{{item.videoDuration}}
{{item.title}}
{{item.text}}
{{item.videoDuration}}
{{item.title}}
{{item.text}}
独立行政法人情報処理推進機構（以下、IPA）が2024年9月末にIoT製品に関する「セキュリティ要件適合評価及びラベリング制度」（以下、JC-STAR）*1を公開し、2025年春より運用が開始されます（2024年10月現在の予定）。セキュリティレベルを評価、ラベリングする制度（以下、IoT適合性評価制度）が生まれた背景には、IoT機器の急速な普及に伴うリスクの高まりがあり、こうした制度の構築・運用は国際的なトレンドにもなっています。
本稿では、IoT適合性評価制度や製品セキュリティにおける基本概念ともいえるSecure by Design、Secure by Default、Secure by Demandという‟3つのD”によって期待されるセキュアなIoT社会について解説します。
IoT適合性評価制度とは
IoT適合性評価制度は、IoT機器に対するサイバー攻撃によるリスクに対応した安心・安全な製品の普及促進のために、セキュリティ品質を評価し、適合ラベルの付与によって可視化する制度を指します。日本国内においては、2024年9月にIPAによってJC-STARと呼ばれるIoT適合性評価制度が公開されました。グローバルでは、米国の「U.S. Cyber Trust Mark」やシンガポールの「Cybersecurity Labeling Scheme（CLS）」などの任意制度のほか、EUの「Cyber Resilience Act（CRA）」や英国の「PSTI法（Product Security and Telecommunication Infrastracture Act）」といった規則が存在し、特に後者の「規則」に関してはグローバル展開している製造業にとって、今まさに対応が急務となっている状況です。
製品セキュリティにおける“3つのD”
製品セキュリティにおける基本概念に、Secure by DesignおよびDefaultがあります。これは、脅威分析やリスク評価による合理的な保護機能が設計に組み込まれ、また保護機能の一部においては、追加料金や手順を必要とせず、最低限の脅威から保護されるよう機能を設計し、消費者に提供することを意味します。この2つの概念は製品を対象としたものですが、その一方で、消費者がよりセキュリティ品質の高い製品を調達する際の選定基準の考え方として、Secure by Demandが存在します。Secure by Demandについては、米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）が主にソフトウェア製品を対象にしたガイダンス*2を2024年8月に公表しています。また、国内では、2024年7月に一部改定された、政府統一基準群のガイドライン*3に日本の制度が反映されており、今後IoT適合性評価制度の普及とともに、消費者がより安心・安全な製品を要求するためのこうした考え方やガイドラインへの制度の盛り込みが広がっていくでしょう。
IoT適合性評価制度によって期待される未来
IoT適合性評価制度の普及は、製品ベンダーがセキュアな製品設計（Secure by Design）をし、標準的かつ分かりやすいセキュリティ機能を提供（Secure by Default）するだけでなく、消費者側も制度によって可視化されたセキュリティ品質に基づいて、より安心・安全な製品を優先的に選択する、あるいは組織内の運用方針をはじめとしたセキュリティルールなどに基づいて積極的に要求（Secure by Demand）するきっかけとなることが期待されます。その結果、製品ベンダーおよび消費者の両者がセキュリティ品質を意識することによる、よりセキュアなIoT社会を実現していくことにつながります。
*1 独立行政法人情報処理推進機構, セキュリティ要件適合評価及びラベリング制度（JC-STAR）
https://www.ipa.go.jp/security/jc-star/index.html
*2 CISA, Secure by Demand Guide: How Software Customers Can Drive a Secure Technology Ecosystem
https://www.cisa.gov/resources-tools/resources/secure-demand-guide
*3 内閣サイバーセキュリティセンター, 政府機関等の対策基準策定のためのガイドライン（令和5年度版）
https://www.nisc.go.jp/pdf/policy/general/guider6.pdf
*4 経済産業省, IoT製品に対するセキュリティ適合性評価制度構築方針～概要説明資料～
https://public-comment.e-gov.go.jp/pcm/download?seqNo=0000278531
執筆者
和栗 直英
シニアマネージャー, PwCコンサルティング合同会社
{{filterContent.facetedTitle}}
{{contentList.dataService.numberHits}} {{contentList.dataService.numberHits == 1 ? 'result' : 'results'}}
{{contentList.loadingText}}
{{contentList.loadingText}}
