IoTセキュリティ脅威と対策品質保証部門担当者がすべきこと|ネットエージェント株式会社

IoTセキュリティ脅威と対策
品質保証部門担当者がすべきこと

IoTセキュリティ対策。まずは知ることから。

モノがインターネットに繋がる「IoT」市場が拡大しつつあり、そのセキュリティ対策について早急に考える必要がでてきました。

しかしIoTで繋がる製品は、そもそもインターネットへの接続を前提に設計されておらず、メーカー側も

通信モジュールやアプリケーション開発には不慣れ。

セキュリティとなると、何をどうしたら良いのかわからない。

という状況が多いようです。

そこで当社では、IoTセキュリティを考える担当者様のために、 「IoTセキュリティの脅威」と「担当者がすべきこと」をまとめました。お役立ていただけると幸いです。

当社では、研究部門にて様々なサイバーセキュリティ攻撃手法を研究しており、
IoT機器ペネトレーションテスト相談受付、自動車に対するペネトレーションテスト、ホワイトハッカーコンサルティング
などを行っています。お気軽にご相談・お問合せください。

1.IoTセキュリティ、発生しうる脅威と被害

IoT機器は、

インターネットへの接続を想定されて作られたものではない。

メーカー側にインターネットセキュリティを考慮する人材が不足している。

といった理由から、悪意あるハッカーによるサイバー攻撃のターゲットになりやすいのが現状です。

想定できる具体的な脅威としては、

機器の遠隔操作

ランサムウェア(身代金要求型不正プログラム)感染

マルウェア(コンピューターウイルスやワーム)の大規模感染

大規模DDOS攻撃の踏み台となる被害

などが考えられ、実際に以下のような被害もニュースになっています。

このようにモノがインターネットにつながると、開発者の想定を超えたサイバー攻撃を受ける可能性が高いと言わざるを得ないのかもしれません。
だからこそ、想定できる脅威に対してはしっかりと対策をすることが必要なのです。

2. IoTセキュリティの旗振り部門は「品質保証部門」

ところで、IoTセキュリティの旗振り役はどの部門になるのでしょうか。

IoTセキュリティはどの部門が旗を振るかについて、
まだ明確な指針がない状態ではありますが、
当社の見解としては「品質保証部門」が担当するのが最適と考えております。

なぜなら、モノがインターネットに繋がる世界においては、
製品の安全性とセキュリティの両方を達成する必要があるからです。
開発の問題点や解決策を理解している品質保証部門の守備範囲を
SafetyからSecurityにまで拡大することが、
最も製品開発工程に混乱を招くことなく、
製品のセキュリティを強化することに繋がるのではないでしょうか。

また実際に、当社へのIoT機器のセキュリティに関するご相談も品質保証部門の方が多いという事実もあります。ですので、もし担当部門が決まっていない場合は、品質保証部門を担当にすることをお勧めします。

3.IoTセキュリティの要？ペネトレーションテストとは

IoTセキュリティに関して平成28年7月5日に総務省より「IoTセキュリティガイドライン」が策定されています。

その中に

ペネトレーションテストの実施
サイバー攻撃による不具合を防ぐため、攻撃者目線での機器やシステムの検証（いわゆるペネトレーションテスト）を行う。

という一文が書かれていることをご存じでしょうか？

ペネトレーションテストとは何でしょうか？
当社が定義するペネトレーションテストとは以下のようなものとなります。

ネットエージェントが定義するペネトレーションテスト

ペネトレーションテストとは、攻撃者によるハッキングを具体的に想定した脅威分析を行い、想定したハッキングシナリオに従って実際に攻撃を行うもの。
Webアプリケーション脆弱性診断やプラットフォーム診断が特定のアプリケーションやサーバを対象とするのに対し、ペネトレーションテストはシステム全体を対象とする。

また、ペネトレーションテストの進め方としては、以下を推奨いたします。

ネットエージェントが推奨するペネトレーションテストの進め方

ペネトレーションテストを実施し、IoT製品のセキュリティリスクを把握
把握したセキュリティリスクを製品設計にフィードバック
セキュリティリスクに対する対策が問題なく実装されているか確認のため、
全ての製品に対して開発最終工程にてペネトレーションテストを実施

ペネトレーションテストは攻撃者目線での検証となるため、効果を上げるには、ツールによる機械的な検査ではなく、
高度な知識や技術を身につけたホワイトハッカーによる検査を行う必要があるといえます。
よってペネトレーションテストは、ぜひ信頼できる専門家のいる会社に依頼することをおすすめします。

※当社ではIoT機器ペネトレーションテスト相談を受け付けております。お気軽にご相談ください。

4.IoTセキュリティ政府方針。品質保証部門担当者がすべきこと

さて最後に、本章では「IoTセキュリティガイドラインVer1.0」に基づき、品質保証部門担当者がすべきことをピックアップしました。
「IoTセキュリティガイドラインVer1.0」と併せて、ご活用いただけると幸いです。

IoTセキュリティ品質保証部門担当者がすべきことチェックリスト

チェックリストのダウンロードはコチラ

	確認項目	IoTセキュリティガイドラインVer1.0 該当個所
	守るべき機能や情報が洗い出されているか確認	指針２、要点３
	インターネットに繋がる機能があるか確認	指針２、要点４
	インターネットにつながる機能がある場合、ペネトレーションテストを実施	指針２、要点４
	つながりで波及するリスクを想定するため、以下のケースやリスクの想定がなされているかを確認機器やシステムの異常が他のIoT機器・システムに影響を与えるケースウイルスなどがつながりを介してIoT 全体に波及するケース機能停止することで連携する機器やシステムに影響を与えたり、ウイルス感染で踏み台にされたりすることで被害者から加害者に転じるケース機器やシステムが自分自身の異常状態や他の機器を攻撃していることを認識できないケース共同利用の機器やシステムを介して波及するリスク対策のレベルが異なる IoT 機器・システムがつながることで、対策レベルが低い IoT 機器・システムが攻撃の入り口になるリスク対策レベルが低いIoT機器・システムが接続されたIoTが別の IoT と接続することで全体的にリスクが波及するリスク	指針２、要点５
	物理的なリスクを認識するため、以下のケースやリスクを想定する必要性を社内に提言盗まれた機器が不正操作されたり、紛失して拾われた機器が操作されIoTサービスが誤動作するようなリスク駐車場の自動車や庭に置かれた機器のカバーが開けられ、不正な機器をつなげられて遠隔操作されるリスク留守宅に侵入して家電の設定を変更し、不正なサイトに接続されるリスク廃棄されたIoT機器のソフトウェアや設定を読み出して、つながる仕組みを解析してIoT機器の攻撃に利用したり、個人情報を読み出し、なりすましにより不正アクセスをされるリスク IoT 機器のソフトウェアを不正なサイトに接続させるように書き換えてオークションに出したり、中古店に販売されるリスク	指針２、要点６
	個々でも全体でも守れる設計をするため、以下の対策が実装されているかを確認盗難、紛失時に遠隔から端末をロックする機能の実装ソフトウェアの難読化、暗号化機密データの暗号化、使用時のメモリなど在中時間の短縮実行時のメモリ上でのプログラムやデータの改ざんの防止	指針３、要点８
	（製品の仕様上の制約等により十分な対策をとれない場合）当該IoT機器・システム使用時のリスクへの対策で考慮すべき事項がマニュアルや使用手引書等で明示されているか確認	指針３、要点８
	安心安全を実現する設計の整合性を取るため、設計の「見える化」（設計における分析、設計、評価などのプロセスを経緯や根拠も含めて可視化すること）がなされているか確認	指針３、要点１０

IoTセキュリティ脅威と対策。担当者がすべきこと