インダストリアルIoT向けセキュリティ

Kaspersky Lab、IICのIoTセキュリティ成熟度モデル実践ガイドの作成に協力

カスペルスキーは、Kaspersky LabのICS CERT部門のエキスパートが、IoT推進団体であるIndustrial Internet Consortiumの他の会員企業とともに、「IoT Security Maturity Model：Practitioner’s Guide」の作成に携わったことを発表した。

公開 2019年03月05日 09時00分

著者

八木沢篤

[TechFactory]

印刷する連載新着通知を受け取る

IICが発行した「IoT Security Maturity Model：Practitioner’s Guide」の表紙（出典：IIC）

　カスペルスキーは2019年2月26日、Kaspersky LabのICS CERT部門のエキスパートが、IoT推進団体であるIndustrial Internet Consortium（以下、IIC）の他の会員企業とともに、「IoT Security Maturity Model：Practitioner’s Guide（IoTセキュリティ成熟度モデルの実践ガイド）」の作成に携わったことを発表した。

　同ガイドは、インダストリアルIoT事業者が、自社のセキュリティ対策に関する目標やリスクへの考え方に基づいて、実現したいセキュリティ成熟度を定義する際の参考となるもので、2018年発行の「IoT Security Maturity Model：Description and Intended Use White Paper」の実践編という位置付けである。

　Kaspersky Labを含む専門家グループが約2年にわたって同ガイドの作成に取り組み、IICが2019年2月に「バージョン1.0」（全129ページ／英語版のみ）を発行した。

その他社サービスとの連携って本当に安全？　本来知っておくべきこと

　同ガイドに記されているセキュリティ成熟度モデル（Security Maturity Model：SMM）は、もともと2016年にIICが発行した「Industrial Internet Security Framework（IISF）」をベースとしており、インダストリアルIoT向けのセキュリティについて現実レベルにまで掘り下げた“初のモデル”だという。

　「IoTシステムというものは、1社単独で実現するケースはほとんどなく、さまざまなベンダーのソフトウェアやサービスなどがつながりあって実現する。これまでは、つなぐ先のベンダーのセキュリティレベルを知るすべはなかったが、本来はその基準が問題ないレベルなのかを知る必要がある。これはインダストリアルIoTをテーマにしたガイドだが、ITを活用した仕組みをつなぎ合わせていく世界においても普遍的に使えるものだと確信している」（カスペルスキー松岡正人氏）

　同ガイドは、インダストリアルIoTのステークホルダー向けに、セキュリティフレームワークを各セキュリティレベルに基づいて明確化し、ガバナンス、テクノロジー、システム管理の観点から、組織におけるIoTシステムの成熟度を評価する。具体的に、同ガイドのセキュリティ成熟度モデルは、Governance、Enablement、Hardeningの3つのドメイン下に、サブドメイン、プラクティスがぶら下がる形で定義されている。

IoTセキュリティ成熟度モデルの階層（出典：IIC）

　世の中にある他のガイドラインと異なる特長は、IoTとセキュリティの両方を同時に扱っている点だとする。従来、それぞれバラバラで扱うモデルは存在したが、同ガイドのように双方をカバーするものはなかった。SMMはその全てをカバーすると同時に、重複を避けるために既存モデルの要素についても適宜取り上げているという。「ユニークなのはプラクティスの範囲に、組織として脅威情報をどのように取り扱うかといった観点や、サードパーティー製サービスの管理にまで踏み込んでいる点だ」と松岡氏。

　このたび発行された同ガイドは、インダストリアルIoTの下、複数の利害関係者がつながることを念頭に置いて作成されたもの。その対象は、セキュリティの専門家だけではなく、産業用施設の運用者、専用ソフトウェアの開発者、ビジネスの意思決定者（経営層）、規制当局なども含まれる。つまり、インダストリアルIoTの運用に関わるあらゆる組織や個人の関心事と、セキュリティニーズが考慮されている。

　同ガイドは、インダストリアルIoTの事業者が現時点での成熟度を4段階（Minimal、Ad-hoc、Consistent、Formalized）で評価し、目標レベルに到達するために必要な手順を理解するのに役立つ。ガイド内に記されている36項目に基づき、IoTシステムを評価し、改善の継続サイクルを回すことで、段階的にセキュリティを強化できるという。

　さらにガイド内には、具体的なケーススタディーとして「データ駆動型の高性能ビン詰めライン」「OTAアップデートに対応する車載ゲートウェイ」「住宅用防犯カメラ」の3つの事例を収録している。

印刷する