IoT製品に対するセキュリティ適合性評価制度とは―IoT製品・サービスを提供する製造業へのインパクト―
2022年11月から経済産業省の産業サイバーセキュリティ研究会にて「IoT適合性評価制度」の議論が始まりました。IoT製品のセキュリティ品質に投資し、認証マークによってそのセキュリティ品質の高さをユーザに訴求するIoT製品提供者の増加が期待されます。
独立行政法人情報処理推進機構（以下、IPA）が2024年9月末にIoT製品に関する「セキュリティ要件適合評価及びラベリング制度」（以下、JC-STAR）*1を公開し、2025年春より運用が開始されます（2024年10月現在の予定）。セキュリティレベルを評価、ラベリングする制度（以下、IoT適合性評価制度）が生まれた背景には、IoT機器の急速な普及に伴うリスクの高まりがあり、こうした制度の構築・運用は国際的なトレンドにもなっています。
本稿では、IoT適合性評価制度や製品セキュリティにおける基本概念ともいえるSecure by Design、Secure by Default、Secure by Demandという‟3つのD”によって期待されるセキュアなIoT社会について解説します。
IoT適合性評価制度とは
IoT適合性評価制度は、IoT機器に対するサイバー攻撃によるリスクに対応した安心・安全な製品の普及促進のために、セキュリティ品質を評価し、適合ラベルの付与によって可視化する制度を指します。日本国内においては、2024年9月にIPAによってJC-STARと呼ばれるIoT適合性評価制度が公開されました。グローバルでは、米国の「U.S. Cyber Trust Mark」やシンガポールの「Cybersecurity Labeling Scheme（CLS）」などの任意制度のほか、EUの「Cyber Resilience Act（CRA）」や英国の「PSTI法（Product Security and Telecommunication Infrastracture Act）」といった規則が存在し、特に後者の「規則」に関してはグローバル展開している製造業にとって、今まさに対応が急務となっている状況です。
製品セキュリティにおける“3つのD”
製品セキュリティにおける基本概念に、Secure by DesignおよびDefaultがあります。これは、脅威分析やリスク評価による合理的な保護機能が設計に組み込まれ、また保護機能の一部においては、追加料金や手順を必要とせず、最低限の脅威から保護されるよう機能を設計し、消費者に提供することを意味します。この2つの概念は製品を対象としたものですが、その一方で、消費者がよりセキュリティ品質の高い製品を調達する際の選定基準の考え方として、Secure by Demandが存在します。Secure by Demandについては、米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）が主にソフトウェア製品を対象にしたガイダンス*2を2024年8月に公表しています。また、国内では、2024年7月に一部改定された、政府統一基準群のガイドライン*3に日本の制度が反映されており、今後IoT適合性評価制度の普及とともに、消費者がより安心・安全な製品を要求するためのこうした考え方やガイドラインへの制度の盛り込みが広がっていくでしょう。
IoT適合性評価制度によって期待される未来
IoT適合性評価制度の普及は、製品ベンダーがセキュアな製品設計（Secure by Design）をし、標準的かつ分かりやすいセキュリティ機能を提供（Secure by Default）するだけでなく、消費者側も制度によって可視化されたセキュリティ品質に基づいて、より安心・安全な製品を優先的に選択する、あるいは組織内の運用方針をはじめとしたセキュリティルールなどに基づいて積極的に要求（Secure by Demand）するきっかけとなることが期待されます。その結果、製品ベンダーおよび消費者の両者がセキュリティ品質を意識することによる、よりセキュアなIoT社会を実現していくことにつながります。
*1 独立行政法人情報処理推進機構, セキュリティ要件適合評価及びラベリング制度（JC-STAR）
https://www.ipa.go.jp/security/jc-star/index.html
*2 CISA, Secure by Demand Guide: How Software Customers Can Drive a Secure Technology Ecosystem
https://www.cisa.gov/resources-tools/resources/secure-demand-guide
*3 内閣サイバーセキュリティセンター, 政府機関等の対策基準策定のためのガイドライン（令和5年度版）
https://www.nisc.go.jp/pdf/policy/general/guider6.pdf
*4 経済産業省, IoT製品に対するセキュリティ適合性評価制度構築方針～概要説明資料～
https://public-comment.e-gov.go.jp/pcm/download?seqNo=0000278531
執筆者
和栗 直英
シニアマネージャー, PwCコンサルティング合同会社
IoT適合性評価制度が作るセキュアなIoT社会
インサイト／ニュース
20 results
Loading...
金融セクターに求められるセキュリティ規制対応―DORAとNIS2指令の関係
欧州におけるデジタル関連規制が急速に発展する中で、法令間の関係の適切な理解と効率的なコンプライアンス対応が課題となっています。金融セクターにおける「NIS2指令」と「DORA」への対応を事例として、課題へのアプローチを解説します。
2025年 Cyber IQ調査 ―生成AIの台頭とデジタル国境の形成に伴うサイバーリスクに企業はどう対応すべきか―
デジタル技術の進化や地政学的緊張の高まりの中で、企業は多数のサイバーリスクに直面しています。本レポートでは、法規制、生成AI、サプライチェーン、脆弱性管理、デジタルアイデンティティなどの急激な変化を考慮し、企業が取るべきリスク対応策について考察します。
各国サイバーセキュリティ法令・政策動向シリーズ （2）インド
各国サイバーセキュリティ法令・政策動向シリーズの第2回目として、インド政府のデジタル戦略と組織体制、セキュリティにかかわる法律および規則とその動向などについて最新情報を解説します。
中国ネットワークデータセキュリティ条例の概説――中国サイバー三法のアップデート
2025年1月1日から施行されている中国ネットワークデータセキュリティ条例では、中国サイバーセキュリティ法、データセキュリティ法、個人情報保護法の法執行の度合いを調整・明確化しており、中国で事業を展開する企業にとって注目すべき内容となっています。本稿では同条例の規定内容を解説します。
Loading...
