「IoTセキュリティ総合対策」について平成２９年１１月３０日総務省　情報流通行政局サイバーセキュリティ課課長補佐　後藤　篤志1.サイバーセキュリティ上の脅威の現状2.政府全体の取組3.総務省の取組(IoTセキュリティ総合対策) (1)脆弱性対策に係る体制の整備(2)研究開発の推進(3)民間企業等におけるセキュリティ対策の促進(4)人材育成の強化(5)国際連携の推進
1.サイバーセキュリティ上の脅威の現状
2.政府全体の取組3.総務省の取組(IoTセキュリティ総合対策) (1)脆弱性対策に係る体制の整備(2)研究開発の推進(3)民間企業等におけるセキュリティ対策の促進(4)人材育成の強化(5)国際連携の推進2
インターネット等の情報通信技術は社会経済活動の基盤であると同時に我が国の成長力の鍵であるが、昨今、サイバーセキュリティ上の脅威が悪質化・巧妙化し、その被害が深刻化。国内事例2015年6月:日本年金機構の職員が利用する端末がマルウェアに感染し、年金加入者に関する情報約125万件が流出（標的型攻撃） 2015年10月:金融庁の注意喚起を装ったフィッシングサイトを確認、国内銀行のセキュリティを向上させるためと称し、口座番号、パスワード、第二認証などの情報を騙し取られる恐れ（フィッシング攻撃） 2015年11月:東京五輪組織委員会のホームページにサイバー攻撃、約12時間閲覧不能（DDoS攻撃） 2016年6月: i.JTB（JTBのグループ会社）の職員が利用する端末が、マルウェアに感染し、パスポート番号を含む個人情報が流出した可能性（標的型攻撃） 2017年5月:国内（行政、民間企業、病院等）において、WannaCryによる被害が確認。企業内のシステム停止などの障害が発生した。（ランサムウェア）海外事例2015年4月:フランスのテレビネットワークTV５ Mondeがサイバー攻撃を受け、放送が一時中断（標的型攻撃） 2015年6月:米国の人事管理局（OPM)_が不正にアクセスされ、政府職員の個人情報が流出（不正アクセス） 2015年12月:ウクライナの電力会社のシステムがマルウェアに感染し、停電が発生（標的型攻撃） 2016年10月:米国のDyn社のDNSサーバが大規模なDDoS攻撃を受け、同社のDNSサービスの提供を受けていた企業のサービスにアクセスしにくくなる等の障害が発生（DDoS攻撃） 2017年5月:世界各国（アメリカ、イギリス、中国、ロシア等）でWannaCryの感染被害が発生。行政、民間企業、医療等の多くの組織に影響を及ぼした。（ランサムウエア） 3
▷国立研究開発法人情報通信研究機構(NICT)では、未使用のIPアドレスブロック30万個(ダークネット)を活用し、グローバルにサイバー攻撃の状況を観測。 ･ダークネットに飛来するパケットの送信元アドレスから緯度・経度を推定し、世界地図上で可視化•色:パケットごとにプロトコル等を表現1年間で観測されたサイバー攻撃回数4
が“IoTを狙っている！ 5
2016年10月21日米国のDyn社のDNSサーバーに対し、大規模なDDoS攻撃が２回発生。ん>>同社からDNSサービスの提供受けていた企業のサービスにアクセスしにくくなる等の障害が発生。 >サイバー攻撃の元は、「Mirai」というマルウェアに感染した大量のIoT機器。 ✓ NICTのNICTERにおいても、9月上旬からIoT機器のマルウェア感染拡大のための通信(スキャン)を多くの国から観測■ 2323/TCPパケット数|2323/TCP-ホスト数マルウェアに感染した10万台を超えるIoT機器からDyn社のシステムに対し大量の通信が発生最大で1.2Tbpsに達したとの報告もあり。 Dyn社のDNSサービスを使用した数多くの大手インターネットサービスやニュースサイトに影響出典: http://dyn.com/blog/dyn-analysis-summary-of-friday-october-21-attack/ 6 1.サイバーセキュリティ上の脅威の現状
2.政府全体の取組
3.総務省の取組(IoTセキュリティ総合対策) (1)脆弱性対策に係る体制の整備(2)研究開発の推進(3)民間企業等におけるセキュリティ対策の促進(4)人材育成の強化(5)国際連携の推進7
平成26年11月に成立した｢サイバーセキュリティ基本法｣に基づき、平成27年1月、内閣にサイバーセキュリティ戦略本部が設置され、同年9月、日本年金機構の年金情報流出の事案も踏まえた新たな「サイバーセキュリティ戦略」を閣議決定。同本部を司令塔として、事務局を担う内閣サイバーセキュリティセンター（NISC）の調整の下、関係省庁が連携した政府横断的サイバーセキュリティ推進体制を整備し、本戦略を推進。区高度青機通信ネットワーク社会推進戦略本部(IT総合戦略本部)高度情報通信ネットワーク社会の形成に関する施策を迅速かつ重点的に推進
内閣総理大臣
サイバーセキュリティ戦略行本部 (2015.1.9ｻｲﾊﾞｰｾｷｭﾘﾃｨ基本法により設本部部長内閣官房長官サイバーセキュリティ戦略本部に関する事務を担当する国務大臣(NSC)我が国の安全保障に関する重要事項を番議
く重要インフラ所管省庁＞
金融庁(金融機関)総務務省(地方公共団体、情報通信)厚生労働省(医療、水道)経済産産業省(電力、ガス、化学、クレジット、石油）国土交通省(鉄道、航空、物流)くその他関係省庁＞文部科学省（セキュリティ教育）等副本部長本部部員国家公安委員会委員長絵務務大臣外務大臣経済産業大臣防衛大臣情報通信技術（ＩＴ）政策担当大臣東京オリンピック競技大会・バラリンピック競技大会担当大有識者（７名；10名以下）車要インフラ研究開発戦略普及啓発・人材専門調査会専門調査会育成専門調査会内閣官房内閣サイバーセキュリティセンタ(2015.1.9内閣官房組織令により設置内閣サイバーセキュリティセンター長(内閣官房副長官補(事態対処・危機管理)が兼副センター長（内閣審議官）上席サイバーセキュリティ分析官サイバーセキュリティ補佐官"青報セキュリティ緊急支援チーム(CYMAT)政府機関・情報セキュリティ横断監視・即応調整チーム(GSOC)警察庁（サバー犯罪・攻撃の取締り）総務省(通信・ネットワーク政策)外務省(外交・安全保障) 5省庁経済産業省(情報政策)防衛省（国の防衛）閣僚が参画8 (事務局)
2020年及びその後を見据えたサイバーセキュリティの在り方について（案） ーサイバーセキュリティ戦略中間レビュー＝資料3-1
ボット(2)                                                                   各成等の変化

指揮社会の活力の向上及び持続的難展

の普及の支援]普及啓発・情報発信[迅速な情報発信・相談対応のための取組所化し・経営層の意識改革や、橋渡し人材等幅広い階層における人材育成・確保の継続的な促進1
10 1.サイバーセキュリティ上の脅威の現状2.政府全体の取組3.総務省の取組(IoTセキュリティ総合対策) (1)脆弱性対策に係る体制の整備(2)研究開発の推進(3)民間企業等におけるセキュリティ対策の促進(4)人材育成の強化(5)国際連携の推進11
12現状OIoT機器の幾何級数的な増加2016年時点でIoT機器の数は173億個と推定。 2021年までに349億個まで倍増の見込み。 •うち、約4割が消費者向け。
OloT機器を狙った攻撃が急増
がIoTを狙っている！ OIoT機器を踏み台にした大規模攻撃が発生•2016年10月21日米国のDyn社のDNSサーバーに対し、大規模なDDoS攻撃が2回発生。 •同社からDNSサービスの提供を受けていた企業のサービスにアクセスしにくくなる等の障害が発生。サイバー攻撃の元は、「Mirai」というマルウェアに感染した大量のIoT機器。対策loTeキュリティ協会社員旅頭性対策に係る体制の整備・IoT機器の脆弱性についてライフサイクル全体（設計・製造、販売、設置、運用・保守、利用）を見通した対策が必要。 ・脆弱性調査の実施等のための体制整備が必要。
市民共の事件
民間企業等における西西リティンドの下達・セキュリティ運用の知見を情報共有し、ニーズにあった研究開発を促進。
人の日にのお金化
・圧倒的にセキュリティ人材が不足する中、実践的サイバー防御演習等を推進。二国間及び多国間の枠組みの中での情報共有やルール作り、人材育成、研究開発を推進。半年に1度を目途としつつ、必要に応じて検証(関係府省と連携) •民間企業等のサイバーセキュリティに係る投資を促進。 ・サイバー攻撃の被害及びその拡大防止のための、攻撃・脅威情報の共有の促進。
日際延長の1年年

虎頭性対策に係る体制の整備（ライフサイクル全体を見通した対策）
13
14鹿野性対策に係る体制の整備（鹿野性制官の実施）

○脆弱なIoT機器の実態調

協力のもと、当該機器の所有者・運用者・利用者へ注意喚起を実施。
OloT機器の脆弱性情報の
関係事業者間での共有
• IoT機器の製造事業者等が脆弱性に迅速に対応することを可能とするため、IoT機器の脆弱性情報を関係事業者間で共有する仕組みを構築。
｜被害拡大を防止するための取組の推進

　IoT機器のセキュリティ対策は、IoT機器の性能が低く、また、IoT機器のメーカ、システム構築業者、サービス提供者等が複雑に連携して構築されており、従来のPCのようなセキュリティ対策が困難である。 ・こうした課題に対処するため、ネットワーク上の脆弱なIoT機器の調査及びユーザへの注意喚起等、業界を超えたIoT機器に関するセキュリティ対策（IoTセキュリティフレームワーク）の調査・実証等を行う。 15
伊陀開発の重進

新たに出現する未知の標的型攻撃の挙動を早い段階で明らかにするとともに、分析結果をセキュリティ対策機関等と連携して情報共有を図ることが可能な、高度で効率的なサイバー攻撃誘引基盤を構築。
■広域ネットワークスキャンの軽量化
膨大なIoT機器に対する広域的なネットワークスキャンを効率的に実施するため、その軽量化などの必要な技術開発を推進。
■ハードウェア脆弱性への対応
ビッグデータやAIを活用しつつ、ハードウェアに組み込まれるおそれのあるハードウェア脆弱性を検出する技術の研究開発を推進。
■スマートシティのセキュリティ対策の強化
スマートシティのプラットフォームに係るセキュリティ要件の具体化や所要の技術開発を推進するとともに、その成果を国際的な標準化プロセスに提案する等の取組を一体的に推進。
■衛星通信におけるセキュリティ技術の研究開発
安全性を備えた衛星通信を実現するために、量子暗号技術の研究開発や高秘匿衛星光通信技術の実証を行うとともに、衛星のバックアップや高高度での中継を行うための航空機等による移動体光通信技術の研究開発を実施。
■ AIを活用したサイバー攻撃検知・解析技術の研究開発
サイバー攻撃の検知・解析を自動化するような、AIを活用したサイバー攻撃検知・解析技術の研究開発を推進。 16 NICTでは、標的型サイバー攻撃の詳細な手法を把握するため、①攻撃者が標的型メールを特定組織に送信した場合に、②不正な添付ファイル等を「あらかじめ構築した偽装環境」で実行し、③偽装環境で具体的な攻撃手段(入力コマンド等)の観測・分析が可能なシステム(STARDUST)を研究開発している。 17
民間企業等における年エリティ対策の促進
■民間企業のセキュリティ投資等の促進
経済産業省と連携して、企業におけるセキュリティ投資を促進するため、高レベルのサイバーセキュリティ対策に必要なシステムの構築やサービスの利用に対する税制優遇措置を検討。
■セキュリティ対策に係る情報開示の促進
任意の情報開示であることを前提としつつ、関係府省と連携しながら、企業のセキュリティ対策に係る情報開示に関するガイドラインの策定について検討（年度内を目途に結論）。
■事業者間での情報共有を促進するための仕組みの構築
事業者間での情報共有を促進するため、情報提供元及び共有される情報自体の信頼性を担保する仕組みや、様々な事業者から提供された大量の情報の分析、情報の重複の排除、情報の重み付け、サイバー攻撃の全体像の把握を行った上で、情報共有を実施する仕組みを検討。
■情報共有時の匿名化処理に関する検討
情報共有に当たって、情報の秘匿性を担保する観点から、情報の匿名化処理の導入を検討するとともに、どのような方法で、どの程度まで情報を匿名化するべきかについての評価指標やガイドラインの整備を検討。 ■公衆無線LANのサイバーセキュリティ確保に関する検討公衆無線LANにおけるサイバーセキュリティ上の課題を整理し、今後必要な対策について検討（年度内を目途に結論）。 18
○一定のセキュリティ対策を講じられたデータ連携・利活用により、生産性の向上を図る取組について、それに必要となるITシステムや、センサー・ロボット等の導入に対して、特別償却又は税額控除を措置。〇事業者は当該取組内容に関する事業計画を作成し、主務大臣が認定。認定計画に含まれる設備等に対して、税制措置を適用。 ※経済産業省との共同要望
教制の教育
【対象設備の例】データ連携・利活用により生産性を高める取組に必要となるもの✓センサー等のデータ収集機器
等【事業計画の認定】 ①十分なサイバーセキュリティ対策がなされていること(登録セキュリティスペシャリスト等の専門家の確認が必要) ②一定の生産性向上目標が達成される見込みがあること【適用期限:平成31年度末まで】主務大臣①計画の認定を申請②計画を認定事業者くデータ連携・利活用事業計画> （仮称） 【記載事項】 ①データの連携・利活用の内容(業務プロセス改善や体制構築も含め) ②セキュリティ対策の内容③必要な設備等の内容④生産性向上のKPI ③計画認定書等を提出4)計画に含まれる投資に対して税制優遇措置所轄の税務署19
人形自動の事件
■実践的サイバー防御演習（CYDER）の充実
国の行政機関・地方自治体及び重要インフラ事業者などを対象とした実践的サイバー防御演習を引き続き推進するとともに、新たな手法のサイバー攻撃にも対応できる演習プログラム・教育コンテンツの開発を継続的に実施。
■ 2020年東京大会に向けたサイバー演習の実施
2020年東京大会開催時を想定したサイバー攻撃を模擬し、大会組織委員会のセキュリティ担当者を中心に、攻撃側と防御側の手法の検証及び訓練を行う環境を整備した事業について、更なる内容の拡充を図り、より実践的な環境の下でのサイバー演習の強化を図るとともに、大会終了後に、同システムによる演習の実施により得られた知見、ノウハウを活用する方策について併せて検討。
■若手セキュリティ人材の育成の促進
若年層のICT人材に対し、集中的な研修を行うとともに、海外派遣による経験等を通じて、サイバーセキュリティのコア技術を開発できるような人材、あるいは、そのような技術力を生かしてリスクを許容し、積極的に起業ができるような人材の育成方策を検討し、そうした人材に対する支援の枠組みの構築を促進。
■ IoTセキュリティ人材の育成
IoTセキュリティに関するスキルを獲得するための教材作成や研修体制の整備、各種調査のデータの共有、機器の脆弱性に係る接続試験を行うテストベッドの構築等を行うための総合的な対策を産学官の連携により推進するための環境整備に向けた検討を行う必要がある。
○　巧妙化・複合化するサイバー攻撃に対し、実践的な対処能力を持つセキュリティ人材を育成するため、平成29年に国立研究開発法人情報通信研究機構(NICT)に組織した「ナショナルサイバートレーニングセンター」において、下記取組を実施。 ①国の行政機関、地方公共団体、独立行政法人及び重要インフラ企業等に対するサイバー攻撃について、実践的な防御演習を実施（CYDER） ②  2020年東京オリンピック・パラリンピック競技大会の適切な運営に向けたセキュリティ人材の育成(サイバーコロッセオ)東京大会に向けた人材育成全国から演習環境に接続し、サイバー防御演習(CYDER)を実施③若手セキュリティエンジニアの育成（SecHack365） 21
日際連携の事業
■ ASEAN各国との連携
■国際的なISAC間連携
国際連携ワークショップの開催等を通じて、日本のICT-ISACと米国のICT分野のISACとの連携を強化し、通信事業者、 IoT機器ベンダー、セキュリティベンダー等が、AIS (Automated Indicator Sharing)等を介して脅威情報を自動的に共有し、サイバーセキュリティ対策に活用を促進。
■国際標準化の推進
ISO/IEC (国際標準化機構/国際電気標準会議)及びITU-T (国際電気通信連合電気通信標準化部門)における、 IoTシステムのセキュリティに係る国際標準化に関する活動に積極的に貢献。
■サイバー空間における国際ルールを巡る議論への積極的参画
実践的サイバー防御演習「CYDER」等の海外展開を通じたセキュリティ人材の育成支援を推進するとともに、各種会議等を通じて、我が国及びASEANにおけるサイバーセキュリティの脅威をめぐる状況やIoTセキュリティ対策に関する情報交換を行うほか、ASEAN側のニーズを踏まえつつ、ASEANにおけるIoTセキュリティ強化に向けた施策の導入・促進のための協力を推進(平成29年～平成31年の3年間で500人を目標)。様々なチャネルを通じて進められている、サイバー空間における国際ルール等に関する議論へ積極的に参画。
1.行政共有
2.能力も整
OISAC(情報共有・分析センター)等の民間(主に情報通信業界)における国際連携を推進・米国ISACとのインディケータ、脅威分析情報等の共有・ISAC連携国際ワークショップの継続的な開催（2016.11東京）〇その他政府関係者においても情報共有を推進・二国間サイバー対話（2016.9日独、2016.10日英、2017.7日米等） •日EU•ICT政策対話(2017.10) ・日・ASEAN情報セキュリティ政策会議（2017.10） ○実践的サイバー防御演習(CYDER)の海外展開を通じて、 ASEAN等のセキュリティ人材育成を支援また、人材育成を契機として、本邦企業によるSOC構築・運用等のセキュリティ事業展開を促進•タイ(2015.11, 2017.2) 、マレーシア(2017.1) • JICA課題別研修(ASEAN向け) (2016年度～)ご清聴ありがとうございました