スマートIoT推進フォーラム第９回総会「IoTラベリングプログラムが始動！」～デジタル機器への法規制状況を解説～

2024年3月27日
一般社団法人 重要生活機器連携セキュリティ協議会 代表理事
情報セキュリティ大学大学委員 客員教授
荻野 司

博士（工学）
1

CCDSの概要◼ 名称：一般社団法人 重要生活機器連携セキュリティ協議会◆ 英名：Connected Consumer Device Security council (CCDS)◼ 設立：2014年10月6日◼ 会長：徳田英幸（情報通信研究機構 理事長、慶応大学 名誉教授）◼ 代表理事：荻野 司（情報セキュリティ大学院大学 客員教授）◼ 理事：江崎 浩（東京大学大学院 教授）
後藤 厚宏（情報セキュリティ大学院大学 学長）
松本 勉（横浜国立大学先端科学高等研究院 教授）◼ 会員数：220（正会員以上：52、一般会員：121、学術系：29、協賛:18）(2023年10月）◼ 主な事業：
1. 生活機器の各分野におけるセキュリティに関する国内外の動向調査、内外諸団体との交流・協力
2. 生活機器の安全と安心を両立するセキュリティ技術の開発
3. セキュリティ設計プロセスの開発や検証方法のガイドラインの開発、策定および国際標準化の推進
4. 生活機器の検証環境の整備・運用管理及び検証事業、セキュリティに関する人材育成や広報・普及啓発活動等
Copyright Connected Consumer Device Security Council Proprietary2

CCDSとは：重要生活機器におけるセキュリティ事業の創生
一般民生機器など あらゆるモノが繋がる “モノのインターネット”
HEMS、AV家電、医療・ヘルスケア、自動車関連機器（ナビ、AV機器等）製品・サービス
AVネットワーク

HEMSネットワーク

医療・ヘルスケアネットワーク

電力会社
４K・８K
コンテンツ

太陽光
発電
スマート
メータ

ロボット介護

省エネ制御
家電・照明

蓄電池・
コジェネ

ネットワーク家電
医療・ヘルスケア機器

EV/HV

オフィスエリアのネットワーク機器

ホーム
サーバ

HEMS
端末

ウェラブル
機器

医療・
ヘルスケア
サーバ

サービス提供サーバ（クラウド）

ホームゲートウェイ
自動運転

ITS路側機後付
車載器
車載 ECU

車車間通信

テレマティクス端末、
データレコーダ等
持込機器

Newサービス

HEMS
関連企業
コンテンツ
提供企業
医療機関・
ヘルスケア企業
自動車メーカ・交通管制

Convenience
お
弁
当
セ
ー
ル

ITS＆自動車安全機能の連携

MFP

ATM

生活圏の公共エリアのネットワーク機器

Copyright Connected Consumer Device Security Council Proprietary

機器メーカ
遠隔監視・制御3

2023年度 運営体制
2023年度CCDS社員総会
CCDS理事会
CCDSフェロー/CCDSシニア

CCDS事務局
全体運営管理経理・渉外対応等

産学連携サイバーセキュリティ検討委員会

CCDS
検証センター
検証基盤管理
ツール貸出

金融
ATM
ＷＧ

決済端末
POS
ＷＧ

事業運営全般へのアドバイス

幹事会

日本学術振興会におけるサイバーセキュリティ第192委員会を引き継いだ
産学連携活動

各WG間の情報交換
全体の方向性の整理
対外事業検討等（各WG主査・副査）

スマート
ホーム
ＷＧ

セキュリティ
技術
ＷＧ

IoT機器
セキュリティ
実装ＷＧ

スマートシ
ティＷＧ

サーティフィ
ケーション
ＷＧ

諮問委員会
セキュリティガイドライン、サーティフィケーションプログラム
全般へのアドバイス

Copyright Connected Consumer Device Security Council Proprietary4国内外におけるIoTセキュリティの標準化動向■2019年以降、日米欧において規格、標準化が加速
2017年
改正個人保護法施行

日本

医療情報システムの安全管理に関する
ガイドライン第5版

2018年

2019年

電気通信事業法の技術基準適合認定にセキュリティ要件追加の提案

パブコメ募集2017年
IoT Cybersecurity
Act 2017法案提出

政府調達条件を規定
米国※ NIST: 米国標準技術研究所※ IR: Internal Report

2018年

2019年

NIST IR8200 (草稿)IoT Cybersecurity
Improvement
Act 2019法案

2020年

2020年
NIST IR 8259 (最終版)

カリフォルニア州 IoT
セキュリティ法 成立

カリフォルニア州
SB327 施行

ENISA
IoTベースラインセキュ
リティ推奨事項を発表※ ENISA: 欧州ネットワーク情報セキュリティ庁※ ETSI: 欧州電気通信標準化機構

2022年
5G促進法
成立

４つのセキュリ
ティ要件義務化

政府調達に適切な管理
推奨事項

サイバーセキュリティ
認証フレームワーク
導入検討を公表

標準やガイドライン

2021年

技適適合
基準施行

目的、リスク、脅威の分析、国際標準化状況

2017年

欧州

サイバー・フィジカ
ル・セキュリティ
対策フレームワーク

法制化関連施策

2021年
IoT Cybersecurity
Act 2020法

政府調達機器セキュ
リティ規制強化
Executive
Order 14028

共通の初期パス
ワード禁止等

サイバーセキュリ
ティ大統領令(コンシューマ機器)

2018年

2019年

2020年

2021年

EU一般データ
保護規則(GDPR)施行

英政府
コンシューマIoT向けセキュリティ行動規範13箇条

ETSI EN 303 645
Cyber Security for
Consumer IoT

ETSI TS 103 701

コンシューマ機器の最低限のセキュリティ要件

英政府行動規範のEU版

EN303 645のテストシナリオ
ENISA Guidelines for
Securing the Internetof Things
IoT製品サプライチェーン
保護のためのガイドライン

Copyright Connected Consumer Device Security Council Proprietary

2022年
消 費 者 向 け IoT 製 品 のサイバーセキュリティ
ラベリング推奨基準
消費者向けソフトウェア
サイバーセキュリティ
ラベリング推奨基準

ラベリング推奨(認証) 基準
NIST IR8425 (最終版)

消費者向けIoT機器最低限要件

2022年
欧州連合官報RED委任規制
無線機器にセキュリティ要件追加

サイバー・レジリエンス法案
ネットワーク接続機器にサイバー攻撃対策を義務化

5

NIST IR 8425で定義されたセキュリティ要件①
IoTデバイスの機能要件:IoT Prodduct Capabilities
ID※当会で付記要件（邦訳）#1

資産の識別：Asset Identification
IoT製品を一意に識別し、IoT製品のすべてのコンポーネントのインベントリを作成することができる。

#2

製品の構成：Product configuration
IoT 製品の構成は変更可能であり、安全な初期設定を復元する機能があり、あらゆる変更は許可された
個人、サービス、および他の IoT 製品のコンポーネントによってのみ実行可能である。
データ保護：Data Protection
IoT 製品とそのコンポーネントは、保存されたデータ（すべての IoT 製品のコンポーネントにまたがる）および伝送されたデータ（IoT 製品のコンポーネント間および IoT 製品の外部の両方）を不正なア
クセス、開示、および修正から保護する。
インターフェースアクセス制御：Interface Access
IoT製品およびそのコンポーネントは、ローカルおよびネットワークインターフェース、ならびにこれらのインターフェースで使用されるプロトコルおよびサービスへの論理的アクセスを、許可された個人、サービス、およびIoT製品コンポーネントのみに制限する。
ソフトウェアの更新：Software Update
すべてのIoT製品コンポーネントのソフトウェアは、各IoT製品コンポーネントに適切な、安全で設定可能なメカニズムを使用することによってのみ、権限を有する個人、サービス、および他のIoT製品コ
ンポーネントによって更新することができる。
サイバーセキュリティの状態認識：Cybersecurity State Awareness
IoT製品は、IoT製品のコンポーネントとそれらが保存および送信するデータに影響を与える、または影響を受けるサイバーセキュリティインシデントの検出をサポートする。
6
Copyright Connected Consumer Device Security Council Proprietary

#3

#4

#5

#6

NIST IR 8425で定義されたセキュリティ要件②
IoT製品の製造者に関する非技術的な要件:IoT Product Developer Activities
ID※当会で付記

#7
#8
#9

#10

要件（邦訳）

ドキュメンテーション：Documentation
IoT製品開発者は、顧客の購入前、製品の開発とその後のライフサイクルを通じて、IoT製品およびその製品コンポーネントのサイバーセキュリティに関連する情報を作成、収集、保管する。
情報と問い合わせの受付：Information & Query Reception
IoT製品開発者がサイバーセキュリティに関連する情報を受信し、サイバーセキュリティに関連する情報について顧客等からの問い合わせに対応する能力を有する。
情報の発信：Information Dissmination
IoT製品開発者は、サイバーセキュリティに関連する情報を（例えば、一般に）公開し、（例えば、顧客またはIoT製品エコシステムの他の人に）配布する。
製品の教育・啓発：Product Education & Awareness
IoT製品開発者は、IoT製品およびその製品コンポーネントに関連するサイバーセキュリティ関連情報（考慮事項、機能など）について、IoT製品エコシステムの顧客およびその他の人々の意識を高め、教育する。

Copyright Connected Consumer Device Security Council Proprietary

7

NIST

認証スキームの提言

NIST IR 8425では削除されたが、"Recommended Criteria"では、IoTラベリング基準に基づく認証スキームについて、以下の検討すべき事項と提言が記載されている。
■ラベリングについての留意事項
・ラベルは消費者のIoT製品の購入意思を支援するものであること（IoT信頼と信用を高める目的で表記される）。
・ラベルデザインは消費者テストによる使い勝手の評価を通して、理解されやすいマークであること。
・サイバーセキュリティの専門的な知識を必要とせず、多様な消費者が利用できること。
・ラベルは、購入前、購入時、購入場所（店舗またはオンライン）、購入後に消費者が利用できるようにすること。
・複数のIoT製品セキュリティ・ステークホルダー（小売業者、メーカー、業界および非営利のセキュリティ団体、学界、または政府など）間で責任を共有すること。
・消費者への教育キャンペーンを伴うこと（ラベルの認知度向上及び、プログラムの重要な側面について消費者に透明性を提供）－製品の基準、専門用語の解説、適合性評価に関する一般的な情報、適合宣言、範囲（製品の種類やラベル付き製品の識別）、消費者への期待、ラベリングプログラムの連絡先や苦情の申立先の情報■適合性評価の考察
・スキームオーナーは、公的機関である場合もあれば、民間企業である場合もある。
・単一の適合性評価アプローチではなく、IoT製品の範囲、ユースケース別に複数のアプローチが可能である。
・スキームオーナーを定義し、スキームオーナーは以下の対応を行う。
－推奨製品の基準を調整－適合性評価要件を定義－ラベルと関連情報を開発－関連する消費者アウトリーチと教育を実施
・以下の単独または組み合わせてにより、技術要件への適合を示す。
－自己適合宣言－第三者による試験または検査－第三者認証Copyright Connected Consumer Device Security Council Proprietary8

FCC Proposes Cybersecurity Labeling Program for Smart Devices（2023/8/10)
対象製品：
スマート デバイスまたは製品には、ホームオフィスルーター、デジタルパーソナルアシスタント、ホーム セキュリティシステム、音声
起動ショッピング、インターネット接続機器、フィットネス トラッ
カー、GPS トラッカー、医療機器、ガレージ ドア オープナー、ベビー モニターなど
パブリックコメント：
・CCDSより、13項目の意見を提出①：有線無線を区別せず対象としてはどうか②：IoTデバイスだけでなく、IoT製品全体を対象としてはどうか③：IoT製品で一部のデバイスのみラベルが張られていると消費者は混乱する。IoT製品全体としてラベル付与要件を満たす必要があるでしょう。
④：IoT製品は様々な分野で使用されていいることから、ラベリング
プログラムの適応範囲は分野を超えて利用すべきであろう。
⑤：メーカによる自己評価を認めることに賛成でる。
⑥：サポート期間やサポート終了時の対象方法を通知する必要がある。
Copyright Connected Consumer Device Security Council Proprietary9ISO/IEC 2740X

ISO/IEC JTC 1/SC 27
Information security, cybersecurity and privacy protection◼ ISO/IEC 27400 Publication date 2022/6/7
ータイトル：IoT security and privacy – Guidelines
ー概要：IoTソリューションのセキュリティとプライバシーに関するリスク、原則、コントロール（対策）に関するガイ
ドラインを提供ー対象：IoTサービスプロバイダ、IoTサービス開発者、IoTユーザ
・2017年：総務省・経産省のIoTセキュリティガイドラインv1.0を提案
上記をベースにプライバシー要件が追加されて標準化◼ ISO/IEC 27402（Final Draft）The end of 2023ISO/IEC 27402（Draft）The end of 2023
ータイトル： IoT security and privacy –Device baseline requirements
ー概要：ベースライン要件を提供する
ー対象： IoT機器とその製造者

・2019年：米国発案(NIST IR8259がベースによるIoTセキュリティ要件を定義（後にNIST IR8425）◼ ISO/IEC 27404（Approved Work Item）
ータイトル： IoT security and privacy — Cybersecurity labelling framework for consumer IoT
ー概要：消費者向け IoT のサイバーセキュリティ ラベリング フレームワーク

ー対象：消費者、開発者、サイバーセキュリティラベルの発行団体、および独立した試験機関
・シンガポール発案、欧米ともにLabellingに向けた検討
Copyright Connected Consumer Device Security Council Proprietary1010欧州の状況： サイバー・レジリエンス法案■概要
・2022年9月15日に欧州連合（EU）の欧州委員会より、インターネット接続機器に対するサイバーセキュリティ対策を義務化する「サイバー・レジリエンス法案」が提出された。
・メーカやソフトウェアベンダーには、第三者機関による評価が義務付けられ、違反した
場合には、最大1500万ユーロもしくは、総売上高の2.5％のうち高い金額を制裁金として科せられる。
※法律発効後24ヵ月で適用、ただし製造業者の報告義務は発効から12ヵ月で適用される。
※脆弱性に気付いた場合やセキュリティ事故が発生した場合には、24時間以内にENISAに報告。
【現在公開されている法案文書と付随文書】

https://www.european-cyber-resilience-act.com/
1_Proposal_for_a_Regulation_on_cybersecurity_requirements_for_products_with_digital_elemen
ts__Cyber_resilience_Act⇒法案文書。法案の目的や法制度の概要を記載

2_Annexes_Proposal_for_a_Regulation_on_cybersecurity_requirements_for_products_with_digita
l_elements__Cyber_resilience_Act⇒付随文書。遵守すべきセキュリティ要件や、整備しておくべき技術文書などを記載。
Copyright Connected Consumer Device Security Council Proprietary11参考）サイバー・レジリエンス法案のセキュリティ要件
1. デジタル要素を持つ製品の特性に関するセキュリティ要件

2. 脆弱性ハンドリング要件

デジタル要素を含む製品は、リスクに応じた適切なレベルのサイバーセキュリティを確保するように設計、開発、生産されなければならない。

(1)
(2)

デジタル要素を含む製品は、悪用可能な既知の脆弱性がない状態で提供されること。

(3)

第10条（2）に言及されたリスクアセスメントに基づき、適用される場合、デジタル要素を有する製品は、以下のようにしなければならない。
(a) デフォルトでセキュアな設定で提供され、製品を元の状態に戻すことが可能であること。
(b)

認証、ID、アクセス管理システムを含むがこれに限定されない適切な管理機構により、不正な
アクセスから確実に保護すること。

(c)

保存、送信、またはその他の方法で処理された個人またはその他のデータの機密性を、最新のメカニズムによって静止中または転送中の関連データを暗号化するなどして保護すること。

保存、送信、またはその他の方法で処理されたデータ、個人またはその他のデータ、コマンド、(d) プログラム、設定の整合性を、ユーザーによって許可されていない操作または修正から保護し、また破損について報告すること。
(e)

個人またはその他のデータを、適切かつ関連性のある、製品の使用目的に関連する必要なものに限定して処理する（「データの最小化」）。

(f) サービス妨害（DoS）攻撃に対する回復力と軽減を含む、重要な機能の可用性を保護すること。
(g)

(1)

製品に含まれる脆弱性とコンポーネントを特定し、文書化する。これには、少なくとも製品のトップレベルの依存関係を網羅する、一般的に使用され機械で読み取り可能な形式のソフトウェア部品表を作成することが含まれる。

(2)

デジタル要素を含む製品にもたらされるリスクに関連して、セキュリティアップデー
トの提供を含め、脆弱性に遅滞なく対処し、改善すること。

(3)

デジタル要素を含む製品のセキュリティについて、効果的かつ定期的なテストとレビューを適用する。

(4)

セキュリティアップデートが提供された後、修正された脆弱性についての情報（脆弱性の説明、影響を受けるデジタル要素を含む製品を特定できる情報、脆弱性の影響、深刻度、脆弱性を修正するための情報を含む）を一般に公開する。

(5)

脆弱性の協調的な開示に関するポリシーを導入し、実施する。

(6)

デジタル技術を用いた製品およびその製品に含まれる第三者のコンポーネントの潜在的な脆弱性に関する情報の共有を促進するための措置を講じること（デジタル技術を用いた製品で発見された脆弱性を報告するための連絡先を提供することを含む）。

(7)

デジタル技術を用いた製品のアップデートを安全に配布し、悪用可能な脆弱性が適時に修正または軽減される仕組みを提供する。

(8)

特定されたセキュリティ問題に対処するためのセキュリティパッチやアップデートが利用可能な場合、それらが遅滞なく、かつ無料で配布されることを保証すること。

他の機器やネットワークが提供するサービスの可用性に及ぼす自らの悪影響を最小限に抑えること。

(h) 外部インタフェースを含む攻撃面を制限するように設計、開発、製造されること。
適切な悪用防止メカニズムや技術を用いて、インシデントの影響を軽減するように設計、開発、(i)
製造されること。
(j)

データ、サービス、機能へのアクセスや変更を含む、関連する内部活動を記録及び／又は監視することにより、セキュリティ関連情報を提供すること。

(k)

脆弱性が、セキュリティ更新（該当する場合、自動更新及び利用可能な更新のユーザへの通知を含む）を通じて対処されることを保証すること。

Copyright Connected Consumer Device Security Council Proprietary12サイバー・レジリエンス法案

2023年5月24日ー6月21日審議
2023年7月20日結論 C(2023) 4823 final
2025年8月1日に修正！
・既存の規則で対象となる製品は対象外（特に医療機器、自動車、航空機など）
・クラス１、クラス２で分類し、適合性証明の方法をが異なる
・EU適合宣言（CEマーク）のスキームを活用
Copyright Connected Consumer Device Security Council Proprietary

13

CCDS
国Ｃ
際Ｃ
標Ｄ
準Ｓ
化外
のの
動動
きき
や
協力

IoTセキュリティガイドライン整備状況
ISO/IEC 27400提案
IoT security andprivacy – Guidelines

提案参照

IoTセキュリティ
ガイドラインV1.0 IoT推進コンソ

つながる世界の開発指針 IPA

2016年

文Ｃ
書Ｃ
発Ｄ
行Ｓ
内
の
動
き
や

総務省 経済産業省

医療情報システムの安全管理に関するガイド
ライン第5版
厚生労働省

ISO/IEC 30147 Internet ofThings (IoT) - Integration of IoT
trustworthiness activities in
ISO/IEC/IEEE 15288 systemengineering processes

提案

サイバー・フィジカル
セキュリティ対策
フレームワーク
経済産業省

CCDS認証マーク例

2017年

車載機編ガイドライン V1.0

分野別ガイドライン
V2.0

IoT-GW編ガイド
ライン V1.0

分野別ガイドライン
V2.0別冊ATM編ガイドライン V1.0

分野別ガイドライン
V1.0英語版

オープンPOS編
ガイドライン V1.0

分野別ガイドライン
V2.0英語版

分野別ガイドライン
V1.0

ISO/IEC 27400
IoT security andprivacy – Guidelines

標準化

各種ガイドライン（文書）発行

IoTセキュリティ
一般的枠組 NISC

提案

～社会実装～

2018年

IoT分野共通セキュリ
ティ要件ガイドライン_2018年版

CCDS 調達仕様編 草稿

2019年

2020年

認証マーク制度
運用開始

認証マーク制度のサービスへの適用開始

IoT分野共通セキュリティ
要件ガイドライン_2019
年版

IoT分野共通セキュリティ
要件ガイドライン_2019
年_別冊～解説編

CCDS スマートホーム編
V1.0

評価検証ガイドv1.0

Copyright Connected Consumer Device Security Council Proprietary

IoT機器セキュリティ要件
ガイドライン_2021年版
IoT機器セキュリティ要件
ガイドライン_2021年版_
別冊～解説編IoT機器セキュリティ要件_2021年版_対策方針
チェックリスト_v1.0

CCDS アップデート機能編
CCDS ATM勉強会報告書

14

IoT機器セキュリティ認証スキームのポイント
ポイント１：つまるところベースライン要件は、ほぼ変わらい。
ー＞日本案は、日本のメーカや消費者にとって最適に設定すべきであろう（ETSI,NIST,あまり変わらない）
ポイント２：経年変化するセキュリティなので、要件・適合基準は鮮度が重要。
ー＞柔軟に要件・適合基準をアップデートできる仕組み（非営利組織で柔軟に動ける体制が寛容）
ポイント３：標準化は、たいていはプロセスチェック重視なのでドキュメント
チェックが多く認証にかかるコストが増大する（重くなる）
ー＞軽い検査プロセスが重要。
適合基準を我が国として作成することが重要。（経済安全保障）
ポイント４：社会実装：使われることに意味がある。メーカー賛同し消費者が受け入れる
ー＞双方にインセンティブが必要
メーカ：認証にかかるコストを安価に！そして購買意欲につながる！
ユーザー：安心・安全の視覚化、加えて分かるメリットetc.(ex.サイバー保険とか)Copyright Connected Consumer Device Security Council Proprietary

15

CCDSサーティフィケーションプログラムの概要
プログラムのレベル構成

・競争力のある商品提供
・新ビジネス機会獲得(売切からサービスへ)
マーク
発行

レベル３（★★★）
生命・財産にかかわる
要件

製
品
毎
に
固
有
な
要
件

一
般
的
要
件

プログラムのスキーム

企業

レベル２（★★）
製品分野別(業界団体)要件

レベル１（★）
IoT機器として共通の要件（つながる機器として最低限のマナー）

消費者安心・安全な
社会環境提供

商品購入
判断基準
提供

エン
ドース

認証マーク
発行機関

認証マークを通じたセキュリ
ティ対策促進策、最低限の強制規格(通信分野)、産業育成

行政プログラムのポイント
1. 任意マーク（罰則なし）
2. 自主検査と第三者検査のいずれか選択可能
3. 第三者機関によるマーク付与の意味（検証結果保持と追跡可能）

車載
分野

スマート
ホーム分野

金融端末
決済端末
(ATM)分野 (POS)分野

製品
分野A

製品
分野B

4. マークの毎年更新（新規攻撃への対応）
5. セキュリティ対策の普及促進策

Copyright Connected Consumer Device Security Council Proprietary⇒

例えば税制優遇、助成金

16

CCDS:IoT機器セキュリティ要件 2023年版
分類ID
サブセットID
1-1

1-21）IoT機器の機能要件

2）IoT機器の運用における要件
3）IoT機器の監査に関する要件

セキュリティ要件

要件の対象・目的

サブセットIDに対応するセキュリティ要件

アクセス制御及び認証
1-1-1

TCP/UDPポートの無効化

1-1-2

認証情報の変更

識別、アクセス制御、構成変更、権限管理、認証

データ保護
1-2-1

データ保護、
認証情報・鍵情報保護

データ消去

1-3

ソフトウェア更新

運用中インシデント対応

1-4

特にインシデントが多く影響度が大きい要件
1-4-1

Wi-Fiの認証方式

1-4-2

Bluetoothの対策

1-4-3

USBのアクセス制御

1-4-4

インジェクション対策

発生件数、影響が大きい
インシデントへの対応

2-1

連絡窓口・セキュリティサポート体制

2-2

製品に関する文書管理

セキュリティ対応状況の明文化

2-3

利用者への情報提供

運用サポート

3-1

ログの記録
3-1-1

運用中インシデント対応

時間管理機能運用中インシデント管理※ 米国（NIST）、欧州（ETSI）のガイドライン、規格文書を参考に改定（下線赤文字は2021年版からの追加要件）
Copyright Connected Consumer Device Security Council Proprietary

17

CCDS:マークに自動付帯するIoTサイバー保険の概要
・マーク取得機器を対象に、IoTサイバー保険が自動付帯される（保険契約はCCDSが行い、マーク取得者による契約や保険費用負担は不要）

・インシデント発生時に、マーク取得者（ベンダ）の原因調査費用、損害賠償費用、その他費用を補償する。（間接的に機器利用者を保護する）
マークによって、分野を問わず最低限守るべき要件を満たしていることが確認できるため、ユーザーがIoT機器を購入する際に選択の指標となります。

安心・安全なIoT機器を選択するための指標

フォレンジック調査等、様々な費用・損害を保険で補償します。

原因調査
インシデントの発生またはそのおそれがある
場合、迅速に調査を実施します。
その他費用損害

損害賠償金
メーカーに損失が発生する場合、賠償金をお支払いします。

＋

損害拡大防止・再発防止費用等、インシデントに起因する費用を幅広く補償します。

Copyright Connected Consumer Device Security Council Proprietary18

資料：認証制度のスキーム案

出典:IoT製品に対するセキュリティ
適合性評価制度の構築について,12.12.2023

Copyright Connected Consumer Device Security Council Proprietary19

資料：既存制度との関係性

出典:IoT製品に対するセキュリティ
適合性評価制度の構築について,7.19.2023

Copyright Connected Consumer Device Security Council Proprietary20資料：目的②特定分野で使用される
IoT機器の最低限のセキュリティ確保

出典:IoT製品に対するセキュリティ
適合性評価制度の構築について
12.12.2023

21

資料：目的②展開戦略と初期ターゲット

出典:IoT製品に対するセキュリティ
適合性評価制度の構築について,12.12.202322適合性評価制度スキーム

CCDSサーティフィケーションプログラム

スマート
ホーム

金融

住設機器

ATM,POSサービス

CCDS ★１マークを全業態に適用（各分野で使用される機器群）
Copyright Connected Consumer Device Security Council Proprietary

スマートホーム分野
金融分野
レベル2、レベル３を進めていく23

資料：既存制度との連携・合流（将来像） 出典:IoT製品に対するセキュリティ
適合性評価制度の構築について,7.19.2023

Copyright Connected Consumer Device Security Council Proprietary

24参考）適合基準の公開及びパブリックコメントの実施

パブリックコメントの実施（3/15開始）

出典）METI適合性評価制度
第7回検討委員会「資料3 IoT製品に対するセキュリ
ティ適合性評価制度に関する実証について」
https://www.meti.go.jp/shingikai/mono_info_service/sangyo_cyber/wg_cyberse
curity/iot_security/007.html

25参考）2024年度～2025年度の検討ロードマップ案☆1の制度開始（2025年3月頃）☆２以降の検討ロードマップ

出典）METI適合性評価制度
第7回検討委員会「資料4 IoT製品に対するセキュリ
ティ適合性評価制度の構築について」
https://www.meti.go.jp/shingikai/mono_info_service/sangyo_cyber/wg_cyberse
curity/iot_security/007.html

26

マーク制度とDX推進
考え方：
１）攻撃者優位のこの時代です！
２）経年劣化します！
３）被害を受けた後の対策を必ず想定しておきましょう！
対策の方針（セキュリティについての調達要件を策定しておく）ー＞マーク製品
１）防御は多層防御の視点で。
（人、組織、モノ、戦略。。。）
２）対策の費用対効果を見積る。
（効果ある対策から）
３）感染してしまった時の対策も考えましょう！ （レジリエンス能力の向上）
訓練の進め：
１）インシデント訓練は年1回（例：バックアップからの復旧
組織の対応内容の実習）

Copyright Connected Consumer Device Security Council Proprietary27

今後に取り組むべき事項（メーカとしてユーザーとして）セキュリティ要件：－サプライチェーン（SBOM?)－認証（Authentication)－－暗号

TVの呼びかけで反応

体制・仕組み：－経年劣化への対応

分解

分析

リバースエンジニアリング

Copyright Connected Consumer Device Security Council Proprietary

28

話題提供

AIハッカーのコミュニティの活性化

29

DEFCON（2015->2023)◼ 会期：2023年8月上旬 （4日間）◼ 会場：ラスベガスのホテル会議室・ホール◼ 参加者数：2015年：約1.5万人
2016年：約2.2万人
2017年：約2.5万人
2018年：約2.7万人
2019年：約3.0万人
2021年：約0.9万人
2022年：約2.5万人★2023年：約2.5万人◼ 参加者：学生から社会人まで◼ IoTに留まらず、更に分野が拡大：◆ ICSビレッジ（2014年）◆ IoTビレッジ（2015年）◆ AIビレッジが出現（2018年）◆ Aerospaceビレッジ（2021年）◆ XRビレッジ、Embedded Systemビレッジ（2023年）
30

Village （同好の集まり）：2023年の状況•

興味を持った人たちが集まって、ミニ講演会やワークショップや展示などを実施(下記赤は今年から）

◼
◼
◼
◼
◼
◼
◼
◼
◼
◼
◼
◼
◼
◼
◼
◼

A.I. Village
DEFCON GROUPS VR (DCGVR)XR Village ★2023年からBlue Team Village
Aerospace Village ★2021年にAviation Villageから拡張
Biohacking Village
Crypto &amp; Privacy Village
Appsec Village
Blacks In Cyber Village
Carhacking Village
Cloud Village
Data Duplication Village
Embedded Systems Village ★2023年から
Ham Radio Village
Hardware Hacking Village & Soldering Skills Village
ICS Village ★2014年から

•
•
•
•
•
•
•
•
•
•
•
•
•
•
•
•

Lockpick Village
Misinformation Village
IoT Village ★2015年から
Packet Hacking Village
Payment Village
Physical Security Village
Password Village
Quantum Village
Policy@DEFCON
Radio Frequency Village
Telecom Village
Tamper Evident Village
Recon Village
Red Team Village
Social Engineering Community Village
Voting Village31

CGC（Cyber Grand Challenge）DARPA 優勝賞金 2 億円

◼ 機械vs機械（攻撃と防御）◼ 環境：◆ Intel Xeon サーバー（水冷式ラック）◆ 主催が用意した、プログラム＆サーバ環境◼ 脆弱性自動検出ー＞防御パッチ自動生成ー＞
攻撃コード自動生成◼ 優勝：カーネギーメロン大学のForAllSecure チームの「Mayhem」

https://www.cybergrandchallenge.com/
32

DARPA：人工知能サイバー チャレンジ 賞金総額 1,850 万ドル
The Artificial Intelligence Cyber Challenge(AIxCC)
バイデン・ハリス政権は、人工知能（AI）を利用して、インターネットや重要インフラの運営に役立つコードなど、米国の最も重要なソフトウェアを保護する2年間にわたる大規模なコンペティションを開始した。

「AIサイバーチャレンジ」」（AIxCC）は、AI を使用してソフトウェアの脆弱性を特定して修正するという課題に挑戦。
Anthropic、Google、Microsoft、OpenAI といったトップ AI 企業数社との協力、専門知識、最先端のテクノロジーを利用できるよう協力
このコンテストは、サイバーセキュリティの最も差し迫った課題の 1 つであるコンピューター コードのセキュリティを急速に向上させるための新技術の開発を促進します。
今年初め、政権は、複数の AI 企業が DEF CON 2023 で大規模言語モデル (LLM) の公開評価に参加するというコミットメントを発表しました。
この演習は今週後半（2023年8月）に開始されます。複数の LLM に対する史上初の公開評価は、より安全で透明性の高い AI 開発の推進を目指します。

◼ https://www.whitehouse.gov/briefing-room/statementsreleases/2023/08/09/biden-harris-administration-launches-artificialintelligence-cyber-challenge-to-protect-americas-critical-software/
33

DARPA：人工知能サイバー チャレンジ 賞金総額 1,850 万ドル
The Artificial Intelligence Cyber Challenge(AIxCC)◼ 2023年8月9日 発表◼ 2023年8月17日～ 10月3日 資金提供募集
ー＞100万ドルの支援（7チーム）◼ 2023年11月1日～ 12月15日 オープントラック募集◼ 2024年2月 キックオフイベント◼ 2024年5月 QUALIFYING COMPETITION(AQC)
20チームを選抜◼ 2024年8月 SEMIFINAL COMPETITION(ASC)上位５チーム：各200万ドル◼ 2025年8月 FINAL COMPETITION(AFC)
1st:400万ドル, 2 nd :300万ドル, 3 rdd :150万ドル◼ 協賛：Anthropic、Google、Microsoft、OpenAI◼ 2 年間のコンテスト
重要なコードを保護するための新しい AI システムの設計

https://aicyberchallenge.com/

34

CCDSの活動のポジション（安心・安全な環境に向けて）消費者（企業）・最低限のセキュリティ
・新ビジネス機会獲得(売切からサービスへ)

商品購入判断基準提供最低限の規制(通信分野)

企業

認証機関

セキュリティ産業育成（ツール、検証業務）

任意制度によるラベリングスキーム

サプライチェーン

安心・安全な社会環境提供

行政

認証マーク
発行機関

柔軟な体制,柔軟な要件定義,民間主導

政府調達,税制優遇,etc

CCDS
Copyright Connected Consumer Device Security Council Proprietary35

GR01-2021

SH02-2021

SH03-2021

GR01-2023

2023

2023

2023

2025

ご清聴ありがとう御座いました【セキュリティガイドライン】
https://www.ccds.or.jp/public_document/index.html【サーティフィケーションプログラム】
https://www.ccds.or.jp/certification/index.html
Copyright Connected Consumer Device Security Council Proprietary36

CCDSサーティフィケーション
GR01-2019■2023年要件の概要【デバイス側の新設要件】
・要件1-2：データ保護 新設
・要件3-1：ログの記録 新設【機器メーカ、運用面に対する新設要件】
・要件2-2：製品に関する文書管理・要件2-3：利用者への情報提供
分野別マーク始動！
IoTサービスへ対象を拡大！
例：リモートロックシステム
・サーバ、ネットワーク、IoT機器への要件を規定

Copyright Connected Consumer Device Security Council Proprietary37資料：目的①政府機関等・企業等のIoT製品調達ニーズへの対応

出典:IoT製品に対するセキュリティ
適合性評価制度の構築について,12.12.2023

38

資料：目的①展開戦略と初期ターゲット

出典:IoT製品に対するセキュリティ
適合性評価制度の構築について,12.12.2023

39参考）調達基準への追加①（政府機関）

政府機関の調達基準として追加を検討中。
※「政府機関等の対策基準策定のためのガイドライン」

出典）METI適合性評価制度
第7回検討委員会「資料4 IoT製品に対するセキュリティ適合性評
価制度の構築について」
https://www.meti.go.jp/shingikai/mono_info_service/sangyo_cyber/wg_cyberse
40参考）調達基準への追加②（地方公共団体）

地方公共団体の調達基準として追加を検討中。
※「地方公共団体における情報セキュ
リティポリシーに関するガイドライン」

出典）METI適合性評価制度
第7回検討委員会「資料4 IoT製品に対するセキュリティ適合性評
価制度の構築について」
https://www.meti.go.jp/shingikai/mono_info_service/sangyo_cyber/wg_cyberse
41