組み込み開発視点で見る「IoTの影」（5）

ユーザーが意識しないIoTセキュリティを実現する（2/4 ページ）

公開 2017年01月16日 09時00分

更新 2017年01月26日 16時42分

著者

松岡正人

[TechFactory]

印刷する連載新着通知を受け取る

IoTシステムのセキュリティ全体像を把握する

　もしIoTが「利用者が意識せず」生活を豊かに、社会を陰ながら支えてくれるものだと考えるならば、IoTのセキュリティはユーザーが「意識せずに」実現できることが望ましい。そんなIoTシステムのサイバーセキュリティ対策の全体像を、開発者であればきちんと把握しなければならないだろう。

　2015年12月、経済産業省から「サイバーセキュリティ経営ガイドライン」が公開されているが、これは技術について個別に解説していない、あくまでもビジネスの観点で「どのような対策を講じ、攻撃を受けた場合にどう対処すべきか」の概念を述べているにすぎない。具体的な対策として何を行えばいいのかは、これだけでは見えてこないかもしれない。

　さらに踏み込んだ指針が2016年7月に同じく経産省から公開された「電力分野におけるサイバーセキュリティ対策について」である。追って同月に発表された「サイバーセキュリティ対策の保安規制への取り込みについて」によれば、従来の保安対策にサイバーセキュリティ対策も取り入れていくということであり、今後、他の重要インフラ分野に対しても同様な指針とガイドラインが準備されることになると思われる。

　くしくも2016年11月15日には米国の国立標準技術研究所（NIST）と国土安全保障省（DHS）の2カ所から、IoTを包含するサイバーセキュリティについての指針が発表されている。まず、NISTのガイド「Systems Security Engineering：Considerations for a Multidisciplinary Approach in the Engineering of Trustworthy Secure Systems」を斜め読みしてみる。

　対象となるシステムは今日の複雑かつ動的で相互接続されるもので、CPS（Cyber Physical System）、SoS（Sysmtem of Systems）、そしてIoTとある。そして、ISO／IEC／IEEE 15288を指針としていかに管理できるかが書かれている。キーワードは要所要所で登場してくるので列挙はしないが、“2.3 SYSTEM SECURITY PERSPECTIVE”の文中に大きく書かれていることを開発者はかみしめるべきだろう。

Don't focus on what is likely to happen -- but instead, focus on what can happen and be prepared.

　起こりそうなことに注目せず、起こりうることに注目して準備する。赤壁の戦いでの魏軍の大敗、源義経の鵯越（ひよどりごえ）の奇襲、第二次世界大戦初期の電撃戦によるドイツのフランス侵略。歴史に多くの例があるよう、想像していないところから敵がやってくる可能性がある。

　サイバーセキュリティ的にはもはや都市伝説でしかない「インターネットにつながっていないから安全」というような意識がどこかにないだろうか。攻撃する側になって「可能性を否定しない検討」をする必要があるだろう。

次ページへ Stuxnetに見る都市伝説の崩壊