参考資料

IoT機器・システムのセキュリティに関する認証制度について
⼀般社団重要⽣活機器連携セキュリティ協議会

Copyright 2017 Connected Consumer Device Security Council Proprietary1

CCDSでの議論（まとめ）認証マーク ［必要」
★消費者保護の視点 （参考：⽶国FTCとASUS訴訟事案）－セキュリティ対策レベルの⾒える化★セキュリティ対策 コストから投資へ－投資・差別化要素とする。
認証マークスキーム：★検証：セルフチェック（第三者による検証スキームも⽤意）★認証：最低限守るべき要件と製品分野毎に各々で⽤意① つながる機器としての最低限のセキュリティ要件⇒ 第三者認証（⾏政がエンドース）② 分野毎に異なる機能に対するセキュリティ要件⇒ 業界認証（２者認証⽅式）
検証⽅法： IoT機器（規模）にあったLight weightな基準★プロセスチェック：
セキュリティを考慮したという証跡の有無を⽰すプロセスを提⽰★レベルチェック：ガイドラインに明⽰された検証⼿法と結果に到達の有無のみ提⽰
Copyright 2017 Connected Consumer Device Security Council Proprietary2

CCDS 製品分野別WG
⾞載機ＷＧ
スマートホーム
ＷＧ
⾦融ATM
ＷＧ
決済端末POSＷＧ

主査：JVCケンウッド
主査：積水ハウス
副査：LIXIL
主査：日立オムロンターミナルソリューションズ
主査：オムロンソーシアルソリューションズ

セキュリティ技術ＷＧ

主査：セルテック
副査：大日本印刷

ユーザビリティ
ＷＧ

主査：SDテック
副査：Ueye’sデザイン

⼈材育成ＷＧ

主査：デロイト トーマツ リスクサービス
副査：トレンドマイクロ

Copyright 2017 Connected Consumer Device Security Council Proprietary3

論点１ IoT機器の対象範囲• IoT機器の対象範囲– ネットと繋がった機器（単独）• 外部から攻撃を受ける、⾃⾝が攻撃者になる– ネットが繋がった機器と繋がったシステム（複数機器連携）• 繋がる機器から攻撃を受ける、⾃⾝が攻撃者になる• IoT機器の守るべきセキュリティが必要な範囲– 外部ネットワーク（キャリア網経由）:WANに接続• 他機器、システムへのエントリーポイントとなりうる。
– 従って、最低限の守るべきセキュリティは必要– 内部ネットワーク：LAN• LAN内に外部と繋がる機器がある場合– WAN⽤機器として扱う必要• 無い場合– WANへの転⽤が可能な場合には、WAN機器として扱う必要

Copyright 2017 Connected Consumer Device Security Council Proprietary4

論点２ 守るべきセキュリティ
1. セキュリティ要件は、製品分野毎に異なる– 製品分野毎に異なるセキュリティ要件（対策コスト、被害コスト）• 必要機能：ex.表⽰、蓄積• 構成要素：ex.OS,⼊出⼒

従って、製品分野毎にセキュリティ要件を設定する必要がある。

2. 繋がる製品機器（システム）間で異なるセキュリティレベ
ルが存在すると、低いところがエントリーポイントとなる。
3. WANに繋がるIoT機器には、最低限必要なセキュリティ要件が必要
従って、共通の最低限守るべきセキュリティ要件を設定する必要がある。
Copyright 2017 Connected Consumer Device Security Council Proprietary5

論点３ セキュリティレベルの⾒える化• IoT機器、IoT機器を使ったサービスにおけるセキュリ
ティ状況の開⽰：消費者保護– 使⽤者、購買者（企業調達者）への情報開⽰– 品質管理（体制、基準、実施、結果,etc）の⾒える化が必要
ー＞基準、結果の⾒える化（情報の公開）• 製品分野毎に異なるセキュリティ要件をどのように公開、周知させるか？他製品分野と繋がった場合？
– 業界団体毎で認証（⾃主認証含む）• 実施基準、実施⼿法、実施結果の体制構築と公開（⾒える化等）
基準の策定• 既存基準との整合性、海外基準との整合性– 業界団体毎のセキュリティ要件との整合、調整• サプライチェーン

Copyright 2017 Connected Consumer Device Security Council Proprietary6

論点４ 認証主体（⾃主認証、業界認証、⾏政認証）• ⾃主認証(ex.Appleアプリ)– メーカ側の品質基準による。⽇本国内のIoT機器セキュリティの向上は市場原則に依存する。

• 業界認証（ex.EchonetLite)– 製品特有の守るべきセキュリティ要件を設定する。
– 個社でなく、業界として⼀定の要件を定めるため、⾃主認証に⽐べて、周知をしやすいい。⼀⽅、品質基準は、メーカ側依存。
• ⼤会社だけなく中⼩会社も含めた要件にできるか？
• 認証が製品のブランドとして意味付け（価格反映）できるか？
• 業界毎の認証マークの違いの周知？

• ⾏政認証(ex.IEC62443(EDSA),ISO/IEC15408(CC))– 最低限守るべきセキュリティ要件を設定する。
– 業界認証に⽐べて、周知をしやすく、ブランドとしての意味付けの効果に期待はできる。
• 基準を明確にし、運⽤も透明化する必要がある。
• 認証スキームの簡素化が必須（認証コストの低廉化）

Copyright 2017 Connected Consumer Device Security Council Proprietary7

論点５ 検証主体（⾃主検証、第三者検証）• ⾃主検証– 製品に適切なセキュリティ要件を、開発時から実施可能なので、• 企画・設計段階からSecurity byDesignを実施することが可能• 第三者検証に⽐べれば検証にかかるコストは安価となる– 考慮点• メーカ側の品質体制に依存• 中⼩メーカ等の⾃主的に実施できない場合への対策• 輸⼊販売代理店等の⾃主的に実施できない場合への対策• 第三者検証– 検証機能を開発要件から切り離し独⽴性を担保する• セキュリティ要件に従って、厳格な検証結果が得られる• ⾃社に検証体制を持てないメーカにアウトソースが可能– 考慮点• メーカ側と第三者検証側で煩雑な⼿続きのが懸念（簡素化）• 製品情報の開⽰、実施結果情報、対策⼿法の開⽰などへの懸念
Copyright 2017 Connected Consumer Device Security Council Proprietary

8

参考資料

9

総務省
「⼀定のセキュリティを確保したIoT機器の認証のための仕組みの構築に向けた調査結果」より

調査会社：株式会社マストトップ社
監修：（⼀社）重要⽣活機器連携セキュリティ協議会

10

報告書

⽬次内容

1. 本調査の⽬的・背景

4

1.1

IoTセキュリティの課題

4

1.2

IoTセキュリティ認証の必要性

4

1.3

⽤語5

2.

事業推進体制・実施計画

62.1

本調査における事業推進体制

6

2.2

具体的な実施計画

7

3. IoT機器認証に関する基本的な調査・分析

93.1

機器認証に対するIoT機器製造事業者のニーズの調査

93.2

IoT機器の脆弱性についての調査

18

４. IoT機器認証の制度構築に向けた検討

41

4.1

41

IoT機器認証業務のプロセス設計

4.2 IoT機器認証業務のシステム化の検討
4.3 認証申請⼿続のシミュレーションと問題点の洗い出し
５． IoT機器のセキュリティ評価検証ガイドライン案等の策定
5.1 IoT機器のセキュリティ評価検証ガイドライン案の策定
5.2 認証利⽤規約案の策定
６. ヒアリング会の開催、ワーキンググループでの検討状況報告
6.1 実施したヒアリング会における協議事項と結果
6.2 参加したワーキンググループにおける協議事項と結果
７. 認証マーク策定に向けた今後の課題

65
75
8181
113
119
119
123
124

11

機器認証に対するIoT機器製造事業者のニーズの調査(１)各企業に対するヒアリング調査

下記のIoT機器製造事業者に対してニーズ調査を実施
種別

住宅設備機器メーカ

選定理由

ガス調理機器、ガス温⽔機器等の製造。ネットワークに接続可能な先端的設備機器を開発。

広範なIoT家電製品の製造を⾏う国内最⼤⼿企業でホームネットワーク関係機器あり、製品セキュリティ⾏政部、品質・環境保証メーカ部の担当者へヒアリングを⾏う。

通信機器メーカ

重電製品からIoT家電製品にいたる広範な機器の製造業者であり、CCDS製品分野別セキュリティガ
イドラインのIoT-GW編の策定WG座⻑

⾞載器メーカインフォテイメント⾞載機器の製造を⾏う⼤⼿企業であり、CCDS製品分野別セキュリティガイド
ラインの⾞載編の策定WG座⻑12

機器認証に対するIoT機器製造事業者のニーズの調査(２) ヒアリング結果の分析・考察①
１）認証マークの要否
・ヒアリングの結果、認証マークは不要という回答はなし
・認証マークによる利⽤者へのセキュリティ認知度の向上とセキュリティ対策済み製品として訴求できる価値を理解する声が多かった。
２）認証マークの仕組み
・認証スキームは、基本的に⼆者認証(⾃主検証、第三者検証併⽤)とする要望が⾼かった。
・取得にあたり、あまり多くの費⽤が掛かっては、その費⽤回収に必要な売上げも多⼤となってしまう。⼀定のセキュリティ安全性が確保できるレベルを維持しつつ、簡易な⼿続きや評価⽅法により誰でも認証マーク取得を検討できるバランスのある制度が求められている。
・リリース⽇程の⻑期化を懸念する声に対して、申請から認証判定に要する期間は、できるだけ⼈⼿をかけずに短くできる⼯夫が求められる。
13

機器認証に対するIoT機器製造事業者のニーズの調査(３) ヒアリング結果の分析・考察①

３）認証マークの活⽤、取得情報の開⽰⽅法等
・認証マーク表⽰の要望は⾼かったが、表⽰⽅法は事業判断とする声が多い。認証マークの乱⽤を避ける意味でも、表⽰ガイドを提⽰し、事業者が選択できる形がよいと考える。
・認証マークを取得したメーカ（フロントランナー）からフィードバックされた情報として、認証マーク取得時の参考となる、開発時や評価時に留意すべきことなどの情報提供
サービスがあれば、IoT機器メーカでのセキュリティ対応も向上し、認証マークを取得する動きも加速すると考えられる。

14

IoT機器の脆弱性についての調査(１)統計的アプローチによる調査結果①
過去の脆弱性DB(NVD)より、リスク分析による深刻度の⾼い脆弱性Top20を抽出する調査結果を活⽤し、123のCWEそれぞれについて、CVSSv3の結果が「High」と「Critical」となるインシデント数の多いCWEを特定した総数合計(C+H)ID

Vulnerability1

CWE-119

Buffer Errors

3,352

867

1,988

2,855

2

CWE-264

Permissions, Privileges,
and Access Control

1,667

151

1,204

1,355

3

CWE-284

Improper Access Control

1,693

161

773

934

4

CWE-20

Improper Input Validation

1,319

156

589

745

5

CWE-200

Information Exposure

1,877

51

388

439

6

CWE-89SQL Injection

397

208

157

365

7

CWE-352

Cross-Site Request Forgery (CSRF)

347

3306

309

8CWE-399

Resource Management Errors

547

6260

266

9CWE-416

Use After Free

298

115

13925410CWE-125

Out-of-bounds Read422

32180

212

11CWE-22

Path Traversal

295

29161

190

12CWE-190

Integer Overflow or Wraparound

225

59124

183

13

CWE-254

Security Features

370

43

129

172

14CWE-476

NULL Pointer Dereference

348

31134

165

15

CWE-287

Improper Authentication

193

9067

157

16

CWE-77

Command Injection

162

64

88

152

17

CWE-787

Out-of-bounds Write

173

5493

147

18

CWE-426

Untrusted Search Path

118

2114

116

19

CWE-255

Credentials Management

1485756

113

20

CWE-19

Data Processing Errors

150

158297

CriticalHigh15

IoT機器の脆弱性についての調査(２)既存のセキュリティ要件、有識者へのヒアリングによる調査結果

１）有識者へのヒアリングによる調査結果
追加の指摘があった基礎的な脆弱性①不要な待ち受けポートがないか②Wi-Fi/BTの通信⽅式の確認③外部とのI/Fにおいて既知の脆弱性が対策されているか④廃棄やリユース時の考慮

２）海外におけるIoTセキュリティに関する認証要件や調達要件の調査結果

EDSA認証とUL2900は、セキュリティ機能の妥当性(開発プロセス、静的ソースコード解析)と脆弱性の残存確認(ツールによる評価)を⾏うもの

UL2900は、IoT Cybersecurity Improvement ACT 2017にある下記の要件を満たせるように設計されているよう⾒受けられた・既知の脆弱性の排除
・認証ID・パスワードの不適切（ハードコーディング、変更不可等）な実装・アップデートできない（セキュアにアップデートできない）

ISO15408は、評価の観点は参考になるが、定義したPPに対する設計・開発・実装の妥当性の観点のみのため、今回検討している認証とは性格が異なる
調達要件には、納品前にセキュリティの問題がないこと、アップデート修正可能なこと、認証機能のハードコードの回避を確認することのみ要求されており、評価⼿法に⾔及しているものはなかった

16

IoT機器の脆弱性についての調査(３)調査結果にもとづくIoTセキュリティ要件の整理①(３)IoT機器が満たすべきセキュリティ要件の案
統計的に重要と思われる脆弱性と、有識者ヒアリングにおいて指摘のあった脆弱性および海外の認証制度の要件や調達要件を調査し、総合的にIoTセキュリティ要件を検討した。
○統計的に影響度が⾼く重要と考えられる脆弱性
・ 「3.1.2 IoT機器の脆弱性についての調査」より統計的に重要な脆弱性
Top20の抽出を⾏った。
・CWE Top20のうち5つ（#264, #399, #254, #255, #19）は、複数のCWEをまとめたCWEとなるためリストから除外している。
○既存のセキュリティ要件、有識者によるヒアリング調査にもとづく脆弱性
・統計的には少数だが、有識者より指摘されるIoTの分野共通的な脆弱性
・海外の認証要件や調達要件となっている要件、脆弱性・上記の脆弱性について、検証ツールによる評価で脆弱性を発⾒でき、解決を確認できるものと、開発プロセスでの設計やコーディングレベルのレビューを要するもの
17

IoT機器の脆弱性についての調査(３)調査結果にもとづくIoTセキュリティ要件の整理②
・統計的アプローチや、有識者へのヒアリング、海外の認証プログラムの調査結果をもとに、IoTセキュリティ要件の候補を以下のように整理。
最低限対策すべき脆弱性（４象限の分類）

太字：IP A 10大脅威にある重要度の高いもの

統計には表れない対策が必要な脆弱性

統計的見地から対策が必要な脆弱性

ツール検証が可能

C W E -IDA -1

1

C W E -119 B uffer E rrors（バッファオーバーフロー）

B -1

A -3

4

C W E -20

B -2等）

In form ation L eak / D isclosu re

5

C W E -200

A -56C W E -89

A -6

7

C W E -352

A -7

11

C W E -22

A -8

15

C W E -287 A u th en tication Issu es（認証に関する脆弱性）

A -9（情報暴露/開示）
S Q L Injection（S Q Lインジェクション）

N o.

B -3
B -4

脆弱性の内容車載：不要サービスポートの解放(B O T 対策）
車載：オープンサービスポートの不適切なアクセス権限（B O T 対策）
E D S A /U L：ゼロデイ脆弱性の排除（ファジング、推奨は高価なツール：S ynopsys P rotocode）
U L/U S 法案：既知の脆弱性の排除（高度・高価なツールが必要：S ynopsys C odenom icon）

C ross-S ite R equest Forgery (C S R F)
（クロスサイトリクエストフォージェリ）
P ath Traversal（パストラバーサル）

16

C W E -77

C om m and Injection（コマンドインジェクション）

N o . 順位

C W E -ID

脆弱性の内容C -1

3C W E -284

C -2

9C W E -416

C -3

10

C W E -125

C -4

12

C W E -190

C -5

14

C W E -476

開発プロセス検証（仕様確認）が必要

In pu t V alidation （不適切な入力検証）

A -4（W eb アプリ検証ツール、データベース検証ツール

脆弱性の内容(海外の要件例、有識者ヒアリングでの指摘）

N o . 順位

Im proper A ccess C on trol
（不適切なアクセス権限）
U se A fter Free

（不適切なメモリ管理、解放後のメモリ参照による脆弱性）
O ut-of-bounds R ead（メモリ領域外のデータ読み取り）
Integer O verflow or W raparound（整数オーバーフローとラップアラウンド）N U LL P ointer D ereference（N U LLポインタの参照解除）
O ut-of-bounds W rite

C -6

17C W E -787

C -7

18

C W E -426 U n tru sted S earch P ath （信頼できない検索パス）（バッファ境界外への書き込み）

N o.
D -1
D -2
D -3
D -4
D -5

脆弱性の内容車載/U S 法案：認証ID /P W D の不適切な実装（ハードコーディング、変更不可等）
車載：廃棄やリユースを想定したセキュリティ情報、プライバシー情報の一括削除機能が実装されていない
車載：W iFiの通信方式において、最新の方式が適用されていない（W E P 、W PA ）
車載：B luetoothのペアリング方式において、最新の方式が適用されていない（P IN ）車載：外部I/Fの既知の脆弱性が対策されていない（既知の脆弱性に対して、最新パッチが適用されていない）

D -6

車載：U S B の不要なクラスの利用

D -7

車載：U S B の使用クラスに対する不適切なアクセス権限

D -8

U S 法案：アップデートできない（セキュアにアップデートできない）

18

IoT機器認証の制度構築に向けた検討

19

IoT機器認証業務（１）既存のセキュリティ認証プロセスの調査結果①

IoT機器認証業務のプロセス設計にあたり、既存の認証プロセスの調査を⾏った。対象とした認証プロセスを以下となる。
■第三者認証の事例として調査
１)IEC62443(EDSA)認証プロセス
２）Common Criteria(ISO/IEC 15408)認証プロセス■第⼆者認証の事例として調査
３)ECHONET Lite認証プロセス
４)IPv6 Ready Logo認証プロセス

20

IoT機器認証業務（１）既存のセキュリティ認証プロセスの調査結果②
第三者認証・代⼈者のメリット・デメリットの整理
認証形態

メリットデメリット・外部検証機関との契約プロセスが必要となる（与信や⼝・申請元のIoT製造企業が検座開設などの対応の⼿間）
証⽤の技術、知識、⼈員、・検証に掛かる費⽤や期間を第三者認証 環境を⽤意する必要がない。
コントロールしにくい。
・より客観性の⾼い検証結・検証結果に問題が発⽣した果を得られる。
場合、再度検証が必要となり、コストが⾒積りにくい・認証の申請から付与までの期間やコストをコント
第⼆者認証 ロールしやすい。
・問題が発⽣した場合にトライ＆エラーがしやすい。

・社内で検証⽤の技術や知識、⼈員、環境を⽤意する必要がある。
・検証結果の客観性に乏しい。

21

IoT機器認証業務（１）既存のセキュリティ認証プロセスの調査結果③
既存の認証プロセスの課題・改善点の整理
認証の名称

EDSA

CommonCriteria

ECHONET
Lite
IPv6 Ready
Logo

課題・改善点

認証プロセス・SDSAはV字モデルの全⼯程にセキュリティの考え⽅を導⼊するためコスト負担が⼤きい

認証レベル※評価の要求事項数に応じたレベル設定は、対費⽤効果の点からも参考になる

認証プロセス・開発者の想定が及ばない範囲で脆弱性を作りこむケースは対象範囲外となる・STの記述には、CC認証のプロセスや記載⽅法に関する専⾨的な知識が必要

認証レベル

対策すべきセキュリティ要件から認証レベル設定をする考え⽅とは設計理念が異なる

認証プロセス

・規格への適合性を証明するための申請⽂書が多く、必要な事項の絞り込みが必要。

認証レベル・対象外（認証レベルは設定されていない）

認証プロセス・IoTセキュリティの認証を想定した場合、開発プロセスの対応事項のチェックが必要

認証レベル

・対象外（認証レベルは設定されていない） 22

IoT機器のセキュリティ評価検証ガイドラインのあり⽅23

セキュリティ要件の分析から分類（4象限）※⾚字は重要度が⾼い要件（ IPAの2017年10⼤脅威にあてはまる数が多い要件）※⾚枠内は、BOT化対策として対応が必要な要件

統計には表れない対策が必要な脆弱性

統計的見地から対策が必要な脆弱性
N o. 順位 C W E -ID

ツール検証が可能

開発プロセス検証（仕様確認）が必要(海外の要件例、有識者ヒアリングでの指摘）

脆弱性の内容N o.

脆弱性の内容A -1

1C W E -119 バッファオーバーフロー

B -1 不要サービスポートの解放

A -3

4C W E -20 不適切な入力検証

B -2 オープンサービスポートに対する不適切なアクセス権限

A -4

5C W E -2 0 0 情報暴露/開示

B -3 ED S A /U L：I/F ゼロディ攻撃対策

A -5

6

C W E-89 SQ L インジェクション

B -4 U L/U S法案：既知の脆弱性の排除

A -6

7

C W E -352 クロスサイトリクエストフォージェリ

A -7

11C W E -22 パストラバーサル

A -8

1 5 C W E -2 8 7 認証に関する脆弱性

A -9

16

N o.

順位 C W E -ID

C -1

3C W E -2 8 4 不適切なアクセス権限

D -1

C -2

9C W E -416 解放後のメモリ参照による脆弱性D -2C -3

10 C W E-125 メモリ領域外のデータ読み取り

D -3C -4

12C W E -190 整数オーバーフローとラップアラウンド

D -4 B lu etoothのペアリング方式が最新の方式ではない（P IN ）C -5

14C W E -476 N U LL ポインタの参照解除

D -5

C -6

17

C W E -787 バッファ境界外への書き込み

D -６ U SB の不要なクラスの利用

C -7

1 8 C W E -4 2 6 信頼できない検索パス

C W E-77 コマンドインジェクション

A

脆弱性の内容B
N o.

C

脆弱性の内容アクセスコードや認証鍵の不適切な実装（ハードコーディング、変更不可等）
廃棄やリユースを想定したセキュリティ情報、プライバシー情報の一括削除機能が実装されていない
W iF iの通信方式において、最新の方式ではない（W E P 、W P A ）外部とのI/Fにおいて既知の脆弱性が対策されていない（既知の脆弱性に対して、最新パッチが適用されていない）

D -７ U SB の使用クラスに対する不適切なアクセス権限
D -8

U S法案：アップデートできない（セキュアにアップデートできない）

D
24

製品分野を加味した区分

認証レ ベル３

IoT機器において最低限守る べき セキュ リ ティ

： 製品固有の認証要件を 踏まえ、 製品分野別に対策が必要な要件を 抽出し 、 追加要件を 設定する 。

認証レ ベル２↓
評価・ 検証仕様書と し て、 脅威分析～対策ま： 製品分野別の認証（ 業界団体等）

でを 立案し 、 検証結果を 報告する

認証レ ベル１

IoT機器において最低限守る べき セキュ リ ティ

： IoT機器共通の認証要件に基づく 検証結果の報告

25

セキュリティ要件と認証レベルの対応関係
セキュリティ要件（製品固有の度合い）
製品 ・不適切なアクセス権限
毎 ・解放後のメモリ参照に ・整数オーバーフロー/
ラップアラウンド
固C＋Dの開発プロセス…etc
有においてドキュメントのなチェックが必要な要件
要件・バッファオーバーフロー
・SQLインジェクション
・クロスサイトリクエスト
⼀ フォージェリ
般…etc

的要件

A＋Bのツールによる検証が可能な要件

・認証不備、・不要サービスポート開放
…etc

⾞載分野

認証レベル３（★★★）
製品・分野個別の認証

認証レベル２（★★）
製品分野別（業界団体）の認証

認証レベル１（★）
IoT機器として共通の認証（つながる機器として最低限のマナー）

A,B,(D)における⾚枠内の要件
IoT-GW
分野

⾦融端末（ATM）分野

決済端末（POS）分野

BOT化など、社会的影響が⼤きく厳格な対策が必要な領域
製品
分野A

製品
分野B

26

認証マーク策定に向けた今後の課題

27

７．認証マーク策定に向けた今後の取り組み• 本調査により、IoTセキュリティ認証マーク制度について検討し、制度の案がまとめられた。
• 認証マーク制度の本格運⽤を⽬指すためには、その準備が必要となる。認証制度を2019年度に試⾏する上で、事前に必要な取り組みを下記に⽰す。
1. 認証スキームの妥当性検証– 机上検討とシミュレーションで策定された認証マーク制度の案が、実環境で実施可能かを確認する必要がある– ⼀連の認証プロセスにかかる必要な費⽤と期間を確認する必要がある– ⾃主検証者および第三者検証者の認定要件を定義する必要がある

2. 対象とする製品機器を検討・選定– 今回の調査では限られたサンプルでのシミュレーションであったので、より多くのトライアル検証を実施し、幅広い分野のIoT機器に対する認証が可能か、認証対象として適正な製品範囲を確認する必要がある⇒ 上記１．２を鑑みて認証スキーム実証実験の実施が必要と思われる
28

７．認証マーク策定に向けた今後の取り組み（２）3. 認証マーク取得要件を最終的に決定する中⽴的な有識者委員会の設置– 統計的な⾒地、有識者・業界からの意⾒を参考に策定した認証要件(案)を、今後のセキュリティ環境の変化や実証実験の結果から本格運⽤に⼊る際の認証要件として確定させる必要がある

4. 業界横断的な意⾒を集約する場の設置– 今回のヒアリング調査は４社と限定的であったので、広く業界の意⾒を集め、制度に反映させる必要がある

5. 認証マーク制度を普及させるための取り組み検討– IoT機器利⽤者やIoT調達機関への認証マーク取得認知度向上キャンペーン
– 認証製品導⼊の税制優遇や政府調達要件への追加など、認証取得促進策– IoTセキュリティ評価業務増加に備えた検証エンジニアの⼈材育成など
29