ディジタルエコノミー時代のサイバーセキュリティ -ディジタルトランスフォーメーション促進の基盤確立に向けて-：4．IoT機器の普及とサイバーセキュリティ政策

全文

(1)特集. Special Feature. ［ディジタルエコノミー時代のサイバーセキュリティ─ディジタルトランスフォーメーション促進の基盤確立に向けて─］. ④. IoT 機器の普及とサイバーセキュリティ政策. 谷脇康彦. 基応専般. 総務省総合通信基盤局. データ主導社会と IoT システムの普及. 介護システムの情報化，製造プロセスの情報化など，. リアル（現実）空間とサイバー空間の一体化が急. 化は特定の領域（たとえば，政府，医療機関，工場. 速に進んでいる．リアル空間に設置されるさまざま. など）に閉じていたのに対し，IoT システムではこ. な機器がネットに接続される IoT（モノのインター. れらの領域の違いを越えて相互に接続された仮想的. ネット）化が進展し，機器の稼働状況などから大量. な 1 つのシステム（System of Systems）になり，デー. のデータが蓄積され，ビッグデータになる．この. タの連携を通じて新しい価値を生み出そうという点. ビッグデータを人手だけで解析するのは大変な作業. に特徴がある．. なので AI（人工知能）の活用が行われる．しかし，. この特徴は新たな脆弱性を生み出す可能性もある．. データの解析そのものが最終目的ではない．データ. 複数の情報システムが相互に接続することで，最も. 解析によって得られた知見をリアル空間のさまざま. セキュリティ水準の低いところから攻撃者に侵入さ. な課題─環境問題，高齢化問題，労働力不足─の. れ，他の領域まで攻撃者の探索が広がる可能性は否. 解決のためのソリューション作りに役立てていく．. 定できない．したがって，多様な情報システムのセ. ソリューションの稼働状況をデータで把握し，ソ. キュリティ水準を引き上げるボトムアップ的なアプ. リューションのさらなる改善を行っていく．. ローチが必要になるほか，特定の情報システムのリ. このように，データがリアル空間とサイバー空間. スクが他のシステムに波及するシステミックリスク. の間を循環しながら，より高密度のデータの収集・. （リスクの連鎖）を回避する仕組み作りなども求め. 蓄積・解析を通じて社会課題の解決につなげていく. られる．また，大量の IoT 機器のセキュリティ対. 社会をデータ主導社会（Data Driven Society）と呼ぶ．. 策を網羅的に行うことは大きな困難を伴うものであ. リアル空間に設置された IoT 機器は急速に増加. り，これまでとは違うアプローチがセキュリティ対. しており，2017 年時点で世界の IoT 機器の数は. 策として求められるようになる．. その領域は多岐にわたる．しかし，これまでの情報. 275 億個であるが，2020 年時点で 403 億個にまで急増すると推計されている（IHS Technology 社調査）．IoT 化が急速に進展している中，IoT システ. 1090. 急増する IoT に対するサイバー攻撃. ムのセキュリティ対策について検討することは喫緊. IoT 機器を狙ったサイバー攻撃はすでに現実のも. の課題となっている．. のとなっている．国立研究開発法人・情報通信研究. これまでも情報化（ディジタル技術の導入）の. 機構（NICT）はリアルタイムでのサイバー攻撃観. 波はさまざまな情報システムに押し寄せてきてい. 測網 NICTER（ニクター）を運用している．その. る．ディジタルガバメント（行政の情報化），医療・. 観測結果（図 -1）によると，我が国で観測された. 情報処理 Vol.59 No.12 Dec. 2018 特集ディジタルエコノミー時代のサイバーセキュリティ.

(2) サイバー攻撃は 2015 ∼ 2017 年の 2 年間で 2.8 倍と. サーバであった．Dyn 社は DNS（Domain Name. なっているが，IoT 機器を狙った攻撃は同期間に 5.7. System）サービスを提供する会社で，一般のネッ. 倍になっており，一般的なトレンドの約 2 倍のペー. ト利用者が閲覧を希望する Web サイトの URL 情. スで増加している．特に 2017 年 1 年間に観測され. 報を打ち込むと，これを IP アドレスに変更して接. たサイバー攻撃の内訳を見ると，IoT 機器を狙った. 続ルートを確立するサービスを提供している．Dyn. 攻撃は 54% に上り，観測されたサイバー攻撃の半. 社のサーバが DDoS 攻撃によってダウンした結果，. 数以上が IoT 機器を狙ったものとなっている．IoT. 同社と契約していた著名企業─アマゾン，ネット. セキュリティは待ったなしの状況だといえよう．. フリックス，AirbnB，ツイッター，ニューヨークタイムズ，ウォールストリートジャーナルなどの. マルウェア Mirai の登場. Web 閲覧が不能になってしまった．すなわち，IoT. IoT 機器を狙ったサイバー攻撃は現実のものと. となってサイバー攻撃の道具として使われたという. なっている．それが 2016 年秋に米国で発生したマ. 事案であった．. 機器がマルウェアに感染させられ，これらが踏み台. ルウェア Mirai 事案である．この事案では，Web カメラやルータなど 10 万台を超える IoT 機器がマルウェア Mirai に感染し，攻撃者の意のままに操ら. IoT セキュリティ総合対策. れる状況になっていた．攻撃者が目をつけたのは. こうした中，総務省は 2017 年 10 月，「IoT セキュ. IoT 機器の ID・パスワードの設定の脆弱性で，約. リティ総合対策」を策定・公表した．この総合対策は，. 60 種類の ID・パスワードの組合せで機器内への侵. IoT 機器の脆弱性対策にかかわる体制の整備，研究. 入を許した．. 開発の推進，民間企業等におけるセキュリティ対策. 感染した IoT 機器は攻撃者の指令に基づき，特. の促進，人材育成の強化，国際連携の推進の 5 つの. 定の Web サイトに集中的にアクセスを繰り返し，. 項目で構成されている．以下，本稿では IoT 機器. サイトのサーバの許容範囲を超えたアクセスを受け. の脆弱性対策に焦点を当てながら見ていくこととし. たサーバがダウンする DDoS（Distributed Denial. たい．. of Service : 分散型サービス不能）攻撃を仕掛けた．. まず，IoT 機器の特徴について整理したい．IoT. その特定の Web サイトとは米 Dyn（ダイン）社の. 機器は，単にパソコンやスマートフォンのような情報機器に限らず，センサ類，Web カメラ，デジタ. IoT 機器を狙った攻撃は約5.7 倍. （パケット数（億））. ル録画機，複合機，さらには白物家電など多種多様. 1,504億. 1,500. である．これらの機器は長年にわたって使用される. 2.8 倍. 1,000. 545.1億. という特徴がある．スマートフォンなどの情報機器の場合は数年で買い替える場合が多いが，Web カメラ（たとえば，マンションに設置された防犯カメ. 1,504 1,281. ラ）などは 10 年を越えて利用されるケースも想定. 500. される．しかも，機器そのものが画面を有しておら. 545.1. 0. 128.8. 2013. 256.6. 2014. ず，メモリの容量も乏しい．このため，情報機器の 2015. 2016. 出典：情報通信研究機構（NICT） ■図 -1 急増する IoT 機器を狙ったサイバー攻撃. 2017 （年）. ようにセキュリティ対策ソフトを導入することが想定されていない．加えて，機器が多数に及ぶことか. 4. IoT 機器の普及とサイバーセキュリティ政策情報処理 Vol.59 No.12 Dec. 2018. 1091.

(3) 特集. Special Feature. らファームウェアの更新をしたり，情報資産として. の切り離しなどを行う「対処機能」といった 3 つの. 正確に機器の管理を継続して行えるかといった点に. 機能を持つゲートウェイ機能を，機器またはサービ. ついても問題が存在している．. スとして提供するというものである．こうした機能. このように，長期にわたって利用される上に機器. を持つ機器はすでに一部市場に出てきているが，今. の管理が行き届きにくい IoT 機器の特性を踏まえ. 後 IoT 機器の普及に伴い，IoT セキュアゲートウェ. ると，機器の設計・製造，販売，設置，運用・保守，. イの機能の重要性がさらに増すものと考えられる．. 廃棄に至るライフサイクル全体に及ぶ機器管理（ライフサイクルマネジメント）を考える必要がある．. IoT 機器の脆弱性調査の実施. IoT 機器とセキュリティバイデザイン. IoT 機器の脆弱性に対処する際，すでに市場に出. IoT 機器のライフサイクルマネジメントを考える. IoT 機器とはセキュリティ対策の在り方も異なるも. 際，まずは機器の設計・製造段階からセキュリティ. のと考えられる．新規に販売される機器については，. 対策を盛り込むセキュリティバイデザイン（Securi-. 前述のとおり一定のセキュリティ要件を持つ機器に. ty by Design）の考え方を関係者間で共有すること. 対する認証制度や IoT セキュアゲートウェイの考. が求められる．これは機器の設計・製造時にセキュ. え方に基づく機器・サービスを利用することでセ. リティ対策を盛り込んでおかないと，機器の運用段. キュリティ対策を講じることが可能となるが，すで. 階で追加的なセキュリティ対策を講じる必要が生じ. に市場に出回っている機器の場合，こうした対策は. るため，追加的な手間とコストを要することになる. 講じられておらず，脆弱性を抱えたままリアル空間. ためである．IoT 機器が設計・製造段階で一定のセ. で設置・運用されている．こうした脆弱性を有する. キュリティ対策を講じている場合，これを確認の上，. 機器がどの程度の数出回っているのか，またどのよ. 第三者機関等が認証マークを付与することも考えら. うな脆弱性を抱えているのかという実態の把握すら. れる（後述）．. 現状ではできていない．このため，既設の IoT 機. また，運用・保守の段階では，IoT セキュアゲー. 器の脆弱性を調査し，現状を分析した上で対策を講. トウェイの考え方を取り入れることが求められる．. じる必要がある．. 回っている IoT 機器とこれから市場に出る新規の. 前述のとおり，IoT 機器にセキュリティ対策のための機能を実装することが難しいことから，インターネットとイントラネットの接続点（たとえば，家庭. 1092. 脆弱性調査の強化に向けた体制整備. のインターネット接続個所）において，イントラネッ. マルウェア Mirai が ID・パスワードの脆弱性. トに接続される IoT 機器の管理機能を持たせると. を突いて機器の乗っ取りを行ったことを考えると，. いうアプローチである．. IoT 機器のパスワードの脆弱性を広く調査するため. 具体的には，イントラネットに接続された機器が. の体制整備が求められる．そこで総務省は 2018 年. 正当な機器であることを確認し，不正な IoT 機器か. の通常国会に電気通信事業法及び国立研究開発法人. らの接続を拒否する「認証機能」，機器の通信状態. 情報通信研究機構（NICT）法の改正法案を提出し，. を監視して異常な通信（たとえば大量のデータ送信）. 同年 5 月に改正法が公布された．その内容は大きく. を通知する「検知機能」，機器のファームウェアな. 分けて 2 つある．. どを強制的な更新・不正な機器のネットワークから. まず電気通信事業法の改正法においては，サイ. 情報処理 Vol.59 No.12 Dec. 2018 特集ディジタルエコノミー時代のサイバーセキュリティ.

(4) バー攻撃対策のために電気通信事業者間の情報共有. のため，第三者機関を総務大臣が認定し，情報の結. の体制強化を行った．具体的には，図 -2 にあると. 節点として当該機関に情報を集め，関係者で共有す. おり，攻撃者が感染端末に指令を出す C2（Command. る仕組みを作ることが効果的である．この組織は機. and Control）サーバが事業者 A のネットワークに. 微にわたる情報を管理するための安全確保措置を講. 接続されているとする．また，感染端末が通信事業. じることも求められる．. 者 B と通信事業者 C のネットワークにそれぞれ接. この第三者機関については新たに設置するのでは. 続されている場合，3 つの通信事業者が C2 サーバ. なく，通信事業者等で構成する（一社）ICT-ISAC. や感染端末に関連する情報を共有することで面的な. を認定することとしている．なお，ISAC（Informa-. 防御を講じることが可能となる．しかし，複数の事. tion Sharing and Analysis Center）とは特定の分野. 業者間で個別に情報のやりとりをすることは煩雑で. の事業者等が参画し，脅威情報の共有，対策の検. ある上，自社の顧客情報を他の事業者と共有するこ. 討などを共同で実施することを目的とした組織で，. とは通信の秘密を保護する観点から問題となる．こ. ICT（情報通信）分野が老舗であるが，それ以外にも，金融や電力の分野. 第三者機関. でも活動を行っており，その範囲がさらに別の. DB 情. 分野にも拡大する方向. 報. 情共報有. 電気通信事業者A. 有. 共. 情報共有. で検討が進んでいる．次に情報通信研究機. 電気通信事業者C. 電気通信事業者B ブロック. ブロック. 構（NICT）法の改正内容であるが，NICT に. 標的. 攻撃. IoT 機器の脆弱性調査. 攻撃指令. ものである．具体的に. マルウェア感染機器. マルウェア感染機器. 指令サーバ. という業務追加を行う. 注意喚起. 注意喚起. は，図 -3 のとおり，広く IoT 機器をスキャン. ■図 -2 第三者機関を中心とする情報共有体制の整備. サイバーセキュリティ戦略本部. （中長期計画）. 意見聴取. 総務大臣. （中長期計画認可）. 情報通信研究機構 ①機器調査・パスワード設定に不備のある機器（その機器にかかるIPアドレス）を特定. ・パスワード設定に不備のある機器にかかるIPアドレス等を提供. ②情報提供第三者機関. ・パスワード設定に不備のある. ③注意喚起機器にかかる利用者を特定し，. ※総務大臣が調査の実施計画を認可. インターネット上のIoT機器. 電気通信事業者設定変更の注意喚起. 機器の利用者. 攻撃者 ■図 -3 IoT 機器の脆弱性調査のための体制の整備. 4. IoT 機器の普及とサイバーセキュリティ政策情報処理 Vol.59 No.12 Dec. 2018. 1093.

(5) 特集. Special Feature. してネットに接続された IoT 機器のパスワード設. ム全体に脆弱性が埋め込まれる可能性がある．こう. 定に不備のあるものを見つけ，その関連情報（IP. したリスクについては民間組織であるセキュア IoT. アドレスとタイムスタンプ）を前述の第三者機関. プラットフォーム協議会等において具体的な検討が. （ICT-ISAC を想定）経由で通信事業者に提供する．. 進められている．. 提供を受けた通信事業者はその情報を基に利用者お. セキュアな IoT 機器の認証制度やサプライチェー. よび利用機器を特定し，パスワード設定をより強固. ンリスクの問題は米国や欧州でも議論されている．. なものとするよう注意喚起を行う．なお，こうした. 特に米国では 2017 年 5 月の大統領令に基づいて. 調査を行う上での疑問やパスワード設定の方法など. ボットネット対策などいくつかの論点に関するレ. について利用者の相談に乗るサポートセンターの設. ポートが 2018 年 6 月にホワイトハウスに提出され. 置も行うこととしている．. たところであり，今後の動向が注目される．IoT 機. NICT の行う業務は脆弱なパスワードを何種類か. 器は国境を越えて取り引きされることから，認証制. 実際に打ち込んで機器の認証が得られるかどうかを. 度を創設する場合には国際的整合性の確保も重要に. 確認することになる．機器の認証が得られた場合，. なる．. 第三者が侵入可能な脆弱性があるということを意味する．また，この調査によって機器内に侵入可能であることを調査する行為そのものが不正アクセス禁. サイバーセキュリティ戦略 2018. 止法における禁止行為に該当する可能性があるこ. 2018 年 7 月，政府は新しいサイバーセキュリティ. とから，NICT の業務については不正アクセス禁止. 戦略を閣議決定した．本戦略は，民間部門のセキュ. 法の適用除外（法律に規定する正当な行為）として. リティ投資の促進，各主体の防御能力の強化，国際. いる．なお，本調査の趣旨・目的を逸脱しないよう，. 連携の推進を 3 本柱とし，また横断的施策として，. 調査の実施計画は関係府省と協議の上，総務大臣が. 人材の育成・確保，研究開発の推進，全員参画によ. 認可する．. る協働対策を掲げており，本稿で述べた IoT セキュリティ対策についても，民間部門のセキュリティ投. IoT 機器のセキュリティ認証制度の検討. 資の促進のための主要施策の 1 つとして戦略に盛り. IoT 機器が一定のセキュリティ要件を満たしてい. た官民連携の枠組みの中で IoT セキュリティ対策. る場合の認証制度の在り方については，IoT 推進コ. を具体的に進めていくとともに，こうした日本モデ. ンソーシアムにおいて産学官連携の体制で議論を進. ルを海外に発信していくことが求められている．. 込まれている．今後，関係府省の連携を強化し，ま. めており，2018 年 6 月の作業部会において取り組. （2018 年 7 月 9 日受付）. み方針がまとめられた．認証の仕組みは技術進化が激しい分野であることに鑑み，法令に根拠を置く公的認証制度ではなく，民間主体による任意の認証制度を基本とする方向で検討を進めていくこととしている．また，機器単独ではなくサプライチェーン全. 谷脇康彦 . 体の中でのセキュリティ確保の在り方についても検. 1984 年郵政省（現総務省）入省．内閣審議官・内閣サイバーセキュリティセンター（NISC）副センター長，総務省情報通信国際戦略局長，政策統括官（情報セキュリティ担当）などを経て，2018 年より総合通信基盤局長．. 討する必要がある．たとえばチップに脆弱性が埋め込まれた場合，これを使用する機器，さらにシステ 1094. 情報処理 Vol.59 No.12 Dec. 2018 特集ディジタルエコノミー時代のサイバーセキュリティ.

(6)