独立行政法人情報処理推進機構（IPA)
技術本部ソフトウェア高信頼化センター（SEC)
研究員 宮原 真次
IoT時代のリスクの認識と
安全・安心に向けた開発のポイント
SECセミナー in 仙台
2017年2月22日
目 次
IPA組織の紹介
IoT/CPSのイメージと事例
IoTの国内外の動向
つながる世界の課題認識とリスク事例
つながる世界の開発指針の狙いと概説
つながる世界の開発指針の普及展開
IPAのミッション
IT社会の
安全・安心を創る
未来を拓く
IT人材を育てる
“繋がる時代”の
高信頼化を築く
本日の位置付け
IPA組織の紹介
ソフトウェア
高信頼化センター
セキュリティセンター
技術本部
IT人材
育成本部
S o f t w a r e R e l i a b i l i t y
E n h a n c e m e n t C e n t er
（SEC）
国際標準推進センター
IT人材育成企画部
イノベーション人材センター
HRDイニシアティブセンター
情報処理技術者試験センター
２．IoTの安全安心への取組み
（つながる世界の開発指針の策定と普及展開）
ＩＰＡ
（独）情報処理
推進機構
１．重要インフラ等情報処理システムの
ソフトウェア障害対策
1.1 障害情報共有の仕組み構築
1.2 障害事例情報の分析活動
1.3 組込みソフトウェア産業の競争力
強化
2.1 国内での普及と国際標準化
2.2 開発指針の業界仕様への展開
2.3 IoT高信頼化機能要件の策定
３．環境変化に対応した新たな取り組み
3.1 システムズエンジニアリング
3.2 システム理論に基づく障害解析
STAMP
3.3 システム構築上流工程強化
IoT時代：様々なモノやサービスがつながる世界
AVネットワーク
医療・ヘルスケアネットワーク
蓄電池・
コジェネ
HEMSネットワーク
電力会社
省エネ制御
家電・照明
EV/HV
太陽光発電
HEMS
端末
医療・ヘルスケア
機器
ウェラブル
機器
医療・
ヘルスケア
サーバ
ロボット介護
テレマティクス端末、
データレコーダ等
ITS＆自動車安全機能の連携
Newサービス
後付
車載器
車車間通信
持込機器
ITS路側機
自動運転
車載 ECU
４K・８K
コンテンツ
ホーム
サーバ
ネットワーク
家電
HEMS
関連企業
コンテンツ
提供企業
医療機関・
ヘルスケア企業
サービス提供サーバ
（クラウド）
自動車メーカ
・交通管制
Convenience
お 弁 当 セ ー ル生活圏の公共エリア
のネットワーク機器
ATM
遠隔監視・制御
機器メーカ
農地や工場
スマートメータ
ホームゲートウェイ
出典：一般社団法人重要生活機器連携セキュリティ協議会「セキュアライフ2020」中の図に加筆
CPS社会：大量のセンサーデータを分析・活用する世界
環境・構造情報管理 ・分析センタ
社会状況データ管理 ・分析センタ
DB
環境・構造情報をセンシングし、可視化情報や
将来予測等の
アセスメント情報
を提供
個人の健康状態や屋内外の環境因子をセンシ
ングし、
ヘルスケア情報
を提供
社会状況をセンシングし、渋滞回避等の次のア
クションのための
意思決定支援情報
を提供
20:00 22:00CO
2パーソナル情報管理 ・分析センタ
環境・構造情報センシング
パーソナル情報センシング
社会状況センシング
混雑度測定
渋滞予測
橋梁健全性
体内環境
室内環境
移動履歴
地滑り監視
氾濫監視
水質等環境監視
個人から地球環境まで、あらゆるところにセンシングデバイスが遍在する
社会が到来。
街頭防犯カメラ
※CPS：サイバー・フィジカル・システム
インターネット
ビックデータ、AI解析
バルセロナ市では、市内全域にWi-Fiで接続したスマートパーキング
メータを配置して、住民に駐車可能な地点の情報をリアルタイムで提供。
また、スマートフォンでの駐車料金の支払いを可能としている。
IoT事例）バルセロナ市の公共IoT
（スマートパーキング）
CPS事例）JR東日本「スマートメンテナンス」
センサ・ビックデータを活用した保守コストの大幅削減
～ 時間計画保全から状況監視保全へ ～
海外の動き：独Industry4.0と米IIC(
Industrial Internet Consortium
)
米
イ
ン
ダ
ス
ト
リ
ア
ル
イ
ン
タ
ー
ネ
ッ
ト
独
イ
ン
ダ
ス
ト
リ
ー
４
．
０
出典：経済産業省製造産業局プレゼン資料より
規格/団体
概要
主要参加メンバー等
共
通
・
汎
用
規
格
IEEE P2413
IoT に お い て ド メ イ ン 横 断 の プ ラ ッ ト
フォームを検討
-ISO/IEC 30141
JTC1 SWG5の後をうけてWG10でリファ
レンスアーキテクチャを検討
-NIST CPS PWG
CPSのFramework検討のためのPublic
WG
-oneM2M
世界の主要7標準化団体の共同プロ
ジェクト。従来の垂直統合型M2Mサー
ビスを共通PFで水平統合型に展開
Continua、HGI、OMA等業
界団体約200社
代
表
的
な
業
界
別
・
特
定
規
格
Industrie 4.0
ドイツ政府が製造業のイノベーション政
策として主導
Siemens 、 Bosch 、 SAP 、
他
IIC
エネルギー、医療、製造、運輸、行政に
焦点
GE、AT&T、IBM、Cisco、
Intel等、約240社
AllSeen Alliance
家電製品、モバイル端末向け規格
Qualcomm 、 LG 、 MS 等 、
約50社
OCF
家庭、企業における多様なデバイス間
の相互運用のための規格
Intel 、 サ ム ス ン 電 子 、
Cisco、MS、他
HomeKit
iOS（スマホ）と機器をつなぐ規格
Apple、他約20社
動き始めた日本の「CPSによるデータ駆動型社会」
出典：平成27年5月 産業構造審議会 商務流通情報分科会 情報経済小委員会 中間とりまとめ
IoT推進体制：IoT推進コンソーシアム設立(2015.10)
出典：IoT推進コンソーシアム http://www.iotac.jp/wg/security/
参加企業等
約2,400会員
(2016年10月現在)
つながる世界に向けたSECの取組み
つながる世界のソフトウェア
品質ガイド(*1)
つながる世界のセーフティ
＆セキュリティ設計入門
つながる世界の品質の相互
理解を深めるために、品質
モデルを共通化
つながる世界の開発指針
つながる世界のセーフティ
設計・セキュリティ設計の
薦めと見える化
製品開発時に考慮すべき
セーフティ/セキュリティ/
信頼性の要件を指針化
2015年5月発行
2015年10月発行
2016年5月発行
活動１
活動２
活動３
*1: ISO/IEC25000
SQuaREシリーズ解説
つながる世界では様々な課題が存在
異なる分野の
サービスがつながる
サービス企業やユーザが
モノをつなげられる
様々なモノがつながる
１つの製品の不具合
による影響が拡大
相手の信頼性レベル
が分からない（不安）
メーカが想像もしない
つなぎ方、使い方も
つながる世界では、製品供給者が
想定しない、把握できない課題
が発生
つながる世界のリスクを認識し、安全・安心への対策が急務！
IoT技術は日進月歩
時間が経つにつれて
安全安心が劣化
つながる世界のリスク（事例１）
知らない うちに 「つな がっ てしまう 」
ロシアで、中国製アイロンの中に近隣200m以内の無線LANにアクセスし、
ウイルスを撒き散らすチップが埋め込まれていることが発見された。
無線ＬＡＮ
（認証なし）
無線ＬＡＮ
（認証あり）
②無線LAN上
のPCに感染
①200m以内の認証のない無線LAN
にアクセスし、マルウェアをまき散らす
鍵のない無線
ＬＡＮがあるから
使っちゃおう
出典：一般社団法人 重要生活機器連携セキュリティ協議会「生活機器の脅威事例集」
つながる世界のリスク（事例２）
産業制御システム
制御装置（PLC）
工場内設備
工場内ネットワーク
①ネットワークから隔離されたシステムに
USBメモリや持ち込みPC経由でマルウェアが感染
②不正な命令で
設備を破壊
「つながらない」つもりなのに「つながってしまう」
外
部
に
対
し
て
ク
ロ
ー
ズ
な
つ
も
り
が
・
・
・
出典：一般社団法人 重要生活機器連携セキュリティ協議会「生活機器の脅威事例集」
ウイルスで工場設備が停止
つながる世界のリスク（事例３）
出典：一般社団法人 重要生活機器連携セキュリティ協議会(CCDS)
米国blackhat2015で発表があった自動車の攻撃研究事例
スマホから不正に車載器に進入し、ジープのハンドルやエンジンを不正操作した。
「つながらない」はずが「つながってしまう」
つながる世界の開発指針の狙い
想定されるリスク
• 車を制御・操作中のスマホのハングアップにより、
制御・操作が効かなくなり、重大な事故が発生
• 脆弱性がある側の機器への不正アクセスにより、
相手側の機器に保存されている情報が盗難
自動運転の車
スマートフォン
人の命を預かる
信頼性の設計要件
通信や
エンターテイメントに
利用する信頼性の
設計要件
接続しても
問題がないかの
確認が必要
IoT時代の安全
と安心への危惧
等
つながる事を想定した安全・安心に向けた設計が重要に！
例）
つながる世界の開発指針検討WG
役割
委員氏名
所属先名
主査
高田 広章
名古屋大学
副主査
後藤 厚宏
情報セキュリティ大学院大学
委員
飯島 雅人
株式会社ミサワホーム総合研究所
委員
緒方 日佐男
日立オムロンターミナルソリューションズ株式会社
委員
荻野 司
一般社団法人 重要生活機器連携セキュリティ協議会
委員
奥原 雅之
富士通株式会社
委員
梶本 一夫
パナソニック株式会社
委員
木村 利明
一般財団法人 機械振興協会 技術研究所
委員
高橋 裕一
株式会社日立製作所 情報・通信システム社
委員
長谷川 勝敏
一般社団法人組込みイノベーション協議会
委員
早川 浩史
株式会社デンソー
委員
松並 勝
一般社団法人日本スマートフォンセキュリティ協会
委員
三上 清一
株式会社JVCケンウッド
産業界や学会の有識者で構成したWGをH27年8月に立ち上げ
IoT製品・システムの開発時に考慮すべき、リスクや対策を検討
つながる世界の開発指針検討WG委員一覧
つながる世界の開発指針を策定
つながる世界の開発指針の特徴
※本開発指針は、２０１６年３月２４日に公開
開発指針でのIoTの捉え方
IoT
IoTがつながったIoT(System of Systems)
IoT
IoT
IoT
モノがつながったIoT
中継
ノード
サーバ
モノ
1.単独でも有用
4.つながることで
新しい目的や
機能を実現
3.完成形ではなく
継続的に進化
2.つながっても
独立に管理可能
5.地理的に分散し
情報を交換
IoT
あらゆる「
モノ
」がネットワークにつながり、
新しい価値
を創生
さらに 、
IoT同士
がつながることで、
新しい価値
を創生
ただし、
つながりにより拡大するリスク
も発生
SoS定義：Mark W. Maier
つながる世界のリスクの特徴（１／２）
想定しないつながり
が発生する
管理されていないモノ
もつながる
つながる世界のリスクの特徴（２／２）
身体や財産への危害
にもつながる、危害がつながりにより
波及
する
問題が発生しても
ユーザにはわかりにくい
無線経由での
不正アクセス
設定ミスによる
個人情報漏えい
ウイルス感染
財産
現金
身体や生命
開発指針策定にむけたリスクの分析方針
• IoTにおいて「守るべきもの」、「つながりのパターン」を整理
→ 「IoTならでは」のリスクを想定
開発指針のリスク分析方針
機器種別 リスク例 メ ー カ ー や 関 連 企 業 サ ー ビ ス 事 業 者 ユ ー ザ （ 意 図 的 ） ユ ー ザ （ 誤 接 続 ） 攻 撃 者 偶 発 的 直 接 的 間 接 的 固 定 的 動 的 複 合 的 Ｉ ｏ Ｔ 機 能 本 来 機 能 デ ー タ 身 体 や 財 産 そ の 他 通 常 使 用 Ｉ ／ Ｆ メ ン テ ナ ン ス 用 Ｉ ／ Ｆ 非 正 規 Ｉ ／ Ｆ 内 包 物 理 的 接 触 企 画 ・ 設 計 ・ 開 発 製 造 ・ 出 荷 運 用 （ 供 給 側 ） 運 用 （ ユ ー ザ 側 ） 廃 棄 ・ リ サ イ ク ル 主要な原因 IoTに着目した課題/問題 インターネット接続の想定不足 初期パスワードの変更依頼不足 初期パスワードを記載した文書の公開 攻撃事例の把握、共有不足 保守用扉のアクセス管理不足 保守用インタフェースの開放 ATM端末のウイルス感染 個々のIoTの管理不足 つながりの全体像を把握する機能なし 経営者 開発者 保守者 ユーザ認証機能の不足 つながりによるリスクを想定する 基本方針が策定されていない。 リスクが想定されていない。 不自然な操作に対する確認の不足 物理的なリスクを認識する リスクが想定されていない。 アカウントの管理不足 知らない相手でも安全安心につなげられる設計をする 意図しない使われ方やつながりを考慮できていない。 異常な利用を防ぐ仕組みの不足 内部不正や情報漏えいに備える 社員のモラルや訓練、リスク想定が不足している。 モバイル網のアクセス管理不足 安全安心の設計の整合性を確認する 双方の技術者が連携できていない。 スマホ－車載器間通信の非保護 個々でも全体でも守れる設計をする IoTとしての守るべきものと守り方が明確でない。 車載器権限の認証なし 時間が経っても安全安心を維持する アップデート機能の安全性が不足している。 アップデート機能の不正利用を防げない。 アップデートファイルの暗号化なし つながる相手に迷惑かけない設計をする 自身の問題の他への波及を止められない。 自身の問題の他への波及を止められない。 自動車制御系へのアクセス管理不足 廃棄・リサイクル時の機密漏えいに備える 廃棄・リサイクル時の機密漏えい対策が不十分。 廃棄・リサイクル時の機密漏えい対策が不十分。 工場でのセキュリティ検査不足 自身がどのような状態かを把握・記録する 緊急対応体制が整備できて いない。 自身の問題を検知できない。 自身の問題を検知できな い。 ウイルスチェック機能なし 最新のIoTリスクを把握・情報共有する 最新のリスクを把握できていない。 異常時の自律制御機能なし ユーザにつながることによるリスクを知ってもらう ユーザがつなげるリスクを防げない。 IoT機器 （想定事例）廃棄・リサイクルされた機器をつな げたら、前の所有者のIoT設定が残っていて サーバにつながってしまった。 ○ ○ ○ ○ ○ ○ 廃棄・リサイクル時の設定消去なし 廃棄・リサイクル時の対策を検討する必要がある。 IoT全般 （想定事例）災害時に、災害対策用のIoTが一 斉に立ち上がり、無線が輻輳、IoTが使用でき なくなった。 ○ ○ ○ ○ ○ ○ ○ 社会全体としてのIoTの把握不足 周囲及び自己の現在の状態 を把握し、対応する必要があ る。 攻撃事例の把握、共有不足 センターサーバのアクセス管理不足 POS端末のウイルス感染 家電 （想定事例）ユーザが家庭用の家電操作機器 の通信を中継・延長し、遠隔から家電を操作し たところ家族が事故にあった。 ○ ○ ○ ○ ○ ユーザのリスク認識不足 ユーザにつながる世界のリス クを認知させる必要がある。 対策されるべき課題 対象読者 対策の方向性 ATM POS つながる相手に影響を与え ないという配慮が不足してい た。 意図しないつながりにおいて も、安全安心を維持する必 要がある。 センターサーバに不正アクセス、POS端末にウ イルスを感染させ、顧客の決済情報を不正に収 集。 自社に関連する機器への攻 撃が増大していたのに、対策 していなかった。 ○ ○ 何が起きたか なぜ発生したか 工場の検査時にウイルス感染、出荷され、IoT 接続された際に感染が広がった。 （想定事例）IoT同士がつながるうちに、想定さ れたないIoTまでつながり、情報が漏えいした。 IoT機器 IoT全般 モバイル網経由で車載器にアクセス、チップの ファームウェアを書き換え、車載ネットワークに 制御命令を送信、自動車のハンドルやブレーキ を遠隔制御。 自動車 車載器 ローンが滞ったユーザの自動車を遠隔からロッ クしたり、ホーンをならすサービスが元従業員に 不正利用。 ・守るべきものが守られてい なかった。 ・セキュリティの問題がセーフ ティに与える影響の想定が 不十分であった。 ・遠隔アップデート機能のセ キュリティが不十分であっ た。 内部犯行を想定していなかっ た。 攻撃者に保守用扉を開けら れたり、保守用USB端子に 電話機等をつなげられるリス クの想定が不十分であった。 拾得者などによる意図しない 利用に対しても、安全安心を 考える必要がある。 どの段階で発生したか ＷＨＯ ＨＯＷ ＷＨＯＭ ＷＨＥＲＥ ＷＨＥＮ ファイアウォールに守られた クローズドな環境への設置を 想定していた。 IoT機器 （想定事例）拾ったIoT機器をいじっていたら遠 隔機能が動作し、ユーザの財産に損害を与え た。 プリンター 複合機 インターネットに接続することを想定していない プリンター複合機の蓄積データが公開状態に。 初期パスワードも文書で公開。 物理鍵を不正に入手しATMの保守用扉を開け てウイルスを感染させるとともに、さらに電話機 等を取り付け、その電話機等にメールを送るこ とで現金引き出した。 ○ ○ ＷＨＡＴ ＷＨＹ ○ 誰がつなげたか どのようにつなげたか 何が危害を受けたか どこで発生したか ○ ○ ○ ○ （ 現 金 ） ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ( 製 品 ) ○ ○ ○
