白浜シンポジウムでもテーマとなった「IoTのセキュリティ」、議論の要点は？

　実はこうした観点は、WHITE MOTION設立発表に先だって和歌山県で開催された「第21回 サイバー犯罪に関する白浜シンポジウム」（開催：2017年5月25日～27日）でも話題に上っていた。

　2017年5月25日に同シンポジウムで「IoT・AIと法的課題」というタイトルで講演を行った英知法律事務所 岡村久道氏は、車載システムに限らず、IoT全般という枠組みでセキュリティの在り方を論じた。

英知法律事務所 岡村久道氏

　岡村氏は「IoTといっても、コネクテッドカーから産業機器まで多様であり、十把一絡に論じるのは難しい」と断った上で、ITシステムとは異なり「メーカーから販売業者、サービス事業者、ユーザーに至るまで、複数の、しかも多種多様の関係者が関わっている」「ライフサイクルが長いという時間軸の問題がある」「責任境界線をどこに置くべきかが曖昧である」といった課題が存在すると説明した。

　多様な関係者が関わる中でどのように多層防御を実現するか、そしてそのコストは誰が負担するのかは難しい問題だ。メーカーばかりにコストを負担させては、グローバルな市場の中で競争力を失う恐れもある。

　岡村氏は、総務省が示した指針を取り上げ、メーカーが設計・製造の段階から「セキュア・バイ・デザイン」の考え方を取り入れるとともに、「適マーク」のように、一定の基準を満たした製品に対する認証制度を設けることで、販売・輸入業者やユーザーがセキュアなモノ作りをしているベンダーを見分けられるようにし、脆弱性が残ったまま放置される「野良IoT」を減らすことが可能ではないかとした。また、少なくとも重要インフラをつかさどる機器や人の身体・生命に関わる領域については、車の車検制度や建物の耐震基準のように、ユーザーの費用で問題がないかどうかをチェックする仕組みが必要ではないかも述べている。

⇒⇒「新着ホワイトペーパー」をチェックする

　蔵本氏が指摘した「ライフサイクル」にも通じるのが、時間軸の問題だ。ハードウェアはPL法（製造物責任法）の対象だが、ソフトウェアは基本的に対象とならない。だが、IoTや組み込み機器になるとソフトウェアが重要になってくるため対象となり、10年間の無過失責任を負う。こうした状況の中で、ソフトウェアの脆弱性対応をどこまでメーカーが責任を持って実施すべきかは大きな課題だ。

　「PCやケータイ、スマートフォンは3年も経てば買い換えるだろうが、冷蔵庫やテレビといったネット家電となると、3年で捨てる人はそんなにいないだろう」（岡本氏）。だが、製品が市場にリリースされてから時間が経てばたつほど新たな脅威が生じる。この先10年に渡ってアップデートを適用できるほど余裕のあるスペックを全てのIoT機器が備えられるかというと、それも非現実的だ。

　「IoT機器は、セキュリティアップデートやパッチを当てるのには限界がある一方で、スマホのように短期間では入れ替わらない。PL法上の責任を考えると、高額な機器については耐震基準のような形でセキュア・バイ・デザインの基準を設けるべきではないか。また、例えば冷蔵庫ならば、パッチを適用できない場合はソフトウェアやネットワーク機能を切って、とにかく冷やすことだけはできる原始的な冷蔵庫として使う、とったことが可能な制度や法律設計が必要ではないか」と岡村氏は述べている。

　最後の責任境界線の問題に関しては、例えばコネクテッドカーで交通事故が起きたとして、ハードウェアの欠陥やソフトウェアの脆弱性、データの誤表示、通信途絶、はたまた整備不良や道路の欠陥などさまざまな原因が考えられる。このうち整備不良は、サービス提供側ではなくユーザー側の責任になるが、もはや車はブラックボックス化しており、利用者が自ら安全性をチェックするのは難しい。従ってここも車検制度の中に組み入れ、専門家がチェックするモデルを検討すべきではないかと岡村氏は指摘。そして、「既に存在する車検制度や消費生活用製品安全法といったベーシックな制度や法律をモデルにしながら、IoTセキュリティの枠組みを考えていくべきでは」と述べている。