グローバル競争に向けまったなし――サイバーセキュリティー強化が日本のIoTビジネス成功の鍵：ITmedia エグゼクティブセミナーリポート

IoT時代の到来で高まるサイバーセキュリティーのリスクをどう管理すべきか。セキュリティーを品質の1つとして定義し、競争優位に生かす新たな取り組みについて議論する。

[山下竜大，ITmedia]

　アジア太平洋地域を重視する米国のリバランス政策により、アジア地域で巨大なインフラ投資が見込まれているが、同時にサイバーセキュリティーに関して高い基準を満たすことが求められるようになる。このセキュリティー標準化にいち早く対応することで、日本企業はアジア地域におけるインフラ市場と世界でのIoTビジネスの競争力を強化することが期待できる。

NIST対応が急務の日本のIoTビジネス

デロイト トーマツ コンサルティング 安全保障経済政策 執行役員 國分俊史氏

　「IoT時代のサイバーセキュリティーと競争優位」をテーマに開催された「第36回 ITmedia エグゼクティブセミナー」の基調講演に、デロイト トーマツ コンサルティング 安全保障経済政策 執行役員である國分俊史氏が登場。「競争力の決定打、それがサイバーセキュリティー」をテーマに講演した。

　米国のリバランス政策は、これまで太平洋と大西洋に50対50で配備していた米軍の割合を、太平洋60、大西洋40にリバランスする政策である。これに対し日本のメディアは、軍事面でのリバランスしか報道していない。國分氏は、「軍事のリバランスは政策の1面にすぎない」と言う。

　アジア地域は世界で最も自然災害が多い地域であり、今後も持続的な増加が予想されている。問題は自然災害の頻発がアジア経済の混乱だけでなく地域の秩序の混乱につながるリスクを増幅させることにある。これこそ米国がリバランス政策を推進する理由の1つである。日本の自衛隊は、災害時の救援活動能力を高く評価されており、自国の災害対応ができないアジア地域の軍組織の能力を米国とともに引き上げる支援が求められている。

　一方、リバランスの資料には、グァム、日本近海、インド洋などに、巨大な軍艦、潜水艦、空母を寄港させる頻度と場所を増やしていく方針も明記されている。軍事的な観点から、例えばベトナムの状況を見てみると、現在は空母等が寄港できる喫水の港は1つしかない。これでは、この地域の海洋監視能力の向上は見込めない。

　國分氏は、「米国企業は、軍事、外交、安全保障を一体化した視座から経営戦略を立てているので、どこの港を拡張し、そのためにはどの地域の電力供給能力の強化が不可欠となり、どのように港周辺のロジスティクスインフラが整備される必要性が高まるのか？を想定して市場戦略を立案している。一方の日本は、安全保障経済政策の観点も含めて経営戦略を立てている企業は皆無といえる」と話す。

　こうした危機的な状況から抜け出すために、自民党IT特命戦略委員会において、「デジタルニッポン2016」と呼ばれる世界最先端IT国家の実現に向けた提言が2016年5月に公開されている。その中に、アメリカ国立標準技術研究所（NIST）のサイバーセキュリティーフレームワークをはじめとする国際基準に準拠していく方針が明言されている。

　その背景として、特に欧州でIoTビジネスにおけるデータの互換性を検証している団体が、NISTとの提携を昨年末に発表したことが挙げられる。NISTによって標準化されようとしている技術は、ISO化の準備も進められているが、日本はいまだ議論にすら参画していない。そこで早期に国際標準の動向を日本企業に強く意識させるためにデジタルニッポン2016では敢えてNISTを明記した。

　「現在、日本のメーカーのセンサーはメーカー間のデータの互換性がないが、欧州では既にメーカー間でのデータの互換性を担保する実証がスタートしている。垂直統合囲い込みを目指した独自センサーのままでは、早晩、日本はすべての市場を奪われることになる。またセンサーを製造する会社の社内情報システム、取引先の情報システムがNIST対応していなければ、その製品は納品できない状態に2017年末以降、米国防総省や米エネルギー省の調達基準によって現実になり始める」（國分氏）

　また、今後は製品にもサイバーセキュリティー品質が求められるようになる。例えば車において壊れないのではなく、誤作動しない、情報漏えいした際に被害を最小限にとどめられるか。日本にも対応が求められるのである。

　米国商務省では2014年より、NISTのサイバーセキュリティーポリシーに基づいてIoTビジネスを展開することで、プラットフォームのグローバルレベルでの入れ替えを目指している。NISTが取りまとめているワークショップでは、インテルが議長となり「Intel Trusted Execution Technology（Intel TXT）」というチップによってあらかじめ設定したセキュリティー条件を満たすハードウェアの利用を指定できることをルール化しようとしている。これの意味するところは、今後のクラウドサービスは、どの国の、どのサーバの、どのチップで動作、どのディスクにデータが格納されたのかがリアルタイムでトラックできるようにしなければならないということだ。

　國分氏は、「日本のクラウドビジネスも、CPUやディスクレベルでのトレーサビリティーをサポートできるハードウェア環境でクラウドサービスを提供でなければ、グローバル企業からルールを理由に利用を敬遠される事態が発生する可能性が高い。日本企業は、サイバーセキュリティーの国際標準化に対応できていないために、IoTビジネスからの締め出さられるという危機を回避するために、NIST対応が急務だ」と締めくくった。

IoTのセキュリティーはビジネス企画時に考える

ラック サイバー・グリッド・ジャパン サイバー・グリッド研究所 リサーチャー 渥美清隆氏

　特別講演には、ラック サイバー・グリッド・ジャパン サイバー・グリッド研究所 リサーチャーである渥美清隆氏が登場。「ビジネスの企画時から考えるIoTセキュリティー」をテーマとした講演で、脅威分析に基づいた、IoTビジネスにおけるセキュリティー上の考慮点のヒントを紹介した。

　渥美氏は、「IoTの企画を考えるのは楽しいこと。最近のメディアの記事を読んでいてもワクワクする」と言う。しかしIoTの企画立案においては、顧客満足度を向上させる機能に話題が集中し、セキュリティーに関する議論は消極的になりがちである。なぜ、企画段階でセキュリティーを考慮しておかなければならないのだろうか。

　2009年に発売されたあるメーカーの無線LANルータは、現在でもセキュリティー上の問題があり、当時公開された警視庁のウェブサイトの情報が、2016年にも更新されている。このルータの問題は、利用者がこのルータでインターネットサービスに接続すると、外部の攻撃者がこのルータにログインし、成りすましができてしまうことである。

　また運転方法に応じて保険料が変化する自動車保険では、運転特性を調べるために自動車に取り付けたドングルに脆弱性があり、不正指令により、ハンドルやブレーキ、アクセルなど、すべての機能を外部から操作できてしまうという問題があった。どちらの問題も技術者の問題というよりも、企画の段階で把握して技術者に指示すべきであった。

　リスクを考える場合、「なにを守るか」が重要になる。企画なので売れなければ意味はない。しかし売れれば必ず攻撃される。攻撃により侵害されると損害賠償や企業価値の低下など、企業は大きな損失を被ることになる。つまりIoTの企画におけるセキュリティーリスクは、経営責任ということになる。

　しかし難しく考えなくてもよい。企画原案が提出されたら、実装機能を議論し、リスク評価を行い、合意ができれば実装設計に、合意できなければ再度実装機能の議論からやり直す「リスク評価ステージ」を導入する。ポイントは、実装者の責任にしないこと。セキュリティーの責任はあくまで経営者である。

　「情報処理推進機構（IPA）などから、IoT開発におけるセキュリティー対策のガイドラインが出ているので、ぜひ読んでほしい。ただしガイドラインがすべてではなく、責任の分割統治が必要。脅威モデルの抽象化、分割、階層化により、リスクと管理策を正確に列挙し、管理策の適切な実施を確認する。いわゆるV字開発モデルである」（渥美氏）

　なにを守るかが決まったら、次は「どう守るか」である。リスクの管理策は、低減、移転、回避、保有の4つから1つ以上を選ぶ（ISO27001より）。低減はリスクの確率を下げること、移転は自分に火の粉がかからないようにすること、回避はコストとの見合いでサービスの提供をやめること、保有はリスクを受容する管理策である。

　低減、回避の方法として、3段階で城壁を高くする施策がある。まず第1段階として、開発環境、カーネル、パッケージを最新の状態にする。次に第2段階として、スクリプト言語やフレームワークを使い、バッファオーバーフロー対策を行う。第3段階として、必要最小限の機能を実装、耐タンパ性の考慮、秘密鍵の管理策などを行う。

　渥美氏は、「それでも侵害されることはある。侵害発生の準備として、全物品の所在を記録、侵害検知方法の検討、どんな侵害があるか考える、できる限り早く気づき、被害を最小限にする手順を考えておく、保険に加入するなどの準備をしておく。また、故障、侵害の早期発見、対策のためにもログを保存しておくことが重要になる」と話している。

IoT時代の超軽量ソフトウェアUTM「Clavister」

キヤノンITソリューションズ 基盤・セキュリティーソリューション事業本部　セキュリティーソリューション事業部 セキュリティーソリューション第二技術部 プレサポート課 主任 西浦真一氏

　セッション1には、キヤノンITソリューションズ 基盤・セキュリティーソリューション事業本部　セキュリティーソリューション事業部 セキュリティーソリューション第二技術部 プレサポート課 主任の西浦真一氏が登場。「ソフトウェアUTMで実現するIoT時代のセキュリティー対策」をテーマに講演した。

　「IoT時代の到来により、家庭や産業のいろいろなモノがインターネットにつながる。例えば、家庭用のヘルスメーターから集めた情報で、患者や介護対象者の状況を、病院や介護施設からリアルタイムに把握できる。また走行する自動車の情報をクラウドで収取することで、交通監視システムを実現できる」（西浦氏）

　IoTの取り組みはドイツのインダストリー4.0や米国のインダストリアル・インターネットなど、欧米が進んでいる。日本でもクボタがトラクターにセンサーを搭載し、肥料や収穫などの作業記録を管理するサービスを開始している。一方、ハッキングにより走行中に遠隔操作されてしまうことが判明したジープ・チェロキーのようなリスクもある。

　こうしたリスクから通信を守るためには、統合脅威管理（UTM）の設置が有効になる。例えば、UTMアプライアンスを固定ネットワークの出入り口に設置するほか、仮想ソリューションのUTMを通信網に設置、さらに組み込み型のUTMを移動体に設置する。この3つのニーズに対応できるのが、超軽量ソフトウェアUTMのClavisterである。

　Clavisterは、スウェーデンを本拠地とするネットワークセキュリティーベンダー。すでに2万5000社以上への導入実績がある。西浦氏は、「ブラジル地方政府機関では、ビデオ会議システムにClavisterを導入し、暗号化通信による安全な会議の公開、不正な利用者を防ぐユーザー認証、帯域保証による安定した映像配信を実現した」と話している。

IoTデバイスのリスクを軽減する「MTP」

チェック・ポイント・ソフトウェア・テクノロジーズ セキュリティー・エバンジェリスト 卯城大士氏

　セッション2には、チェック・ポイント・ソフトウェア・テクノロジーズ セキュリティー・エバンジェリストである卯城大士氏が登場。「スマートTVの脆弱性を例とするIoTセキュリティーの影響とモバイル・セキュリティー対策の指針」をテーマとした講演で、IoTおよびモバイル・セキュリティーの現状とその対策について紹介した。

　スマートTVは、「ドングル」と呼ばれるデバイスをUSBポートに差し込むことで、PCやスマートフォン、YouTubeなどの画像や動画をテレビで利用できるようにする、全世界で約500万ユーザーが利用しているサービスである。このスマートTVの脆弱性を、チェック・ポイントのセキュリティー・リサーチ・チームが2015年夏に発見した。

　この脆弱性は、攻撃者がドングルをハッキングし、悪意のあるコードを実行することで、同じ無線ネットワークにつながっているPCや情報家電、スマートフォンなどを自由に操ることができるもの。遠隔操作により、ID／パスワードを盗まれて、個人情報や口座番号などの機密情報が漏えいしてしまう可能性がある脆弱性である。

　「PCやIoTデバイスのセキュリティーを保つためには、定期的なパスワードの変更やソフトウェアのアップデートが必要になる。またインラインでの保護も有効。Check Point Capsule Cloudと呼ばれる、すべての通信をクラウド上で検査し、デバイスに到達する前に脅威を阻止するサービスをIoTデバイス向けに提供している」（卯城氏）

　モバイル・セキュリティーの分野では、感染アプリ、ネットワーク攻撃、OSの脆弱性の3つの攻撃経路を防御。怪しいアプリを発見し、利用者に警告して、削除を促すMobile Threat Prevention（MTP）を提供する。卯城氏は、「セキュリティー戦略の成功には、攻撃を阻止する努力、迅速な攻撃の検知と阻止、効果的な事後対策と修復が必要になる」と話している。