セキュリティー新時代（5）製品メーカーに求められるセキュリティ戦略

2018-10-09

つながる製品 長所と短所

あらゆるモノがインターネットをはじめとするネットワークにつながる社会が急速に近づいている。家電量販店に足を運ぶと、すでにそうした時代に突入しつつあるともいえる。店頭に並ぶ商品の多くがネットワークにつながる機能を持っているからだ。

スマートフォンと連携して家の鍵が開けられるスマートロック、Wi-Fi機能を組み込んだロボット掃除機、外出先からでも温度調整ができるエアコンや録画予約ができるハードディスクレコーダーなどだ。多くの製品がネットワークにつながるようになり、私たちの生活は今まで以上に便利になった。

利便性が高まった半面、今までにない新しいサイバー攻撃の脅威を生み出す要因にもなっている。実際、ネットにつながる製品にまつわるセキュリティー事故が報告されるようになってきている。

例えば、玄関のスマートロックにセキュリティー上の欠陥が発見され、その欠陥を悪用することによる住居へ侵入の可能性がセキュリティー研究者により報告されている。消費者向けの製品だけではない。タンカーや貨物船などの船舶・機器の自動化システムに対して、海賊がハッキングによるサイバー攻撃をしていることが指摘されている。

そのほかにも、図に示すように、ネットにつながる製品に対する様々なサイバー攻撃が指摘されており、すぐに対応すべき課題であることがわかる。

「改ざん」は製品プログラムが不正に書き換えられる攻撃で、製品の本来の意図とは異なる動作をする危険性がある。「妨害」は大量データや処理要求を送る行為などで、製品の機能やサービスを提供不能にする攻撃を指す。

「権限昇格」は、特権モードやメンテナンスモードなど本来利用できない機能を悪用する攻撃である。「なりすまし」は、悪意ある第三者が正規ユーザーをかたり、本来使用できない製品機能やサービスを許可なく利用する攻撃だ。

開発企業には利用者をサイバー攻撃から守るため、十分なセキュリティー耐性を持つように万全な対策を講じることが求められる。一方で、企業側にとってはセキュリティー対策はコストがかさむことも大きな悩みになっている。十分なセキュリティー耐性の確保と無駄のない効率的な対策の両立が課題となっている。

図1：つながる製品へのサイバー攻撃

開発プロセス全体で対策

今後、急速な増加が見込まれるネットワークにつながる製品。様々な分野に広がっており、多くの物づくりに携わる会社にとって、サイバーセキュリティーは避けては通れない問題になりつつある。どのように対策に取り組むべきか、その方法を紹介する。

製品は大まかに分けて、企画・仕様・設計・実装・テストという段階を経て出荷される。セキュリティー上の欠陥である脆弱性は、このうち、テストを除くすべての段階で入り込む。

仕様・設計段階ではどんなことが考えられるか。例えば、製品を利用する際に認証を必要とする形にするかどうか判断するのは、この仕様・設計段階であるが、そこで「認証機能は不要」としてしまうと、それが想定外の脆弱性につながってしまうケースもある。また、仕様・設計段階では大丈夫でも、実装段階のミスで入り込んでしまう脆弱性もある。

このように多くの段階で脆弱性が入り込む隙があるにも関わらず、その点に注意を払わずに開発が進むと、後で脆弱性が見つかった時に大変なことになる。影響の範囲を把握するために過去の作業を一から見直す必要があり、非常に効率が悪い。この問題を解決するには、開発の初期段階から、セキュリティー対策を実施することが重要である。

このような取り組み方をセキュアデベロップメントライフサイクル（SDLC）と呼ぶ。直訳すると「安全性を高めるための開発プロセス全体を通じた対策」といった意味である。SDLCで実施すべき活動を図に示した。作業の数が多く見えるが、開発全体で総合的に判断すると一番効率の良い方法となっている。

また、開発者の視点と攻撃者の視点の２つの活動があるのも特徴だ。セキュリティー耐性の確保に向けて重要なポイントとなる。

開発者の視点では、開発初期段階でセキュリティー目標や要件を定め、要件を満たすように設計・実装・テスト段階でそれぞれ活動する。SDLCではこのようにして当初のセキュリティー目標を満たす製品を作るのである。

攻撃者の視点で、攻撃手法や脆弱性を検討する活動も重要となる。特にテスト段階では、実際の攻撃者と同じような攻撃を疑似的に実施することで、開発者の視点で定めたセキュリティーの目標や要件が妥当なものかを検証することができる。このように開発者の視点と攻撃者の視点の活動を両輪とすることで、十分なセキュリティー耐性を持つ製品を開発することができる。

図2：つながる製品のセキュリティー対策

奥山 謙

ディレクター, PwCコンサルティング合同会社

Email

※本記事は、日本経済新聞社 日経産業新聞「戦略フォーサイト」コーナーに、「セキュリティー新時代」をテーマに2018年8月21日から9月12日に連載された記事の再掲載となります。

※本記事は、日本経済新聞社の許諾を得て掲載しています。無断複製・転載はお控えください。

※法人名、役職などは掲載当時のものです。

{{filterContent.facetedTitle}}

{{contentList.dataService.numberHits}} {{contentList.dataService.numberHits == 1 ? 'result' : 'results'}}
{{contentList.loadingText}}
{{contentList.loadingText}}
{{contentList.viewAllLabel}}

関連サービス