IoT製品に対するセキュリティ適合性評価制度とは―IoT製品・サービスを提供する製造業へのインパクト―

独立行政法人情報処理推進機構（以下、IPA）が2024年9月末にIoTセキュリティ適合性評価及びラベリング制度（JC-STAR）を公開し^*1、同制度は2025年春より運用が開始されます（2024年10月現在）。セキュリティレベルを評価し、ラベリングする制度が生まれた背景には、IoT機器の急速な普及に伴うサイバー攻撃によるリスクの高まりがあり、こうした制度の議論・運用は国際的なトレンドにもなっています。本記事では、JC-STAR設立の経緯と制度の内容について解説します。

★1（レベル1）の要件

「★1」の要件として何を採用するか――。プレ委員会ではさまざまな視点から意見が挙げられました。当初は、「すでに一定の認知度と普及が進んでいるETSI EN 303 645と同じでよい」という議論もあったようですが、世界各地で議論されているラベリングの要件をより広く見渡し、特にフィンランドやドイツが相互認証を取っているシンガポールのCLSの要件や、米国NISTのIoTセキュリティ要件のほか、日本でもすでに実施されている総務省の技術適合要件や重要生活機器連携セキュリティ協議会（CCDS）の民間認証プログラムの要件、英国PSTI法の要件などを参考に議論がなされ、最終的に16の要件に絞られました。そして、大きく以下の4つの脅威に対して、IoT機器の技術適合基準が13件、IoT機器を提供するベンダーへの脆弱性情報対応基準が3件、それぞれ定義されました。

IoT機器・ベンダーが考慮すべき4つの脅威：

1. 情報漏洩、改ざん、機能異常を引き起こすマルウェア感染や踏み台攻撃を目論む外部からの不正アクセス
2. 情報漏洩を引き起こす運用中の通信の盗聴
3. 情報漏洩を引き起こす廃棄後・転売先の機器からの情報詐取
4. ネットワーク切断や停電時からの復旧時の異常動作誘発

IoT製品に対する適合基準：

• 識別・認証・アクセス制御
  • 適切な認証に基づくアクセス制御
  • 容易に推測可能なデフォルトパスワードの禁止
  • パスワードなどの認証値の変更機能
  • ネットワーク経由のユーザ認証に対する総当たり攻撃からの保護
• 脆弱性対策、ソフトウェア更新
  • ソフトウェアコンポーネントのアップデート機能
  • 容易かつ分かりやすいアップデート手順
  • アップデート前のソフトウェアの完全性の確認機能
  • ユーザが型式番号を認識可能とする記載・機能
• インタフェースへの論理アクセス
  • 不要かつリスクの高いインタフェースの無効化（物理的・論理的な通信ポートなど）
• データ保護
  • 製品に保存される守るべき情報の保護（保存データの暗号化、匿名化など）
  • ネットワーク経由で伝送される守るべき情報の保護（通信の暗号化、保護された通信環境の利用など）
  • 製品内に保存される守るべき情報の削除機能
• レジリエンス向上
  • 停電・ネットワーク停止などからの復旧時の認証情報やソフトウェア設定の維持（初期状態に戻らないこと）
• 情報提供
  • ユーザへのセキュアな利用・廃棄方法に関する情報提供（初期設定手順、セキュリティ更新、サポート期限、安全な廃棄手順など）
• 情報・問い合わせの受付、情報提供
  • 連絡先・手続きなどの脆弱性開示ポリシーの公開
  • セキュリティアップデートの優先度決定方針の文書化

このように、ネットワークにつながり、他の機器やクラウドなどと連携するIoT機器に対し、過去のさまざまなインシデント事例からどのIoT機器にも生じ得る留意すべき脅威を特定し、その脅威にさらされてもなおIoT機器のセキュリティ耐性を確保できるように基礎的な要件が選定されました。また、IoT機器のセキュリティ強度はリリースされたタイミングが最も高く、運用中に脆弱性が発覚していくため、IoT機器を提供する事業者に対して、IoT機器をセキュアな状態で利用し続けられるよう、保守するための情報提供や問い合わせおよび報告受付窓口などを装備することも要件として定められました。

まとめ

経済産業省での2年にわたる議論と、制度案に対するパブリックコメントを受けて、スキームオーナーであるIPAによって、2025年3月からの制度施行に向けた準備が進められています。この制度による適合ラベルの取得は必須ではありませんが、適合ラベルがある製品とない製品が市場に並ぶとき、ユーザが適合ラベルに注目してIoT製品を購入する、政府調達要件に適合ラベルの取得が入ってくる、という世界が近づいてきています。IoT製品のセキュリティ品質に投資し、適合ラベルによってそのセキュリティ品質の高さをユーザに訴求していくIoT製品の提供者が増えていくことが期待されます。