組み込み開発視点で見る「IoTの影」（6）

組み込み開発者のための「IoT製品 セキュリティ実装ガイド」（1/2 ページ）

「コンシューマー向けIoT製品」を開発する際、どのようなセキュリティを実装すべきか。筆者も執筆監修に携わったJNSAのガイドブックより、機器とサービスの仕様から「どのようにセキュリティ対策を想定し、優先順位を決定するべきなのか」を例示していきたい。

　日本ネットワークセキュリティ協会（JNSA）というNPOがある。2017年1月時点で191社が参画し、サイバーセキュリティについての啓蒙活動や調査研究をボランティアで行っている団体だ。

　連載の第2回で触れた通り、私は2015年の4月からIoT セキュリティワーキンググループのリーダーとして「コンシューマー向けIoT」のためのセキュリティガイドの執筆監修を行った。

　発行は2016年6月で、2014年4月にワーキンググループが発足してから2年あまりかけて収集し検討した情報をもとに、個人が購入利用することの多い「コンシューマー向けIoT」というカテゴリーを定義し、既存の機器について脅威分析を行い、想定される対策の例を列挙することにした。

　日本の開発者の多くが欲しいと思うものだと思って書いたが、想像以上に反響が大きく、また、IoT機器のセキュリティに関連する諸団体とセミナーを行うなど普及のための活動も散発的に行っており、2017年はワークショップもやろうと思っている。

　そこで、この連載で書き散らかしてきたさまざまな事柄を支えるものとして読者のみなさんに役立ててもらえるよう、機器とサービスの仕様からどのようにしてセキュリティ対策を想定して優先順位を決定するのがよいか、例を示していこうと思う。少し冗長な部分が出るとは思うがご容赦いただきたい。

「製品」と「セキュリティ更新」の保証期間

　まず、機器とサービスのライフサイクルの定義を確認することにする。ここでいうライフサイクルとはIoT機器を利用する個人ユーザーが機器を購入して廃棄するまでを指しているが、それと並行して機器の開発販売（提供）をするベンダーの責務としての保証期間のもある。

　コンシューマー向け製品の製品保証期間は「購入後12カ月」というのが一般的であり、その保証内容は「製品が機能すること」である。加えて、スマートフォンなどで一般的になりつつある「ネットワーク経由のセキュリティ更新」についても、製品の保証期間以上に提供することを想定しなければならないというのがガイドの第3章に記してある。対象となる製品や機器が子供向けのオモチャであろうと、IoTの仕組みの上で使われるからにはセキュリティを担保してほしいからだ。

　脆弱性の無い完全な機器を提供してくれるのであれば素晴らしい話ではあるが、現実的な話として、完全無欠の機器という絵空事を期待しているのではなく、自分の作ったものには責任を持とうというだけの話である。安価に提供されることが求められるコンシューマー向け製品において、テストへのコストに多くは期待できない。しかし、それでも脆弱性を指摘された際には、求めに応じて修正したセキュリティ更新を提供することで安全性をうたうことができるだろう。

　では、どのくらいの期間、セキュリティ更新を提供するのが妥当だろうか。これは機器によって違ってくるだろう。

　我が家のテレビは購入して8年ほどになるがまだ5年くらいは使う（える）と思う。ビデオカメラは子供が保育園に通っていた頃に購入したが、小学校の運動会で使ったのが最後で使わずにとってあるが、テープに録画するタイプのビデオカメラは撮影した動画を再生する目的以外で使うことはなさそうだし、古いテープは先日DVD-Rに焼いて捨ててしまった。デジタル一眼レフカメラは子供が中学生になってサッカーに没頭していた頃に買った。画素数は最新機種の半分程度だがまだ使える。これも10年選手だ。

　白物家電はどうだろう、洗濯機は引越し前に買ったものを修理しながら使っているので、かれこれ14年くらい使っているし、まだまだ現役。冷蔵庫は引越し時に買い替えたように思うので、こちらは12年。

　こうしてみると、身の回りにある家電はおおよそ10年くらい使っていることになるが、その全てでソフトウェアの更新が提供されていない。

　他に使っているものといえばGarminのサイクルコンピュータがある、二世代前のモデルだが今でも使える、しかし2013年に最後の更新がリリースされており、壊れたら新しいモデルを買うことになるだろう。これも5年くらい使っている。

　一方、スマートフォンはほぼ2年周期で機種変更し、PCも5年くらいで更新している。そしてこれらはソフトウェアに対してセキュリティ更新が提供されている。Wi-Fiルーターもそうだ、4年前の製品を中古で入手したがいまだにソフトウェアの更新が提供されている。

　ちなみにだが、「10年間、セキュリティ更新を提供するためにどれだけのコストが必要になるか」を念頭に置いておいて欲しい。現在は法制度化されていないが、将来的にIoT製品の販売に関してサイバーセキュリティの担保が義務化される可能性は誰にも否定できない。そのコストを事業計画あるいはオプションとして必要コストに含んでおくことは、将来の事業リスク低減となるだろう。

組み込み開発視点で見る「IoTの影」

この連載の記事をもっと見る

この記事の著者

新着ホワイトペーパー PR

• 製品資料
  [株式会社 Green AI] AIで脱炭素計画を最適化、初年度からエネルギーコストとCO2を削減する方法
• 市場調査・トレンド
  [スマートジャパン編集部] 「ペロブスカイト太陽電池」の普及戦略が公表　政府が目指すコスト・導入量のロードマップを解説
• 市場調査・トレンド
  [スマートジャパン編集部] 導入が加速する再エネ・系統向け蓄電システム 　コスト・収益性の現状分析
• 技術文書・技術解説
  [スマートジャパン編集部] いまさら聞けない「ペロブスカイト太陽電池」の基礎知識と政策動向
• 技術文書・技術解説
  [スマートジャパン編集部] 「ペロブスカイト太陽電池」の開発動向、日本の投資戦略やコスト目標の見通しは？

関連記事

• 

  ユーザーが意識しないIoTセキュリティを実現する

• 

  「IoT」のためだけではない、セキュアなプラットフォーム

• 

  IoTは「IT」と「組み込み」だけではない

• 

  「IoTのセキュリティ」はみんなの問題

• 

  「IoTのセキュリティ」が大切な理由