CCDS-GR01-2023

IoT 機器セキュリティ要件
ガイドライン 2023 年版：CCDS-GR01-2023
Ver. 1.0

一般社団法人重要生活機器連携セキュリティ協議会
2022 年 11 月 16 日

Copyright 2021 Connected Consumer Device Security Council Proprietary

CCDS-GR01-2023

更新履歴
リビジョン

更新日

更新内容

策定

1.0 版

2022/11/16

1.0 版策定

CCDS■商標について・本書に記載の会社名、製品名などは、各社の商標または登録商標です。

■おことわり・本書に記載されている内容は発行時点のものであり、予告なく変更することがあります。
・本書の内容を CCDS の許可なく複製・転載することを禁止します。

Copyright 2021 Connected Consumer Device Security Council Proprietary

CCDS-GR01-2023

１．本書の目的
本ガイドラインは、つながる機器における最低限守るべき要件(対策レベル：★星一つ)を定義する。本要件は、つながる機器を用いた IoT 機器、及びシステムにおける最低限守るべき要件としての適用を想定する。

２．CCDS サーティフィケーションマークの対象
CCDS サーティフィケーションマークの付与対象は、インターネットプロトコルを使用可能なハードウェアインタフェース及びソフトウェアインタフェースを実装した機器及びシステムとなる。また IoT 機器において、脆弱性や攻撃が比較的多くみられる Wi-Fi、Bluetooth、USB のインタフェースを有する機器及びシステムについても対象とする（下記
図 1～3 を参照）。

図1

図2

対象インタフェースを実装したマーク対象製品の例１：ブロードバンドルータ

対象インタフェースを実装したマーク対象製品の例２：カーナビゲーションシステム

Copyright Connected Consumer Device Security Council Proprietary1

CCDS-GR01-2023

図3

対象インタフェースを実装したマーク対象製品の例３：ウェブカメラ

３．IoT 機器セキュリティ要件
本書の IoT 機器セキュリティ要件_2023 年版（CCDS-GR01-2023）を一覧として表 1 に示す。また個々の IoT 機器セキュリティ要件の詳細については、表 2 に示す。

Copyright Connected Consumer Device Security Council Proprietary2

CCDS-GR01-2023

表1

CCDS IoT 機器セキュリティ要件_2023 年版（CCDS-GR01-2023）一覧
セキュリティ要件
分類

要件の対象・目的（サブセットの ID、セキュリティ要件）

ID1）IoT 機器の機能要件

1-1

1-2

アクセス制御及び認証
1-1-1

TCP/UDP ポートの無効化

1-1-2

認証情報の変更

識別、アクセス制御、構成変更、権限管理、認証

データ保護
1-2-1

データ消去

データ保護、
認証情報・鍵情報保護

1-3
ソフトウェア更新
1-42）IoT 機器の運用における

2-1

要件

2-2

運用中インシデント対応

特にインシデントが多く影響度が大きい要件
1-4-1

Wi-Fi の認証方式

1-4-2

Bluetooth の対策

1-4-3

USB のアクセス制御

1-4-4

インジェクション対策

連絡窓口・セキュリティサポート体制

運用中インシデント対応
セキュリティ対応状況の製品に関する文書管理
明文化3）IoT 機器の監査に関する要件

2-3

利用者への情報提供

3-1

ログの記録
3-1-1

運用サポート
運用中インシデント管理

時間管理機能Copyright Connected Consumer Device Security Council Proprietary3

CCDS-GR01-2023

表２
ID

個別の IoT 機器セキュリティ要件詳細
SubID

改定分類

セキュリティ要件

脆弱性の種類説明（脅威の背景・事例）

１．IoT 機器の機能要件
1-1

－

変更

アクセス制

■必須要件

CWE-287：不適[脅威の背景]御及び認証①

ユーザ（一般ユーザ及び特権ユーザ）

切な認証

システム運用上、必要な開放ポートに対して、や他の IoT 機器によって、対象機器をCWE-264 ： 認

TCP/UDP セッションでの適切な認証あるいは一意に識別可能な ID を有すること。

可・権限・アク通信アクセス制御が行われておらず、機器内デシステム運用上、利用が必要な

セス制御ータの情報漏洩や、権限昇格（管理機能の掌握）②③

TCP/UDP 通信については、ユーザや等の問題を生じる可能性がある。

他の IoT 機器からのアクセスに対し[事例]て、適切な認証、あるいはアクセス制

・Wi-Fi 無線ルータ、IP カメラ等御が行われていること。認証について[参考]は、デフォルトパスワードは、機器毎

技術基準適合認定（電気通信事業法令）関連要に異なる一意の値を設定しているこ

件と。

・規則第 34 条の 10 第 1 号関係

ユーザ認証では連続したログイン試行による攻撃への対処として、一定回数

アクセス制御機能・同第 4 号関係を越えるログイン試行に対して特権ユ

電力供給停止時のアクセス制御機能、ソフト

ーザあるいは機器の運用（保守）担当

ウェア維持の機能者へのアラート通知、あるいは対象ア

NIST IR8425 関連要件

カウントを一定時間無効化する等の対#1 Asset Identification

策を行うこと。

#2 Product Configuration#4 Interface Access Control

Copyright Connected Consumer Device Security Council Proprietary

4CCDS-GR01-2023

ID

SubID

改定分類

セキュリティ要件④⑤

脆弱性の種類説明（脅威の背景・事例）

機器のセキュリティ関連機能を含め、

ETSI EN 303 645 関連要件

重要な構成変更を行う機能については

5.1 No universal default passwords

ユーザを識別、認証し、特権ユーザあ

5.4

るいは機器の運用（保守）担当者以外

parametersによる機能の実行を制限すること。

5.5 Communicate securely

障害等によるネットワークの停止後、

5.9 Make systems resilient to outages

Securelystore

sensitive

security

他機器との接続において、アクセス制
御や認証のプロセスを経由し、安全な状態での接続を再確立できること。

■推奨要件
－
1-1

1-1-1

変更

TCP・UDP

■必須要件

ポートの無

①

効化
②

CWE-671：セ[脅威の背景]システム運用上、開放が不要な TCP・

キュリティに対機能やサービス上必要のない TCP/UDP ポート

UDP ポートは停止しておくこと。

する管理者制御を開放しておくことで、サイバー攻撃に悪用さシステム運用上、開放が必要なポートの欠如（不要なれる恐れがある通信が可能となる。

については、脆弱性検査により、所定のTCP、UDP ポ[事例]

合格基準を満たしていることを提示すート開放）・Wi-Fi 無線ルータ、IP カメラ等

ること。

[参考]
NIST IR8425 関連要件

■推奨要件

※明示される関連要件なし ETSI EN 303 645
関連要件

Copyright Connected Consumer Device Security Council Proprietary5

CCDS-GR01-2023

ID

SubID

改定分類

セキュリティ要件①

脆弱性の種類

開放している TCP/UDP ポートを識別

説明（脅威の背景・事例）
5.6 Minimize exposed attack surfaces

可能であり、開放/停止を変更できる機能を実装する。
②

TCP/UDP ポートの開放/停止を変更す
る機能については、特権ユーザあるいは機器の運用（保守）担当者以外による実行を制限する。

1-1

1-1-2

変更

認証情報の

■必須要件

CWE-259：パス[脅威の背景]変更①

認証情報の設定変更を可能とし、ユーワードがハード

機器やアプリケーションにアクセスする際のザ ID 及びパスワードなどの認証情報

コーディングさID とパスワード情報などの認証情報が、ハードがハードコーディングされていないこ

れている問題コーディングしているケースや、設定変更を不と。

CWE-255：証明

可とする実装により、認証情報が危殆化してしデフォルトパスワードが機器毎に異な書・パスワード

まった場合に対応がとれず、脆弱性につながる一意の値を設定できない場合、初回

管理

る。

②

③

起動時にユーザによるパスワード変更[事例]

を必須とする機能を実装すること。

・Wi-Fi 無線ルータ、IP カメラ、医療機関シス

認証情報の設定変更機能は、特権ユー

テム等

ザあるいは機器の運用（保守）担当者以[参考]外による機能の実行を制限すること。

技術基準適合認定（電気通信事業法令）関連要
件

■推奨要件

規則第 34 条の 10 第 2 号関係

Copyright Connected Consumer Device Security Council Proprietary

6

CCDS-GR01-2023

ID

SubID

改定分類

セキュリティ要件

脆弱性の種類－説明（脅威の背景・事例）
アクセス制御機能に係る識別符号の初期状態
変更を促す機能
NIST IR8425 関連要件
#2 Product Configuration#4 Interface Access Control
ETSI EN 303 645 関連要件
5.1 No universal default passwords
5.4

Securelystore

sensitive

security

parameters
1-2

－

新規

データ保護

■必須要件

CWE-200：情報[脅威の背景]①

機器本体のストレージ領域へ保存され漏洩

本体ストレージやメモリ領域、通信経路においる情報資産については、不正なアクセ

CWE-310：暗号て暗号化等のデータ保護対策に不備や脆弱性

スや変更から保護することができるこの問題があり、情報の漏洩につながる。また暗号化にと。
（SD カード等、ストレージメディ

CWE-255：証明使用される証明書の管理方法の不備や脆弱性

アに格納するデータについても同様と書・パスワード

から、データ解析につながる可能性がある。

する）

管理

[事例]

②

③

他の IoT 機器やサーバ（クラウド上の・Windows、Linux 等の OS、OpenSSL 等のソサーバを含む）へ送信される情報資産

フトウェアモジュール、医療機器用の画像ビュについて、情報の漏えいや変更から保ーアなど多数護することができること。

[参考]

機器内に認証情報（パスワード、秘密鍵

NIST IR8425 関連要件など）を保存する場合、ネットワーク経#3 Data Protection

Copyright Connected Consumer Device Security Council Proprietary

7

CCDS-GR01-2023

ID

SubID

改定分類

セキュリティ要件

脆弱性の種類説明（脅威の背景・事例）

由での不正アクセス（改ざん、盗聴な

ETSI EN 303 645 関連要件

ど）から保護された領域で管理するこ5.4 Securely store sensitive securityと。

parameters
5.5 Communicate securely【備考】

5.8 Ensure that personal data is secure

情報資産として取り扱うデータについて
は、製品/サービスごとにリスク分析を行い、対象となる情報を明確化しておく。

■推奨要件
①

暗号化及び改ざん防止対策を行い、採用する暗号方式や鍵管理の方法については、以下を参考にガイドラインに準拠した実装とする。

②

暗号化に使用する鍵や証明書は、不正なアクセスや変更から保護する。

【暗号技術に関連するガイドライン】-「電子政府における調達のために参照すべき暗号のリスト(CRYPTREC 暗号リスト)」（最終改訂: 2022 年 3 月 30
日、CRYPTREC LS-0001-2012R7）

Copyright Connected Consumer Device Security Council Proprietary8

CCDS-GR01-2023

ID

SubID

改定分類

セキュリティ要件-

脆弱性の種類説明（脅威の背景・事例）「暗号強度要件（アルゴリズム及び鍵長選択）に関する設定基準」（初版：
2022 年 6 月、CRYPTREC LS-00032022）【上記ガイドラインの補足文書】-「CRYPTREC 暗号技術ガイドライン(SHA-1) 改定版」(CRYPTREC GL2001-2013R1)-「CRYPTREC 暗号技術ガイドライン(軽量暗号)」(CRYPTREC GL-20032016JP)-「暗号鍵設定ガイダンス」(CRYPTREC GL-3003-1.0)-「暗号鍵管理システム設計指針 (基本編) 」(CRYPTREC GL-3002-1.0)-「 TLS 暗 号 設 定 ガ イ ド ラ イ ン 」(CRYPTREC GL-3001-3.0.1)

1-2

1-2-1

変更なし

データ消去

■必須要件

CWE-226：リソ[脅威の背景]①

利用者の設定した情報、および機器がース内の機密情機器やアプリケーションが保持するセキュリ

利用中に取得した情報は、容易に消去

報が再利用前にティ上の設定値、機密情報、プライバシー情報できる機能を有すること。

削除されない等の削除機能を実装しておらず、廃棄時やリユ

Copyright Connected Consumer Device Security Council Proprietary

9CCDS-GR01-2023

ID

SubID

改定分類

セキュリティ要件②

脆弱性の種類説明（脅威の背景・事例）

情報消去後も、更新されたシステムソース時に機密情報やセキュリティ設定値、プラ

フトウェアは維持されること。

イバシー情報などが漏洩する可能性がある。
[事例]

■推奨要件

・PC、USB メモリスマートフォン－[参考]
NIST IR8425 関連要件
※明示される関連要件なし
ETSI EN 303 645 関連要件
5.11 Make it easy for users to delete user
data

1-3

－

変更

ソフトウェ

■必須要件

CWE-1277: フ[脅威の背景]ア更新①

ソフトウェア更新が可能なこと。

ァームウェアがソフトウェアやファームウェアに脆弱性が見②

ソフトウェア更新された状態が電源

アップデート可

つかった場合に、更新を行う機能が実装されてOFF 後も維持できること。

能となっていな

いない事で、セキュリティホールを突かれた攻ソフトウェアを更新後、バージョンのい撃を受ける可能性がある。

③④

確認が行なえるなど、ソフトウェアの[事例]

インストールが正常に完了したことを・Wi-Fi 無線ルータ、IP カメラ等

確認する手段を有すること。

[参考]

更新対象のソフトウェアについては、

技術基準適合認定（電気通信事業法令）関連要

更新プロセスを含め、改ざん等がなく、件

正規のソフトウェアだけをアップデー

規則第 34 条の 10 第 3 号関係

トできることを申請者が保証すること

ソフトウェアの更新の機能

Copyright Connected Consumer Device Security Council Proprietary

10

CCDS-GR01-2023

ID

SubID

改定分類

セキュリティ要件（改ざんへの対策）。

脆弱性の種類説明（脅威の背景・事例）
NIST IR8425 関連要件

【備考】

#5 Software Update

ソフトウェア更新の実行は自動的に開始さ

ETSI EN 303 645 関連要件

れる方法、あるいは明示的に管理責任を有

5.3 Keep software updated

する保守員や特権ユーザが手動で実施する

5.4

方法のどちらも要件を満たすものとする。

parameters

Securelystore

sensitive

5.7 Ensure software integrity■推奨要件①

更新用ソフトウェアをインストールする際、機器側でソフトウェアの真正性を検証する仕組みを有する（改ざんへ
の対策）
。

②

更新用ソフトウェアは、通信経路の暗号化、あるいは送信時にデータの暗号化を行う（データの保護）。

③

ソフトウェア更新機能を無効化する機能を実装する場合は、特権ユーザある
いは機器の運用（保守）担当者以外による実行を制限する。

④

アップデートに関する通知を有効または、無効に変更することが可能である。

Copyright Connected Consumer Device Security Council Proprietary

11

securityCCDS-GR01-2023

ID
1-4

SubID

改定分類

1-4-1

変更なし

セキュリティ要件
Wi-Fi の認証

■必須要件

方式

①

脆弱性の種類説明（脅威の背景・事例）

CWE-326：強度[脅威の背景]Wi-Fi Alliance ®（ワイファイ アライを持った暗号化

Wi-Fi 機器において使用される通信暗号化の方

アンス）推奨の最新の認証方式が装備方式で保護して式が最新のものではなく脆弱な暗号化プロトされていること。

いない問題（最コルや、暗号化アルゴリズムが使用されてい新の Wi-Fi 通信

る。

■推奨要件

方暗号化機能の

[事例]

－

未実装）

・Wi-Fi 無線ルータ[参考]
NIST IR8425 関連要件
#4 Interface Access Control
ETSI EN 303 645 関連要件
5.5 Communicate securely

1-4

1-4-2

変更なし

Bluetooth の

■必須要件

対策

①

②

③

CWE-287：適[脅威の背景]Bluetooth SIG 推奨の最新のペアリン

切でない認証①

グ方式が装備されていること。

（最新のリングする機器同士が、共通の「PIN コー

Bluetooth における不要なプロファイ

Bluetooth ペア

ド」と呼ばれる数字を入力する方式となっルを認識しないこと。

リング機能の未ている。一般的には「0000」など、4 桁のBluetooth の Blueborne 脆弱性の脆弱実装）

数字入力による実装が多く、値の決め打ち

性がないこと。

Bluetooth 2.0+EDR 以前の仕様では、ペアで攻撃されてしまい、容易にセキュリティが破られる。

■推奨要件

②

－

Copyright Connected Consumer Device Security Council Proprietary

不要な Bluetooth のプロファイル実装により、攻撃を受ける可能性がある。

12

CCDS-GR01-2023

ID

SubID

改定分類

セキュリティ要件

脆弱性の種類説明（脅威の背景・事例）③

Blueborne の脆弱性が内在している機器を利用することで、第三者に機器を自由に操作されてしまう可能性がある。

[事例]
・Bluetooth 2.0+EDR 以前の機器・Bluetooth 機能を実装し、Blueborne の脆弱性が潜在する恐れのある OS バージョンを使用している機器[参考]
NIST IR8425 関連要件
#4 Interface Access Control
ETSI EN 303 645 関連要件
5.6 Minimize exposed attack surfaces
1-4

1-4-3

変更

USB のアク■必須要件

CWE-284：不適[脅威の背景]セス制御① USB インタフェースへの適切なアクセ

切なアクセス制

不要なデバイスクラスの実装により、マルウェ

ス制御及び、アクセス権限の制限を行うこ

御アなどによる攻撃を受ける可能性がある。
[事例]と・USB 実装機器全般
■推奨要件
①

②

[参考]

サービス上、不要な USB 接続端子にNIST IR8425 関連要件

ついては、実装を行わない。

#4 Interface Access Control

USB 接続端子（ポート）は、運用担当

ETSI EN 303 645 関連要件

Copyright Connected Consumer Device Security Council Proprietary

13

CCDS-GR01-2023

ID

SubID

改定分類

セキュリティ要件

脆弱性の種類説明（脅威の背景・事例）
5.6 Minimize exposed attack surfaces

者以外が使用しにくい状態とするよう対策を行う。
1-4

1-4-4

変更

CWE-78：OS[脅威の背景]Web 入力経由によるインジェクション

コマンドインジ

ユーザからの入力に含まれるコマンドの挿入などの脆弱性のうち、影響が大きい問ェクション

やパス名の操作により、バックエンドのデータ

題は、対策済みであること。

CWE-89：ベースを改ざんやシステムコマンドの実行、セSQL インジェ

キュリティチェックの回避等に利用される可

■推奨要件

クション

能性がある。

－

CWE-352：ク[事例]

ロスサイトリク・Wi-Fi 無線ルータ（CVE-2015-6319）

エストフォージ

・Wi-Fi 無線ルータ（CVE-2014-7270）

ェリ（CSRF）

・IP カメラ（CVE-2017-7461）

CWE-22：パ[参考]

ス・トラバーサ

NIST IR8425 関連要件

ル

#4 Interface Access Control

インジェク

■必須要件

ション対策

①

ETSI EN 303 645 関連要件
5.13 Validate input data
２．IoT 機器の運用における要件
2-1

－

変更

■必須要件
①

②

該当 CWE なし[背景]

製品の脆弱性に関する連絡窓口があ

IoT 機器を対象とした国内外のセキュリティ標

り、公開していること。

準において、製品を提供する事業者に対する組

タイムリーな製品のセキュリティアッ

織体制や運用に関する基準が示されている。

Copyright Connected Consumer Device Security Council Proprietary

14

CCDS-GR01-2023

ID

SubID

改定分類

セキュリティ要件

脆弱性の種類説明（脅威の背景・事例）[参考]

プデートを行う仕組みを有すること。

NIST IR8425 関連要件
■推奨要件

#8 Information and Query Reception－

ETSI EN 303 645 関連要件
5.2 Implement a means to manage reports ofvulnerabilities
5.3 Keep software updated

2-2

－

新規

製品に関す

■必須要件

る文書管理

①

該当 CWE なし[背景]

製品のライフサイクルを通じて、サイIoT 機器を対象とした国内外のセキュリティ標

バーセキュリティに関する情報を明確

準において、製品を提供する事業者に対する組化し、文書として記録、更新を含め管理

織体制や運用に関する基準が示されている。

を行うこと。

[参考]
NIST IR8425 関連要件

■推奨要件

#7 Documentation－

ETSI EN 303 645 関連要件
※明示される関連要件なし

2-3

－

新規

利用者への

■必須要件

情報提供

①

②

該当 CWE なし[背景]

初期設定の方法など、利用上、サイバーIoT 機器を対象とした国内外のセキュリティ標セキュリティに影響が生じる設定や使準において、製品を提供する事業者に対する組

用方法については、安全に利用できる織体制や運用に関する基準が示されている。

手順を利用者に明示すること。

[参考]

製品のソフトウェア更新の内容や必要

NIST IR8425 関連要件

Copyright Connected Consumer Device Security Council Proprietary

15

CCDS-GR01-2023

ID

SubID

改定分類

セキュリティ要件③④⑤

脆弱性の種類説明（脅威の背景・事例）性、更新を行わない場合の影響などを#9 Information Dissemination

利用者へ周知すること。

#10 Product Education and Awareness

想定される事故や障害に対して、免責

ETSI EN 303 645 関連要件事項を利用者へ周知すること。

5.2 Implement a means to manage reports of対象製品やサービスのサポート期限やvulnerabilities

サポート終了時の方針を利用者に通知

5.3 Keep software updatedすること。

5.11 Make it easy for users to delete user data

機器内にデータが残留したまま廃棄す

5.12 Make installation and maintenance of

ることで想定されるリスクや、データ

devices easy

消去を含む機器の安全な廃棄方法を利用者へ周知すること。
■推奨要件－
３． IoT 機器の監査に関する要件
3-1

－

新規

ログの記録

■必須要件

CWE-778：不十

[背景]

－

分なロギング製品のインシデントレスポンス対応やセキュ
リティ監査において、事後の分析や対応検討の■推奨要件

ためには、ログデータ（監査証跡）の取得や記①

監査証跡の取得機能、蓄積機能を実装録が必要となる。IoT 機器を対象とした国内外

し、特権ユーザあるいは機器の運用のセキュリティ標準においても、サイバーセキ（保守）担当者）による監査証跡の読ュリティの状態認識を目的としたログの記録

み出しを可能とする。

が要件に組み込まれている。

Copyright Connected Consumer Device Security Council Proprietary

16

CCDS-GR01-2023

ID

SubID

改定分類

セキュリティ要件②③

脆弱性の種類説明（脅威の背景・事例）

監査証跡については監査に必要な容量[参考]を確保※し、監査証跡の保存容量を超NIST IR8425 関連要件

過した場合には、古い記録から順次上#6 Cybersecurity State Awareness

書きするなど、管理上の対策を行う。

ETSI EN 303 645 関連要件

監査証跡は不正な情報削除や変更を防

5.2 Implement a means to manage reports of止する対策を行う。

vulnerabilities
5.7 Ensure software integrity【備考】
・

監査証跡の蓄積は、機器またはサーバ側のいずれか（あるいは双方）が有す
るものとする。

必要な容量については、製品ごとの利用用途を踏まえ、別途検討を行うこと。
3-1

3-1-1

新規

時間管理機

■必須要件

能

－

該当 CWE なし[背景]
ログデータ（監査証跡）の時系列に沿った記録、事後の分析過程において、発生日時の適切な時

■推奨要件
①

間管理が求められる。

セキュリティイベントの監査証跡の発生日時を記録するため、時間管理機能

[参考]

を有する。

NIST IR8425 関連要件
※明示される関連要件なし【備考】

ETSI EN 303 645 関連要件

Copyright Connected Consumer Device Security Council Proprietary

17

CCDS-GR01-2023

ID

SubID

改定分類

セキュリティ要件
時間管理機能は、機器またはサーバ側のい脆弱性の種類説明（脅威の背景・事例）※明示される関連要件なし

ずれかが有することで、イベントの発生日時が管理できれば要件を満たすものとする。

Copyright Connected Consumer Device Security Council Proprietary18