IoT時代のサイバー・セキュリティ
今そこにあるリスク

⽇本アイ・ビー・エム株式会社

セキュリティ－事業本部

エグゼクティブ・アーキテクト、CISSP
⼤津留 史郎(ohtsuru@jp.ibm.com)
2016年 4⽉ 2⽇(⼟)© 2016 IBM Corporation

今日お話しすること
1.サイバーセキュリティ
1.1 サイバーセキュリィ最新動向(IBMのレポートより)

2.IoTセキュリティ
2.1 IoTの世界
2.2 IoTセキュリティ最新動向

1.2 情報セキュリティ管理部門が直面している課題と対策

2.3 アーキテクトの視点から見た考察

ご参考:
IBM ProVIsion No.88 IoT時代のサイバーセキュリティ 今そこにあるリスク
https://www-304.ibm.com/connections/blogs/ProVISION86_90/entry/no88?lang=ja

IBM Internal Use Only

© 2016 IBM Corporation2

IBMの定期レポート
IBMは、経営者が考えるべきセキュリティ及び最新のセキュリティの脅威動向について定期的にレポートを公開しています。
 『2015 Securing the C-Suite』(IBMセキュリティ・スタディー)
http://www-03.ibm.com/security/jp/ja/ciso/

毎年、範囲:全世界

 セキュリティ脅威レポート IBM X-Force
http://www-01.ibm.com/software/jp/cmp/security_report/

四半期毎、範囲:全世界

 Tokyo SOC Reporthttps://www-304.ibm.com/connections/blogs/tokyo-soc/?lang=ja

半期毎、範囲:日本。

© 2016 IBM Corporation

3

『2015 Securing the C-Suite』(IBMセキュリティ・スタディー)2015 Security the C-Suiteでは、経営者に対して、3つの提言が示されています
1. セキュリティ・リスクを正しく理解する
65%(経営者)
自社のサイバー・セキュリティ計画は十分に確立されていると確信している。
17%(経営者)
最高レベルの準備態勢と能力を実装している。
2. 社内外での協業、協力、教育を積極的に行う68%(CEO)
外部とのセキュリティ・インシデントの共有に消極的。
3. セキュリティの対策や管理は、迅速かつ慎重に60%(CFO、CHRO、CMO)
サイバー・セキュリティ脅威の管理に最も関与していないと感じているが、サイバー犯罪者が最も欲しがるデータの管理責任は彼らが負っている。

『2015 Securing the C-Suite』(IBMセキュリティ・スタディー)(http://www-03.ibm.com/security/jp/ja/ciso/)より転載© 2016 IBM Corporation

4

(参考)リスク認知における楽観バイアス
人間がリスクを認知する際、実際よりもリスクを楽観的に評価するバイアスがかかることが心理学的の研究で証明されています。

 平成24年の交通事故死亡確率– 10万人当たり3.4人– 3.5人÷10万人 = 0.0034%

出展：統計局 統計表(http://www.stat.go.jp/data/nihon/pdf/n152600000.pdf)より転載

 2015年 年末ジャンボ宝くじの一等当選確率– 1等7億円：1ユニット(2000万枚)に1本

680倍!

– 1÷2000万= 0.000005% (2,000万分の1)© 2016 IBM Corporation

5

(参考)企業を超えた情報共有、産官学協業によるサイバー犯罪対策
全世界及び日本国内において、業界内の企業を超えた脅威情報の共有、産官学協業によるサイバー犯罪対策の動きが起こりつつあります。
 日本国内における産官学協業によるサイバー犯罪対策の活動– 一般財団法人 日本サイバー犯罪対策センター (https://www.jc3.or.jp/)

 業界内における脅威情報共有の活動

参考資料:
平成21年度内閣官房情報セキュリティセンター委託調査「米国のセキュリティ情報共有組織（ISAC）の状況と運用実態に関する調査 」
http://www.nisc.go.jp/inquiry/pdf/fy21-isac.pdf– ISAC （Information Sharing and Analysis Center）• 一般財団法人 金融ISAC (http://www.f-isac.jp/)• Telecom-ISAC Japan (https://www.telecom-isac.jp/)

米国FS-ISACとSoltra社による業界コミュニティ協業の脅威対策の構想(Soltra社資料(https://forums.soltra.com/index.php?/topic/266-soltra-intro-pdf-deck/)より転載)© 2016 IBM Corporation

6

IBM X-Force脅威に対するインテリジェンス四半期レポート
2015年度第4四半期の IBM X-Force脅威に対するインテリジェンス四半期レポートは、
IBM Emergency Response Serviceチームの考察結果として4つの傾向を報告しています。
傾向1: 2タイプの攻撃者による攻撃
タイプ1: あまり洗練されていない攻撃者(スクリプトキディ)による、明らかに分かる攻撃
タイプ2: 洗練された慎重なハッカー(ステルス攻撃者)による、深刻なインシデント
助長する原因: パッチ未適用、ネットワークトラフィックを可視化していない
傾向2: ランサンムウェアの出現
助長する原因: データをバックアップしていない、パッチ未適用、ユーザの意識欠如(危険なWeb
サイトへのアクセス)
傾向3: 悪意による内部犯行助長する原因: 管理者アカウントの共有、簡単なパスワード
傾向4: 経営者の意識の高まり

IBM X-Force脅威に対するインテリジェンス四半期レポート: 2015年度第4四半期(http://www-01.ibm.com/software/jp/cmp/security_report/)より転載© 2016 IBM Corporation

7

(参考)ランサムウェアとは
ランサムウェアとは、ファイルを勝手に暗号化するなどパソコンに制限をかけ、その制限の解除と引き換えに金銭を要求する不正プログラムの総称です。
ファイルを暗号化した後に表示されるメッセージの例

IPA 2015年6月の呼びかけ「 パソコン内のファイルを人質にとるランサムウェアに注意！ 」～ メッセージが流暢な日本語になるなど国内流行の懸念 ～(https://www.ipa.go.jp/security/txt/2015/06outline.html)より転載© 2016 IBM Corporation8

Tokyo SOC情報分析レポート
2015年下半期のTokyo SOC情報分析レポートは、最新の脅威として3つの実態を報告しています。
1. 約74％の組織でドライブ・バイ・ダウンロード攻撃を確認

2. 不特定多数を狙ったメール攻撃は「短期」「集中」「使い捨て」
3. ランサムウェアを用いた攻撃活動の増加

2015年下半期Tokyo SOC情報分析レポート(https://www-304.ibm.com/connections/blogs/tokyo-soc/?lang=ja)より転載© 2016 IBM Corporation

9

(参考)ドライブ・バイ・ダウンロード攻撃とはドライブ・バイ・ダウンロード攻撃とは、Webサイトの閲覧を通じて、PCにマルウェアを感染させる攻撃手法です。

2015年下半期Tokyo SOC情報分析レポート(https://www-304.ibm.com/connections/blogs/tokyo-soc/?lang=ja)より転載© 2016 IBM Corporation10(ご参考)IBM 10 Essential Practiceによる成熟度診断&ロードマップ策定
IBMは、 10 Essetial Practiceというフレームワークを用いて、サイバーセキュリティにおいて重要な10の分野についてお客様の成熟度を診断し、強化するためのロードマップ策定を行っています。

5. Take a Hygienic Approach
to Managing Infrastructure

7. Address New Complexityof Cloud and Virtualization

4. Secure Services,
By Design

8. Manage 3rd Party
Security Compliance3. Defend the Workplace(Endpoint)

2. Manage Security
Incidents with Intelligence

6. Control Network Accessand Assure Resiliency

各エリア毎に
9. Secure Data
5段階の成熟度レベルでand Protect Privacy
現状とあるべき姿を明確化し、
ロードマップを策定

1. Build a Risk Aware Culture& Management System

10. Manage
the Identity Lifecycle© 2016 IBM Corporation11

情報セキュリティ管理部⾨が直⾯する障壁
セキュリティよりビジネスが優先される• 十分な人員及び予算が確保されない• 売上又は利益に直結する投資が優先される• セキュリティ対策の投資対効果が説明できない• 業務部門が言う事を聞いてくれない• 金を稼ぐ業務部門の方が立場が強い• ビジネス上の理由を盾に、例外を認めさせられる• 社員の意識が低い• 刻々と変わるルールが浸透しない• 分かっているが、業務が忙しくて…

海外法人が言う事を聞いてくれない• 独自のやり方でセキュリティ対策を実装している• 実装方法を本社に揃える理由を説明できない© 2016 IBM Corporation12

セキュリティの優先度をどう上げるか? 1/2
日本企業は、売上増大またはコスト削減に直接繋がるIT投資を優先させています。セキュリティ、災害対策などのリスク対策に対する投資は、相対的には低い優先順位に留まっています。
最重要視するIT戦略上の来期の課題テーマの変化(1位での選択)© 2016 IBM Corporation13

セキュリティの優先度をどう上げるか? 2/2
同業他社との比較を投資根拠にしようとしても、十分な根拠になりません。
同じ業界内でも各社さまざまな投資判断をしているからです。

© 2016 IBM Corporation

14

IBM社内における施策

セキュリティよりビジネスが優先される
十分な人員及び予算が確保されない• 売上又は利益に直結する投資が優先される• セキュリティ対策の投資対効果が説明できない
業務部門が言う事を聞いてくれない• 金を稼ぐ業務部門の方が立場が強い• ビジネス上の理由を盾に、例外を認めさせられる
社員の意識が低い• 刻々と変わるルールが浸透しない• 分かっているが、業務が忙しくて…

1.セキュリティ管理のための組織
2.IT投資管理3.グローバルで統一されたルール
4.ITガバナンス及び監査

5.社員に対する啓蒙

海外法人が言う事を聞いてくれない
独自のやり方でセキュリティ対策を実装している実装方法を本社に揃える理由を説明できない

6.M&Aにおけるプロセス© 2016 IBM Corporation15

1.セキュリティの組織体制
IBMの情報セキュリティ管理運⽤ – 管理体制
日本IBMでは、CISO（Chief Information Security Officer）の元、各部の代表者からなる専門組織として情報セキュ
リティー委員会を置き、各関係者間における情報共有・意見交換、情報セキュリティ・リスクの洗い出し・分析・対策実
施、セキュリティーに関する規定類の策定を行っています。
情報セキュリティー委員会：

日本IBM
ＩＳＭＳ外部審査機関

維持審査
(毎年)

CISO：
セキュリティーに関わる方針を定め実施をコミットする

情報セキュリティ委員会

日本IBMセキュリティー：•IBMコーポレーションとのセキュリティーに関する窓口

CISO(Chief Information Security Officer)

情報セキュリティ推進室（CISO Office)
更新審査
（三年毎）

•セキュリティーポリシーやスタンダードを承認する意思決定機関•全体的な課題の解決策策定•各種施策の有効度/浸透度の確認と必要な改善策の計画

内部監査

物理セキュリティー
法務セキュリティー・総務
ＩＴセキュリティー
BTＩＴ統合企画

IBMコーポレーション(Security, CIO, CPO）

個人情報取扱い
CPO (Chief Privacy Officer)

情報セキュリティー推進室：•セキュリティーマネジメントのゴール設定•情報セキュリティー委員会の主宰•セキュリティー・プライバシー活動の実施：- 施策の具体策策定および実施推進- 違反や事故の調査、対処を監督- 関連する対応の統括

情報セキュリティー委員

情報セキュリティー委員

IBM社内各組織（BU）の代表者

日本IBMｸﾞﾙｰﾌﾟ会社の代表者

IBM社員・派遣社員・
協力会社社員等

IBM社員・派遣社員・
協力会社社員等© 2016 IBM Corporation

16

2.IT投資管理
IBMのIT投資管理システム - eIRB / ePMT / IPMT
グローバルIBMのIT投資は、グローバルで唯一のCIOが議長を務めるエグゼクティブボードにて決定されます。
各国及び事業部からの業務改革要求はIPMTにおいて統合され、ePMTにおいて横串で戦略的な業務改革計画に練り上げられた、策定された投資優先順位と共にeIRBに提案され、決定されます。

Enterprise Investment Review BoardeIRB IT投資を決定するエグゼクティブボード (議長：CIO)
 IBMのビジネスを支える投資優先順位に基づいて業務改革、ITの投資の最適化を図る
 ePMTが投資優先順位をeIRBに提案

Enterprise Portfolio Management TeamePMT

 投資優先順位決定- 事業部をまたがった戦略的業務改革計画- 解決実行策の重要性と経済的効率
 投資優先順位をeIRBに提案

Integrated Portfolio Management Team

IPMT

 戦略的業務改革計画の順位付けおよび最適化- 各事業部単位および日本を含む各国の要求
 投資優先順位に関するトレードオフをePMTに報告© 2016 IBM Corporation17

3.グローバルで統一されたルール
経営の基本ルールを明文化し、共有・徹底化
経営理念を体系的に展開し、日々の業務の基本手順やルールにまで落とし込み、約43万人社員の活動のベクトルをそろえる為の礎としています。

Corporate Policies(9項目)
発行者:会長「ビジネス倫理」「互恵取引」「多様な従業員の公平な扱い」「政治活動」「職場環境・製品安全性」「個人情報」「環境への取り組み「多様なお客様や取引先との関係」

Organization Letters(15通)(権限規定)
発行者:各副社長
下記について権限の移譲先および移譲しない権限を明記している。つまり、裁量権の範囲を明示している。
「Pricing」「寄付行為」「不動産」「渉外」「訴訟」「政府対応」「製品発表・販売停止」「製品・サービスの契約」「naming」「購買」「現地化」「設備投資」「監査法人等との契約」「顧客情報管理」

Corporate Instructions(規定)発行者:各副社長
発行者

Business
Conduct
Guidelines

規定数(65項目)
CIO
広報
公共活動
マーケティング
環境
財務
渉外
人事
知財
法務
不動産
研究
開発・製造

9
4
3
3
12
40
4
10
8
8
2
4
13

個人の活動に直結するエッセンス

この3種の文書をCorporate Directives と呼ぶ。「One」IBM として全管理者と従業員が順守すべき項目を明示している© 2016 IBM Corporation18

3.グローバルで統一されたルール
Corporate Instructions/Standards/Guidelines規定体系例
社内規定であるCorporate Instructions の施行細則・標準としてStandardsがもうけられ、その運用法がGuidelines
として記述・発行され常に最新化されます。グローバルレベルで全社共通の業務オペレーションの基礎としています。
項目は体系的で、網羅性高く、わかり易くまとめられています。

ＩＢＭの情報セキュリティーに関する規定体系の例

ポリシー

CORPORATE POLICIES
方針レベル

INSTRUCTIONS
標準レベル

CORPORATE STANDARDS

高いビジネス倫理に基づく行動、遵法社員に安全・健康・快適な作業環境を提供する
社員の個人情報を守るお客様や取引先を、国や人種、宗教などで差別しない
“IBM セキュリティー プログラム” “ITセキュリティー”
“IBM 物理セキュリティー要求事項” “IBM レコードマネジメント”
“基幹業務プロセスの災害復旧計画”
“IBM 情報の分類と統制”
“適用業務の統制と耐監査性” など
“IBM 機密情報の開示と受領”
“ 情報の分類と統制”
“システムやネットワークのセキュリティー標準”
“適用業務の統制と耐監査性” など
“全社員の責任”
“企業間接続のセキュリティーガイド”

ガイドレベルCORPORATE GUIDELINES

“SAP 情報処理ガイド”
“IBM レコードマネジメント”

“コンピューターのセキュリティーと利用のガ
“IBM Corporate セキュリティーマニュアル
“電話設備セキュリティーガイド“ など© 2016 IBM Corporation

19

3.グローバルで統一されたルール
IBM の ITセキュリティー・ポリシー
全IBM社員が毎年署名する、遵守すべき行動基準「ビジネス・コンダクト・ガイドライン」には、セキュリティーの遵守に関する項目をも含んでいます。ITCSへの準拠が定められており、社員が意識しなければならないポイントと、意識しなくても安心・安全が得られるポイントとその双方を両立させています。当然遵守に対して厳しい罰則を含む対応がなされます。昨今、個人所有クライアント機器の業務使用におけるルールおよびガイドラインも設定しています。
IBMにはBCGのもと、2つの情報セキュリティに関する基準があります。

BCG （ビジネス・コンダクト・ガイドライン）

社員が遵守すべき⾏動基準

ITCS 104• サーバー/ネットワークのセキュリティ基準• アプリケーションのセキュリティ基準• 社外&インターネット接続要件
等
 ユーザーIDとパスワードの管理

http://www.ibm.com/ibm/jp/about/bcg/

ITCS 300• クライアントＰＣのセキュリティ基準• 業務上の情報取扱い&管理要件• セキュリティ事故予防＆対策

等

運⽤&管理項⽬の例

 アプリケーション/ＤＢのアクセス管理

 各種ＰＣパスワード設定

 機密情報の暗号化

 PC上の機密情報暗号化

 不正アクセスの防⽌ アンチウィルス・ファイヤーウォール導⼊

 アンチウィルス/セキュリティ・パッチ適⽤

 PC盗難・紛失予防 アクセス・ログの作成と保持 パスワード設定ルールの遵守 遵守状況の確認(ヘルス・チェック) 機密情報印刷出⼒時の保護

 物理的アクセス管理

Bring Your Own Device ガイドライン
ITCS : Information Technology Corporate Standards© 2016 IBM Corporation20

3.グローバルで統一されたルール
セキュリティルール事例紹介
IBMではE-WORKにての業務遂行を長年取り組んでまいりました。この際、最も懸念されるのが「セキュリティの担保」です。ソフト面でのビジネス規定・社内標準遵守。システム面での「善意のセキュリティ」の確保。そして、自宅・出
張先・外出先でのセキュリティルールの徹底により、担保します。

© 2016 IBM Corporation

21

3.グローバルで統一されたルール
ビジネス・コンダクト・ガイドライン（企業行動規範）2015の目次
IBMポリシーや規定のエッセンスを Business Conduct Guideline (BCG) としてまとめ、各人が毎年確認署名をする
ことにより、43万人が「One」 IBM として正しい行動がとれるよう図っています。BCG は社外にも公開されています。
※2015年3月現在

会長からのメッセージ
3.3 IBMによる個人情報の扱い
1.0 基本方針
3.4 コミットメントと承認の取得
1.1 インテグリティと倫理へのコミットメント
3.5 情報の報告、記録、および保管
1.2 ビジネス・コンダクト・ガイドライン
・会計・財務管理と報告
1.3 コンプライアンスの重要性
・記録の保管

2.0 報告2.1 問題点の提起と違反の報告
2.2 報復禁止ポリシー

4.0 市場での行為

4.1 外部企業との関係
・購買取引先との関係
・ ビジネス・パートナーおよび3.0 職場
その他の補完的第三者との関係
3.1 職場環境
・競争会社との関係
3.2 IBMの情報と財産
4.2 公平な競争
・専有情報（機密情報を含む）
・ 競争会社に関する発言-不注意による情報漏洩
・競争会社の受注と競合する販売活動-外部からの問い合わせ、
4.3 情報の収集と利用接触および機会・他社に関する情報
・知的財産
・個人情報
-IBMの知的財産
・他社の専有情報および機密情報-第三者のソフトウェア
4.4 贈物、接待、および賄賂-オープン・ソース・ソフトウェア
・贈物、接待、および紹介料の受け取り-商標
・贈物、接待、その他価値あるものの提供-外部標準化団体
4.5 官公庁関連・IBMの資産および施設の使用
・官公庁の調達・アクセスおよび使用に関するIBMの権利 ・ ロビー活動
・IBMを退職する場合
・IBM施設への政治的な訪問

4.6 国際貿易でのコンプライアンス
・輸出・輸入・ボイコットの禁止
4.7 入国管理
4.8 環境5.0 私的な活動とIBM 社員としての立場
5.1 利益相反・競争会社への協力
・ IBM との競争
・IBM との取引
・ 個人の財務上の利益
・ 家族や近親者が同業他社で働いている場合
・ 勤務時間の私的使用
5.2 内部情報の利用とインサイダー取引
5.3 公共活動と政治活動
・ 公共活動・ 政治的な役職、寄附、および支援
5.4 公的な発言とソーシャル・メディア

6.0 その他の指針
6.1 他のIBMの規定、指示、およびガイドライン
6.2 その他の資料© 2016 IBM Corporation

22

4.ITガバナンス及び監査
スタンダード要件遵守確認サポートフロー
IBMのITセキュリティー標準であるITCS-300とITCS-104にのっとった上で、この要件が常に確実に遵守されているかどうかの確認プロセスが存在します。このプロセスによりその遵守が徹底されます。

ITCS-104

ITCS-300
アプリケーション
機密情報を含む基幹アプリ
ケーション

アプリ
ASCA

個人用のPCなどの社内
N/Wに接続された全てのPC。

N/W & システムインフラ

教育、デモ、テスト用など、
ビジネス目標に影響を与えないシステム

ビジネス目標に影響を与える基幹業
務を支えるシステム

社外のN/Wに接続されたシステム

ASCA

定期的な確認・監視

Corporate Audit（内部監査）

ASCA : Application Systems Control & Auditability© 2016 IBM Corporation

23

4.ITガバナンス及び監査
システム監査システムの監査は3つの観点で実施されます。1.データ正確性、健全性 2.オペレーションの効率性 3.資産保全のための物理的・論理的なセキュリティーの保全性。

 ビジネス・プロセスの健全性を定期的に検証するためのプログラム

オーディット：専門部隊(オーディター)が行う監査。監査結果に対して評価(Rating)を行う
 コーポレート・オーディット 日本IBM内部監査
CAR (Control Assessment Review) / プロアクティブ・レビュー：
専門部隊(オーディター)が行う監査。結果の評価を行わず、改善点の助言を行う

ピア・レビュー / SACA (Semi-Annual Control Assessment)：
プロセス・オーナー自らが行うプロセス・レビュー/自己評価するプログラム© 2016 IBM Corporation24

5.社員に対する啓蒙
従業者の認知度の向上と遵守徹底の周知
IBMのセキュリティ強化策は、従業員が普通に業務遂行していればセキュリティ違反は起さない「善意のセキュリ
ティ」が提供されています。しかし、最も重要なのはグループ企業を含む従業員のセキュリティ意識の徹底です。IBMではこの領域に関する教育プログラムを行い、その受講のチェックや完了テストにより、確実に徹底します。

セキュリティー研修（例）＜対象＞
日本IBM従業員及びグループ会社従業員（社員、役員、出向者、派遣社員、協力会社社員）

・毎年全従業者に受講・チェックテスト合格
義務付け-目次（例）• ISMS基本方針• 昨年情報セキュリティー事故の総括• セキュリティー重要ポイント• 昨年の事故分析： PC紛失/盗難、PCの紛失および情報流出の予防• 昨年の事故分析： 委託先による事故、GDにおけるセキュリティー強化• セキュリティー・ルールの確認と実践• セキュリティーへの取り組み• 災害対策－社員安否確認システム－• IBMのパンデミック対策

セキュリティーなくして、ビジネスなし！
© 2016 IBM Corporation25

6.関連会社に対するガバナンス
Security Standard for IT Transitions of Acquisitions
IBMでは、M&AにおけるITセキュリティに関する移行作業について、具体的な期限が設定されています。

買収後6ヶ月
要件の例
調査活動の準備• ネットワーク境界に対するスキャンの完了及び脆弱性の確認• Webアプリケーションセキュリティス
キャンの実施買収後9ヶ月
要件の例
買収後270日以内• セルフアセスメントの実施及び改善計画の策定• Webアプリケーションのソースコードに対するセキュリティス
キャン

オンサイトでの調査• IT運用プロセス及び手続きのレ
ビューと検証• 正式に認められた、外部接続ネット
ワークの構築• ハードウェア及びビジネスアプリケー
ションのアセット棚卸しの完了

買収後12ヶ月
要件の例
買収後360日以内• ネットワーク基盤の標準への準拠完了• 情報システムの標準への準拠
完了• 役割ごとに必須とされている、セキュリティエンジニアリングトレー
ニングの完了監査チーム / M&A DB© 2016 IBM Corporation26

今日お話しすること
1.サイバーセキュリティ
1.1 サイバーセキュリィ最新動向(IBMのレポートより)

2.IoTセキュリティ
2.1 IoTの世界
2.2 IoTセキュリティ最新動向

1.2 情報セキュリティ管理部門が直面している課題と対策

2.3 アーキテクトの視点から見た考察

ご参考:
IBM ProVIsion No.88 IoT時代のサイバーセキュリティ 今そこにあるリスク
https://www-304.ibm.com/connections/blogs/ProVISION86_90/entry/no88?lang=ja

IBM Internal Use Only

© 2016 IBM Corporation27

IoTの世界 デバイスができること
スマートフォン、スマートウォッチ、小型センサーなど、現在は、非常に多くの種類のセンサーが利用可能であり、様々なデータを収集することができます。
デバイスが持つ入出力機能の例 (青字：スマートフォンの機能)
入力• 位置・標高(GPS)、傾き(水準器)• 加速度、歩数• 音(マイク)• 照度• 画像(カメラ)• 近接(人、物、液体との距離測定)• 磁気・コンパス• 温度、湿度、気圧• タッチパネル

出力• 光・画像(画面)• 赤外線(リモコン)• 音(スピーカー)• バイブレーター

小型コンピュータ上でアプリケーションを動かして、デバイスを制御することもできる。
ARM embed

Raspberry Pi

Intel Edison Intel Galireo© 2016 IBM Corporation28

IoTの世界 IoTシステムが新しい価値をもたらす
近年、通信機能を持つ様々なデバイスが登場しています。デバイスが生成する大量のデータから、分析による新しい洞察が生まれ、ヒト、モノ、サービスを結ぶ新しい価値(ビジネス)が生まれます。
大量のデータ

分析・活用

工場、発電所の自動制御
・生産機器の稼動監視・障害発生時の自動停止
・原材料、燃料の供給制御

スマートグリッド
・ガス・電力の自動検針・生産・供給調整・障害時のバックアップ

つながるクルマ・カーナビの高度化
・運転者の好みに合わせた
エンターテイメント
・運転の補助、自動運転(ブレーキ、エンジンの制御)・故障の通知、予測

新しい価値・ビジネスつながる家電(家)・家電機器のリモート制御、節電
・個人の好みに合わせた調節・高齢者、障害者、子供、ペットの支援

スマートな輸送・輸送経路、配車の最適化
・無人運転
・ドローンによる無人宅配・Uber
スマートな医療・スマートウォッチを用いた健康管理
・リモート医療、無人診療© 2016 IBM Corporation

29

IoTの世界

IBM Watson IoT Platform

米国IBMは、IoTシステムの開発環境及び実行環境のPaaSとしてIBM Watson IoT
Platformを提供しています。
Explore IBM Watson Internet of Things
http://discover-iot.eu-gb.mybluemix.net/#/play

スマートフォン TIセンサータグ

クラウドサービス(PaaS)

MQTT通信(インターネット経由)

ARM embed

Raspberry Pi

運用者、利用者

Web
アクセス

アプリ
(Java Script等)

REST APIIntel Edison

Intel Galireo© 2016 IBM Corporation

30

IoTの世界 IBM Bluemix Garage Method
IBM Bluemix Garage Methodは、デザイン思考、リーンスタートアップ、アジャイル開発、
DevOps、クラウドのベストプラクティスをまとめたものであり、革新的ソリューションを作って提供するための手法として公開されています。
IBM Bluemix Garage Method
https://www.ibm.com/devops/method

Continuously experiment
to deliver the right solution(継続的な実験により、的確なソリューションを届ける)

Incrementally deliverawesome solutions(素敵なソリューションを追加的に届ける)
Create innovative solutions fast
(革新的ソリューションを早く作る)

Ensure operational excellence(競争優位を確実なものにする)Transform & innovate with speed(スピードのある変革と革新)

Accelerate time to market andreduce costs(市場に出るまでの時間を加速し、コストを下げる)
Services, option, and capabilities to run solutions(ソリューションを動かすためのサービス、オプション、能力)

各エリアごとに、事例(Practice)、開発ツール、経験者(Experice)を紹介© 2016 IBM Corporation31今日お話しすること
1.サイバーセキュリティ
1.1 サイバーセキュリィ最新動向(IBMのレポートより)

2.IoTセキュリティ
2.1 IoTの世界
2.2 IoTセキュリティ最新動向

1.2 情報セキュリティ管理部門が直面している課題と対策

2.3 アーキテクトの視点から見た考察

ご参考:
IBM ProVIsion No.88 IoT時代のサイバーセキュリティ 今そこにあるリスク
https://www-304.ibm.com/connections/blogs/ProVISION86_90/entry/no88?lang=ja

IBM Internal Use Only

© 2016 IBM Corporation

32

IoTシステムとセキュリティリスク
様々な「モノ」が通信機能を持ちインターネット経由で情報をやりとりするようになっています。それと同時にセキュリティのリスクが懸念されています。
IoTシステムの例

懸念されるセキュリティリスク

スマートグリッド
・消費電力量の自動収集
・電力の供給調整、停電時の自動バックアップ

・プライバシーデータの漏洩
・大規模停電工場、発電所の自動制御
・生産ライン機器の稼動監視・障害発生時の自動停止
・原材料、燃料の供給制御

・危険物の悪用(火災、メルトダウン)
・停止による経済的損害つながるクルマ・位置情報を用いたサービス、最適経路案内
・ドライバーの好みに合わせたエンターテイメント
・運転の補助、自動運転(ブレーキ、エンジンの制御)・故障の通知、予測・プライバシーデータの漏洩
・故意による大規模事故

つながる家電(家)・健康管理・家電機器のリモート制御、節電
・個人の好みに合わせた調節・高齢者、障害者、子供、ペットの支援

・プライバシーデータの漏洩
・家への侵入、火災
・殺人© 2016 IBM Corporation

33

乱⽴するIoTセキュリティガイドライン
現在、様々な団体からIoTセキュリティに関するガイドラインが公開されており、乱立の状況です。新たなガイドライン策定の動きもあり、乱立の状況はしばらく続くと思われます。
GSMA：GSMアソシエーション
 GSMA IoT Security Guidelines– http://www.gsma.com/connectedliving/future-iot-networks/iot-security-guidelines/
 CSA New Security Guidance for Early Adopters of the IoT– https://downloads.cloudsecurityalliance.org/whitepapers/Security_Guidance_for_Early_Ad
opters_of_the_Internet_of_Things.pdf
CSA：非営利法人クラウドセキュリティアライアンス
 The OWASP IoT Top10 Project– https://www.owasp.org/index.php/OWASP_Internet_of_Things_Top_Ten_Project OTA IoT Trust Framework
OTA：Online Trust Alliance– つながる家の製品、ウェアラブルデバイスのセキュリティ対策のガイドライン– https://otalliance.org/system/files/files/initiative/documents/iot_trust_framework_released_
3-2-2016.pdf
 ENISA Security and Resilience of Smart Home Environments– https://www.enisa.europa.eu/activities/Resilience-and-CIIP/smart-infrastructures/smarthomes/security-resilience-good-practices
ENISA：欧州 ネットワーク情報セキュリティ庁© 2016 IBM Corporation

34

通信業界団体(GSMA)のIoTセキュリティガイドライン 1/2
通信業界団体のGSM Associationは、IoTシステムを3つの部分に分け、各部分において必要となるセキュリティ対策のガイドラインを提供しています。
Using This Guide Effectively
1.IoTシステムのモデルを描く
2.現状のセキュリティ(脅威)モデルを評価する
3.推奨セキュリティ対策を検討する

・ServiceModel
Model・Service
・SecurityModel
Model・Security
・FAQ
・FAQ
・Recommendations
・Recommendations
Critical- -Critical
HighPriority
Priority- -HighMediumPriority
Priority- -Medium
Low
Priority- Low Priority

5.実装&評価する

6.再評価&見直しをする

・Network Security Principles
・Privacy Considerations
・Services Provided
by Network Operators

出典：GSMA IoT Security Guidelines(http://www.gsma.com/connectedliving/future-iot-networks/iot-security-guidelines/)© 2016 IBM Corporation

35

通信業界団体(GSMA)のIoTセキュリティガイドライン 2/2
IoT Security Guidelines for Endpoint Ecosystemsにおけるセキュリティモデル、FAQ及び推奨対策(Critical、High Priority)

出典：GSMA IoT Security Guidelines(http://www.gsma.com/connectedliving/future-iot-networks/iot-security-guidelines/)© 2016 IBM Corporation36

IBMのIoTセキュリティに対する取り組み(スマートメーターシステム)
IBMは、スマートメーターシステムのセキュリティについて、グローバルのフレームワークと知見を活用
し、リスクアセスメント、セキュリティ対策立案及びペネトレーションテストによる検証を行っています。
PLAN

リスク分析
想定リスクの設定

DO

Check & Action

セキュリティ
対策設定

セキュリティ
対策実施

想定リスクの見直しと改善セキュリティ運用プロセスの構築

セキュリティ
運用実施

セキュリティ運用
見直しと改善セキュリティ
テスト計画

セキュリティ
テスト実施

セキュリティ
テスト再実施NIST IR7628 HIGH LEVEL、 NIST SP800-61、グローバル事例

ITMedia「東京電力の決定で全国へ拡大、スマートメーターのシステム開発」© 2016 IBM Corporation(http://www.itmedia.co.jp/smartjapan/articles/1305/02/news046.html)より転載

37

IBMのIoTセキュリティに対する取り組み(電⼒制御システム)
IBMは、電力制御機器のセキュリティについても、業界のガイドライン等を用いたセキュリ
ティアセスメント、対策立案を行っています。

アセスメント・対策立案に適用するガイドライン類– The ISO/IEC 2700 Series– IEC 62351-1/8– ISA/SP99 – IEC62443– NERC CIP 001 – 009– NIST SP 800-53– NIST SP 800-82– NIST IR 7628
– US DHS (Department of Homeland Security)– US NRC Regulatory Guide 5.71
– API Standard 1164 Pipeline SCADA Security– AGA Standard 12 “Cryptographic Protection of SCADA”© 2016 IBM Corporation38

IBMのIoTセキュリティに対する取り組み(⾃動⾞分野)
IBMでは、つながるクルマのセキュリティについて、特定の⾞載IT機器に関わる脅威に対して、リスクアセスメントやSmart Phone
セキュリティ診断（ペネトレーション
ITS
テレマティックス
テスト）を⾏った事例があります。
ドライバー

外部攻撃者によるアタック
データセンタ

機能障害でも他機器に悪影響がない

安全性に関わる対策悪意を持った⼈間が、脆弱性を探して、
攻撃する

⾞両制御系
システム

セキュリティ
に関わる対策

⾞両情報系
システム

診断・保守
システム

個⼈
情報等

アフター製品による不正操作

整備員の不正操作

１．基本制御機能

2．拡張機能情報関連.ITS機能網羅的に検討し
対策を実施

外部からの
「脅威を想定する」

リスクアセスメント
の必要性

テレマ
ティックス

インフォ
テイメント

⾞載LAN

駆動系

Wi-Fi
Bluetooth
USB

シャーシ系

ボディ系

安全
快適機能

制御関連

⾞両システム

診断・保守

⾞両情報系
システム
診断・保守
システム
⾞両制御系
システム

© 2016 IBM Corporation

39

今日お話しすること
1.サイバーセキュリティ
1.1 サイバーセキュリィ最新動向(IBMのレポートより)

2.IoTセキュリティ
2.1 IoTの世界
2.2 IoTセキュリティ最新動向

1.2 情報セキュリティ管理部門が直面している課題と対策

2.3 アーキテクトの視点から見た考察

ご参考:
IBM ProVIsion No.88 IoT時代のサイバーセキュリティ 今そこにあるリスク
https://www-304.ibm.com/connections/blogs/ProVISION86_90/entry/no88?lang=ja

IBM Internal Use Only

REST API© 2016 IBM Corporation

40

IoTシステムのハイレベル・アーキテクチャー
IoTシステムは、デバイス、サーバ、利用者がインターネットで接続されたシステムであり、デバイスからのデータを分析・加工した結果を利用者に提供したり、分析結果に基づいてデバイスを制御したりします。
運用者、利用者(他のサービス)
デバイス、
制御機器

インターネット

サーバ(クラウドサービス)

インターネット

サービス形態3
サービス形態2
センサーデータ

サービス形態1
分析
分析結果・サービス

制御

指示

自動制御

© 2016 IBM Corporation

41

IoTシステムで新たに必要になるセキュリティ対策
IoTシステムは、デバイスや制御機器がインターネットを介してサーバに接続してデータのやりとりや制御を行う点が異なります。この部分及びシステム全体のセキュリティ対策の考慮が新たに必要になります。
新たに必要なセキュリィ対策

従来のセキュリィ対策

デバイス、
制御機器

サーバ
(クラウドサービス)

インターネット

運用者、利用者(他のサービス)
インターネット

IoTシステムで新たに必要になるセキュリティ対策
 デバイス～サーバ間のネットワーク接続におけるセキュリティ対策(接続プロトコルにこれらの対策が実装されているか要確認)– 認証、アクセス制御、ログ取得・分析– 暗号化通信– データ内容の保障(ディジタル署名)
 デバイスにおけるセキュリティ対策– 物理的セキュリティ：設置場所のセキュリティ、デバイスの封印、回路ハッキングに対する対策– デバイスへのアクセスにおける対策：認証、アクセス制御、(ログ取得・分析)– 脆弱性が発見された際の対処：ファームウェア、ソフトウェアの更新
 IoTシステム全体(End-to-End)のセキュリティ対策© 2016 IBM Corporation

42

(参考)IoTシステムのアーキテクチャーと必要なセキュリティ対策 1/2
IBMは、Thought Leadership White Paper ‘IBM Point of View: Internet of Things
Security’ において、IoTシステムにおけるアーキテクチャーと必要なセキュリティ対策を整理しています。

© 2016 IBM Corporation

43

(参考)IoTシステムのアーキテクチャーと必要なセキュリティ対策 2/2
IBMは、Thought Leadership White Paper ‘IBM Point of View: Internet of Things
Security’ において、IoTシステムにおけるアーキテクチャーと必要なセキュリティ対策を整理しています。
 モノのメーカー：セキュアなIoTシステム及びデバイスの設計と製造– セキュリティ設計 (セキュリティを考慮した開発プロセス、多階層防御、フェイルセーフの考慮)– プライバシー設計 (従業員データ及び個人IDに紐づくデバイスIDの分離)– セキュリティテスト (コード分析、脆弱性診断テスト、侵入テスト、物理環境から人のコミュニケーションまでを含めた全体テスト)– 継続的な出荷モデル (出荷後の脆弱性対応、デバイスソフトウェアの更新)– サプライチェーン全体のセキュリティ (部品供給者のアセスメント、仕様文書に基づく認定)
 モノの運用者：IoTシステムのセキュアな運用– デバイスの堅牢化 (多階層防御、障害箇所の切り離し)– 通信経路の安全確保 (デバイス～ITシステム間の全通信経路の安全確保)– 利用パターンの監査及び分析 (検知、既存のログ分析技術の活用)– 最新のセキュリティ環境の維持 (技術とプロセスの組み合わせ、デバイスの運用保守におけるセキュリティ)– 信頼できる保守方法の確立 (設置・保守における既存ガイドの活用、インシデント対応プロセスの定義)
出典：IBM POINT OF VIEW: INTERNET OF THINGS SECURITY(http://www-01.ibm.com/common/ssi/cgi-bin/ssialias?subtype=WH&infotype=SA&htmlfid=RAW14382USEN&attachment=RAW14382USEN.PDF)© 2016 IBM Corporation

44

IBM Secure Engineering Framework
IBMは、セキュリティを考慮したシステム開発プロセスとして、IBM Secure Engineering
Frameworkを社内のガイドラインとして運用しています。
Secure Engineering Framworkの概要
Section 1: プロジェクト計画
Requirement 1: PMに対してセキュリティ教育を確認する
Requirement 2: プロジェクト計画にセキュリティチェックポイントを組み込む
Requirement 3: 脅威モデルを開発する時間を確保する
Requirement 4: 開発中にセキュリティ検証テストを実施する
Requirement 5: 展開前にセキュリティリリースチェックポイントを実施する
Requirement 6: セキュリティ開発計画を文書化する
Section 2: ソフトウェアサプライチェーンのセキュリティ
Requirement 7: 承認されたサードパーティコンポーネント及びアセットだけを利用する
Requirement 8: 脅威モデルにおいてサードパーティから来たコンポーネントにおいてリスクアセスメントを実施する
Requirement 9: 開発期間にサードパーティ製コンポートネントの適切なセキュリティフィックスを組み込む
Section 3: アプリケーション開発要件
Requirement 10: アプリケーションにおける脅威モデルを実施する
Requirement 11: アプリケーションをデフォルトセキュアの状態で出荷する
Requirement 12: セキュアコーディングのベストプラクティスを適用する
Requirement 13: 重要なセキュリティ機能に対してマニュアルコードレビューを実施する
Section 4: 脆弱性アセスメント及びテスト
Requirement 14: 開発中にアプリケーションのセキュリティ脆弱性アセスメントを実施する
Requirement 15: プライバシー影響アセスメントを実施する
Requirement 16: セキュリティ課題に対するソースコードスキャンを行う
Requirement 17: CVSSを使って脆弱性アセスメントを行う
Section 5: プロジェクトチームメンバーに対する教育要件
Requirement 18: 開発チームのセキュリティ教員をトラッキングする
Requirement 19: アーキテクトに対して最低限のセキュリティ教育を行う
Requirement 20: セキュアエンジニアリングの本質
Appendix A: 脅威モデリングのプロセス
Appendix B: 教育及びスキル更新のリソース
Appendix C: 用語集
参考: IBM Redpaper ‘Security in Development: The IBM Secure Engineering Framework’ (http://www.redbooks.ibm.com/redpapers/pdfs/redp4641.pdf)© 2016 IBM Corporation

45

システムに求められる要求(IBMの分類)
IBMは、情報システムに求められる要件を機能要求と非機能要求とに分類しています。セキュリティ
は非機能要求の一つとして位置づけられています。
機能要求

ユーザが仕事を実行するのに必要な機能 (どのように達成されるのか(How)とは違う）

非機能要求

ソリューションが満たすべき品質又は制約

品質 ソリューションがサポートすべき期待と特性
ソリューションの稼動時に判断されるSLR(テストで検証可能)

実行時品質

パフォーマンス・キャパシティ

セキュリティ

可用性

運用容易性

アクセシビリティ

非実行時品質 開発，保守、運用などに関する要求(長期に渡る測定が必要)
可搬性
制約

管理容易性

保守容易性

環境性・安全性

効率性

信頼性

ソリューションに課せられた制限または仕様
ビジネス制約法規制

ビジネス上の制約

組織的制約

テクノロジー制約
既存の基盤
将来要求

データの完全性

拡張性

ユーザビリティ

地理的制約

リスク選好性

市場因子

最新技術

資源(人・予算)
スコープ

技術上の制約
開発スキル

時間

IT標準

実装制約

将来、追加・変更し得る要求© 2016 IBM Corporation

46

要求開発の視点からの考察：ITの技術⾰新と機能要求、⾮機能要求
これまで、技術革新が起こるたびに、機能的側面が先行して注目され、技術が普及するにつれて非機能的側面が不安視され目が向けられる傾向がありました。IoTにおいてもこの傾向が現れていると考えられます。

過去の技術革新
1990年代前半
ネットワーク、オブジェクト指向、ダウンサイジング、マルチメディア
1995年インターネット (Windows 95)
2000年頃e-ビジネス
2004年頃SOA、Webサービス、グリッドコンピューティング
2005年頃仮想化
2008年頃
クラウド・コンピューティング

そのたびに繰り返されてきた歴史
機能的側面(何ができるか?)

運用的・非機能的側面(品質・制約)

ビジネス・業務レベル「xxxxができるようになる」「xxxの面は大丈夫なのか?」「安い」「xxxまで考えると、結果的に高くつく」
ソリューション・技術レベル「新しい価値が生まれる」「結局使えない」「バズワードだ」「これまでのシステムはもう古い。 「要は使い分けだ」
全てxxxで置き換わる」
新しい技術が知られるにつれ、議論が夢から現実に落ち着く© 2016 IBM Corporation47

アーキテクチャー設計の視点からの考察：セキュリティに対するアプローチ
アーキテクチャー設計の技法では、機能レベルのアーキテクチャーを非機能要求の観点から評価・修正することで、非機能要求まで満たすアーキテクチャーを設計するアプローチが行われています。この考え方はIoTシステムのセキュリティ設計にも適用可能です。
ビジネス要求の定義

ソリューション要求の定義

ビジネス
機能要求

ソリューション
機能要求

ビジネス
非機能要求

ソリューション
非機能要求

ソリューションの全体設計
サービス・機能レベルの全体設計

IoTセキュリティに関するガイドライン類(想定リスク・脅威モデル
必要なセキュリティ対策)

ガイドラインに基づく
評価・修正(ベースラインアプローチ
を用いたリスク分析)

非機能要求(セキュリティ)まで考慮した全体設計© 2016 IBM Corporation

48

(参考)IBMのセキュリティアーキテクチャー設計⼿法
IBMは、2001年にMethod for Architecting Secure Solutions (MASS)というセキュリティアーキテク
チャー設計手法を確立しました。MASSは、IBM Globalのアーキテクチャー設計手法の体系(Unified
Method Framework)に取り込まれており、現在も世界中のアーキテクトが活用しています。
US TCSEC

Method for Architecting Secure Solutions (MASS)の概要(米国公告番号:US 7251831 B2)Trusted Computer System
Security Evaluation Criteria

CTCPECITSEC

Canadian Trusted Computer
Product Evaluation Criteria

Information Technology
Security Evaluation Criteria

V 1.0 - 1996
V 2.0 - 1998

V 2.01- 1999
http://csrc.ncsl.nist.gov

ISO/IEC
ISO/IEC15408
15408

出典:
Redbook「Enterprise Security Architecture Using IBM Tivoli Security Solutions」
Appendix A. Method for Architecting Secure Solutions(http://www.redbooks.ibm.com/redbooks/pdfs/sg246014.pdf)© 2016 IBM Corporation

49

(参考)脅威モデルの例

参考資料：
IPA「『高度標的型攻撃』対策に向けたシステム設計ガイド」の公開
https://www.ipa.go.jp/security/vuln/newattack.html
IPAテクニカルウォッチ「標的型攻撃メールの例と見分け方」
http://www.ipa.go.jp/security/technicalwatch/20150109.html
IBM「標的型攻撃を防ぐお勧め対策」
http://www-935.ibm.com/services/jp/ja/it-services/security-solutions-2q2012.html© 2016 IBM Corporation50

Statement of Good Security Practices: IT system security involves protecting systems and information through prevention, detection and response to improper access from within and outside
your enterprise. Improper access can result in information being altered, destroyed, misappropriated or misused or can result in damage to or misuse of your systems, including for use in attacks
on others. No IT system or product should be considered completely secure and no single product, service or security measure can be completely effective in preventing improper use or access.
IBM systems, products and services are designed to be part of a lawful, comprehensive security approach, which will necessarily involve additional operational procedures, and may require othersystems, products or services to be most effective. IBM DOES NOT WARRANT THAT ANY SYSTEMS, PRODUCTS OR SERVICES ARE IMMUNE FROM, OR WILL MAKE YOUR ENTERPRISEIMMUNE FROM, THE MALICIOUS OR ILLEGAL CONDUCT OF ANY PARTY.

THANK YOUwww.ibm.com/security© Copyright IBM Corporation 2015. All rights reserved. The information contained in these materials is provided for informational purposes only, and is provided AS IS without warranty of any
kind, express or implied. IBM shall not be responsible for any damages arising out of the use of, or otherwise related to, these materials. Nothing contained in these materials is intended to, norshall have the effect of, creating any warranties or representations from IBM or its suppliers or licensors, or altering the terms and conditions of the applicable license agreement governing the useof IBM software. References in these materials to IBM products, programs, or services do not imply that they will be available in all countries in which IBM operates. Product release dates and / orcapabilities referenced in these materials may change at any time at IBM’s sole discretion based on market opportunities or other factors, and are not intended to be a commitment to future productor feature availability in any way. IBM, the IBM logo, and other IBM products and services are trademarks of the International Business Machines Corporation, in the United States, other countries
or both. Other company, product, or service names may be trademarks or service marks of others.