“危ないIoTデバイス”一掃への第一歩？

NISTの「IoTセキュリティガイドライン」には何が書かれているのか

米国土安全保障省（DHS）と米国立標準技術研究所（NIST）がリリースしたIoTセキュリティのガイドラインは、企業がセキュアなIoT開発を進めるのに役立つ。

公開 2017年05月30日 12時00分

著者

Michael Cobb

[TechTarget]

印刷する

DHSやNISTのIoTセキュリティガイドラインの中身とは

　世界的にネットワーク接続型技術の活用が広がる一方で、情報セキュリティがそれに追い付けていないのが実情だ。IoT（モノのインターネット）デバイスの開発者やベンダーの多くは、市場への参入を急ぐあまり、製品のセキュリティ面の評価をおろそかにしているのではないかとの声がある。何百万台あるいは何千万台もの脆弱（ぜいじゃく）なデバイスが、全世界の家庭や企業、地域に配備されているという見方もある。

　こうした状況の改善を促し、セキュアなIoT開発のフレームワークを構築するために、米国土安全保障省（DHS）と米国立標準技術研究所（NIST）はIoTセキュリティのガイドラインをリリースした。

　IoTデバイスの開発や導入など、何らかの形でIoTを担当している人にとって、DHSが発行したドキュメント「Internet of Things Fact Sheet」（IoTファクトシート）と「Strategic Principles for Securing the Internet of Things」（セキュアなIoTのための戦略的原則）は必読だ。これらを読めば、対処すべき問題の現状を素早く把握できる。

　両ドキュメントは、セキュアなIoTを実現するための6つの戦略的原則（以下）を示している。

設計段階でセキュリティを組み込む
セキュリティの改善と脆弱性対策を進める
既存のセキュリティ手法を拡張する
潜在的な影響に応じてセキュリティ対策の優先度を決める
IoT全体を通じて透明性を促進する
接続には慎重を期する

　最初の4項目については、Microsoftのソフトウェア開発プロセス「Security Development Lifecycle」や業界団体OWASP（Open Web Application Security Project）の活動をはじめ、数年前からソフトウェア業界が積極的に取り組んでいる。インターネット接続可能な製品をセキュアにするノウハウに乏しい企業が、IoTデバイスを開発するケースは少なくない。これらの原則は、常識的なアドバイスのように思えるかもしれない。それでもセキュアで信頼性が高く、存続可能なシステムの開発／導入経験のない企業が、最初に考慮すべきポイントであることに違いはない。

　DHSのドキュメントは読みやすく、企業の経営幹部が現状を理解するのに役立つ。その中で推奨している手法の多くは、他のドキュメントを参照する形になっている。例えばNISTの「Cybersecurity Framework」（サイバーセキュリティフレームワーク）、DHSの機関ICS-CERTの「Improving Industrial Control System Cybersecurity with Defense-in-Depth Strategies」（深層防御による産業制御システムのサイバーセキュリティの改善）などだ。これらは具体的なIoTセキュリティのガイドラインを示しており、セキュアな開発ライフサイクルを実現する責任がある企業には必須のドキュメントだといえる。

併せて読みたいお薦め記事

「IoTセキュリティ」についてもっと詳しく

IoTマルウェア「Mirai」とは何だったのか

　一方でNISTの「SP 800-160」（Systems Security Engineering：システムセキュリティエンジニアリング）は、セキュアなIoTデバイスを開発する上で必要な作業を詳細に説明している。NISTが発行する特別刊行物（SP：Special Publication）のうち、「SP 800」シリーズはコンピュータセキュリティに関して記述されている。

　システムのライフサイクルプロセスに関する標準「ISO/IEC/IEEE 15288:2015」をベースとするSP 800-160は、セキュアなIoTデバイスの開発を支援するセキュリティ関連の取り組みを紹介する。だが具体的なプロセスについては言及せず、どのようなタスクや取り組みを検討すべきかを述べるにとどめている。技術的な詳細の多くは付録に記載されており、これは工業分野の技術者が手軽に参照できるようにするための配慮だと考えられる。NISTは、近くリリース見込みの次回のSPで、IoTデバイスの保証と障害復元性などの問題を取り上げる考えだ。

　DHSとNISTがこれらのドキュメントをリリースしたのは、IoTの開発方法と利用方法の改善を促すのが狙いだが、アドバイスの解釈と実践については個々の組織に任せている。企業のプロジェクトマネジャーがこれらの文書を読めば、自社の製品や配備に不備がある部分や、自社に欠落しているスキルセットを把握できる。その上でガイドラインに準拠して自社のプロセスを改良する最善の方法について、経営幹部と相談すればよい。

　IoTデバイスを利用する企業の場合、ネットワーク管理者とセキュリティチームは、提案されたチェックを実施するために必要なスキルを持っていない可能性が高い。そのためデバイスの評価と配備で、外部の専門家の協力を求める必要がありそうだ。

　大手ソフトウェアベンダー各社は、製品にセキュリティ機能を組み込む重要性を理解するまでに何年もの歳月を要した。IoT業界が同じ過ちを犯すことがあれば、それは無責任だ。製造業が、標準に準拠しない飛行機やビル、橋を作ることなどあり得ないわけで、これはIoTにも当てはまる。上記のIoTセキュリティガイドラインは向かうべき方向を指し示しているが、その道のりはまだ長い。企業が購買力を背景に、ベンダー各社にベストプラクティスの採用を迫ることは可能だが、一般消費者向けデバイスにセキュリティを組み込むことを強制するには、法規制に頼るしかなさそうだ。

印刷する