「IoT開発におけるセキュリティ設計の手引き」を公開

概要

昨今、IoT（Internet of Things）が多くの注目を集めています。現在ではIoTと分類されるようになった組込み機器のセキュリティについて、IPAでは2006年から脅威と対策に関する調査を実施してきました。現在IoTと呼ばれる機器には、最初からIoTを想定し開発されたものの他に、元々は単体での動作を前提としていた機器に、ネットワーク接続機能が後付けされたものが多く存在すると考えられます。そのため、IoTの普及と利用者の安全な利用のためには、機器やサービスがネットワークでつながることで生じうる様々な脅威や、それらを原因とするリスクや被害を予め踏まえておく必要があります。

本手引きでは、以下を掲載しています。

脅威とリスクを整理し、課題を抽出

本手引きでは、IoTの構成要素を「サービス提供サーバ・クラウド」「中継機器」「システム」「デバイス」「直接相互通信するデバイス」の5つに分類して定義し、IoTの全体像をモデル化しました。その上で、各構成要素における課題の抽出・整理を行いました。

IoTにおけるセキュリティ設計を解説

抽出された課題を踏まえ、IoT機器やサービスのセキュリティ設計にあたって行うべき「脅威分析」「対策検討」「脆弱性への対応」について解説しています。「対策の検討」では、主なセキュリティ対策候補の一覧を掲載し、どの対策がどのような脅威に有効かを例示することで、対策検討時の参考になるようにしています。

具体的な脅威分析・対策検討の実施例を図解

これ迄に蓄積してきた知見を基に、「デジタルテレビ」「ヘルスケア機器とクラウドサービス」「スマートハウス」「コネクテッドカー」の4分野を例に、具体的な脅威分析と対策検討の実施例を図解しています。
図解では、脅威が想定される箇所と、認証や暗号化など有効な対策を明確化するとともに、業界のセキュリティガイドで述べられている要件との対応をマッピングしています。このような図解が、網羅的にセキュリティ要件を整理することが困難な組織や、今後IoTビジネスを模索する組織にとって、安全な機器・サービスの検討の材料になると考えています。

セキュリティの根幹を支える暗号技術の実装チェックリストを提供

暗号技術は、IoT機器やサービスのセキュリティを実現する上で根幹を為すものです。本手引きでは、暗号技術が適切に実装されているか、安全性を客観的に確認するためのチェックリストを付録として添付しました。開発者はこれを参照して暗号技術の利用・運用方針を明確化し、その安全性を評価することが容易になります。

目次

• 公開にあたって
• 1. はじめに
  • 1.1　IoTのセキュリティの現状と課題
  • 1.2　本書のねらい
• 2. 本書におけるIoTの定義
  • 2.1　サービス提供サーバ・クラウド
  • 2.2　中継機器
  • 2.3　システム
  • 2.4　デバイス
  • 2.5　直接相互通信するデバイス
• 3. IoTのセキュリティ設計
  • 3.1　脅威分析
  • 3.2　セキュリティ対策の検討
  • 3.3　脆弱性への対応
    　3.3.1　開発段階での対応
    　3.3.2　運用段階での対応
    　3.3.3　IPAが提供するコンテンツの活用
• 4. IoT関連のセキュリティガイド
  • 4.1　OWASP Internet of Things Project
  • 4.2　OTA IoT Trust Framework
  • 4.3　GSMA IoT Security Guidelines & Assessment
• 5. IoTシステムにおける脅威分析と対策検討の実施例
  • 5.1　デジタルテレビ
  • 5.2　ヘルスケア機器とクラウドサービス
  • 5.3　スマートハウス
  • 5.4　コネクテッドカー
• 6. IoTセキュリティの根幹を支える暗号技術
• 参考文献
• 付録A. OWASP Internet of Things Projectの成果概要
• 付録B. OTA IoT Frameworkの概要
• 付録C. IoTにおける暗号技術利用チェックリスト
• 付録D.「つながる世界の開発指針」と本書の対応

「つながる世界の開発指針」と対応

本書は、2016年3月24日にIPAソフトウェア高信頼化センターが公開した IoT製品を安全に開発するための17の指針 に対し、具体的なセキュリティ設計と実装を実現するための手引きとの位置付けです。本書の公開に合わせ、17の指針との対応表も公開しています。

開発指針と本手引きの活用がIoT機器・サービスのセキュアな実装と運用の一助となり、今後の安全なIoTの普及に役立つことを期待します。 

資料のダウンロード

IoT開発におけるセキュリティ設計の手引き 表紙

全文

• IoT開発におけるセキュリティ設計の手引き（124ページ）(PDF:3.7 MB)

付録抜粋

• 付録C： IoTにおける暗号技術利用チェックリスト(Excel:24 KB)

プレスリリース

• プレスリリース（2ページ）(PDF:551 KB)