情報処理推進機構：情報セキュリティ：調査・研究報告書：組込みシステムの脅威と対策に関するセキュリティ技術マップの調査報告書

HOME >> 情報セキュリティ >> 調査・研究報告書 >> 組込みシステムの脅威と対策に関するセキュリティ技術マップの調査報告書

情報セキュリティ

組込みシステムの脅威と対策に関するセキュリティ技術マップの調査報告書

最終更新日 2007年5月10日
独立行政法人情報処理推進機構
セキュリティセンター

　独立行政法人情報処理推進機構（略称：IPA、理事長：藤原武平太）は、組込みシステムの情報セキュリティ対策を推進するため、7分野（RFID 、ICカード、情報家電、携帯電話、金融端末（ATM）、自動車搭載機器カーナビ、自動車搭載機器ETC）の組込みシステムを対象として、製品のライフサイクルを考慮したセキュリティ技術マップを策定し、「組込みシステムの脅威と対策に関するセキュリティ技術マップの調査報告書」として2007年5月10日（木）より、IPAのウェブサイトで公開しました。

概要

　「組込みシステムの脅威と対策に関するセキュリティ技術マップの調査」では、今後顕在化すると予測されている組込みシステムの脅威に対する情報セキュリティ対策の浸透、向上を目指し、RFID、ICカード、情報家電、携帯電話、金融端末（ATM）、自動車搭載機器カーナビ、自動車搭載機器ETCの７分野の組込みシステムを調査対象として取り上げました。今回の調査では、各分野個別に保護すべき情報資産とその脅威や対策を洗い出し、製品のライフサイクルを考慮したうえで体系的に整理し、セキュリティ技術マップとして策定しました。

【保護すべき情報資産とそれに対する脅威や対策の明確化】

今回の調査では、組込みシステムのライフサイクルを、①開発（商品企画、用件開発、設計を含む）、②製造（実装、検証を含む）、③運用（保守を含む）、④廃棄の4段階に設定し、段階ごとに分析を行いました。
この分析の枠組みを導入することで、各段階と組込みシステムの構成要素に対して保護すべき情報資産を整理しました。またそれらに対し想定される脅威や対策を検討し、セキュリティ技術マップ上に位置づけることで、事例との関係を明確化しました。

【ライフサイクルから見た組込みシステムのセキュリティ上の傾向把握】

組込みシステムは、業界団体やメーカから仕様が必ずしも公開されていません。また、分野によってはセキュリティに関する事例情報が少なく、その実態を把握することが困難なものもありましたが、次のように分析しました。

１）　RFIDやICカード、ETC、ATMなどの組込みシステムは、認証用情報や暗号鍵情報等を出荷時点であらかじめその内部に格納しています。そのため、実際に利用される運用段階だけでなく、その前段階である開発段階、製造段階での組込みシステムの内部構造に関する情報といった保護すべき情報資産への配慮が重要と考えられます。

２）　情報家電や携帯電話、カーナビなどの組込みシステムは、出荷後の機能修正や追加といったソフトウェア更新や、利用者自身が入力する情報の追加等が行われます。そのため、運用中に蓄積された追加情報が利用者個人を特定できる内容を含む可能性があることから、実際に利用される運用段階だけでなく、廃棄段階における適切なフォーマット処理等の保護すべき情報資産への対処が重要と考えられます。

【組込みシステムの将来動向から見たセキュリティ検討の方向性】

組込みシステムの動向の調査より、次のことが共通点として浮き彫りとなっています。

組込みシステムの高機能化、多機能化
組込みシステム間の相互接続と融合
組込みシステム間の相互運用性の確保
組込みシステムの技術的アーキテクチャや構成要素の共通化
組込みシステムの運用中のソフトウェア更新

これらは、組込みシステムの分野を問わず、その利便性や付加価値を向上させる共通の施策となっています。こうした組込みシステムの高度化により、現在のパソコンが直面している様な脅威と類似した脅威への対策の検討と、組込みシステム間の相互接続や融合時におけるセキュリティ対策の検討の必要性が、それぞれ把握できました。

組込みシステムの高度化がもたらす利便性の裏に潜むセキュリティの脅威を、各分野のメーカや業界団体等とも協調しつつ継続的に把握していく必要があります。本報告書が、安心・安全な組込みシステムの開発に寄与し、セキュリティ脅威が減少することとなれば幸いです。