エッジ・セキュリティ

サイバーセキュリティ戦略が閣議決定されてから約2年が経過したが、この間、5Gを始め様々な新しい情報通信サービスが導入され、普及が進んでいる。また、新型コロナウイルス感染症については未だ収束への道筋が十分に見えないまま現在に至っているが、その対策の一環としてテレワークの活用などが積極的に進められており、社会・経済全体のデジタル化－デジタル・トランスフォーメーションに向けた動きが活発化している。一方で、このような環境の変化に伴いリスクも多様化しており、これに付け込むサイバー攻撃も発生している。このような状況において、わが国の政策全体を束ねる立場のサイバーセキュリティ戦略本部による取組の現状と動向を紹介する。

ITセキュリティの要は、パスワードと電子証明書です。パスワードは、コンピュータとは別の人間の脳に分離されているから安全性の鍵になり得ます。電子証明書は、認証局が侵されない場所にあるので安全です。IoTは、人間が介在しないことが特徴なので、パスワードによる保護を期待できません。IoTセキュリティを守るには、ハードウェアによる信頼の基点を築くことが重要です。

2015年頃から活発となったIoTマルウェアの現在の状況と対策活動について説明する。また、新たな脅威に対応するために進められている研究開発についても解説する。

時代は「DATA Driven Economy」に入ろうとしている。ET&IoT技術は膨大なデータを次世代の社会に供給し、これを発展させることができる。しかし一方でデータの安全性などをどう守るかの課題も多く、事業者の責任は重い。新時代のET&IoT事業者事業者に求められることについて議論する。

IoTデバイスとクラウドサービスの間にあるエッジコンピューティング環境で、アプリケーションコンテナ、マイクロサービス、DevOps／DevSecOpsといったクラウド・ネイティブの技術を利用する場合、ITおよびOT双方の観点から要求される、セキュリティ／リスク管理策について考察します。

SBOMあるいはソフトウェア部品表という言葉をご存知でなくとも、ソフトウェアのサプライチェーン・リスクは気にされる方も多いと思う。ソフトウェアは半導体からアプリケーションまで、組み込みシステムやITシステムのすべてのレイヤーで用いられており、リスクは至る所に隠れているからである。本セッションでは、このリスク問題を取り扱うために、ソフトウェア部品表（SBOM）を用いることで実現できることとについて概論する。

自動車業界では、ここ数年自動運転の普及に必要な様々なサイバーセキュリティ対応に取り組んできた。このようなコロナ禍の中でも国連の法規から各国の法規、国際標準などの活動している状況をお知らせし、今後の技術課題の準備に参考にしていただければと思います。

IoTデバイスの普及は急速に進み、利便性は向上しました。その一方で、管理・セキュリティ対策の不十分さから、ネットワークに接続されたIoTデバイスが攻撃の標的にされる事例が増加しており、IoTデバイス特有の性質を踏まえたセキュリティ対策が喫緊の課題となっています。本講演では、オフィスネットワークに接続されたIoTデバイスのサイバーセキュリティについて、運用者目線でその課題と対策をご紹介します。

ユーザが安全・安心に利用でき、使いやすく市場で受け入れられるような製品・サービスを開発し維持するには、エンジニア陣だけではなくデザイナーやビジネスサイドまで多くのステークホルダーを巻き込み、その多様な専門性を生かしながら開発を進めていく必要があります。しかし、コロナ禍で理想的なコミュニケーションを維持するのはかなり困難です。本講演ではセキュリティシステム開発において重要な「USB（Usability、Security、Business）」などの専門領域の品質向上をめぐるディスカッションとチームビルディングを、テレワークでオンラインツールを上手に使って行うためのヒントをご紹介します。

CCDSでは、昨年10月にスマートホーム分野のセキュリティガイドラインをリリースし、現在サービスを対象としたサーティフィケーション制度について準備を進めている。本講演では、サービスを対象としたサーティフィケーション制度の事例として、スマートホーム分野を対象にガイドライン及びセキュリティ要件について、その概要を解説する。

海外ではATMへの物理的アクセスや金融機関ネットワークへの侵入によって、大規模なATM不正出金事件が起きている。このような海外事例を国内金融機関に当てはめて検討すると、物理的な接触を通じて店舗内外から金融機関ネットワークに侵入し、ATM不正出金などの攻撃リスクが想定される。そこで、当協議会では金融関係者と共にそのような攻撃リスクの勉強会を開催して対策を分析・議論し、中小金融機関での対策実現性も考慮した物理・サイバー攻撃の対策検討ポイントとしてまとめた。本講演では海外事例と勉強会成果について概説する。

IoT機器が実社会に浸透し、サービスへの利活用が進む現在、国内外においてIoTを対象としたセキュリティ規格や標準の策定が加速しています。本講演では、米国や欧州におけるセキュリティ標準の動向や、それを踏まえたCCDSサーティフィィケーションプログラムの最新セキュリティ要件についてご説明いたします。

組込み機器の集合体で、コネクティッド時代を迎える自動車の、(i)セキュアな開発と、(ii)出荷後のセキュリティ監視を支えるCyber Security Management System(CSMS)の構築方法について解説する。

(i)は、CS開発プロセスの構築であり、手順書や活動を記録する帳票、その検証ポイントの策定と改善である。

(ii)は、機器に発覚する脆弱性の監視やサイバー攻撃ログの収集と分析であり、いわゆるProduct Incident Response Team(PSIRT)活動である。

JASA技術本部／安全性向上委員会と組込みシステムセキュリティ委員会によるセミナー。

セッション１「安全の基本 〜AI・IoT時代の安全とは〜」

2019年に出版した「安全設計ガイド」を基に、AI・IoT時代の大規模で複雑なシステムに対する安全設計の考え方を解説します。

セッション２「Safety ＆ Security分析の取り組み 〜Safety ＆ Security分析の考え方 〜」

Safety ＆ Securityの分析を実例を使い、ドローンの安全対策とセキュリティ対策の考え方について解説します。

セッション３「STPAに基づくハザード分析と脅威分析の組合せ〜Security-Informed Safetyに基づくSTPA拡張〜」

STAMP/STPAを使ったSafetyとSecurityの分析を両立するための考え方について実例をもとに解説します。