・障害

従来の学問・技術分野

指標

３

ＩＴシステムが行うサービスの安全発券サービスの停止、プライバシーの喪失など

システム工学
リスク学
社会科学など

プライバ
シー、ユー
ザビリティ

情報のＣＩＡの喪失

セキュリティ

２

ＩＴシステムが扱う情報の安全

セキュリティ
（機密性、完全性、可用性）

１

ＩＴシステムそのものの安全コンピュータや通信機器の故障

信頼性工学
セキュリティ

リライアビリティ、アベイラビリティ＊ 従来情報セキュリティが扱っていた範囲

8

目次
１．リスク評価の動向
２．東京電機大学におけるアプローチ
３．１ 多重リスクコミュニケータの開発
３．２ 標的型攻撃対策に関するリスク評価
３ IoTを含むシステムへのリスク評価法の考察
４．今後の方向9

多重リスクコミュニケータ（MRC）の対応＜背景＞
背景１．多くのリスク（セキュリティリスク、プライバシーリスクなど）が存
在＝＞リスク間の対立を回避する手段が必要
背景２．ひとつの対策だけでは目的の達成が困難＝＞対策の最適な組み合わせを求めるシステムが必要

MRCにおける対応①多くのリスクやコストを制約条件とし、残存リスク等を最小化する対策組み合わせ問題として定式化②関与者の合意が得られるまで制約条件値などの値を変えつつ最適化エンジンを用い求解
専門家
対策案
①②③④

背景３．多くの関与者（経営者・顧客・従業員など）が存在＝＞多くの関与者間の合意が得られるコミュニケーション手段が必要

定式化
結果

最適解
対策案
①③の組合せ多重リスクコミュニケータMRC
Y

END
制約条件などの変更
ファシリテータ 関与者

満足
N
10
10 10

MRCの適用①適用対象（組織内合意）（ａ）個人情報漏洩対策（含む：世田谷区役所の個人情報漏洩対策への実適用など）（ｂ）内部統制問題など＝＞参加者が5-6人までの組織内合意形成問題なら基本的有効性を確認②受賞
日本セキュリティ・マネジメント学会2009年度論文賞受賞など③招待講演
IEEE主催のCFSE２０１２ Keynote Speech など

詳しくは佐々木良一他「多重リスクコミュニケータの開発と適用」情報処理学会
論文誌、Vol49,No9、２００８年９月号

MRCに関する最近の研究１．MRCについて機能の拡張（１）標的型攻撃等多段にわたる攻撃のリスク評価のためのリスク解析法（EDC法）の開発（２）被害発生防止対策と復元対策の両方を考慮した対策案最適組合せ法（InfoSec2014 Best Paper Award受賞）（３）動的リスクを考慮した多重リスクコミュニケータ
（４）経営者とのリスクコミュニケーションも考慮した多重リスクコ
ミュニケータ２．合意形成対象者が1000人を超すような問題への適用
Social-MRCを開発し、青少年への情報フィルタリング問題への適用 (情報処理学会DICOMO2010 最優秀論文賞など)
12最近のITのリスク評価への要求＜リスク評価への要求＞＜最近の動向＞サイバー攻撃が高度化
セキュリティ対策が高コスト化
IoTが普及どこまで対策すべきか明
確にしてほしい
多段にわたる攻撃への評価方法が大切に
経営者のリスク評価への参加が不可欠に制御対象であるIoTを含めたリスク評価が重要に
13

目次
１．リスク評価の動向
２．東京電機大学におけるアプローチ
３．１ 多重リスクコミュニケータの開発
３．２ 標的型攻撃対策に関するリスク評価
３ IoTを含むシステムへのリスク評価法の考察
４．今後の方向14ＥＤＣ法の開発
EDC法
イベントツ
リー分析法

＋ディフェンス
ツリー分析法EDC法： Event Tree and Defense Tree Combined Method
東京電機大学サイバーセキュリティ研究所での研究の一環
15

イベントツリー分析

16• 事象の発生から時系列順にどのような事象に発展するかを分析
ウイルスに感染
初期事象発生
P0

情報の流出

失敗
1-P1
失敗
1-P2

成功
P1

成功
P2

発生確率

損害

リスク（発生確率ｘ損害）

P’1=P0(1-P1）

M1

R1=P’1x M1

P’2=P0xP1 x(1-P2)

M2

R2=P’2 x M2

P’3=P０xP1 xP2

M3

R3=P’3 x M3
RT=R1+R2+R3

ディフェンスツリー分析• 攻撃に対しトップダウンにその要因を分析する
アタックツリー分析に対策を加えたもの
ウイルスに感染アタックツリー添付ファイルを開けさせる
対策

疑似標的型メー
ル送付訓練
対策効果／対策コスト

頂上事象
（問題）

ワクチンチェックが機能しないウイルスの利用
ヒューリスティック
機能を充実したワ
クチンプログラムの利用

ディフェンスツリー＝
アタックツリー＋対策

対策効果／対策コスト（使い勝手など派生リスクを考慮する場合も）

下位事象（細かい原因）

対策AND
記号
OR記号
17イベントツリー分析

18• 事象の発生から時系列順にどのような事象に発展するかを分析
ウイルスに感染
初期事象発生
P0

情報の流出

失敗
1-P1
失敗
1-P2

成功
P1

成功

対策1はP1を１０％低減 P2し、対策2はP2を１０％低減する。コストが同じならばどちらの対策を採用すべきか

発生確率

損害

リスク（発生確率ｘ損害）

P’1=P0(1-P1）

M1

R1=P’1x M1

P’2=P0xP1 x(1-P2)

M2

R2=P’2 x M2

P’3=P０xP1 xP2M3R3=P’3 x M3
RT=R1+R2+R3

イベントツリー分析

19• 事象の発生から時系列順にどのような事象に発展するかを分析
ウイルスに感染
初期事象発生
P0
1.0

成功
P1

情報の流出

失敗
1-P1
0.2

対策1はP1を１０％低減し、対策2はP2を１０％低減する。コストが同じならばどちらの対策を採用すべきか

発生確率

損害

リスク（発生確率ｘ損害）

0.8

0円

0円

0.16

500万円

80万円

0.04

1億円

400万円

失敗
1-P2
成功
P2

0.2

トータルリスク=480万円

イベントツリー分析

20• 事象の発生から時系列順にどのような事象に発展するかを分析
ウイルスに感染
初期事象発生
P0
1.0

成功
P1

情報の流出

失敗
1-P1
0.2X0.9

損害

0.856

0円

0円

0.144

500万円

72万円

0.036

1億円

360万円

失敗
1-P2成功P2

対策１を実施した場合（対策１はP１を１０％低減）

発生確率リスク（発生確率ｘ損害）

0.2

トータルリスク=432万円（低減効果 48万円）

イベントツリー分析

21• 事象の発生から時系列順にどのような事象に発展するかを分析
ウイルスに感染
初期事象発生
P0
1.0

成功
P1

情報の流出

失敗
1-P1
0.2

損害

0.80円

0円

0.164

500万円

82万円

0.036

1億円

360万円

失敗
1-P2
成功
P2

対策２を実施した場合（対策２はP２を１０％低減）

発生確率

リスク（発生確率ｘ損害）0.2X0.9（対策1の低減効
果は48万円）トータルリスク=442万円（対策2の低減効果38万円）

EDC法の実適用（１）東京電機大学の次期セキュリティ対策（２）守るべきもの：学生の成績情報
1人当たり賠償額：5500円（JNSA方式）
サーバ内（全学学生数：1万人）
教員のPC内（一学科あたり 500人）（３）対象攻撃：標的型メール攻撃（４）対策案数：約3０個（それぞれにコストや直接的効果を設定）
22

最適解求解結果
12000

対策コスト
リスク

10000

937

8000

リスク＋6000
対策コスト
（万円）
4000

1492
3745

3745

2995

10626

1993

2040
4501

2000
2128

2137

2162

2511

5000万

4000万

3000万

2000万

2334

0
23

制約条件

1500万

1000万

リスク+
コストの和

（最小値）

最適なリスク対策額
被害Ｄｒ．Ｋａｒｓｔｅｎ Ｎｏｈｌ 「セキュリティはどのぐらいが適量か？」ＣｏｄｅＢｌｕｅ
２０１６

24

http://www.slideshare.net/codeblue_jp/cb16-nohl-ja結論• 総合リスク値＋対策コストが最小となる対策
メールフィルタの導入（入口）
製品Aによる監視（入口―内部）
標的型攻撃対策訓練の実施（入口）
製品Bによる監視（入口―内部）
ＰＣやサーバのパッチの最新化（内部）プロキシを経由しない通信の遮断（出口）プロキシによる監視（出口）二要素認証（内部）総合リスク値
対策コスト
25

2005万円/年2617万円/年

目次
１．リスク評価の動向
２．東京電機大学におけるアプローチ
３．１ 多重リスクコミュニケータの開発
３．２ 標的型攻撃対策に関するリスク評価
３ IoTを含むシステムへのリスク評価法の考察
４．今後の方向26

最近のITのリスク評価への要求＜リスク評価への要求＞＜最近の動向＞サイバー攻撃が高度化
セキュリティ対策が高コスト化
IoTが普及どこまで対策すべきか明
確にしてほしい
多段にわたる攻撃への評価方法が大切に
経営者のリスク評価への参加が不可欠に制御対象であるIoTを含めたリスク評価が重要に
27

CPS/IoT時代の到来

http://www.meti.go.jp/committee/sankoushin/shojo/johokeizai/report_001.html

28

主要なＩｏＴ装置• 制御システム• 自動車• センサーネット
スマートメータなど• 組み込み系
情報家電
防犯カメラ
複合機
医療機器など29

IoT 特有の性質（性質１）脅威の影響範囲・影響度合いが大きいこと（性質２）IoT 機器のライフサイクルが長いこと（性質３）IoT 機器に対する監視が行き届きにくいこと（性質４）IoT 機器側とネットワーク側の環境や特性の相互理解が不十分であること（性質５）IoT 機器の機能・性能が限られていること（性質６）開発者が想定していなかった接続が行われる可能性があること
IoTセキュリティガイドライン 平成28年7月
http://www.soumu.go.jp/main_content/000428393.pdf

30

IoTの階層別のセキュリティ対策＜セキュリティ対策＞
IoTシステム
Cloud層Data
Centerなど

既存のIoT
機器

Fog層,
Gatewayなど

IoT機器層
新規中小規模 新規大規模規模
IoTシステム IoTシステム 31

ITのセキュリティ①機密性喪失が重点問題

故意ソフト＜セキュリティ＞

過失故障①機密性の喪失（情報の漏えいなど）②完全性の喪失（影響：爆発など）③可用性の喪失（システムダウンなど）

コンピュータハード＜ディペンダビリティ＞

IoTのセキュリティとセーフティ①機密性喪失の重要性は低い

故意過失故障①機密性の喪失（情報の漏えいなど）②完全性の喪失（影響：爆発など）③可用性の喪失（システムダウンなど）

ソフト（制御用ソフト）＜セキュリティ＞②出力異常指示③停止指示 ②③

ハード（制御用ハード）＜ディペンダビリティ＞
簡単に異常停止になる可能性

セーフティ機能
セキュリティ攻撃

制御対象（IoT）＜セーフティ＞
健康や環境への影響並びにシステムダウンが重要に

研究の進め方ITシステムSecurity

ユーザの運用段階

既開発①多重リスクコ
ミュニケータ②EDC法など

プロバイ
ダーによる設計
段階

調査
①セキュリ
ティBy デザイン

IoTを含むシステム
Safety調査①シナリオ法②STAMP法＆STPA法

Safety& Security
新技法の提案（例えば改良型
STAMP法あるいはまったく違った方法）
新技法のS&S By デザインへの組み込み
34スマートハウスに対するシナリオ法の適用
リスクのパターン分類（ａ）応用ソフトと状況の不具合
シナリオ作成、例えば「留守の間に自動空調アプリが立ち上がり窓を自動的に開け、泥棒が侵入」（ｂ）応用ソフト間の競合（ｂ）応用ソフトとユーザ操作の競合
東京大学生研と総務省が協力して実施中の検討会での議論を参考に作成35

STAMP法の概要
１．MITのNancy G. Leveson教授が提唱
２．安全解析のパラダイムシフト
従来手法（FTAなど）：アクシデントは構成機器の故障やオペレーションミスで起きると仮定（ハード対象）
新たな手法（STAMP法など）：アクシデントは構成要素間の相互作用から創発的に発生すると仮定（コンピュータやIoT対象）
STAMP法：System-Theoretic Accident Model and Process
http://www.ipa.go.jp/sec/reports/20160428.html

36

37

http://www.ipa.go.jp/files/000056812.pdf

STAMP法：System-Theoretic Accident Model and Process
STPA: System Theoretic Process Analysis
http://www.ipa.go.jp/files/000056812.pdf

38

目次
１．リスク評価の動向
２．東京電機大学におけるアプローチ
３．１ 多重リスクコミュニケータの開発
３．２ 標的型攻撃対策に関するリスク評価
３ IoTを含むシステムへのリスク評価法の考察
４．今後の方向39

研究の進め方ITシステムSecurity

ユーザの運用段階

既開発①多重リスクコ
ミュニケータ②EDC法など

プロバイ
ダーによる設計
段階

調査
①セキュリ
ティBy デザイン

IoTを含むシステム
Safety調査①シナリオ法②STAMP法＆STPA法

Safety& Security
新技法の提案（例えば改良型
STAMP法あるいはまったく違った方法）
新技法のS&S By デザインへの組み込み

設計上はセーフティファーストで考え、そこにサイバー攻撃等の影響を追加していくべきか

40

新技術の候補例③故意に制御コマンドを出させる攻撃のリストアップ（外部からのコマンド挿入）

制御用コンピュータ

故意

プロセスモデル

過失
故障
目的との不一致①起こっては困る事象のリストアップ（ハンドルの異常自動操作による事故の発生）

制御対象②次の観点から起こっては困る事象をもたらす制御コマンドのリストアップ
１）制御コマンドなし
２）不適切な制御コマンド（ハンドル操作コマンド）３）早すぎあるいは遅すぎの制御コマンド
４）短すぎたり長すぎたりの制御コマンド

41

おわりに
１．IoTシステムのセキュリティ対策は今後ますます重要に
２．IoTシステムのリスク評価も大切に

３．IoTシステムは複雑で、しかもセーフティとセキュリティを同時に考えていく必要があり対応は簡単ではない
４．一方、この分野の研究者の数は限られている
５．共同研究や日本セキュリティ・マネジメント学会ITリスク学研究会を通じた情報交換が大切に
42

END

43