CCDS-SH02-2023
CCDS-SH03-2023

製品分野別セキュリティガイドライン
スマートホーム編 2023 年版
Ver. 1.0

CCDS セキュリティガイドライン WG
スマートホーム WG

CCDS-SH02-2023
CCDS-SH03-2023

改訂履歴
版数
Ver.1.0

改訂日2024/6/1

改訂内容
2023 年版として、内容を改定し、新規発行■商標について・本書に記載の会社名、製品名などは、各社の商標または登録商標です。
■おことわり・本書に記載されている内容は発行時点のものであり、予告なく変更することがあります。
・本書の内容を CCDS の許可なく複製・転載することを禁止します。

© Connected Consumer Device Security Council Proprietary

CCDS-SH02-2023
CCDS-SH03-2023

目次
1

はじめに ................................................................................................ 1

1.1

スマートホームのセキュリティの現状と課題 ............................................................ 2

1.2

ガイドラインの対象範囲 ........................................................................................... 4

1.3

本書の対象者 ............................................................................................................ 4

1.4

用語・略称 ................................................................................................................ 52

スマートホームサービスの定義とシステム構成 ..................................... 7

2.1

スマートホームサービスの定義 ................................................................................. 7

2.2

スマートホーム向け製品・サービスのセキュリティレベルの定義 .............................. 8

2.3

システムモデルの定義 .............................................................................................. 11

2.4

ユースケースの定義 .................................................................................................142.4.1 ★★サービスにおけるユースケース事例.................................................................. 14
2.4.2 ★★★サービスにおけるユースケース事例 ............................................................... 163

スマートホーム向け製品・サービスのリスク分析 ................................. 18

3.1

リスク分析・評価の手順 ..........................................................................................18

3.2

保護すべき資産の抽出 ..............................................................................................19

3.3

想定される脅威の分析 ..............................................................................................21

3.3.1

スマートホームの製品・システム上の想定脅威 .................................................. 21

3.3.2

サイバーセキュリティ以外の想定脅威 ................................................................ 25

3.4想定される脅威の詳細分析 .......................................................................................25

3.5

リスク値の計算 ........................................................................................................423.5.1 CVSS v3 によるリスク値の計算と課題 ................................................................... 42
3.5.2

スマートホーム独自方式のリスク値計算の定義 .................................................. 44

3.5.3

スマートホーム独自方式でのリスク値計算の結果 ............................................... 55i

CCDS-SH02-2023
CCDS-SH03-2023
3.6

リスク分析・評価のまとめ .......................................................................................66

3.7

セキュリティ対策の検討 ..........................................................................................664

想定されるセキュリティ上の脅威と対策指針 ........................................ 77

4.1

関係する要素の多様性 ..............................................................................................77

4.2

製品安全（セーフティ）への対応 .............................................................................774.3

機器の連携 ...............................................................................................................78

4.4

利用者による IoT 機器の設置・撤去 .........................................................................78

4.5

スマートホームサービスにおけるセキュリティ対策指針の整理 ................................795

スマートホームサービスのライフサイクルとセキュリティへの取り

組み 80
5.1

スマートホームサービスのライフサイクルにおけるフェーズの定義 .........................80

5.2

サービスのライフサイクルにおけるセキュリティへの取組み....................................81

5.2.1

サービス企画フェーズ ........................................................................................ 81

5.2.2

設計・製造フェーズ ............................................................................................ 83

5.2.3

評価フェーズ ...................................................................................................... 84

5.2.4

運用・保守フェーズ ............................................................................................ 84

5.2.5

サービス終了フェーズ ........................................................................................ 88

5.3

スマートホームのライフサイクルにおけるフェーズの定義 .......................................89

5.4

スマートホームのライフサイクルにおけるセキュリティへの取組み .........................90

6

5.4.1

設計フェーズ ...................................................................................................... 90

5.4.2

生産・施工フェーズ ............................................................................................ 90

5.4.3

アフターフェーズ ............................................................................................... 92

5.4.4

リフォームフェーズ ............................................................................................ 93

5.4.5

転売フェーズ ...................................................................................................... 94

5.4.6

解体フェーズ ...................................................................................................... 95

まとめ ................................................................................................... 96ii

CCDS-SH02-2023
CCDS-SH03-2023

引用/参考文献 ............................................................................................... 97

図 2-1 スマートホーム向け製品・サービスの階層モデル ........................... 9
図 2-2 スマートホームサービスにおけるセキュリティ要件/要求事項の対応 ......... 10
図 2-3 スマートホームのシステムモデル図 ...................................... 12
図 2-4 スマートホームのユースケース（シャッター自動開閉サービス） ............ 15
図 2-5 スマートホームのユースケース（駆けつけ防犯サービス） .................. 16
図 3-1 スマートホームのシステムモデルにおける脅威分析事例 .................... 23
図 3-2 基本値（スマートホーム独自方式）の計算式 .............................. 45
図 3-3 環境値（スマートホーム独自方式）の計算式 .............................. 50
図 5-1 スマートホームサービスのライフサイクルにおけるフェーズ ................ 80
図 5-2 スマートホームのライフサイクルにおけるフェーズ ........................ 89

表 1-1 用語一覧 ............................................................................................................ 5
表 1-2 略称一覧 ............................................................................................................ 6
表 2-1 本書におけるサービス・システムの定義 ............................................................ 8
表 2-2 スマートホーム向け製品・サービスのサーティフィケーションレベル ................ 9
表 2-3 システムモデル中の構成機器 ............................................................................ 13
表 2-4 スマートホームのユースケース（シャッター自動開閉サービス） ..................... 15
表 2-5 スマートホームのユースケース（駆けつけ防犯サービス）................................ 17
表 3-1 リスク分析・評価の手順 ................................................................................... 18
表 3-2 スマートホームのシステム・製品を対象とした保護すべき資産の例 .................. 19
表 3-3 STRIDE+CCDS モデルによる脅威分類の一覧 ........................................................ 22
表 3-4 STRIDE+CCDS モデルによる脅威分類事例 ........................................................... 23
表 3-5 想定される脅威の詳細分析項目一覧 ................................................................. 25
表 3-6 接続 I/F 項目 ................................................................................................... 26
表 3-7 Who（誰がつなげたか）項目 ............................................................................. 27
表 3-8 Whom（何が危害をうけたか）項目 .................................................................... 27
表 3-9 Where（どこで発生したか）項目 ...................................................................... 27
表 3-10 スマートホームサービス・第三者サービスの情報基盤に対する詳細脅威分析事例.................................................................................................................................... 29
表 3-11 ホームゲートウェイ・スマートホーム対応機器群・スマートフォンアプリに対する詳細脅威分析事例 ..................................................................................................... 34
表 3-12 CVSSv3 によるサービスのリスク値（★★、★★★共通）※抜粋 ..................... 43iii

CCDS-SH02-2023
CCDS-SH03-2023
表 3-13 CVSSv3 によるリスク値計算の課題 .................................................................. 44
表 3-14 スマートホーム独自方式の脆弱性評価基準 ..................................................... 44
表 3-15 基本値を計算するパラメータ .......................................................................... 46
表 3-16 生命・財産への影響（LP） ............................................................................. 46
表 3-17 情報の重要度（II） ....................................................................................... 47
表 3-18 機密性（C）・完全性（I）・可用性（A）への影響 ............................................ 47
表 3-19 攻撃元区分（AV） ........................................................................................... 48
表 3-20 攻撃条件の複雑さ（AC） ................................................................................ 48
表 3-21 攻撃に必要な特権レベル（PR） ...................................................................... 48
表 3-22 ユーザ関与レベル（UI） ................................................................................ 49
表 3-23 スコープ（S） ................................................................................................ 49
表 3-24 環境値を計算するパラメータ .......................................................................... 51
表 3-25 緩和策後の生命・財産への影響（MLP） .......................................................... 52
表 3-26 緩和策後の情報の重要度（MII） .................................................................... 52
表 3-27 対象システムのセキュリティ要求度（CR/IR/AR） ........................................... 52
表 3-28 緩和策後の機密性への影響（MC） ................................................................... 53
表 3-29 緩和策後の完全性への影響（MI） ................................................................... 53
表 3-30 緩和策後の可用性への影響（MA） ................................................................... 53
表 3-31 緩和策後の攻撃元区分（MAV） ........................................................................ 53
表 3-32 緩和策後の攻撃条件の複雑さ（MAC） .............................................................. 53
表 3-33 緩和策後の攻撃に必要な特権レベル（MPR） ................................................... 54
表 3-34 緩和策後のユーザ関与レベル（MUI） .............................................................. 54
表 3-35 緩和策後のスコープ（MS） ............................................................................. 54
表 3-36 深刻度レベル分け ........................................................................................... 54
表 3-37 スマートホーム独自方式によるサービスのリスク値 ....................................... 55
表 3-38 シャッター自動開閉サービス（★★）のリスク値（セキュリティ対策前） ..... 56
表 3-39 防犯駆けつけサービス（★★★）のリスク値（セキュリティ対策前） ............ 61
表 3-40 シャッター自動開閉サービス（★★）のリスク値（セキュリティ対策後） ..... 67
表 3-41 防犯駆けつけサービス（★★★）のリスク値（セキュリティ対策後） ............ 72
表 5-1 スマートホームサービスにおけるフェーズの定義 ............................................ 81
表 5-2 サービス企画フェーズにおけるセキュリティへの取組み .................................. 82
表 5-3 設計・製造フェーズにおけるセキュリティへの取組み ...................................... 83
表 5-4 評価フェーズにおけるセキュリティへの取組み ................................................ 84
表 5-5 運用・保守フェーズでのセキュリティへの取組み ............................................ 84
表 5-6 サービス終了フェーズでのセキュリティへの取組み ......................................... 88iv

CCDS-SH02-2023
CCDS-SH03-2023
表 5-7 スマートホームにおけるフェーズの定義 .......................................................... 89
表 5-8 設計フェーズでのセキュリティへの取組み ....................................................... 90
表 5-9 生産・施工フェーズにおけるセキュリティへの取組み ...................................... 91
表 5-10 アフターフェーズにおけるセキュリティへの取組み ....................................... 92
表 5-11 リフォームフェーズにおけるセキュリティへの取組み .................................... 93
表 5-12 転売フェーズにおけるセキュリティへの取組み .............................................. 94
表 5-13 解体フェーズにおけるセキュリティへの取組み .............................................. 95v

CCDS-SH02-2023
CCDS-SH03-2023

1 はじめに
これまで製品業界ごとにセーフティ標準は策定されてきた。一方、サイバーセキュリ
ティ標準をみると、組織運営に関する標準（ISO27001）と製品設計のセキュリティ評価・認証に関する標準（ISO15408）が策定されており、近年では、重要インフラストラクチャー（社会インフラに欠かせないプラントや施設）の制御システムを対象とした標準（IEC62443）も策定されている状況である。
Internet of Things（以下、IoT） の普及に伴い、身の回りにある生活機器が様々なネッ
トワーク接続機能をもつことで、製品のセキュリティ懸念が増加し、IoT 製品やサービス、
サプライチェーンに対するサイバーセキュリティへの対策が国家の経済安全保障上の課題として取り上げられている。欧米の動きをみると、各業界のセーフティ標準からセキュリ
ティ標準を検討する動きが各所にみられる。米国では 2022 年 9 月 14 日に制定された大統
領令 14028 を皮切りに、コンシューマー向け IoT 製品のセキュリティ要求を示す文書として NIST IR8425 "Profile of the IoT Core Baseline for Consumer IoT Products"[1]がリリースされ、ラベリング制度の検討が進められている。欧州では 2020 年にコンシューマー向け IoT 製品のセキュリティ標準を定義した ETSI EN 303 645 "Cyber Security for
Consumer Internet of Things: Baseline Requirements"[21]がリリースされた。また、“The Cyber Resilience Act(CRA)”による法制化の検討が進められている。一方、日本では、2022 年 11 月より経済産業省が IoT 製品を対象とした適合性評価制度の検討を開始しており、国内におけるセキュリティ対策の普及、促進が期待されている。
このような状況の中で、一般社団法人 重要生活機器連携セキュリティ協議会（略称 CCDS。
以下、CCDS）は 2014 年に設立され、継続的に IoT 製品のセキュリティに関する活動を行っている。本協議会では、生活機器セキュリティ標準の策定と、その標準に沿っていることを確認・検証した CCDS サーティフィケーションプログラムをセットにすることで、ユーザに安心して IoT 製品を使ってもらえる環境を整備することを目標に活動を行っている。
平成 28 年 7 月 5 日には IoT 推進コンソーシアム、経済産業省、総務省が「IoT セキュ
リティガイドライン」[2]として策定し、分野全体をカバーする共通事項を中心にまとめられた基本的な指針となっているが、CCDS では個々の製品分野において、具体的にセキュリ
ティをカバーした設計・開発を進めるために、本分野別ガイドラインを策定した。

1

CCDS-SH02-2023
CCDS-SH03-2023

1.1

スマートホームのセキュリティの現状と課題

スマートホームとは、インターネット等に接続され、IoT に対応した住設・家電機器が設置された住宅であり、IoT・AI などの情報技術を活用して、利用者により安全・安心で快適な生活を提供する住まいである。

IoT 機器は、私達により身近なものになり、多種多様な方面で広がりを見せている。例
えば家庭内に設置した住宅設備機器を遠隔で操作することを可能にすれば、家の施錠やシャッターの開閉、水回りの設備などをコントロールすることができる。IoT 機器の普及は著しく、今後はさらに増加すると想定されている。令和 4 年版情報通信白書[3]には、2015 年には世界で 約 54 億台であったコンシューマー向け IoT 機器が、2024 年には 398億台になるとの予測が記載されている。
これらの IoT 機器は、インターネットに接続されていることで、様々なサービスの提供が可能であるが、同時に、情報セキュリティの脅威にさらされている。IoT 機器を標的としたマルウェアの存在も確認されており、その脅威は、生命や財産を脅かすものとなる可能性があることが危惧されている。
IoT 機器が攻撃を受ける要因は、利用者と提供者の二つの側面からみることができる。
利用者に起因するものとしては、IoT 機器の初期設定での使用や、推測されやすいパスワー
ドの設定、セキュリティへの知識不足などが挙げられる。提供者に起因するものとしては、初期設定で誰でもアクセスできてしまう設計や、利用者のセキュリティへの知識不足の想定が不十分であることなどである。

IoT 機器については、平成 28 年 3 月に独立行政法人情報処理推進機構（略称 IPA。以下、IPA）による「つながる世界の開発指針」[4]が公開され、IoT 機器の開発者が開発時に考慮すべきリスク・対策を指針として明確化された。また、平成 28 年 7 月には経済産業省及び総務省らによる「IoT セキュリティガイドライン」が公開され、IoT 機器やシステム、サービスのセキュリティ対策を検討するための考え方について提供者及び利用者を対象に提示された。例えば、IoT 機器の出荷後もセキュリティ上重要なアップデートを適切に実施することが挙げられている。
CCDS では、多種多様な製品分野を横断したセキュリティラベリング制度として CCDS サー
ティフィケーションプログラムを 2019 年 10 月より開始している。同プログラムでは、IoT機器として満たすべき最低限のセキュリティ要件であるサーティフィケーションレベル１と、製品分野ごとに業界団体や有識者と検討を行うサーティフィケーションレベル２・３が定義される。自主評価と第三者認証によってセキュリティ要件を満たすことが確認された製品・サービスには、レベル１（★）からレベル３★★★まで３段階のマークが付与さ
2

CCDS-SH02-2023
CCDS-SH03-2023
れる仕組みである。

スマートホームのセキュリティガイドラインの策定に当たっては、IoT 機器がどのような文脈で利用されるかを踏まえる必要がある。例えば、住宅とその利用者の生命・財産を守るための IoT 機器と、快適さ・便利さを改善するための IoT 機器は、それぞれの IoT 機
器と、それを操作するシステムに求められるセキュリティ要件が異なるはずである。しかし、前述の通り、住宅内に設置される IoT 機器は増加しているが、生命・財産に関わる領域にもセキュリティ面の安全性を十分に検討せずに導入される場合も見られる。このため、スマートホーム分野では、CCDS がセキュリティの認証を目的として定義したサーティフィ
ケーションプログラムのサーティフィケーションレベル 2 および 3 について、保護すべき対象の重要度に応じてセキュリティ対策基準を策定し、それを満たすサービスにサーティ
フィケーションマーク★★、★★★を付与すべきである。利用者は、導入するスマートホー
ムサービスのサーティフィケーションマークを確認することで、安心・安全なサービスであるか判断することができる。

本書では、IoT 推進コンソーシアムの「IoT セキュリティガイドライン」[2]をもとにス
マートホームホーム分野における構成要素・ライフサイクルを踏まえた具体的な対策指針を示す。
また本書では、スマートホーム分野におけるセキュリティ対策として特徴的な事項を中心に検討するものとし、組織における情報セキュリティ管理やネットワークセキュリティ、
セーフティに関する対策等は対象としないため、他団体が定めた関連ガイドラインを参照
されたい。

セキュリティ要求事項については別冊とし、「CCDS 製品分野別セキュリティガイドライ
ン_スマートホーム編_2023 年版_別紙セキュリティ要件_Ver.1.0」にて記載する。各セキュ
リティ要求事項は、経済産業省の「サイバー・フィジカル・セキュリティ対策フレームワー
ク（CPSF）」[20]や米国の NIST IR 8425 “Profile of the IoT Core Baseline for Consumer
IoT Products”、欧州の標準規格 ETSI EN303 645 “CYBER; Cyber Security for Consumer
Internet of Things: Baseline Requirements”を参考とし、スマートホーム分野としての必要可否を検討した上で定義を行う。

3

CCDS-SH02-2023
CCDS-SH03-2023

1.2

ガイドラインの対象範囲

本書は、スマートホーム環境による提供サービスや住宅（オフィス・施設・店舗などを除く個人向けの戸建て住宅・賃貸住宅・集合住宅を指す）、住設機器を対象とし、サービ
スやスマートホームの企画、設計、開発、運用に際して考慮すべきセキュリティの重要ポ
イントについて記載する。

1.3

本書の対象者

本書は、スマートホームサービスや住宅、住設機器の企画、設計、施工、運用に関わる企業の開発者を主な対象とし、各ライフサイクルにおいて考慮すべきセキュリティ対策の方針をガイドラインとしてまとめたものである。

本書の主な対象は、以下である。
１) 住設機器の設計者、開発者、生産者、提供者
２) 住設機器の運用保守を行う運用担当者
３) スマートホームの設計者、生産・施工者、監理者、現場監督者
４) スマートホームの運用保守を行う運用担当者

4

CCDS-SH02-2023
CCDS-SH03-2023

1.4

用語・略称

本書で使用されている用語について説明する。
表 1-1 用語一覧
用語
住宅

説明
人が住むため の家。住居。 すまい。本書 ではオフィス 、施設、店舗 を除
く、一般世帯向けの戸建て住宅、集合住宅、賃貸住宅等を指す。

住宅会社

住宅を企画、 販売、設計、 施工する会社 。ハウスメー カー、工務店 、ビルダー、設計 事務所など。 本書では、ス マートホーム の企画、販売 、設計、施工、運用のいずれかを行う会社を指す。

スマートホーム

インターネッ ト等の通信ア ーキテクチャ を使用し、IoT に対応した 住宅
設備・家電機器が設置された住宅。

住設機器

住宅を構成す る、または付 随する設備。 本書ではイン ターネット等 とつながる住宅設備・家電を指す。住設と略記する場合もある。

ホームゲートウェイ

スマートホー ムに設置され る通信機器。 ホームゲート ウェイは、宅 内の住設・家電機器を外部のクラウドとセキュアに接続する役割も担う。

機器メーカークラウド

住設機器、家 電メーカーが 自社製品の管 理・制御のた めに提供する クラウド。外部（ 例えば、第三 者）に対し、 対象機器の機 能や情報へア クセ
スする API を提供する場合が多い。

現場監督

住宅の施工現場で、作業を指揮、監督すること。また、その人。

監理者

設計図通りに建物ができるよう、工事を指導・監督する人。

HEMS

Home Energy Management System。情報技術を活用して、一般家庭における家電などのエネルギー消費の見える化・効率化を図る管理システム。

エントリーポイント

スマートホー ムのサービス 、IoT 機器、 および通信経 路において、 外部からアクセス可能でセキュリティ上の脅威となりうる箇所。

ユーザインターフェース

利用者とスマートホームの間で情報をやり取りするための仕組み。ス
マートフォン のような画面 表示と手入力 によるものや 、スマートス ピー
カーのような音声発話・認識によるものなど多様な方法がある。

デバイス

スマートホームに設置された住設機器・家電機器・センサーなどのIoT 機器。

リスク分析・評価

保護すべき資 産と想定され る脅威・被害 を分析して、 それらのリス ク値（被害を受けた時の深刻度）からセキュリティ対策を定義するプロセス。

5

CCDS-SH02-2023
CCDS-SH03-2023
本書で使用されている略称について説明する。

表 1-2 略称一覧
略称

名称

API

Application Programming Interface

CCDS

Connected Consumer Device Security council

CPU

Central Processing Unit

CSIRT

Computer Security Incident Response Team

CVSS

Common Vulnerability Scoring System

DoS

Denial of Service

ETSI

European Telecommunications Standards Institute

GW

Gateway

HEMS

Home Energy Management System

IEC

International Electrotechnical Commission

I/F

Interface

IoT

Internet of Things

IoT-GW

Internet of Things-Gateway

IP

Internet Protocol

IPA

Information-technology Promotion Agency

ISO

International Organization for Standardization

JPCERT/CC

Japan Computer Emergency Response Team Coordination Center

LAN

Local Area Network

OTA

Online Trust AllianceOWASPThe Open Worldwide Application Security Project

VPN

Virtual Private Network

WG

Working Group6CCDS-SH02-2023
CCDS-SH03-2023

2 スマートホームサービスの定義とシステム構成
スマートホーム分野において必要なセキュリティ対策を検討するにあたり、本章ではサービスの定義及び、サーティフィケーションとの関係の整理を行う。またスマートホー
ムを構成するシステムを定義した上、サービスとして想定しているユースケースについても具体的な事例を提示する。

2.1

スマートホームサービスの定義

スマートホームに設置された IoT 機器の操作は、その状況によっては生命・財産に危害を及ぼす場合が考えられる。例えば、第三者によって脆弱性が悪用され、利用者による給湯器の設定が改ざんされた結果、火災や事故を誘発するケースや、電子的に管理された電子錠が不正に開錠され、盗難につながるケースなどが想定できる。このようにスマートホー
ム分野では、サービスによって、提供機能やユースケース、対象機器が異なるため、保護すべき資産にも差異が生じる。特に生命・財産に影響する資産は、最優先で守られるべきであることを踏まえ、保護すべき資産の重要性に応じて、以下の２種類のサービスに分類を行った。

１）快適さや利便性に関わるサービス
宅内の住設機器や情報家電、センサー機器などがクラウド上のシステムと連携し、自動あるいは設定条件により制御され、利用者の快適さや利便性を向上させるサービスである。
サービス事例）・空調・ 照明 、電動シ ャッ ターなど のリ モート制 御や 、スケジ ュー ル管理、 セン サー機器 と連 携した自動化等の製品・サービス・電力測定や省エネなどの見える化に関わる製品・サービス
・日々の健康管理につながる製品・サービス…など

２）生命・財産に関わるサービス
防犯用の監視カメラや電子錠、センサー機器、そして第三者サービス事業者に防犯シス
テムや救命システム等の情報基盤と連携し、利用者の日々の安全や防犯、緊急時の救命措
置にかかわるサービスである。
サービス事例）・防犯や緊急時の救命にかかわる製品・サービス
・火災などの事故や怪我につながる恐れがあり厳格な管理が必要な製品・サービス

7…など

CCDS-SH02-2023
CCDS-SH03-2023
以下に本書におけるサービス、システムの定義を示す。

表 2-1 本書におけるサービス・システムの定義
用語
サービス

定義
サービス事業者が利用者に対して、機器やシステム及び、その運用を通じて、効用や満足等の価値を提供することを「サービス」と定義する。
スマートホーム分野では、ハウスメーカーが導入した機器やシステムを活用してサービス事業者となるケースや、機器やシステムのメーカーが自社の製品を活用してサービス事業者となるケース、第三者が他社のサービスや機器やシステムを活用してサービス事業者となるケースなどが想定される。

システム

利用者にとっての価値を実現するために構成された機器の集合を「システム」と定義する。スマートホーム分野では宅内の IoT 機器環境や、サービス上必要なデータや制御を統合・管理するためのクラウドシステムなどが対象となる。また本書において、人による運用はシステムに含まれないものと定義する。

2.2

スマートホーム向け製品・サービスのセキュリティレベルの定義

CCDS は 2019 年 10 月より IoT 製品を対象としたラベリングスキームを開始し、「CCDS
サーティフィケーションプログラム」と呼称している。サーティフィケーションプログラ
ムでは、製品のセキュリティレベルを 3 階層のモデルとして定義し、消費者にも分かりや
すいよう★＝レベル１、★★＝レベル２、★★★＝レベル３と、星の数で取得したレベルを表記する形式とした。第 1 階層の★レベル取得に必要な要件については、2022 年 11 月に「IoT 機器セキュリティ要件ガイドライン 2023 年版_ver1.0」[5]をリリースしている。
スマートホーム分野においても、この階層モデルを踏襲し、最低限の基準であるレベル
１（★）要件に準拠することを前提とした上で、レベル２（以下、★★）を「快適さや利便性に関わる製品・サービス」、レベル３（以下、★★★）を「生命・財産に関わる製品・サービス」と位置づけている。本書では★★、★★★の製品・サービスに対して、それぞれセキュリティ対策方針やセキュリティ要件の検討を行う。

スマートホーム分野におけるサーティフィケーション階層モデルを、図 2-1 に示す。

8

CCDS-SH02-2023
CCDS-SH03-2023
スマートホーム分野の階層モデル

CCDSのサーティフィケーション階層モデル
製品固有の度合い
製 品毎 に固有 の要件

生命・財産に関わる製品・サービス（★★★）

サーティフィケーションレベル３（★★★）★★より個々の機能に従う要件⇒スマートホーム分野として、新たに要件を定義

サーティフィケーションレベル２（★★）

快適さや利便性に関わる製品・サービス（★★）

各分野の機能特性に合わせて定義すべき要件⇒スマートホーム分野として、新たに要件を定義

一般的 要件

サーティフィケーションレベル１（★）

インターネットにつながる製品・サービス（★）

分野を問わずで最低限守るべき要件⇒共通要件11項目に準拠（共通要件11項目）

図 2-1 スマートホーム向け製品・サービスの階層モデル

また、それぞれのレベル定義を表 2-2 に示す。

表 2-2 スマートホーム向け製品・サービスのサーティフィケーションレベル
レベル

★★★

対応するサービス

説明

生命・財産に関わる製品・サービス★★レベルの要件に加え、生命・財産に影響を与える（以下、★★★サービスとする）

資産を保護する上で必要なセキュリティ対策を行う。

★★

快適さや利便性に関わる★レベルの要件に加えて、快適さや利便性を実現す

製品・サービスる機能において必要なセキュリティ対策を行う。

（以下、★★サービスとする）
インターネットにつながる「IoT 分野共通セキュリティ要件ガイドライン」の共製品・サービス

通要件１１項目に準拠する。

★

★★、★★★レベルにおけるサーティフィケーションは、スマートホームサービスを対象としており、5.5 節の「スマートホームサービスのセキュリティ要件」に対する適合性を検証するものである。
本書では、サービス全体として一定レベルのセキュリティ対策を保証するという考え方に基づくため、クラウド上のサービス情報基盤や、スマートホーム内の個別機器単体としてのセキュリティ対策を保証するものではない。従ってサービス情報基盤や機器に対して個別にサーティフィケーションの要件を定めることはしない。
ただし、サービス上の責任分界点を明確化するため、サービス情報基盤やスマートホー
ム内の個別機器については、5.6 節で定義した★★サービス、★★★サービスのセキュリ

9

CCDS-SH02-2023
CCDS-SH03-2023
ティ要求事項に準拠した対象を採用するものとする。例えば、同じ電子錠であっても、ス
マートフォンアプリの操作で開錠するようなユースケースであれば、「快適さや利便性に関わるサービス（★★）」に位置づけられ、 ★★サービスの要求事項に対する準拠が必要である。一方で宅内の異常通知に対して、最寄りの現場担当者が現地に駆け付け、遠隔開錠を行うユースケースであれば、 「生命・財産に関わるサービス（★★★）」 に位置づけられ、★★★サービスの要求事項に対する準拠が必要となる。
また、提供するサービスが★★、★★★のいずれに該当するかについては、下記の手順に沿って、サービス事業者が判断を行う。
１）サービスの企画段階において、ユースケースを検討し、構成される機器やシステムから、暫定的に該当するサービスを仮定する。
２）ユースケースをもとにリスク分析を実施し、個人情報などの重要なデータの取り扱いの有無、および生命・財産への影響の有無を検討し、該当するサービスを決定する。

図 2-2 スマートホームサービスにおけるセキュリティ要件/要求事項の対応

なお、レベル１要件の詳細は、「IoT 機器セキュリティ要件ガイドライン 2023 年版_ver1.0」[5]を参照のこと。

10

CCDS-SH02-2023
CCDS-SH03-2023

2.3

システムモデルの定義

スマートホームの基本的なシステムモデルを図 2-3 に示す。本モデルの検討では IPA の「IoT 開発におけるセキュリティ設計の手引き」の P59「図 5-3 スマートハウスの脅威と対策の検討例」を参考にした。

スマートホームに設置された機器を活用した利用者の生活を向上させるサービスを提供するために、その基盤となるスマートホームサービス情報基盤が構築される。スマート
ホームサービス情報基盤は、収集・蓄積したスマートホームや利用者の情報に応じて、宅内の機器を操作してサービスを実現する。機器の操作は、利用者が宅内・宅外から行う場
合や、提供されるサービスによってはサービス事業者などの第三者が遠隔で操作する場合もある。

スマートホームサービス情報基盤からの機器の操作は、機器メーカークラウドから提供される API を利用する場合や、スマートホームサービス情報基盤から直接行う場合がある。
後者の直接操作は、宅内ネットワークに接続された HEMS コントローラやエッジサーバを経由して行うため、スマートホームサービス情報基盤と宅内ネットワークをネットワーク
で接続する必要がある。特に生命・財産に関わる機器を操作する場合は、より安心・安全に機器を操作できるよう、宅内にホームゲートウェイを設置して、スマートホームサービ
ス情報基盤との通信をセキュアにする。またホームゲートウェイは外部インターネットと、
宅内スマートホーム環境の境界に位置し、セキュアゲートウェイとしての役割を担うため、一定のセキュリティ対策が保証されたサービス対応機器と、利用者が個別に追加した機器を区別できるような仕組みが望ましい。

11

CCDS-SH02-2023
CCDS-SH03-2023

図 2-3 スマートホームのシステムモデル図12

CCDS-SH02-2023
CCDS-SH03-2023
システムモデルの構成機器の説明を表 2-3 にまとめる。
表 2-3 システムモデル中の構成機器
名称説明■スマートホームサービス情報基盤
スマートホームを構成する機器の管理や、基本的なサービス提供用の情報システム。
セキュリティサーバ

スマートホームサービス情報基盤のセキュリティ管理を行う。
スマートホームサービス情報基盤の利用にあたり、利用者や運用者、

認証サーバ
ホームゲートウェイの認証を行う。
サービス機器状態管理

宅内のスマートホームサービス対応機器から送信された情報にもと

サーバ

づき、各機器の状態を管理する。
スマートホームサービス情報基盤を利用する利用者のユーザ情報を

個人情報管理サーバ
管理する。
リモートメンテナンス

ホームゲートウェイやスマートホームサービス対応機器の更新用ソサーバ

フトウェアの管理や更新時の配信を行う。

■スマートホーム
インターネットとスマートホームの間に設置され、セキュリティを担
ホームゲートウェイ
保し、情報基盤と住設機器・サービス対応機器を接続する。
空調・照明機器等

住宅に設置される空調設備・照明設備などの設備機器。

住宅設備機器（住設機器）
一般家庭に設置されるテレビ・パソコン・冷蔵庫・洗濯機などの電気家電機器
機器。
センサー機器

住宅の温度・湿度・人感などのセンサー機器。

その他★★サービス対応

HEMS 用コ ン トロ ーラ や情 報家 電等 、★ ★サ ービ スに 対応 する 上記 以

機器

外の機器。

■第三者サービス情報基盤
防犯や救命サービスなど付加的なサービスを提供する上で連携するコールセンターなどの情報システム。
各種サーバ（クラウド他）

サービス提供を行う上で必要な各種サーバが、クラウドなどに設置される。

13

CCDS-SH02-2023
CCDS-SH03-2023

2.4

ユースケースの定義

スマートホーム向けサービスの提供で利用する各種 IoT 機器（住設・家電機器、センサー）
は、その利用用途によってサイバーセキュリティでの重要性が異なってくる。例えば、人感センサーは、生活を便利にするために利用される場合（例えば、室内扉の自動開閉）と、生命・財産に関わる場合（例えば、生死判定）では、後者においてより厳重なサイバーセ
キュリティ対策が求められる。「製品分野別セキュリティガイドライン IoT-GW 編_Ver2.0」[10]でも触れられているように、ユースケースによってリスクとなる要因、サイバーセキュ
リティの特徴・課題が異なるため、★★サービス、★★★サービスそれぞれのユースケー
ス事例を定義した上で、セキュリティ対策の検討を行う。

2.4.1 ★★サービスにおけるユースケース事例
保護すべき資産が重要な情報の場合として、利用者ごとに設定されたスケジュールに応
じて電動シャッターの自動開閉を行うサービス（以下、シャッター自動開閉サービス）のユースケースを用いる（図 2-4、表 2-4）。
本サービスは、利用者が操作するアプリから設定されたスケジュールに応じて、スマー
トホームサービス情報基盤から住宅に設置された電動シャッターを遠隔操作で制御するものである。電動シャッターの遠隔操作が個人情報と紐づくことで、例えば利用者の生活パ
ターンや在宅情報など個人情報を知ることができる。このため、本ユースケースは★★サー
ビスに該当する。

14

CCDS-SH02-2023
CCDS-SH03-2023

図 2-4 スマートホームのユースケース（シャッター自動開閉サービス）

表 2-4 スマートホームのユースケース（シャッター自動開閉サービス）
図番号

アクション

説明
利用者が操作するアプリから電動シャッターの開閉スケ

1

開閉スケジュールの設定

ジ ュ ール が 設 定 さ れる と 、 シ ャ ッタ ー 自 動 開 閉サ ー ビ ス シ
ステムに利用者と紐づけてその内容が登録される。
シ ャ ッタ ー 自 動 開 閉サ ー ビ ス シ ステ ム は 、 指 定さ れ た 時 刻

2

電動シャッター開閉の指示に な ると 、 ス マ ー トホ ー ム サ ー ビス 情 報 基 盤 に電 動 シ ャ ッターの開閉を指示する。

3

4

スマートホームサービス情報

電 動 シャ ッ タ ー の 開閉 を 指 示 さ れた ス マ ー ト ホー ム サ ー ビ

基盤から電動シャッタース 情 報基 盤 は 、 電 動シ ャ ッ タ ー の開 閉 を 当 該 住宅 の ホ ー ム

開閉の実行

ゲートウェイに指示する。

電動シャッターの開閉操作

ホームゲートウェイは、電動シャッターの開閉を行う。

15

CCDS-SH02-2023
CCDS-SH03-2023

2.4.2 ★★★サービスにおけるユースケース事例
保護すべき資産が生命・財産の場合として、住宅の異常検知時に駆けつける防犯サービ
ス（以下、駆けつけ防犯サービス）のユースケースを用いる（図 2-5、表 2-5）
本サービスは、住宅に設置された防犯センサーで侵入などの異常を検知した際に、通知を受けた最寄りのスタッフが当該住宅に駆けつけて、コールセンターから遠隔操作で解錠された玄関から住宅内の状況を確認、必要に応じて対策を行うものである。

図 2-5 スマートホームのユースケース（駆けつけ防犯サービス）

16

CCDS-SH02-2023
CCDS-SH03-2023
表 2-5 スマートホームのユースケース（駆けつけ防犯サービス）
図番号

アクション

説明
住宅に設置された防犯センサー・防犯カメラが、侵入などの異常

防犯センサー・防犯カメ
1を検知する。防犯センサー・防犯カメラの状態はホームゲート
ラの異常検知ウェイで監視されていて、異常が発生次第検知される。
スマートホームサービス

住宅の異常検知は、セキュアな通信経路で、ホームゲートウェイ

2
情報基盤への通知

からスマートホームサービス情報基盤に通知される。
スマートホームサービス情報基盤は、防犯サービス事業者の防犯サービス事業者への3

コールセンターが監視する防犯サービスシステム画面に、住宅
通知の異常検知を表示する。
防犯サービス事業者は、異常を検知した住宅に出動するよう、最4

現場担当者への出動指示
寄りの現場担当者に指示する。
現場担当者が当該住宅に到着したこと、また到着した人物が正

5

現場担当者の到着確認
しい現場担当者であることを認証する。
現場担当者の到着を確認したコールセンター担当者は、指示系

6電気錠解錠の指示

統に従って承認を得た後、駆けつけ防犯サービス画面で当該住宅の玄関の電気錠を解錠する操作を行う。

7

スマートホームサービス

電気錠の解錠を指示されたスマートホームサービス情報基盤

情報基盤から電気錠解錠

は、セキュアな通信経路で、電気錠の解錠を当該住宅のホームの実行
8

電気錠の解錠操作

ゲートウェイに指示する。
ホームゲートウェイは、玄関の電気錠を解錠する。

17

CCDS-SH02-2023
CCDS-SH03-2023

3 スマートホーム向け製品・サービスのリスク分析
リスク分析・評価は、スマートホームに提供するサービスに存在するサイバーセキュリ
ティ上のリスクと、それに対策するためのセキュリティ要件を定義するために行われる。
リスク分析・評価では、サービス提供において守るべき情報資産とそれらに発生すると想定される脅威とそのリスク特性を洗い出し、脅威が発生したときの影響度を計算する。そして、分析したリスク特性と影響度から、リスクへの対策方法とその優先順位を判断する。

本章では、スマートホーム向けサービスにおけるサイバーセキュリティ上のリスク分
析・評価について、その概要と手順を説明する。

3.1

リスク分析・評価の手順

スマートホーム向けサービスのリスク分析は、以下の流れで行う。以下では、各手順の詳細な内容を説明する。

表 3-1 リスク分析・評価の手順
No.

手順内容

1

ユースケースの定義

2

保護すべき資産の抽出

3想定される脅威の分析

45

想定される脅威の説明
分析・評価対象のシステムの構成要素と、その利用者、およびシステムと利用者のやりとりを定義する。
ユースケースに登場するシステムが扱う情報資産のうち、保護すべき対象を抽出する。
システムモデルをもとにエントリ―ポイントを特定し、想定される脅威を分析する。
想定される脅威事例を検討し、詳細な分析を行う。

詳細分析
リスク値の計算想定される脅威について、それが発生したときの影響度を表す
リスク値を計算する。
リスク値による分析・評価結果から、サービスの提供にあたって取るべきセキュリティ対策を定義する。セキュリティ対策の6

セキュリティ対策の定義

定義にあたっては、インシデントの発生頻度、発生したときの影響度（リスク値）、また対策の実施にかかるコストを総合して検討する必要がある。

18

CCDS-SH02-2023
CCDS-SH03-2023

3.2

保護すべき資産の抽出

前節で定義したユースケースについて、保護すべき資産を洗い出す。スマートホーム
サービスを想定した場合、特に★★★サービスでは、緊急時の救命に関わる機能や、日々の防犯に関する機能の提供が攻撃によって阻害されることで、利用者の生命や財産に影響を与える可能性があるため、サービスを継続的に提供できること（＝可用性）が重要な保護資産として考えられる。また、スマートホームの製品・サービスを想定した場合、対象となる資産は、サービスを構成する要素（IoT 機器・クラウドなど）ごとに、それらが扱う情報、それらが提供する機能などから漏れなく導き出す必要がある。
以下表 3-2 に、保護すべき資産の例を列挙する。

表 3-2 スマートホームのシステム・製品を対象とした保護すべき資産の例
エン トリ ―
機器 名

資産 種別

セキュリティ

一次資産

サーバ

（※1）

保護 すべ き資 産

ポイ ント
ハードウェア、ソフトウェア（セキュリティ機
能それ自体）
設定情報、ログ情報

認証サーバ
スマートホームサー
ビス情報基盤

一次資産

ハードウェア、ソフトウェア（機能それ自体）

二次資産

認証情報

(※2)

暗号鍵
ハードウェア、ソフトウェア（機能それ自体）サービス機器
一次資産
状態管理サーバ

機器の状態管理情報
ハードウェア、ソフトウェア（機能それ自体）

個人情報管理
一次資産
サーバ

個人情報（利用者の氏名、住所、電話番号等）
ハードウェア、ソフトウェア（機能それ自体）

リモートメンテ
一次資産
ナンスサーバアップデートソフトウェア

スマートホームサー

通信経路上のデータ

ビス情報基盤とイン

一次資産/―

ターネット間の通信

二次資産

経路
ハードウェア、ソフトウェア（機能それ自体）
第三者サービス
機器の状態管理情報

第三者サービス情報
提供サービス用

一次資産基盤

個人情報（利用者の氏名、住所、電話番号等）
サーバ
設定情報、ログ情報

19

CCDS-SH02-2023
CCDS-SH03-2023
認証情報（認証キー）
二次資産
暗号鍵
第三者サービス情報
一次資産/基盤とインターネッ―

通信経路上のデータ
二次資産

ト間の通信経路
ハードウェア、ソフトウェア（機能それ自体）
一次資産設定情報、ログ情報

ホームゲート
ホームゲートウェイ

個人情報（対象機器の実装機能に依存する）
ウェイ
認証情報
二次資産
暗号鍵

ホームゲートウェイ
一次資産/とインターネット間―

通信経路上のデータ
二次資産

の通信経路
ハードウェア、ソフトウェア（機能それ自体）
空調・照明機器

一次資産
制御信号

等
二次資産

認証情報
ハードウェア、ソフトウェア（機能それ自体）

一次資産
センサー機器センシングデータ
二次資産

認証情報
ハードウェア、ソフトウェア（機能それ自体）
制御信号

その他★★サー

一次資産
センシングデータスマートホームサー

ビス対応機器
個人情報（対象機器の実装機能に依存する）

ビス
二次資産

認証情報

対応機器群
ハードウェア、ソフトウェア（機能それ自体）
制御信号
防犯サービス対一次資産センシングデータ

応機器
個人情報（対象機器の実装機能に依存する）
二次資産

認証情報
ハードウェア、ソフトウェア（機能それ自体）
制御信号

救命サービス対一次資産
応機器

センシングデータ
個人情報（対象機器の実装機能に依存する）

20

CCDS-SH02-2023
CCDS-SH03-2023
二次資産

認証情報
通信経路上のデータ

ホームゲートウェイと対応機器間の通信

一次資産/・制御信号、センシングデータ

二次資産

・個人情報（対象機器の実装機能に依存する）

―

経路
・認証情報
ソフトウェア（機能それ自体）一次資産

スマートフォンアプ

制御信号

―
リ

スマーフォン内の個人情報や機微情報
二次資産

スマートフォンと認証情報
通信経路上のデータ

一次資産/
ホームゲートウェイ―
二次資産間の通信経路※1、※2 注記）表において使用される一次資産、二次資産については、以下のように定義を行った。
・一次資産：保護すべき資産そのものを一次資産と定義。
・二次資産：一次資産を保護するために必要な暗号化対策や、認証に関する副次的な資産を二次資産と定義。

3.3

想定される脅威の分析

前節において抽出した保護すべき資産に対して、サイバーセキュリティ上の脅威を分析する。

3.3.1 スマートホームの製品・システム上の想定脅威
脅威の分析では、スマートホームのシステムモデルを用いて、エントリ―ポイント（攻撃可能なポイント）を抽出し、それぞれのエントリーポイントにおいて想定される脅威の分析を行う。本書では、Microsoft が提唱した脅威分析手法の STRIDE モデル[11]を CCDSが拡張した STRIDE＋CCDS モデル[12]を用いる。STRIDE モデルでは 6 種類の脅威（なりすまし、データ改ざん、否認、情報の暴露、サービス不能、権限昇格。STRIDE はこれらの英語名称の頭文字から名づけられた）が定義され、それらを用いてシステムに及ぼされる脅
威を分析する。STRIDE＋CCDS モデルでは、IoT 機器・システムを想定し、さらに 5 種類の脅威が追加されている。

21

CCDS-SH02-2023
CCDS-SH03-2023
表 3-3 STRIDE+CCDS モデルによる脅威分類の一覧
種別

脅威

説明

STRIDE モデル

なりすましコンピューターに対し、他のユーザや機器を装うこと

STRIDE モデル

データ改ざん

権限なしでデータを改ざんし、データの完全性を失わせることSTRIDE モデル

否認

ユーザがあるアクションを行ったことを否認し、相⼿はこのアクションを証明する方法がないこと

STRIDE モデル

情報の暴露

アクセス権限を持たない個⼈に情報が公開されること

STRIDE モデル

サービス不能正規のユーザがサーバやサービスにアクセスできないよう妨

（DoS）

害すること

STRIDE モデル

権限昇格

権限のないユーザがアクセス権限を得ること

CCDS に よ る 追 加

不正アクセス

アクセス権限を持たない者にアクセスされること

マルウェア感染

他の機器への汚染源になる。ランサムウェアなどにより業務

脅威
CCDS に よ る 追 加
脅威CCDS に よ る 追 加

妨害を受けること
踏み台

脅威
CCDS に よ る 追 加

れること
不正改造

脅威
CCDS に よ る 追 加
脅威他の機器へ不正アクセス等を行う際の中継地点として使⽤さ不正（違法）なハード、ソフトウェアの改造により、内部デー
タを抜き取ったり、脆弱性の要因を組み込まれたりすること

未知の脆弱性まだ公知となっていない脆弱性や、新たな攻撃⼿法による脆弱性のこと

上記のモデルを踏まえて、保護すべき資産にどのような脅威が及ぶかを、システムモデ
ルをもとに、エントリーポイント（攻撃可能なポイント）を対象に漏れなく検討する。下記図 3-1 が分析事例となるが、エントリ―ポイントについては、システムモデル上の機器や通信経路上に赤い印をつけ、①～⑩の番号（EP 番号）を記載することで表 3-4 と関連づ
けている。

22

CCDS-SH02-2023
CCDS-SH03-2023

図 3-1 スマートホームのシステムモデルにおける脅威分析事例表 3-4 STRIDE+CCDS モデルによる脅威分類事例
シス テム モデ ルに おけ る
STRIDE＋CCDS モデル によ る
エン トリ ―ポ イン ト

エン トリ ーポ イン トの 番
脅威 分類号（EP 番号 ）不正アクセス
情報の暴露
データ改ざんスマートホームサービス情報基
EP①
盤

なりすまし
マルウェア感染サービス不能スマートホーム情報基盤とイン
EP②

情報の暴露

ターネット間の通信経路
不正アクセス
第三者サービス情報基盤

EP③
情報の暴露

23

CCDS-SH02-2023
CCDS-SH03-2023
データ改ざん
なりすまし
マルウェア感染サービス不能第三者サービス情報基盤とイン
EP④

情報の暴露

ターネット間の通信経路
不正アクセス
情報の暴露
データ改ざん
ホームゲートウェイ

EP⑤

なりすまし
マルウェア感染サービス不能踏み台

ホームゲートウェイとインター
EP⑥

情報の暴露

ネット間の通信経路
不正アクセス
情報の暴露
データ改ざんスマートホームサービス対応機
EP⑦
器群

なりすまし
マルウェア感染踏み台

スマートホームサービス対応機
器群とホームゲートウェイ間の

なりすまし
EP⑧
情報の暴露

通信経路

情報の暴露
スマートフォンアプリ

EP⑨
なりすまし
なりすまし

スマートフォンとホームゲート
EP⑩
ウェイ間の通信経路

情報の暴露

24

CCDS-SH02-2023
CCDS-SH03-2023

3.3.2 サイバーセキュリティ以外の想定脅威
スマートホームサービスにおいて、可用性を重要な資産と位置付けた場合、サイバーセ
キュリティ以外の脅威についても検討を行う必要がある。具体的な事例としては、以下のような脅威が想定される。
・災害、火災等の事故
・ハードウェアの故障
・ソフトウェアの不具合
・運用担当者によるオペレーションミスや過失、内部不正・メンテナンス作業（ソフトウェア、ハードウェアのアップデート）
・サービスに関連する事業者のサービス停止や事業撤退
・物理的な侵入によるハードウェア、ソフトウェアへの破壊行為
本書の５章では、本節のサイバーセキュリティ上の脅威分析結果と共に、上述のサイバー
セキュリティ以外の脅威に対しても、対策すべき内容の検討を行う。

3.4

想定される脅威の詳細分析

前節までの分析結果を踏まえ、想定される攻撃の事例やリスク特性等を加え、更に詳細な分析を行う。
なお、リスク特性については、以下の記述する項目（表 3-5）を付与するものとする。

表 3-5 想定される脅威の詳細分析項目一覧
No.

項目

内容

想定される脅威の内容
1

エントリーポイント

脅威が想定する対象のエントリーポイント（IoT 機器、クラウ
ド）

2

保護すべき資産脅威に晒される対象の資産（ 表 3-2 参照）

3

STRIDE+CCDS モデルによる想定される脅威の分類（ 表 3-3 参照）

脅威分類
4

想定される脅威の事例想定される脅威の事例

リスク特性
5

接続 I/F

脅威の侵入ルート（ 表 3-6 参照）

6Who（誰がつなげたか）

エントリーポイントに接続した主体（ 表 3-7 参照）

7Whom （ 何 が 危 害 を う け た

脅威が影響を与える対象（ 表 3-8 参照）

か）25

CCDS-SH02-2023
CCDS-SH03-2023
Where（どこで発生したか） 脅威が発生した箇所（ 表 3-9 参照）

8接続 I/F に記載する項目を以下に示す。

表 3-6 接続 I/F 項目
A)有線接続による接続 I/F
No.

項目

内容
CAT ケーブルを通信媒体とし 10Mbps～１Gbps のデータ伝送を行う規1

Ethernet

2

HD-PLC3

上記以外の有線通信格であり、IEEE802.3 として規格化されている。
2～30Mhz の周波数帯域を用いることで、複数の HDTV 映像通信を実現する高速 PLC の規格。
上記１、２以外の有線通信。

B)無線接続による接続 I/F
No.

項目

内容
Wi-Fi(wireless fidelity)は、WiFi Aliance によって IEEE802.11 シ

4

Wi-Fi

リーズ（IEEE802.11a/IEEE802.11b）を利用した無線 LAN 機器間の相互接続性を認証されたこと（Wi-Fi Certified）を示す、ブランド名である。

5

Bluetooth

数 m から数十 m 程度の距離の情報機器間で、電波を使い簡易な情報のやりとりを行う使用される。
ZigBee とは、センサーネットワークを主目的とする近距離無線通信

6

ZigBee規格の一つであり、基礎部分の（電気的な）仕様は IEEE 802.15.4とし て 規格 化 され て いる 。 論理 層 以上 の 機器 間 の通 信 プロ ト コル については「ZigBee Alliance」が仕様の策定を行っている。
Wi-SUN と は 、 Wireless

7

Wi-SUN

Smart

Utility

Network の 略 で 、IEEE802.15.4g 規 格 をベ ー ス に 相 互接 続 を 有 す る無 線 通 信 規 格を 業
界団体「Wi-SUN Alliance」が標準化を行ってきた規格。
ライ フ スタ イ ルや ビ ジネ ス シー ン が多 様 化し 、 近距 離 間で の 簡易 連
絡用 の コミ ュ ケー シ ョン 手 段を 求 める 声 が強 く なっ た 現代 、 比較 的

8特定小電力無線狭い サ ービ ス エリ ア にお け る無 線 通信 の 需要 は 増加 し てい る 。こ う
した 背 景か ら 、「 特 定小 電 力無 線 局」 に 対す る 制度 が 作ら れ 、総 務
省で 定 める 一 定の 条 件を 満 たし た 無線 設 備で あ れば 、 無線 従 事者 規格も無線局免許も必要とせず、広く一般の人々が利用できる。

9

LTE/LTE-Advanced

デジタル携帯電話の通信方式。

10

上記以外の無線通信

上記 4～10 以外の無線通信。

参考）一般社団法人 情報通信技術委員会（TTC）の「TR-1043」、「TR-1064」を参考に CCDS
で作成。

26

CCDS-SH02-2023
CCDS-SH03-2023
Who・Whom・Where に記述される内容は以下の通りである。これらは、IPA の「つながる世界の開発指針第 2 版」[14]に記載された「つながりのパターン」「守るべきもの」「リスク箇所」を参考に、スマートホーム向けサービス用に定義した。

表 3-7 Who（誰がつなげたか）項目
No.

項目

内容

1

機器メーカー

2

サービス事業者

3

ユーザ（意図的）

ユーザによる意図的な接続の場合。

4

ユーザ（誤接続）

ユーザによる誤った接続の場合。

5

攻撃者

脆弱性を狙った悪意を持った接続の場合。

6

偶発的接続を行うときに偶発的に接続された場合。

IoT 機器メーカーが設計時に想定している接続の場合。
サービスを構築するために機器やシステムを接続した場合。これには、機器メーカーが設計時に想定していなかった接続が含まれる。

表 3-8 Whom（何が危害をうけたか）項目
No.

項目

内容
IoT 機器がシステムに接続するために必要な機能（通信、セキュリティ

1

IoT 機能2

本来機能

IoT 機器やシステムが本来提供する機能

3

サービス

IoT 機器およびシステムが連携して提供されるサービス

4

情報

5

生命・財産

ユーザ自身の生命、ユーザの財産

6

その他

上記以外の対象

対策など）

ユーザの個人情報、収集した機器情報、IoT 機器やシステムの設定情報

表 3-9 Where（どこで発生したか）項目
No.

項目

1

通常使用 I/F

2

保守用 I/F

3

非正規 I/F

4

内包リスク

5

物理的接触

内容
ユーザ用操作パネル、サービス用有線／無線 I/F、USB 端子など
管理者用操作パネル、遠隔管理用通信 I/F、ソフトウェア更新用 USB
端子など
ふさぎ忘れた不要ポート、製造時にだけ使用する USB 端子など
故障の原因となる欠陥・バグ、攻撃の対象となる脆弱性、故障・悪用などで危害を及ぼす機能など
直接、本体に接触（部品の不正交換・改造など）

27

CCDS-SH02-2023
CCDS-SH03-2023
上記の項目に沿って、スマートホームを構成するシステム、機器に対して脅威の詳細分析を実施した例を、下記表 3-10、表 3-11 に示す。

28

CCDS-SH02-2023
CCDS-SH03-2023
表 3-10 スマートホームサービス・第三者サービスの情報基盤に対する詳細脅威分析事例
STRIDE＋CCDS
エントリ―
EP 番号

保護すべき資産モデルによる

接続 I/F

Who

Whom

Where

表 3-6

表 3-7

表 3-8

表 3-9

想定される脅威の事例

ポイント
脅威分類

★★
サービス情報基盤に対する【一次資産】

不正アクセス

不正アクセス（既知の脆弱サービス
Ethernet

攻撃者★★★

性を突いた攻撃）・ハードウェア、ソフト

生命・財産

ウェア（セキュリティ★★

サービス情報基盤内の機能それ自体）情報

データに対する情報窃取・設定情報、ログ情報
情報の暴露
スマートホーム

通常使用 I/F

Ethernet

攻撃者

通常使用 I/F

・機器の状態管理情報（アクセス制御、認証不★★★

・個人情報（利用者の氏

備）

情報

EP①
サービス情報基盤

名、住所、電話番号

★★

等）

サービス

サービス情報基盤のデー
データ改ざん・アップデートソフト

Ethernet

攻撃者

タ、設定値の改ざん

ウェア

生命・財産

【二次資産】

API 経由の通信において第・認証情報三者サービス情報基盤、

・暗号鍵

通常使用 I/F
★★★

なりすまし

ホームゲートウェイになりすまし、改ざんメッセージによる攻撃が行われる

29

★★
サービス
Ethernet

攻撃者

通常使用 I/F★★★
生命・財産

CCDS-SH02-2023
CCDS-SH03-2023★★
サービス情報基盤のマル
サービス

マルウェア
ウェア感染（外部インター

Ethernet

攻撃者

感染

通常使用 I/F★★★

ネット経由の攻撃）
生命・財産
★★
サービス
サービス不能DDoS（DoS）攻撃

Ethernet

攻撃者

通常使用 I/F
★★★
生命・財産
★★

上記以外
持ち込まれたストレージデ
情報の暴露

サービス

情報

事業者

★★★

の有線通
バイスによる情報の暴露

非正規 I/F

信
情報
★★
上記以外
マルウェア感持ち込まれたストレージデバ

サービス

サービス

事業者

★★★

の有線通
染

イスによるマルウェア感染

非正規 I/F

信
生命・財産
★★
情報

アップデート用のソフト
情報の暴露

Ethernet

攻撃者

ウェアの情報窃取

保守用/IF★★★
情報

アップデート用のソフト
データ改ざん★★
Ethernet

ウェアの改ざん30

攻撃者

保守用/IFサービス

CCDS-SH02-2023
CCDS-SH03-2023
★★★
生命・財産
★★

スマートホーム
情報基盤と【一次資産/二次資産】
EP②

インターネット間

情報中間者攻撃によるインター
情報の暴露

通信経路上のデータ

Ethernet

攻撃者

ネット経路上の情報窃取

通常使用 I/F
★★★

の通信経路

情報
★★
サービス情報基盤に対する【一次資産】

サービス
不正アクセス

不正アクセス（既知の脆弱Ethernet

攻撃者・ハードウェア、ソフト性を突いた攻撃）生命・財産

ウェア（機能それ自★★

体）
・設定情報、ログ情報
第三者サービス

サービス情報基盤内のデー
情報
情報の暴露

タに対する情報窃取（アクEthernet

攻撃者

・機器の状態管理情報

セス制御、認証不備）
情報

・個人情報（利用者の氏★★

名、住所、電話番号等）

通常使用 I/F
★★★

EP③
情報基盤

通常使用 I/F★★★

サービス

サービス情報基盤のデー
データ改ざんEthernet

攻撃者

タ、設定値の改ざん【二次資産】

通常使用 I/F
★★★
生命・財産

・認証情報
・暗号鍵

API 経由の通信においてス
なりすまし

★★
Ethernet

マートホームサービス情報

31

攻撃者

通常使用 I/F
サービス

CCDS-SH02-2023
CCDS-SH03-2023
基盤になりすまし、改ざん★★★
メッセージによる攻撃が
生命・財産
行われる
★★
サービス情報基盤のマル
サービス

マルウェア
ウェア感染（外部インター

Ethernet

攻撃者

感染

通常使用 I/F★★★

ネット経由の攻撃）
生命・財産
★★
サービス
サービス不能DDoS（DoS）攻撃

Ethernet

攻撃者

通常使用 I/F
★★★
生命・財産
★★

上記以外
持ち込まれたストレージデ
情報の暴露

ユーザ

情報

(意図的)

★★★

の有線通
バイスによる情報の暴露

非正規 I/F

信
情報
★★
上記以外
マルウェア

持ち込まれたストレージデバ

ユーザ

サービス

(意図的)

★★★

の有線通
感染

イスによるマルウェア感染

非正規 I/F

信生命・財産
アップデート用のソフト
情報の暴露

★★
Ethernet

ウェアの情報窃取

32

攻撃者

保守用/IF
情報CCDS-SH02-2023
CCDS-SH03-2023
★★★
情報
★★
サービス

アップデート用のソフト
データ改ざんEthernet

攻撃者

ウェアの改ざん

保守用/IF
★★★
生命・財産
★★

第三者サービス情報基盤とインター【一次資産/二次資産】
EP④

ネット間の

通信経路上のデータ

情報

中間者攻撃によるインター
Ethernet

情報の暴露
ネット経路上の情報窃取

通信経路

攻撃者

通常使用 I/F
★★★
情報

33

CCDS-SH02-2023
CCDS-SH03-2023
表 3-11 ホームゲートウェイ・スマートホーム対応機器群・スマートフォンアプリに対する詳細脅威分析事例
STRIDE＋CCDS
エントリ―

EP 番

ポイント

号

保護すべき資産モデルによる想定される脅威の事例

接続 I/F

Who

Whom

Where

脅威分類
★★
本来機能
Ethernet

攻撃者

通常使用 I/F★★★

ホームゲートウェイに対す
本来機能【一次資産】

不正アクセスる不正アクセス（既知の脆★★
弱性を突いた攻撃）・ハードウェア、ソフト

サービス
Ethernet

ウェア（機能それ自攻撃者

通常使用 I/F
★★★

体）
生命・財産
・設定情報、ログ情報
ホーム★★

ホームゲートウェイ内の
EP⑤

・個人情報（利用者の氏

ゲートウェイ

情報

データ、設定値の情報窃取
名、住所、電話番号

情報の暴露

Ethernet

攻撃者

通常使用 I/F（アクセス制御、認証不

★★★

備）

情報

等）
【二次資産】
★★

・認証情報

本来機能

・暗号鍵

Ethernet

攻撃者

通常使用 I/F

ホームゲートウェイ内の★★★

データ、設定値の改ざん

本来機能

データ改ざん★★
Ethernet

攻撃者

通常使用 I/F
サービス

34

CCDS-SH02-2023
CCDS-SH03-2023
★★★
生命・財産
★★

API 経由の通信においてサービス

サービス情報基盤になりす
なりすまし

Ethernet

攻撃者

まし、改ざんメッセージによる攻撃が行われる

生命・財産
★★

ホームゲートウェイのマル
マルウェア

サービス

ウェア感染
Ethernet

感染

通常使用 I/F★★★

攻撃者（外部インターネット経由

通常使用 I/F
★★★

の攻撃）

生命・財産
★★
サービス

サービス不能DDoS（DoS）攻撃

Ethernet

攻撃者

通常使用 I/F
★★★
生命・財産
★★

上記以外
接続されたストレージデバ
情報の暴露

ユーザ

情報

(意図的)

★★★

の有線通
イスによる情報の暴露

通常使用 I/F

信
情報
★★
上記以外
マルウェア

接続されたストレージデバ

ユーザ

本来機能

(意図的)

★★★

の有線通
感染

イスによるマルウェア感染

通常使用 I/F

信
本来機能

35

CCDS-SH02-2023
CCDS-SH03-2023
★★
上記以外
ユーザ

サービス

(意図的)

★★★

通常使用 I/F

の有線通
信
生命・財産
★★
Ethernet
本来機能・
Wi-Fi
情報
上記以外

通常使用 I/F

攻撃者
★★★

の無線通
本来機能・
マルウェア

LAN 内接続機器からのマル

信
情報

感染

ウェア感染
Ethernet

★★
サービス

Wi-Fi
上記以外

攻撃者

通常使用 I/F
★★★

の無線通
生命・財産
信
★★
IoT 機能BOT 化等、攻撃の踏み台と踏み台

Ethernet

攻撃者

して悪用される

通常使用 I/F★★★
IoT 機能【一次資産/二次資産】
EP⑥

中間者攻撃によるインター
情報の暴露

通信経路上のデータ★★
Ethernet

ネット経路上の情報窃取

36

攻撃者

通常使用 I/F
情報CCDS-SH02-2023
CCDS-SH03-2023
ホームゲートウェ★★★
イとインターネッ
情報
ト間の通信経路
Ethernet

★★

Wi-Fi

IoT 機能上記以外
通常使用 I/F

攻撃者の有線通【一次資産】★★★

信/無線通・ハードウェア、ソフト

IoT 機能機器に対する不正アクセス
信

ウェア（機能それ自不正アクセス（既知の脆弱性を突いた体）

Ethernet

★★

攻撃）
・制御信号

Wi-Fi

・センシングデータ

上記以外

・個人情報（利用者の氏の有線通名、住所、電話番号

信/無線通

サービス

スマートホーム
サービス対応

攻撃者

EP⑦

★★★

機器群
等）

通常使用 I/F

生命・財産

信【二次資産】

Ethernet

・認証情報

Wi-Fi

★★
情報

機器内のデータ、設定値の
・暗号鍵

上記以外
情報の暴露

情報窃取（アクセス制御、

攻撃者
の有線通

認証不備）
信/無線通
信

37

通常使用 I/F★★★
情報CCDS-SH02-2023
CCDS-SH03-2023
Ethernet

★★

Wi-Fi

本来機能

上記以外
攻撃者
の有線通
信/無線通
機器内のデータ、設定値の

信

改ざん

Ethernet

通常使用 I/F★★★
本来機能

データ改ざん
★★

Wi-Fi

サービス

上記以外
攻撃者
の有線通

通常使用 I/F
★★★

信/無線通

生命・財産

信
Ethernet
通信においてホームゲート

Wi-Fi

ウェイになりすまし、改ざ

上記以外

んメッセージによる攻撃が

の有線通

行われる

信/無線通

なりすまし

★★
サービス
攻撃者

通常使用 I/F
★★★
生命・財産

信
★★

接続されたストレージデバ
上記以外
イスによる情報の暴露
情報の暴露

ユーザ

情報

(意図的)

★★★

の有線通
（USB インターフェース等

通常使用 I/F

信の対応機器）

38

情報CCDS-SH02-2023
CCDS-SH03-2023
★★
本来機能・
上記以外
ユーザ

情報

(意図的)

★★★

の有線通
接続されたストレージデバ

通常使用 I/F

信
マルウェア

イスによるマルウェア感染

本来機能・

感染

（USB インターフェース等

情報の対応機器）

★★
上記以外
ユーザ

サービス

(意図的)

★★★

の有線通

通常使用 I/F

信
生命・財産
Ethernet★★

Wi-Fi
BOT 化等、攻撃の踏み台と

上記以外

して悪用される

の有線通

踏み台

その他
攻撃者

通常使用 I/F
★★★

信/無線通

その他

信
★★

Wi-Fi

【一次資産/二次資産】
スマートホーム

攻撃者・制御信号、センシング

群とホームゲート

本来機能

上記以外

通信経路上のデータサービス対応機器
EP⑧

中間者攻撃による機器の制通常使用 I/F

の無線通

★★★

信

本来機能

なりすまし
データ

御信号のなりすまし

ウェイ間の・個人情報（対象機器の

★★

通信経路

Wi-Fi
実装機能に依存する）

攻撃者

通常使用 I/F
サービス

39

CCDS-SH02-2023
CCDS-SH03-2023
・認証情報

上記以外
★★★
の無線通
生命・財産
信
★★

Wi-Fi
中間者攻撃によるインター

情報

上記以外

情報の暴露

攻撃者
ネット経路上の情報窃取

通常使用 I/F

の無線通

★★★

信

情報
★★

情報の暴露
【一次資産】

スマートフォンアプリの脆

Wi-Fi

弱性によるデバイス内デー

LTE/LTE-

タの情報の暴露

ユーザ

情報

(意図的)

★★★

通常使用 I/F

Advanced
情報・ソフトウェア（機能そ

★★

れ自体）
スマートフォンア

スマートフォンアプリの不Wi-Fi

正ログインによる情報の暴

LTE/LTE-

本来機能

・制御信号
EP⑨

プリ

情報の暴露

攻撃者

・スマーフォン内の個人

通常使用 I/F★★★

露

Advanced

情報や機微情報

本来機能【二次資産】★★

・認証情報

スマートフォンアプリの不Wi-Fi

正ログインによる機器の不LTE/LTE-

本来機能
なりすまし

攻撃者

通常使用 I/F★★★

正操作（なりすまし）Advanced
本来機能★★

スマートフォンと【一次資産/二次資産】
ホームゲートウェ

EP⑩

中間者攻撃による機器の制なりすまし

通信経路上のデータ

Wi-Fi

攻撃者

本来機能

御信号のなりすましイ間の通信経路★★★

40

通常使用 I/FCCDS-SH02-2023
CCDS-SH03-2023
本来機能
★★
情報

中間者攻撃によるインター
情報の暴露

Wi-Fi
ネット経路上の情報窃取

攻撃者

通常使用 I/F
★★★
情報

41

CCDS-SH02-2023
CCDS-SH03-2023

3.5

リスク値の計算想定される脅威とそのリスク特性を分析後、それらのリスク値を計算する。リスク値の計算方法は、CVSS、The OWASP Risk Rating Methodology、ETSI TS102 165-1 など様々な方法が提案されている[15]。それらによって計算されたリスク値は、同じ脅威に対しても計算方法によって値が異なり、同じ方法で求めたリスク値の比較だけが意味をなす。そのため、スマートホーム向け製品・サービスのリスク値の計算方法を定義したら、その手法を使用し続ける必要がある。
また、スマートホーム向け製品・サービスのリスク値の計算では、その利用用途、特に生命・財産への影響の有無を考慮すべきである。

3.5.1 CVSS v3 によるリスク値の計算と課題
スマートホーム向け製品・サービスのリスク分析・評価は、これまでに実施されたことがなく、既存の分析手法が存在しない。本ガイドラインの作成にあたり、リスク分析・評
価手法の調査・検討を行い、まず情報セキュリティの脆弱性評価で標準的に利用される
CVSS v3[16][17]によるリスク値の計算を試行した。

セキュリティ対策を行う前の脅威のリスク値は、CVSS 基本値を用いるものとする。以下に、★★サービス、★★★サービスで想定される脅威に対して、CVSS v3 によるリスク値
を示す。

42

CCDS-SH02-2023
CCDS-SH03-2023
表 3-12 CVSSv3 によるサービスのリスク値（★★、★★★共通）※抜粋

43

CCDS-SH02-2023
CCDS-SH03-2023
この計算結果を踏まえ、スマートホーム分野において CVSS v3 を適用した場合の課題を示す。
表 3-13 CVSSv3 によるリスク値計算の課題
課題

内容①保護すべき資産の重要

CVSS は 保 護 す べ き 資 産 の 重 要 性 を リ ス ク フ ァ ク タ ー と し て 含 ん で い な い度をリスク計算結果に反ため、個人情報の漏洩など、★★サービスにおいて影響が大きい資産が含映できない

まれる場合の脅威であってもリスク計算結果に反映されない。

②生命・財産への影響をリCVSS はインシデントが機密性、完全性、可用性に対して与える影響度を重スク計算結果に反映でき要なリスクファクターとして計算するため★★★サービスで懸念されるないような生命・財産に対する影響をリスク計算結果に反映できない。

CVSS の設計上、スマートホーム分野に適用した場合、上記①、②の課題があり、実際の計算結果でも★★サービス、★★★サービスにおいて、リスク値に差異は生じていない。
そのため本書では CVSS v3 を土台に、スマートホーム向け製品・サービスのセキュリティ特性を考慮した独自のリスク値の計算方法（以下、スマートホーム独自方式）を新たに定義する。

3.5.2 スマートホーム独自方式のリスク値計算の定義
CVSS v3 を踏まえて、スマートホーム向けの製品・サービスのリスク値の計算方法（スマートホーム独自方式）を定義する。スマートホーム独自方式では、以下の 2 つの値を用いてサービスの脆弱性を評価する。
表 3-14 スマートホーム独自方式の脆弱性評価基準
No.

項目

内容
脆弱性そのものの深刻度を表す値で、セキュリティ対策を実施する前の評価に用いる。
1

攻撃 の難 易 度 と、 シス テ ム のセ キュ リ テ ィ特 性で あ る 機密 性・ 完 全 性・ 可用 性に対 する 影 響 、お よび ス マ ート ホー ム 向 け製 品・ サ ー ビス のセ キ ュ リテ ィ特 性

基本値

であ る生 命 ・ 財産 への 影 響 の有 無、 個 人 情報 など の 情 報の 重要 度 を 評価 して 計算する。
基本 値は 、 脆 弱性 固有 の 深 刻度 を表 し て いて 、脆 弱 性 を取 り巻 く 時 間的 変化 や利用環境での対策状況に拠らない。

実際のサービスの提供システムにおける脆弱性の深刻度を表す値で、セキュリティ対策を実施した後の評価に用いる。
2

環境値


サービスの提供環境における攻撃の難易度、攻撃による影響度を、セキュリティ対策の状況などを踏まえて再評価して、環境値を計算する。

44

これらの基本値、環境値は、以下に示す計算式で求められ、0.0（深刻度が最低）から 10.0
（深刻度が最高）までの数値（0.1 刻み）で表される。

これらの基本値・環境値の計算式において、スマートホーム向け製品・サービスに特有のセキュリティ特性（生命・財産への影響、扱う情報の重要度）を評価するパラメータをCVSS v3 に追加して、CVSS v3 のリスク値を計算する影響度にかかる係数（図 3-2、図 3-3）として用いる。具体的には、製品・サービスに脅威が及ぼされたとき生命・財産への影響があれば影響度が 1.5 倍に、また製品・サービスが個人情報保護法に定義された個人情報を扱う場合は影響度が 1.2 倍に算出される（表 3-16、表 3-17、表 3-25、表 3-26）。詳細は、後述の基本値および環境値の計算式を参照のこと。

(1) 基本値の計算式
基本値の計算式を以下に示す。
(1)影 響 度
調 整 前 影 響 度 = 1 - (1-C)×(1-I)×(1-A)
影 響 度 (ス コ ー プ 変 更 な し )= 6.42×調 整 前 影 響 度 ×LP×II

影 響 度 (ス コ ー プ 変 更 あ り )= (7.52×(調 整 前 影 響 度 -0.029) - 3.25×(調 整 前 影 響 度 -0.02) 15 ) ×LP×II(2)攻 撃 容 易 性
攻 撃 容 易 性 = 8.22×AV×AC×PR×UI(3)基 本 値
影響度がゼロ以下の場合

基本値 = 0

影響度がゼロよりも⼤きい場合・スコープ変更なし
基本値 = 影響度＋攻撃容易性（※）
・スコープ変更あり
基 本 値 = 1.08×(影 響 度 ＋ 攻 撃 容 易 性 ) （ ※ ）（ ※ ） ⼩ 数 点 第 ⼆ 位 を 切 り 上 げ 。 10.0 を 超 え る 場 合 は 10.0 と す る 。

図 3-2 基本値（スマートホーム独自方式）の計算式

計算式に登場する LP/II、C/I/A および AV/AC/PR/UI は表 3-15 で定義される。LP と II
はスマートホーム向け製品・サービスに特有のパラメータで、それぞれ生命・財産への影
響と、個人情報などの情報の重要度を表す。他のパラメータは CVSS v3 で定義されるパラメータと同一である。

45

CCDS-SH02-2023
CCDS-SH03-2023
表 3-15 基本値を計算するパラメータ
No.

項目

内容

1

生命・財産への影響（LP） 脆弱性への攻撃が生命・財産に影響を及ぼす可能性を評価する。

2

情報の重要度（II）

3

機密性への影響（C）

4

完全性への影響（I）

5

可用性への影響（A）

6

攻撃元区分（AV）

7

攻撃条件の複雑さ（AC）

8

脆弱性への攻撃が情報に影響を及ぼす場合に、その情報の重要度（個人情報等）を評価する。
脆弱性を攻撃された際に、対象とする影響想定範囲の情報が漏洩する可能性を評価する。
脆弱性を攻撃された際に、対象とする影響想定範囲の情報が改ざんされる可能性を評価する。
脆弱性を攻撃された際に、対象とする影響想定範囲の業務が遅延・停止する可能性を評価する。
脆弱性のあるコンポーネントをどこから攻撃可能であるかを評価する。
脆弱性のあるコンポーネントを攻撃する際に必要な条件の複雑さを評価する。

攻撃に必要な特権レベル

脆弱性のあるコンポーネントを攻撃する際に必要な特権のレベル（PR）を評価する。

9

ユーザ関与レベル（UI）

10

スコープ（S）

脆弱性のあるコンポーネントを攻撃する際に必要なユーザ関与レ
ベルを評価する。
脆弱性のあるコンポーネントへの攻撃による影響範囲を評価する。

それぞれの項目が取り得る値を、以下に示す。

表 3-16 生命・財産への影響（LP）
項目

内容

値

あり（Y）

脅威が発生した場合、生命・財産への影響がある。

1.5

なし（N）

脅威が発生しても、生命・財産への影響がない。

1.0

46

CCDS-SH02-2023
CCDS-SH03-2023
表 3-17 情報の重要度（II）
項目

内容

値

以下に示した重要な情報が含まれる。
個人情報保護法（第二条）に定められた個人情報とは、生存する個人に関する情報で、次のいずれかに該当するもの。
・

当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの。他の情報と容易に照合することができ、それにより特定の個人を識別することが

高（H）

1.2

できることとなるものを含む。
・

個人識別符号（その情報単体でも特定の個人を識別できるもの）が含まれるもの。


身体の一部の特徴を電子計算機のために変換した符号

サービス利用や書類において対象者ごとに割り振られ
る符号

なし（N）

重要な情報は含まれない。

1.0

表 3-18 機密性（C）・完全性（I）・可用性（A）への影響
項目

高（H）

低（L）

なし（N）

脅威が発生した場合に、利脅威が発生した場合に、利脅威が発生しても、利用者

用者の情報、システムの重用者の情報、システムの重やシステムの情報が参照さ

機密性

要な情報がすべて参照可能

要な情報が部分的に参照可れることがなく、影響が発（C）であり、影響が全体におよ能であり、影響が限定的で

生しない。

ぶ。

ある。

値： 0.56

値： 0.22

値： 0.0

脅威が発生した場合、利用脅威が発生した場合、利用脅威が発生しても、利用者者の情報、システムの重要者やシステムの情報が改ざやシステムの情報が改ざん

完全性な情報が改ざん可能であ

ん可能であるが、重要な情されることがなく、影響が（I）り、影響が全体におよぶ。

報は改ざんできなく、影響発生しない。

が限定的である。

可用性（A）

値： 0.56

値： 0.22

値： 0.0

脅威が発生した場合に、脅威が発生した場合に、脅威が発生しても、サービサービスの提供を完全に停サービスの提供を一時的にスの提供が停止・遅延する

止させることが可能であ停止させたり、遅延させたことがなく、影響が発生しる。

りすることが可能である。

ない。

値： 0.56

値： 0.22

値： 0.047

CCDS-SH02-2023
CCDS-SH03-2023
表 3-19 攻撃元区分（AV）
項目

内容

ネット

攻撃対象をネットワーク経由でリモートから攻撃可能である。

ワーク

・インターネットからスマートホームサービス情報基盤を攻撃（N）・インターネットから GW を攻撃

値

0.85

攻撃対象を隣接ネットワークから攻撃する必要がある。
隣接・スマートホームサービス情報基盤のネットワークに接続して攻撃（A）・GW が接続された無線ルータの無線 LAN に接続して攻撃

0.62
・GW の LAN 端子・無線 LAN に接続して攻撃
攻撃対象をローカル環境から攻撃する必要がある。

ローカル
（L）

・スマートホームサービス情報基盤のサーバにログインして攻撃

0.55

・GW のシリアルコンソールに接続して攻撃
攻撃対象を物理アクセス環境から攻撃する必要がある。
物理
（P）

0.20

・GW に設けられた JEM-A 端子（HA 端子）、USB 端子などの物理端子に接続して攻撃

表 3-20 攻撃条件の複雑さ（AC）
項目
低（L）

内容

値

特別な攻撃条件を必要とせず、攻撃対象を常に攻撃可能である。

0.77

攻撃者以外に依存する攻撃条件が存在する。
例えば、次のいずれかの条件に合致する場合などが該当する。
・攻撃者は、設定情報、シーケンス番号、共有鍵など、攻撃対象の情報収集
高（H）

が事前に必要となる。

0.44

・攻撃者は、競合が発生する条件、ヒープスプレイを成功させるための条件など、攻撃を成功させるための環境条件を明らかにする必要がある。
・攻撃者は、中間者攻撃のため環境が必要となる。

表 3-21 攻撃に必要な特権レベル（PR）
値
項目

不要
（N）

内容

スコープ

スコープ

変更なし

変更あり

特別な権限を有する必要はない。

0.85

低（L）

コンポーネントに対する基本的な権限を有していれば良い。

0.62

0.68

高（H）

コンポーネントに対する管理者権限相当を有する必要がある。

0.27

0.50

48

CCDS-SH02-2023
CCDS-SH03-2023
表 3-22 ユーザ関与レベル（UI）
項目
不要
（N）
要（R）

内容

値

ユーザが何もしなくても脆弱性が攻撃される可能性がある。
リンクのクリック、ファイル閲覧、設定の変更など、ユーザ動作が必要であ
る。

0.85

0.62

また、スコープ変更あり／スコープ変更なしは、表 3-23 で定義される。

表 3-23 スコープ（S）
項目

内容
影響範囲が攻撃対象と同じ認証の範囲に属するシステムである。

変更なし（U）

例えば、 アク セストー クン を共有す るシ ステムへ の不 正アクセ スは 、変更な しの ス
コープである。

変更あり（C）

影響範囲が攻撃対象と認証が異なるシステムへと、範囲を越えた攻撃が可能である。

49

(2) 環境値の計算式
環境値の計算式を以下に示す。

(1)緩 和 策 後 影 響 度
緩 和 策 後 調 整 前 影 響 度 = min [(1 -(1 - MC×CR)×(1 - MI×IR)×(1 - MA×AR)), 0.915]◎スコープ変更なし
緩 和 策 後 影 響 度 = 6.42×緩 和 策 後 調 整 前 影 響 度 ×MLP×MII◎スコープ変更あり
緩 和 策 後 影 響 度 = (7.52×(緩 和 策 後 調 整 前 影 響 度 -0.029)- 3.25×(緩 和 策 後 調 整 前 影 響 度 -0.02) 15 ) ×MLP×MII(2)緩 和 策 後 攻 撃 容 易 性
緩 和 策 後 攻 撃 容 易 性 = 8.22×MAV×MAC×MPR×MUI(3)環 境 値
緩和策後影響度がゼロ以下の場合

環境値 = 0緩和策後影響度がゼロよりも⼤きい場合◎スコープ変更なし
緩 和 策 後 基 本 値 = 緩 和 策 後 影 響 度 ＋ 緩 和 策 後 攻 撃 容 易 性 （ ※ 1）
環 境 値 = 緩 和 策 後 基 本 値×E×RL×RC（ ※2）◎スコープ変更あり
緩 和 策 後 基 本 値 = 1.08×(緩 和 策 後 影 響 度 ＋ 緩 和 策 後 攻 撃 容 易 性 ) （ ※1）
環 境 値 = 緩 和 策 後 基 本 値×E×RL×RC （ ※2）（ ※ 1） ⼩ 数 点 第 ⼆ 位 を 切 り 上 げ 。 10.0 を 超 え る 場 合 は 10.0 と す る 。
（ ※2） ⼩ 数 点 第 ⼆ 位 を 切 り 上 げ 。
E︓ 攻 撃 さ れ る 可 能 性 、 RL︓ 利 ⽤ 可 能 な 対 策 の レ ベ ル 、 RC︓ 脆 弱 性 情 報 の 信 頼 性 の 値 は 、通 常 の 現 状 評 価 値 の 計 算 ⽅ 法 か ら 変 更 が な い た め 、 CVSSv3[16][17]を 参 照 。

図 3-3 環境値（スマートホーム独自方式）の計算式

50

CCDS-SH02-2023
CCDS-SH03-2023
計算式に登場する MLP/MI、CR/IR/AR、MC/MI/MA および MAV/MAC/MPR/MUI は表 3-24 で定義される。ここで、MLP/MII はそれぞれ生命・財産への影響と、個人情報などの情報の重要度を表し、基本値における LP と II に対応する。他のパラメータは CVSS v3 で定義されるパラメータと同一である。

表 3-24 環境値を計算するパラメータ
No.

項目

内容

生命・財産の影響、情報の重要度
12

緩和策後の生命・財産

脆弱性への攻撃が生命・財産に影響を及ぼす可能性を再評価する。

への影響（MLP）
緩和策後の情報の重要脆弱性への攻撃が情報に影響を及ぼす場合に、その情報の重要度（個度（MII）

人情報等）を再評価する。

対象システムのセキュリティ要求度
3

機密性（CR）

対象システムにおける、機密性の重要度を評価する。

4

完全性（IR）

対象システムにおける、完全性の重要度を評価する。

5

可用性（AR）

対象システムにおける、可用性の重要度を評価する。

環境条件を加味した基本評価の再評価
6

7

8

9

10

11

12

13

緩和策後の機密性への脆弱 性を 攻 撃 され た際 に 、 対象 とす る 影 響想 定範 囲 の 情報 が漏 え い

影響（MC）

する可能性を再評する。

緩和策後の完全性への脆弱 性を 攻 撃 され た際 に 、 対象 とす る 影 響想 定範 囲 の 情報 が改 ざ ん

影響（MI）

される可能性を再評価する。

緩和策後の可用性への脆弱 性を 攻 撃 され た際 に 、 対象 とす る 影 響想 定範 囲 の 業務 が遅 延 ・

影響（MA）

停止する可能性を再評価する。

緩和策後の攻撃元区分

脆弱 性の あ る コン ポー ネ ン トを どこ か ら 攻撃 可能 で あ るか を再 評 価

（MAV）

する。

緩和策後の攻撃条件の

脆弱 性の あ る コン ポー ネ ン トを 攻撃 す る 際に 必要 な 条 件の 複雑 さ を

複雑さ（MAC）

再評価する。

緩和策後の攻撃に必要

脆弱 性の あ る コン ポー ネ ン トを 攻撃 す る 際に 必要 な 特 権の レベ ル をな特権レベル（MPR）

再評価する。

緩和策後のユーザ関与

脆弱 性の あ る コン ポー ネ ン トを 攻撃 す る 際に 必要 な ユ ーザ 関与 レ ベ

レベル（MUI）

ルを再評価する。

緩和策後のスコープ

脆弱性のあるコンポーネントへの攻撃による影響範囲を再評価す

（MS）

る。

51

CCDS-SH02-2023
CCDS-SH03-2023
それぞれの項目が取り得る値を、以下に示す。

表 3-25 緩和策後の生命・財産への影響（MLP）
項目
未評価（X）

内容値

評価しない（基本値の計算と同じ項目を用いる）

あり（Y）

1.5
基本値の計算に用いる定義と同じ（ 表 3-16 を参照）

なし（N）

1.0

表 3-26 緩和策後の情報の重要度（MII）
項目
未評価（X）

内容値

評価しない（基本値の計算と同じ項目を用いる）

高（H）

1.2
基本値の計算に用いる定義と同じ（ 表 3-17 を参照）

なし（N）

1.0

表 3-27 対象システムのセキュリティ要求度（CR/IR/AR）
項目

機密性未評価（X）

高（H）

中（M）

低（L）

この項目を評価し機密性が失われる

機密性が失われる

機密性が失われてない。

と、壊滅的な影響がと、深刻な影響があも、一部の影響に留

ある。

る。

まる。

値： 1.0

値： 1.5値： 1.0

値： 0.5

この項目を評価し完全性が失われる

完全性が失われる

完全性が失われてない。

と、壊滅的な影響がと、深刻な影響があも、一部の影響に留

ある。

る。

まる。

値： 1.0

値： 1.5値： 1.0

値： 0.5

この項目を評価し可用性が失われる

可用性が失われる

可用性が失われてない。

と、壊滅的な影響がと、深刻な影響があも、一部の影響に留

ある。

る。

まる。

値： 1.5値： 1.0

値： 0.5

（CR）

完全性
（IR）

可用性
（AR）

値： 1.052CCDS-SH02-2023
CCDS-SH03-2023
表 3-28 緩和策後の機密性への影響（MC）
項目
未評価（X）

内容評価しない（基本値の計算と同じ項目を用いる）

高（H）
低（L）

値

0.56
基本値の計算に用いる定義と同じ（ 表 3-18 の「機密性」を参照）

なし（N）

0.22
0.0

表 3-29 緩和策後の完全性への影響（MI）
項目
未評価（X）

内容評価しない（基本値の計算と同じ項目を用いる）

高（H）
低（L）

値

0.56
基本値の計算に用いる定義と同じ（ 表 3-18 の「完全性」を参照）

なし（N）

0.22
0.0

表 3-30 緩和策後の可用性への影響（MA）
項目
未評価（X）

内容評価しない（基本値の計算と同じ項目を用いる）

高（H）
低（L）

値

0.56
基本値の計算に用いる定義と同じ（ 表 3-18 の「可用性」を参照）

なし（N）

0.22
0.0

表 3-31 緩和策後の攻撃元区分（MAV）
項目
未評価（X）

内容評価しない（基本値の計算と同じ項目を用いる）

ネットワーク

0.85

（N）
隣接（A）

値

基本値の計算に用いる定義と同じ（ 表 3-19 を参照）

0.62

ローカル（L）

0.55

物理（P）

0.20

表 3-32 緩和策後の攻撃条件の複雑さ（MAC）
項目
未評価（X）
低（L）

内容値

評価しない（基本値の計算と同じ項目を用いる）
基本値の計算に用いる定義と同じ（ 表 3-20 を参照）

53

0.77

CCDS-SH02-2023
CCDS-SH03-2023
高（H）

0.44

表 3-33 緩和策後の攻撃に必要な特権レベル（MPR）
値
項目

未評価（X）

内容

スコープ

スコープ

変更なし

変更あり

評価しない（基本値の計算と同じ項目を用いる）

不要（N）
低（L）

0.85
基本値の計算に用いる定義と同じ（ 表 3-21 を参照）

高（H）

0.62

0.68

0.27

0.50

表 3-34 緩和策後のユーザ関与レベル（MUI）
項目
未評価（X）

内容値

評価しない（基本値の計算と同じ項目を用いる）
0.85

不要（N）
基本値の計算に用いる定義と同じ（ 表 3-22 を参照）
要（R）

0.62

表 3-35 緩和策後のスコープ（MS）
項目
未評価（X）

内容評価しない（基本値の計算と同じ項目を用いる）

変更なし（U）
基本値の計算に用いる定義と同じ（ 表 3-23 を参照）
変更あり（C）(3) 深刻度レベル分け
スマートホーム独自方式では、CVSS v3 と同じく、深刻度のレベル分けを以下の通りに設定している。

表 3-36 深刻度レベル分け
深刻度

緊急

重要

警告

注意

なし

スコア

9.0～10.0

7.0～8.9

4.0～6.9

0.1～3.9

054

CCDS-SH02-2023
CCDS-SH03-2023(4) スマートホーム独自方式によるリスク値の計算
表 3-37 に本方式によるリスク値の計算結果を示す。

表 3-37 スマートホーム独自方式によるサービスのリスク値①CVSSv3 算 定例 ：ス マー トホ ーム 独自 方式 未適 用

②CVSSv3 算 定例 ：ス マー トホ ーム 独自 方式 適用 （情 報の 重要 度に 影響 あり ）③CVSSv3 算 定例 ：ス マー トホ ーム 独自 方式 適用 （情 報の 重要 度、 生命 ・財 産に 影響 ）まず上記①はスマートホーム独自方式を適用しない既存の CVSSv3 によるリスク評価例
であり、リスク値は 8.1（重要）と判定されている。次に上記②では、同じ想定脅威に対して、★★サービスとして個人情報が取り扱われるユースケースを想定すると、リスク値は9.3（緊急）と判定されている。更に上記③では、同じ想定脅威に対して、★★★サービス
として個人情報や生命・財産に影響が想定されるユースケースを想定した場合には、リス
ク値が 10（緊急）と判定された。
以上のように既存の CVSSv3 と比較し、保護すべき資産に個人情報が加わった場合や、生命・財産に影響が生じる場合の脅威事例についても、評価結果として差異を表現することが可能となった。

3.5.3 スマートホーム独自方式でのリスク値計算の結果
前節で定義したスマートホーム独自方式を用いて、インシデントのそれぞれのリスク値を計算する。シャッター自動開閉サービス（★★）と防犯駆けつけサービス（★★★）の計算結果を、それぞれ 表 3-38 と 表 3-39 に示す。

55

CCDS-SH02-2023
CCDS-SH03-2023
表 3-38 シャッター自動開閉サービス（★★）のリスク値（セキュリティ対策前）56

CCDS-SH02-2023
CCDS-SH03-2023

57

CCDS-SH02-2023
CCDS-SH03-2023

58

CCDS-SH02-2023
CCDS-SH03-2023

59

CCDS-SH02-2023
CCDS-SH03-2023※リスク評価計算の前提
・自動シャッター開閉サービスのユースケースに基づき、スマートホームサービス対応機器群については、個人情報の蓄積・伝送を行わないものとする。

60

CCDS-SH02-2023
CCDS-SH03-2023
表 3-39 防犯駆けつけサービス（★★★）のリスク値（セキュリティ対策前）61

CCDS-SH02-2023
CCDS-SH03-2023

62

CCDS-SH02-2023
CCDS-SH03-2023

63

CCDS-SH02-2023
CCDS-SH03-2023

64

CCDS-SH02-2023
CCDS-SH03-2023

65

CCDS-SH02-2023
CCDS-SH03-2023

3.6

リスク分析・評価のまとめ

本章では、スマートホーム向け製品・サービスのリスク分析・評価の概要と手順を説明した。その過程で、スマートホーム向け製品・サービスのリスク値の計算において、生命・財産への影響と個人情報など取り扱う情報の重要度を反映するために、独自の計算方法を定義した。
スマートホーム独自方式で 2.4.1 節および 2.4.2 節のユースケースに適用した結果、生命・財産に影響を及ぼす脅威や、個人情報を扱う脅威のリスク値に反映されることを確認した。

3.7

セキュリティ対策の検討

リスク値を計算した結果、深刻度が高い脅威から、セキュリティ対策を検討する。セキュ
リティ対策は、「IoT 開発におけるセキュリティ設計の手引き」[6]の「表 3-6・表 3-7 対策候補一覧」、「クラウドサービス提供における情報セキュリティ対策ガイドライン（第 2版）」[9]の「Annex 2 物理的・技術的対策編 対策項目⼀覧表」や、OTA[18]、OWASP[19]等のフレームワークを参照して設定する。また、対策の検討にあたっては、インシデントの発生頻度、発生したときの影響度、対策の実施にかかるコスト等も考慮すべきである。本書において検討したセキュリティ対策の内容については、4 章以降で述べるものとする。

またセキュリティ対策を定義した後に CVSS の環境評価値を評価することで、対策の妥
当性や費用対効果を確認することができる。

シャッター自動開閉サービス（★★）と防犯駆けつけサービス（★★★）の計算結果を、それぞれ 表 3-40 と 表 3-41 に示す。

66

CCDS-SH02-2023
CCDS-SH03-2023
表 3-40 シャッター自動開閉サービス（★★）のリスク値（セキュリティ対策後）

67

CCDS-SH02-2023
CCDS-SH03-2023

68

CCDS-SH02-2023
CCDS-SH03-2023

69

CCDS-SH02-2023
CCDS-SH03-2023

70

CCDS-SH02-2023
CCDS-SH03-2023※リスク評価計算の前提
・自動シャッター開閉サービスのユースケースに基づき、スマートホームサービス対応機器群については、個人情報の蓄積・伝送を行わないものとする。
・機密性、完全性、可用性に対する影響については、本書のセキュリティ要件あるいはセキュリティ要求事項に準拠することを前提として、緩和対策後の影響を「低」に設定している。
・生命・財産に対する影響については、本書のセキュリティ要件あるいはセキュリティ要求事項に準拠することを前提として、緩和対策後の影響を「なし」に設定している。
・情報の重要度については、セキュリティ対策を実施後も保護すべき資産は引き続き存在するため、緩和対策後であっても値の変更は行っ
ていない。

71

CCDS-SH02-2023
CCDS-SH03-2023
表 3-41 防犯駆けつけサービス（★★★）のリスク値（セキュリティ対策後）

72

CCDS-SH02-2023
CCDS-SH03-2023

73

CCDS-SH02-2023
CCDS-SH03-2023

74

CCDS-SH02-2023
CCDS-SH03-2023

75

CCDS-SH02-2023
CCDS-SH03-2023※リスク評価計算の前提・機密性、完全性、可用性に対する影響については、本書のセキュリティ要件あるいはセキュリティ要求事項に準拠することを前提として、緩和対策後の影響を「低」に設定している。
・生命・財産に対する影響については、本書のセキュリティ要件あるいはセキュリティ要求事項に準拠することを前提として、緩和対策後の影響を「なし」に設定している。
・情報の重要度については、セキュリティ対策を実施後も保護すべき資産は引き続き存在するため、緩和対策後であっても値の変更は行っ
ていない。

76

CCDS-SH02-2023
CCDS-SH03-2023

4 想定されるセキュリティ上の脅威と対策指針
本章ではスマートホーム分野において、セキュリティに影響を及ぼす特徴的な事項を整理し、セキュリティ対策指針の検討を行う。

4.1

関係する要素の多様性

2 章で説明したシステムモデルの通り、スマートホームの構成要素は多種多様であり、セキュリティ上の脅威と対策を検討する方針が見えにくい問題がある。

この問題に対しては、スマートホームの構成要素が、利用者に提供する価値の面から、個々の IoT 機器と、それらを活用したサービスに大きく分けられる点に着目して、個々のIoT 機器とサービスの観点に分けて検討することで対応する。
本ガイドラインでは、スマートホームが提供するサービスについては、システムモデル
に対してセキュリティ上の脅威と対策を検討し、評価する。また、個別の IoT 機器は、それぞれのガイドラインを作成して、同様に脅威と対策の検討と評価を行う。

4.2

製品安全（セーフティ）への対応

IoT 機器を含めた電気用品の遠隔操作は、電気用品安全法（電安法）の技術基準別表第八の１（２）ロ[7]において、「手元操作が最優先されること」「遠隔操作による動作が確実に行われるよう、操作結果のフィードバック確認ができること」などの構造を備えることが規定されている。また、平成 30 年 3 月には、国立研究開発法人 産業技術総合研究所と株式会社ミサワホーム総合研究所によって、機能安全に関する基本規格 IEC 61508（電気・電子・プログラマブル電子安全関連の機能安全）の原則に従って、スマートホームで同時に動作する複数の機器・システムの機能安全を規定する国際標準の提案が国際電気標準会
議（IEC）に出され、承認されている[8]。他にも、製造物責任法（PL 法）や消費生活用製品安全法（消安法）に該当する IoT 機器の場合、遠隔操作がそれらの法令を遵守しているか確認が必要である。

また、スマートホームサービス情報基盤および関係するクラウドに何らかの障害が発生
してサービスの提供が停止した場合でも、その影響を最小限に留めるように、フェイルセー
フ・フェイルソフトなどの製品安全が講じられている必要がある。

77

CCDS-SH02-2023
CCDS-SH03-2023

4.3

機器の連携

スマートホームには多数の IoT 機器が設置されるが、これらの機器は単独で動作するだけでなく、互いに連携して動作する場合がある。
しかし、異なる機器が連携する場合、次の３点の課題がある。①連携先の機器のセキュリティ対策の内容・水準が適切であるか不明であり、全体として適切なセキュリティ対策が取られているか判断できない。②セキュリティ水準の異なる複数の機器が連携する場合、システム上、セキュリティ上の安全性が最も低い水準の機器が攻撃の入り口となる可能性があるため、全ての構成機器を視野に入れた対策が必要である。③本書のユースケースで提示したようにサービスを対象とした場合、システムや機器の開発並びに第三者サービスとの連携において、複数の企業がマルチベンダーとして参画するため、セキュリティ上の責任分解点が明示しにくい点がある。これは同時に、サービス事業者の立場から、他社に対してセキュリティ対策基準を提示しにくいという課題にもつながる。

上記の課題への対策としては、新規サービスの企画段階において、サービスを構成する
システムモデルを対象に、リスク分析・評価を実施することが必要である。リスク分析結果を踏まえ、サービス情報基盤やホームゲートウェイ、住設機器に対して、個別にセキュ
リティ対策基準として要件事項を示すことで、構成システム全体のセキュリティ品質の向上を促すことができる。また、同時に参画する企業の責任分界点についても明示すること
ができる。

4.4

利用者によるIoT機器の設置・撤去

住宅に設置される建材・住設機器は、住宅会社が設定する調達基準（例えば、JIS、内装
建材の F☆☆☆☆、防犯建物部品の CP マークなど）を満たす製品が採用される。スマート
ホームの場合は、セキュリティ対策を有する製品であることを確認する必要があり、それを満たした機器が設置されると考えられる。

しかし、住宅が住宅会社から利用者に引き渡された後に、利用者が独自に選んだ機器が後付け設置される可能性がある。このような機器については、製品に取られているセキュ
リティ対策の内容・水準が不明であることも考えられる。このような機器の設置により、
スマートホームのセキュリティ水準が引き下げられる場合が想定される。このため、利用者が独自に設置する機器を含めたスマートホームのセキュリティを担保する方法を考える必要がある。

78

CCDS-SH02-2023
CCDS-SH03-2023
この問題に対しても、CCDS サーティフィケーションプログラムによるサーティフィケー
ションマーク制度で対策できる。利用者は機器に表示されたサーティフィケーションマー
クを目安として、自身で IoT 機器を購入して設置できる。このような機器はサーティフィ
ケーションプログラムで定義されたセキュリティ要件を満たしているため、設置後のスマートホームのセキュリティ水準は担保される。

4.5

スマートホームサービスにおけるセキュリティ対策指針の整理

スマートホーム向けサービスの提供には、スマートホームサービス情報基盤と、第三者サービス事業者の情報基盤も関係する。サービス情報基盤のクラウドシステムは、システ
ム面だけでなく、それを運用する体制（人、運用環境、運用手順等）もセキュリティ対策を検討する必要がある。また、スマートホームサービス情報基盤は、生命・財産に影響がある情報を扱ったり、実際に機器を制御したりする可能性がある。また、場合によっては利用者の不在時に第三者に制御を許可することもあり得る。

したがって、スマートホームサービスでは、なりすましや情報の暴露、不正アクセスな
どの脅威に留意すべきである。次に考慮点を挙げる。


クラウド上のシステムとしてサービス情報基盤については、十分なセキュリティ対策を講じること。



サービスの運用施設に物理的セキュリティ対策や人・運用環境・運用手順についてもセキュリティ対策を講じること。



サービスを構成するシステム、機器は IoT 機器セキュリティ要件ガイドラインの★基準を満たしていること。また、★★サービス、★★★サービスを構成するシ
ステム、機器については、それぞれがセキュリティ対策基準（「製品分野別セキュリティガイドライン スマートホーム編 2023 年版 別紙セキュリティ要求事項」参照）を満たしていること。



各サービス情報基盤（スマートホーム情報基盤と第三者サービス情報基盤のどちらも含む）によるホームゲートウェイの認証、ホームゲートウェイによるスマー
トホーム対応機器の認証を実施すること。

各サービス情報基盤とホームゲートウェイ間、各サービス情報基盤間の通信経路
は、セキュアな通信手段、プロトコルとすること。



不正な操作が行われたときに、その操作元・操作内容を追跡できるよう、機器の操作ログを採取すること。

79

5 スマートホームサービスのライフサイクルとセキュリティへの取り組み
本章ではスマートホームのセキュリティ対策においては、IoT 機器のライフサイクル（購入、故障、転売、廃棄）による機器の入れ替わりだけでなく、IoT 機器が変わらずその利用者が変わる場合も考慮する必要がある。

5.1 スマートホームサービスのライフサイクルにおけるフェーズの定義
本節ではサービス事業者を対象としたスマートホーム開発のライフサイクルにおけるセキュリティ対策を定義する。スマートホームサービスの開発ライフサイクルは、大きく「サービス企画」、「設計・製造」、「評価」、「運用・保守」、「サービス終了」の５フェーズに分類される。提供するスマートホームサービスにおいて十分なセキュリティを確保するには、各フェーズにおいて企業としての方針・計画策定や、法令順守すべき要件、人、運
用環境・運用手順等の幅広い範囲において十分な対策を施し、提供サービスのセキュリティ
品質を確実なものとするべきである。

サービス企画

設計・製造

評価

運⽤・保守

サービス終了図 5-1 スマートホームサービスのライフサイクルにおけるフェーズ

80

CCDS-SH02-2023
CCDS-SH03-2023
表 5-1 スマートホームサービスにおけるフェーズの定義
フェーズ
サービス企画

設計・製造

評価

運用・保守

サービス終了5.2

説明サービスのコンセプト、要件定義、ユースケース定義、想定システムモデルにもとづくリスク分析・評価等を行う。
サービス企画フェーズの決定内容をもとに、サービスを構成するシステムや機器の設計、実装、製造を行う（あるいは外部委託を行う）。
サービス提供において、障害やインシデントが発生しないよう、施工担当者による設置確認や使用機器の管理、監督を行う。
利用者へのサービス提供期間中のサービス運用や保守、インシデントへの対応等を行う。
サービス終了に伴い、ユーザへの周知や新規サービスへの移行手続き、収集した個
人情報の破棄等を行う。

サービスのライフサイクルにおけるセキュリティへの取組み

前節で概説したライフサイクルの各フェーズにおいて実施すべきセキュリティへの取組みを説明する。

5.2.1 サービス企画フェーズ
ここではサービス企画におけるフェーズにおけるセキュリティへの取り組みを以下に示す。

81

CCDS-SH02-2023
CCDS-SH03-2023
表 5-2 サービス企画フェーズにおけるセキュリティへの取組み
No.

1

項目

説明

企業組織としての対応方

・企業組織として、サイバーセキュリティに対するリスクマネジ

針の策定
企業組織としての個人情

2

3

報管理ポリシーの策定

メントの体制やルールの策定を行う。
・個人情報保護の観点から、収集する個人情報の定義や管理ポリシーの策定を行う。

サービス要件やシステム

・提供サービスの要件を踏まえ、システムモデルやユースケース

モデル、ユースケースのの定義を行う。システムモデルにおいては、サービス事業者と定義

外部委託先等、提携する企業との責任分解点を明確化する。
・リスク分析・評価を行い、保護すべき資産と想定される脅威およびリスク値の評価を行う。

リスク分析・評価とサー4

ビスレベルの定義

・リスク分析・評価の過程で、個人情報などの重要なデータの取り扱いの有無、および生命・財産への影響の有無を検討して、サービスのサーティフィケーションレベル（★★、★★★）を定義する。
スマートホームサービス上、関連法令に関して対応が必要な項目

5

関連法令への対応検討を抽出し、機器及びシステム上の対策内容を検討する。
・リスク分析・評価結果を踏まえて、必要なセキュリティ対策のセキュリティ対策方針の6

方針を策定する。またセーフティに関するハザードの観点を踏策定
まえ、可用性等についても考慮した検討を行う。
・提供サービスにおいて想定される障害に対して、免責事項を定サービスとしての免責事

7

義する。

項の定義
（例えば、災害や火災等の事故発生時に伴う停電など）

82

CCDS-SH02-2023
CCDS-SH03-2023

5.2.2 設計・製造フェーズ
生産・施工フェーズにおけるセキュリティへの取り組みを以下に示す。

表 5-3 設計・製造フェーズにおけるセキュリティへの取組み
No.

項目

説明
・機器やシステムの開発委託を行う場合は、委託先の開発体制がセキュリティ・バイ・デザインに基づく品質管理を行っている事を確認する。

1

開発委託先の体制の確認

例）
・静的評価：セキュア設計、コーディングレビューの実施
・動的評価：各種セキュリティテストの実施…など

・提供サービスにおいて新たな機器の開発やソリューションが必要となった場合、開発やソリューションの外部委託先へは、提供サービスの認証レベルに応じたセキュリティ要求事項を提示
し、準拠することを必須とする。
開発及びソリューション
2

の外部委託

・具体的なセキュリティ対策の内容については、本書の下記項目を参照する。
「製品分野別セキュリティガイドライン スマートホーム編
2023 年版 別紙セキュリティ要求事項」

2.2

システム・サービス対応機器群に求めるセキュリティ要求事項

83

CCDS-SH02-2023
CCDS-SH03-2023

5.2.3 評価フェーズ
評価フェーズにおけるセキュリティへの取り組みを以下に示す。

表 5-4 評価フェーズにおけるセキュリティへの取組み
No.

1

項目

説明

施工時の認証情報、セ・ ス マ ート ホ ー ム 施 工時 に は 、 認 証情 報 や セ キ ュリ テ ィ 設 定 が 適

キュリティ設定の確認

切にインテグレーションされていることを確認すること。
・ 各 サ ービ ス 情 報 基 盤と ホ ー ム ゲ ート ウ ェ イ 、 スマ ー ト ホ ー ム 対

2

脆弱性の有無のチェック
応機器に対して、既知の脆弱性の有無のチェックを行うこと。
※ そ の 他、 評 価 フ ェ ーズ の 対 策 内 容と し て は 、 下記 ス マ ー ト ホ ー
ムのライフサイクルにおける生産・施工フェーズを参照すること。
スマートホームの生産・

3

5.4.2

生産・施工フェーズ

施工時の対応No.2 使用機器等の発注
No.3 使用機器等の管理・監督
No.4 施工確認

5.2.4 運用・保守フェーズ
運用・保守フェーズでのセキュリティへの取り組みを以下に示す。

表 5-5 運用・保守フェーズでのセキュリティへの取組み
No.

項目

説明
・ サ ー ビス を 提 供 す るシ ス テ ム （ 各サ ー ビ ス 情 報基 盤 、 ス マ ー ト

1サービス契約者のホームの環境）は、サービス契約を行った本人（あるいは本人の本人認証許可を得た者）のみが利用可能とするため、認証する機能を有すること。
・ サ ー ビス を 運 用 す るシ ス テ ム は 、不 正 ア ク セ ス等 の イ ン シ デ ン

2

ログ収集・データ分析

ト対策として、ログ収集機能を有し、また収集したログデータの分析が可能な運用体制を有すること。

3

データ削除機能の実装

・個人情報保護の観点から、サービスを運用するシステム上の84

CCDS-SH02-2023
CCDS-SH03-2023
データについては、削除機能を実装すること。
・ ★ ★ ★サ ー ビ ス に つい て は 、 異 常検 知 の 通 報 を受 け 、 住 宅 に 到
4

現場担当者の認証

着した現場担当者が正しい身分であるかどうかを認証する仕組
みあるいは機能を有すること。
・サービス情報基盤について、下記の運用堅牢化対策を行う
１）データアクセスの手順・ルールの定義
２）データアクセス範囲の最小化

スマートホームサービス
３）データアクセスログの監査
5

情報基盤の運用堅牢化①４）運用担当者のセキュリティ教育（データアクセス）※ い ず れも 下 記 の 認 証取 得 あ る い は、 認 証 基 準 に準 じ た 運 用 体 制を保持していること。
－ISO/IEC27017：ISMS クラウドセキュリティ認証
・サービス情報基盤について、下記の運用堅牢化対策を行う
１）ログイン情報の管理手順・ルールの定義

6

スマートホームサービス

２）ログイン情報の発行対象の範囲を最小化

情報基盤の運用堅牢化②３）運用担当者のセキュリティ教育（サーバログイン）※ い ず れも 下 記 の 認 証取 得 あ る い は、 認 証 基 準 に準 じ た 運 用 体 制を保持していること。
－ISO/IEC27017：ISMS クラウドセキュリティ認証
・ 許 可 を得 て い な い 要員 が サ ー バ ルー ム や オ ペ レー シ ョ ン ル ー ム

スマートホームサービスへ入室できないよう ID カード等で管理を行うこと。

情報基盤の運用ルーム堅7

牢化①※下記の認証取得あるいは、認証基準に準じた運用体制を保持していること。

（入室制限）－ISO/IEC27017：ISMS クラウドセキュリティ認証

スマートホームサービス
情報基盤の運用ルーム堅8

牢化②・ サ ー バル ー ム や オ ペレ ー シ ョ ン ルー ム へ の 入 室時 は 、 ス ト レ ー
ジデバイス、スマートフォン、PC 等の持ち込みを制限し、厳格な管理を行うこと。
※ 下 記 の認 証 取 得 あ るい は 、 認 証 基準 に 準 じ た 運用 体 制 を 保 持 し（デバイスの持ち込みていること。

85

CCDS-SH02-2023
CCDS-SH03-2023
制限）－ISO/IEC27017：ISMS クラウドセキュリティ認証・ サ ー バル ー ム や オ ペレ ー シ ョ ン ルー ム へ の 入 退室 は 監 視 カ メ ラ

スマートホームサービス

や ID カードの履歴によって、記録を行うこと。

情報基盤の運用ルーム
9

堅牢化③※ 下 記 の認 証 取 得 あ るい は 、 認 証 基準 に 準 じ た 運用 体 制 を 保 持 していること。

（入退室履歴管理）－ISO/IEC27017：ISMS クラウドセキュリティ認証・ サ ー ビス 情 報 基 盤 （※ ） に つ い て、 下 記 の 運 用堅 牢 化 対 策 を 行う１）データアクセスの手順・ルールの定義
２）データアクセス範囲の最小化
第三者サービス情報基盤
10の運用堅牢化①（データアクセス）

３）データアクセスログの監査
４）運用担当者のセキュリティ教育※ 第 三 者サ ー ビ ス 情 報基 盤 の 事 例 とし て は 、 コ ール セ ン タ ー の シ
ステム等が該当する。
※ い ず れも 下 記 の 認 証取 得 あ る い は、 認 証 基 準 に準 じ た 運 用 体 制を保持していること。
－ISO/IEC27017：ISMS クラウドセキュリティ認証
・サービス情報基盤について、下記の運用堅牢化対策を行う
１）ログイン情報の管理手順・ルールの定義
２）ログイン情報の発行対象の範囲を最小化

第三者サービス情報基盤11３）運用担当者のセキュリティ教育の運用堅牢化②※ 第 三 者サ ー ビ ス 基 盤の 事 例 と し ては 、 コ ー ル セン タ ー の シ ス テ（サーバログイン）

ム等が該当する。
※ い ず れも 下 記 の 認 証取 得 あ る い は、 認 証 基 準 に準 じ た 運 用 体 制を保持していること。
－ISO/IEC27017：ISMS クラウドセキュリティ認証

第三者サービス情報基盤
12の運用堅牢化③

・ 第 三 者サ ー ビ ス 情 報基 盤 が 防 犯 ・救 命 に 関 連 する 機 器 操 作 を 行
う場合は、下記の対策を行うこと。

86

CCDS-SH02-2023
CCDS-SH03-2023（遠隔開錠操作）

１）防犯・救命に関連する機器操作の運用手順定義
２）防犯・救命に関連する機器操作の運用ログ監査
３）防犯・救命に関連するオペレーターのセキュリティ教育※ 第 三 者サ ー ビ ス 情 報基 盤 の 事 例 とし て は 、 コ ール セ ン タ ー の シ
ステム等が該当する。
※ い ず れも 下 記 の 認 証取 得 あ る い は、 認 証 基 準 に準 じ た 運 用 体 制を保持していること。
－ISO/IEC27017：ISMS クラウドセキュリティ認証
・ 許 可 を得 て い な い 要員 が サ ー バ ルー ム や オ ペ レー シ ョ ン ル ー ムへ入室できないよう ID カード等で管理を行うこと。

第三者サービス情報基盤
13の運用ルーム堅牢化①（入室制限）※ 第 三 者サ ー ビ ス 情 報基 盤 の 事 例 とし て は 、 コ ール セ ン タ ー の シ
ステム等が該当する。
※ 下 記 の認 証 取 得 あ るい は 、 認 証 基準 に 準 じ た 運用 体 制 を 保 持 していること。
－ISO/IEC27017：ISMS クラウドセキュリティ認証・ サ ー バル ー ム や オ ペレ ー シ ョ ン ルー ム へ の 入 室時 は 、 ス ト レ ー
ジデバイス、スマートフォン、PC 等の持ち込みを制限し、厳格

第三者サービス情報基盤の運用ルーム堅牢化②14（デバイスの持ち込み制限）

な管理を行うこと。
※ 第 三 者サ ー ビ ス 情 報基 盤 の 事 例 とし て は 、 コ ール セ ン タ ー の シ
ステム等が該当する。
※ 下 記 の認 証 取 得 あ るい は 、 認 証 基準 に 準 じ た 運用 体 制 を 保 持 していること。
－ISO/IEC27017：ISMS クラウドセキュリティ認証・ サ ー バル ー ム や オ ペレ ー シ ョ ン ルー ム へ の 入 退室 は 監 視 カ メ ラ
や ID カードの履歴によって、記録を行うこと。

第三者サービス情報基盤
15の運用ルーム堅牢化③※ 第 三 者サ ー ビ ス 情 報基 盤 の 事 例 とし て は 、 コ ール セ ン タ ー の シ
ステム等が該当する。

（入退室履歴管理）※ 下 記 の認 証 取 得 あ るい は 、 認 証 基準 に 準 じ た 運用 体 制 を 保 持 していること。

87CCDS-SH02-2023
CCDS-SH03-2023－ISO/IEC27017：ISMS クラウドセキュリティ認証・ サ ー ビス 提 供 に お いて 発 生 し た 想定 外 の リ ス クに 対 応 す る た めの CSIRT を組織し、インシデントの対応を行い、再発防止対策
サービス提供上の16を行う。

インシデント対応
・また、脆弱性の報告については、JPCERT/CC 等の組織と連携し、適切な対応を行うこと。
※ 上 記 以外 の 運 用 保 守フ ェ ー ズ の 対策 内 容 と し ては 、 下 記 ス マ ートホーム開発のアフターフェーズ、リフォームフェーズを参照
スマートホームサービス

17

すること。

の運用保守対応
5.4.3 アフターフェーズ
5.4.4 リフォームフェーズ

5.2.5 サービス終了フェーズ
サービス終了フェーズでのセキュリティへの取り組みを以下に示す。

表 5-6 サービス終了フェーズでのセキュリティへの取組み
No.

項目

説明
・提供サービスの終了にあたっては、利用者保護の観点から、サービス利用停止までに 1 年間程度の期間を定め、利用者に事前周

1

サービス終了の通知知を行うこと。また代替サービスの説明を含め、利用者に適切な説明を行うこと。
・ 提 供 サー ビ ス の 終 了時 に は 個 人 情報 の 管 理 ポ リシ ー に 沿 っ て 、収集した個人情報の破棄を行うこと。但し、代替サービスへの2

収集した個人情報の破棄
移行が行われる場合には、利用者による同意を前提とし、継続して個人情報のサービス利用が行なえるものとする。
※ 機 器 廃棄 方 法 の 周 知フ ェ ー ズ に つい て は 、 下 記ス マ ー ト ホ ー ム
開発の解体フェーズを参照すること。

3

機器廃棄方法の周知
5.4.6 解体フェーズ
No.1 機器廃棄方法の周知

88

5.3

スマートホームのライフサイクルにおけるフェーズの定義

本節ではサービス事業者及びシステム運用ベンダーを対象としたスマートホーム（住宅）のライフサイクルにおけるセキュリティ対策を定義する。住宅のライフサイクルは、大きく「設計」、「生産・施工」、「アフター」、「リフォーム」、「転売」「解体」の６フェーズに分類される。提供するスマートホームサービスにおいて十分なセキュリティを確保するには、
各フェーズにおいて十分な対策を施し、製品のセキュリティ品質を確実なものとするべき
である。

設計

⽣産・施⼯

アフター

リフォーム

転売

解体

図 5-2 スマートホームのライフサイクルにおけるフェーズ

表 5-7 スマートホームにおけるフェーズの定義
フェーズ
設計
生産・施工
アフター

説明
IoT 住宅設備を含めたスマートホーム住宅の設計を行う
IoT 住宅設備を含めたスマートホーム住宅の生産、施工を行う
施工後に家主が居住を開始し、スマートホーム住宅の情報活用、運用、メンテナンス
を行う

リフォーム

スマートホーム住宅のリフォームを行う

転売

スマートホーム住宅の家主の変更を行う

解体

スマートホーム住宅の使用を終了し、解体を行う

89

CCDS-SH02-2023
CCDS-SH03-2023

5.4 スマートホームのライフサイクルにおけるセキュリティへの取組み
前節で概説したライフサイクルの各フェーズにおいて実施すべきセキュリティへの取組みを説明する。

5.4.1 設計フェーズ
設計フェーズにおけるセキュリティへの取り組みを以下に示す。

表 5-8 設計フェーズでのセキュリティへの取組み
No.

項目

1

サービス選定説明・利用者に対してサービス内容を説明し、利用するサービスの同意を得る。
・提供サービスの認証レベルに応じて、セキュリティ対策基準を満たした機器の選定を行う
・具体的なセキュリティ対策の内容については、本書の下記項目を参照する。

2

設置機器の選定「製品分野別セキュリティガイドライン スマートホーム編
2023 年版 別紙セキュリティ要求事項」

2.2

システム・サービス対応機器群に求めるセキュリティ要求事項
・使用機器を設計図書（システム系統図など）へもれなく表記
3

設計図書への表記・指示する。

5.4.2 生産・施工フェーズ
生産・施工フェーズにおけるセキュリティへの取り組みを以下に示す。

90

CCDS-SH02-2023
CCDS-SH03-2023
表 5-9 生産・施工フェーズにおけるセキュリティへの取組み
No.

項目

説明
・サービスの利用者（利用者）に対し、個人情報等の取り扱いについて説明し、同意を得る。

1

利用者同意取得

・責任分界点の明示および説明を実施する。
・サービスにおける免責事項について説明を行い、利用者の同意を得る。
・設計図書との整合性を確認する（ホームゲートウェイ、セン

2

使用機器等の発注
サー、配線、など）。
・不正な機器の導入がないか、使用機器に不具合がないか、を
確認する。

3

使用機器等の管理・監督

・施工時に、宅内に設置される機器が、サービスに対応するセ
キュリティ要件を満たした機種（品名・型番）であることを確認する。
・契約者、使用機器、オプションの状況を確認する。
・施工時および施工後の設計図書、発注明細との整合性確認お

4

施工確認

よび監理を行う（※ただし、写真等での記録も可とする）。
・使用機器等の施工後の動作確認を行う。
・システム全体の正常性確認を行う。

5

提供物確認

・キー、カード等の払い出し数と引き渡し数を突き合わせる。
・使用機器およびサービス利用方法の説明

使用機器およびサービス利用
6

方法の説明

・使用機器やサービスの利用方法について、利用者に説明する。
・免責事項、不具合時の対応方法やサービス事業者の連絡先な

7

利用規約
どを記載する。

91

CCDS-SH02-2023
CCDS-SH03-2023

5.4.3 アフターフェーズ
アフターフェーズでのセキュリティにおける取り組みを以下に示す。

表 5-10 アフターフェーズにおけるセキュリティへの取組み
No.

項目

説明
・サービス提供上の免責事項は、利用規約または取扱説明書に利用規約または取扱説明書の1

提供

明示し、利用者へ提示すること。
・利用者へ、提供サービスのセキュリティ対策方針を提示すること。
・スマートホーム内の機器構成や設定については、利用者による変更を認めない範囲を明示する。該当する範囲について

2

運用時の使われ方の定義

は、利用者が無断で変更しないよう注意喚起を促すこと。
・利用者が想定外の用途で機器を使用しないよう、サービスの目的や提供機能について、周知すること。
・不審な機器が接続されている場合や、機器の異常動作が見られる場合には、速やかにサービス事業者へ連絡するよう取扱説明書に記載を行う。

3

ユーザへの注意喚起
・初期設定値の利用や、設定ミスによりセキュリティ上、脆弱な状態となる事が想定されるケースについては、取扱説明書にてユーザに注意喚起を促すこと。
・使用している OS、boot プログラム、アプリケーションに脆弱性がないかどうかを、脆弱性関連情報を常にウォッチし、関連する脆弱性が報告された場合、アップデートプログラム

4

最新の脆弱性への対応を提供する。
・サービス利用者に対して、更新された最新のプログラムが存在することを通知し、脆弱性の影響についての注意喚起
及び、プログラムのアップデート手順を周知する。
・キー、カード等の払い出し数と引き渡し数を突き合わせる。

5

提供物管理
・紛失時に提供物の情報を更新する。
・今現在十分と考えられているアルゴリズムや鍵長も、将来的

6

機器利用制限には不十分になる可能性があり、ユーザへある時点で機器利用の停止を推奨することを検討する。

92

CCDS-SH02-2023
CCDS-SH03-2023
・利用期間が長いと想定されるホームゲートウェイ においては、サービス事業者として保守期間を明確化し、マニュア
ルや HP 上でユーザに周知する。

5.4.4 リフォームフェーズ
リフォームフェーズにおけるセキュリティへの取り組みを以下に示す。
ただし、リフォームにおける設計および生産・施工フェーズについては、表 5-8 および
表 5-9 を参照。

表 5-11 リフォームフェーズにおけるセキュリティへの取組み
No.

項目

1

既導入機器との互換性確認

説明・使用機器等の追加・入替 えおよび情報の追加・更新 を行う際、既導入機器類に影響を及ぼさないか確認する。
※下記は、リフォーム時の利用者（入居者）変更に伴い、機器の廃棄が行われる場合の対策となる。
・機器内にデータが残留したまま廃棄することで想定される
脅威、リスクを取扱説明書等で明示し、利用者へ注意喚起を促すこと。
・ 廃 棄 時 に は 機 器 の 設 定 や メ モ リ 内 の デ ー タ を 初 期 化 (工 場 出

2

機器廃棄方法の周知
荷状態)することを取扱説明書等で推奨する。
・破壊し廃棄することを推奨する場合には、各自治体の規則に従って廃棄処分する旨を取扱説明書等で利用者に明示する。
・サービス事業者は、防犯に関する機器（電子錠やドアロック等）を廃棄する際、廃棄を行う事業者に対して、データの初期化を求めること。

93CCDS-SH02-2023
CCDS-SH03-2023

5.4.5 転売フェーズ
転売フェーズにおけるセキュリティへの取り組みを以下に示す。

表 5-12 転売フェーズにおけるセキュリティへの取組み
No.

項目

1

提供物管理

説明
・キー、カード等の払い出し数と引き渡し数を突き合わせる。
※下記は、転売時の利用者（入居者）変更に伴い、機器の廃棄が行われる場合の対策となる。
・機器内にデータが残留したまま廃棄することで想定される
脅威、リスクを取扱説明書等で明示し、利用者へ注意喚起を促すこと。
・ 廃 棄 時 に は 機 器 の 設 定 や メ モ リ 内 の デ ー タ を 初 期 化 (工 場 出

2

機器廃棄方法の周知
荷状態)することを取扱説明書等で推奨する。
・破壊し廃棄することを推奨する場合には、各自治体の規則に従って廃棄処分する旨を取扱説明書等で利用者に明示する。
・サービス事業者は、防犯に関する機器（電子錠やドアロック等）を廃棄する際、廃棄を行う事業者に対して、データの初期化を求めること。
・次利用者へ免責事項とセキュリティ上の注意事項を周知する。
・ セ キ ュ リ テ ィ 上 の 注 意 事 項 に つ い て は 、 表 4-4 ア フ タ ーフェーズの下記項目を参照。

3

転売後の管理－取扱説明書の提供－ユーザへの注意喚起－最新の脆弱性への対応－機器利用制限94

CCDS-SH02-2023
CCDS-SH03-2023

5.4.6 解体フェーズ
解体フェーズにおけるセキュリティへの取り組みを以下に示す。

表 5-13 解体フェーズにおけるセキュリティへの取組み
No.

項目

説明
・機器内にデータが残留したまま廃棄することで想定される
脅威、リスクを取扱説明書等で明示し、利用者へ注意喚起を促すこと。
・ 廃 棄 時 に は 機 器 の 設 定 や メ モ リ 内 の デ ー タ を 初 期 化 (工 場 出荷状態)することを取扱説明書等で推奨する。

1

機器廃棄方法の周知・破壊し廃棄することを推奨する場合には、各自治体の規則に従って廃棄処分する旨を取扱説明書等で利用者に明示する。
・サービス事業者は、防犯に関する機器（電子錠やドアロック等）を廃棄する際、廃棄を行う事業者に対して、データの初期化を求めること。

95

CCDS-SH02-2023
CCDS-SH03-2023

6 まとめ
本ガイドラインでは、一般的なスマートホームのシステムモデルと、その脅威と対策を検討する例としてユースケースを提示した。その後、スマートホーム向け製品・サービスの分類と、スマートホームの特徴がセキュリティに及ぼす影響を考察して、ユースケース
に対する脅威と対策の分析・評価を行った。また、スマートホームサービスとスマートホー
ム（住宅）を対象に、開発ライフサイクルにおけるセキュリティ対策をまとめた。
今後、スマートホームが普及して、スマートホーム向け製品・サービスが増加することが見込まれるが、その企画・設計・開発に本ガイドラインが適切な対策を取る一助となれ
ば幸いである。

また、本ガイドラインで示したスマートホーム独自方式によるリスク値の計算では、生命・財産への影響と取り扱う情報の重要度を考慮したが、それ以外のスマートホーム特有のセキュリティ特性を取り込む必要があるか今後の検討が必要である。また、本ガイドラ
インで示したリスク分析・評価の手順は実施に時間がかかる課題があり、今後の改良が必要である。
今後は、それらの課題への対応を含めて、内容の更なる充実化を図るだけでなく、新しいスマートホーム向け製品・サービスへの対応や、新しい攻撃手法への対応など、時代の変化に応じたガイドラインの改訂も行いたい。

本書はスマートホーム分野を対象としたセキュリティガイドラインとして作成したが、想定される脅威やライフサイクルにおけるセキュリティの取組みなど、他の分野でも応用できるところがあると考えられる。様々な製品・サービスの開発プロセスにおいてセキュ
リティ対策を考慮するにあたり、本ガイドラインを積極的に活用して欲しい。

そして、最後にスマートホームのサービスや、システム・機器に求められるセキュリティ対策については別冊とし、「CCDS 製品分野別セキュリティガイドライン_スマートホーム編_2023 年版_別紙セキュリティ要件_Ver.1.0」にて定義しており、本書とあわせてご参照いただきたい。

96CCDS-SH02-2023
CCDS-SH03-2023

引用/参考文献[1] NIST IR8425 "Profile of the IoT Core Baseline for Consumer IoT Products",
NIST
https://nvlpubs.nist.gov/nistpubs/ir/2022/NIST.IR.8425.pdf[2] IoT セキュリティガイドライン、IoT 推進コンソーシアム・総務省・経済産業省
https://www.soumu.go.jp/main_content/000428393.pdf[3] 令和 4 年版情報通信白書 第 3 章関連データ、総務省
https://www.soumu.go.jp/johotsusintokei/whitepaper/ja/r04/html/nf3r1000.html[4] つながる世界の開発指針～安全安心な IoT の実現に向けて開発者に認識してほしい重要ポイント～、独立行政法人情報処理推進機構

技術本部

ソフトウェア高信

頼化センターhttps://www.ipa.go.jp/files/000051411.pdf[5] IoT 機器セキュリティ要件ガイドライン 2023 年版_ver1.0、CCDS サーティフィ
ケーション WG
https://www.ccds.or.jp/public/document/other/CCDS_SecGuideIoTReq_2023_v1.0_jpn.pdf[6] IoT 開発におけるセキュリティ設計の手引き、IPA
https://www.ipa.go.jp/security/iot/iotguide.html[7] 「別表第八 電気用品安全法施行令（昭和三十七年政令第三百二十四号）別表第一第六号から第九号まで及び別表第二第七号から第十一号までに掲げる交流用電気機
械器具並びに携帯発電機」
http://www.meti.go.jp/policy/consumer/seian/denan/kaishaku/gijutsukijunkaishaku/
beppyoudai8.pdf[8] 「国際標準化の新規開発提案が承認される」、国立研究開発法人産業技術総合研究所
https://www.aist.go.jp/aist_j/news/nr20180330.html

97

CCDS-SH02-2023
CCDS-SH03-2023[9] クラウドサービス提供における情報セキュリティ対策ガイドライン（第 2 版）、総務省
http://www.soumu.go.jp/menu_news/s-news/01cyber01_02000001_00001.html[10] 製品分野別セキュリティガイドライン IoT-GW 編 Ver.2.0、CCDS セキュリティガ
イドライン WG ホーム GW SWG
https://www.ccds.or.jp/public/document/other/CCDS 製品分野別セキュリティガイドラ
イン_IoT-GW 編_Ver2.0.pdf[11] STRIDE：Microsoft が提唱する脅威の分類手法
https://docs.microsoft.com/ja-jp/azure/security/azure-security-threat-modelingtool-threats[12] IoT システム調達のためのセキュリティ要件フレームワーク、CCDS セキュリティ
技術ワーキンググループ
https://www.ccds.or.jp/public/document/other/CCDS_IoT システム調達のためのセキュ
リティ要件フレームワーク.pdf[13] インシデントとは、JPCERT/CC
https://www.jpcert.or.jp/aboutincident.html[14] つながる世界の開発指針第 2 版、IPA
https://www.ipa.go.jp/sec/reports/20170630.html[15] IoT セキュリティ評価検証ガイドライン Rev1.0、CCDS
https://www.ccds.or.jp/public/document/other/guidelines/CCDS_IoT セ キ ュ リ テ ィ 評
価検証ガイドライン_rev1.0.pdf[16] Common Vulnerability Scoring System v3.0: Specification Document, FIRST(the Forum of Incident Response and Security Teams)
https://www.first.org/cvss/specification-document[17] 共通脆弱性評価システム CVSS v3 概説、IPA
https://www.ipa.go.jp/security/vuln/CVSSv3.html[18] IoT Security & Privacy Trust Framework v2.5、OTA
https://www.internetsociety.org/wpcontent/uploads/2018/05/iot_trust_framework2.5a_Japanese.pdf

98CCDS-SH02-2023
CCDS-SH03-2023[19] Top 10 IoT Vulnerabilities (2014)、OWASP
https://www.owasp.org/index.php/Top_10_IoT_Vulnerabilities_(2014)[20] サイバー・フィジカル・セキュリティ対策フレームワーク Version1.0、経済産業省
https://www.meti.go.jp/policy/netsecurity/wg1/CPSF_ver1.0.pdf[21] ETSI EN 303 645 "Cyber Security for Consumer Internet of Things: Baseline
Requirements", ETSI
https://www.etsi.org/deliver/etsi_en/303600_303699/303645/02.01.01_60/en_303645v
020101p.pdf

99CCDS-SH02-2023
CCDS-SH03-2023

編著者 （敬称略）

主査

積水ハウス株式会社

副査株式会社 LIXIL

スマートホーム WG
旭化成ホームズ株式会社
株式会社アルファ
積水化学工業株式会社
積水ホームテクノ株式会社
文化シヤッター株式会社
大和ハウス工業株式会社
日本システムウエア株式会社
ミサワホーム株式会社
リンナイ株式会社
YKK AP 株式会社株式会社マストトップ

ガイドライン監修委員会
委員長

一般社団法人 重要生活機器連携セキュリティ協議会

代表理事

荻野 司
委員

北陸先端科学技術大学院大学
丹

先端科学技術研究科

教授

康雄

横浜国立大学 大学院環境情報研究院/先端科学高等研究院 准教授
吉岡 克成100