米国のIoTセキュリティ関連規制とガイドライン―企業に求められる製品セキュリティ

米国における主要な規制―連邦法

1. IoTサイバーセキュリティ改善法に基づくガイドライン―NIST SP 800-213と関連する文書群^*1

A）概要と対象

米国連邦政府のデジタル化を積極的に推進しつつもセキュリティの水準を担保する必要があるという問題意識を背景に、2020年に「IoTサイバーセキュリティ改善法（IoT Cybersecurity Improvement Act of 2020）」が成立しました。IoT機器の製造者などに関わるポイントとしては、米国国立標準技術研究所（NIST）に対する指示が挙げられます。当法では、政府機関が所有あるいは管理する情報システムに接続されたIoT機器をセキュアに使用・管理するためのガイドラインの作成をNISTに指示しています。

指示に基づき、2021年11月に米国立標準技術研究所（NIST）がNIST SP 800-213文書群を公表しました。NIST SP 800-213文書群は、連邦政府機関がIoT機器を調達する際に調達先に求めるべき要件を示しています。対象はあくまで連邦政府機関ですが、政府機関向けにIoT製品を供給する製造者などは当ガイドラインへの準拠が求められる可能性があります。ただし、当ガイドラインはあくまでも参照すべき事項の1つであって、実際の契約においては個別の要求が為されうることに留意ください。

B）セキュリティ要件

NIST SP 800-213文書群においては、具体的なセキュリティ要件は示されておらず、NIST IR 8259文書群を参照する形式をとっています。当節では、IoT機器製造者向けのセキュリティ要件を考える上で特に重要と想定されるNIST IR 8259A・Bが提示する主要な項目を整理します。Aが図表2の技術要件に、Bが非技術要件に対応しています^*2。NIST IR 8259のドラフト段階では、顧客ニーズを踏まえたセキュリティプロファイルの作成に関する文書であるCと、連邦政府がIoT機器を調達する際の最低限のセキュリティ要件に関する文書であるDも検討されていました。しかし、最終的にNIST IR 8259のC・DのドラフトはNIST SP 800-213文書群に引き継がれました。

2. 国家のサイバーセキュリティ改善に関する大統領令に基づくラベリング制度^*3

2021年にバイデン政権から米国のセキュリティ水準向上を目的とした「国家のサイバーセキュリティ改善に関する大統領令（Executive Order on Improving the Nation’s Cybersecurity）」が公表されました。当大統領令において、NISTに対してIoT製品向けのセキュリティラベリング制度の検討が指示されました。この背景には、ラベルによって消費者が容易にIoT製品のセキュリティ水準を評価できるようにすることで、製造者がセキュリティ水準の高い製品を志向するように動機づけられるという想定が存在します^*4。

2022年2月にNISTからホワイトペーパー「消費者向けIoT製品向けのサイバーセキュリティラベリング制度に推奨される基準（Recommended Criteria for Cybersecurity Labeling for Consumer Internet of Things (IoT) Products）」が公表されました。同ホワイトペーパーは、消費者向けIoT製品向けのセキュリティラベリング制度を実施する際に、ラベルを付与される製品が満たすべきセキュリティ要件などを整理した文書です。同ホワイトペーパーは前節で紹介したNIST IR 8259A・Bを参考にしており、IoT製品に推奨されるセキュリティ水準のベースラインについても大きな違いはありません。

関連するNISTの取り組みとして、消費者向けIoT製品セキュリティに関するガイドラインとして2022年9月に公表されたNIST IR 8425があります。こちらについてもホワイトペーパーの要件が引き継がれており、製品セキュリティ要件に関してNIST IR 8259A・Bと大きな差異はありません。今後の連邦政府における取り組みは、NISTが近年進めてきたこれらの検討に基づく、あるいは少なくとも関連したものとなると想定されます。現在整備が進んでいるIoT製品のセキュリティラベリング制度であるU.S. Cyber Trust Markについても、NIST IR 8425などと基本的な方向性を共有するセキュリティ要件が設けられると見込まれます^*5。