IoTシステムを安全・安心に構築・運用するためのIoTセキュリティについて記載する。
IoTにおけるセキュリティリスク
IoTシステムは下記のハードウェアからなる。
・IoTデバイス
・IoTゲートウェイ
・IoTサーバ
IoTのセキュリティリスクには下記がある。
・webインタフェースの脆弱性
・パーソナルデータの保有
・データ送受信時の暗号化
・パスワードの脆弱性
セーフティとセキュリティ
誤作動や事故により人や環境に被害を与えないよう、安全性を高める配慮する設計の考え方をセーフティ設計という。
セキュリティ脅威は機器やシステムへの不正アクセス、データ改ざん等による誤作動や予期しない停止についての脅威である。
人、物、金、情報で考えた時にセーフティは人、物を対象とし、セキュリティでは情報、金を対象とする。
情報セキュリティの分類
情報セキュリティは一般に物理セキュリティと論理セキュリティに分類される。
| セキュリティ種別 | 内容 |
|---|---|
| 物理セキュリティ | 防災、防犯、データバックアップ、電源供給、通信回線 |
| 論理セキュリティ | システムセキュリティ、人的セキュリティ |
情報セキュリティの要件
情報セキュリティを満たすための３大要件には下記がある。
| 要件 | 内容 |
|---|---|
| 機密性 | Confidentiality |
| 完全性 | Integrity |
| 可用性 | Availability |
リスクへの対処
システムのリスクに対する対処方法として、「発生のしやすさ」と「被害の深刻さ」を尺度に挙げることができる。これら２つの尺度を元に下記の対処方法がある。
①リスクの回避
②リスクの保有
③リスクの移転
④リスクの低減
セキュリティ対策技術
下記の対策技術がある。
・認証
・暗号化
・デジタル署名
・耐タンバー性
・アクセス制御
・侵入検知
・ログ/監視
IoTシステムのセキュリティ対策
・耐タンバー性
・セキュアブート
・ファイアウォール
・侵入検知システム、侵入防御システム
・WAF(Web Application Firewall)
・VPN(Virtual Private Network)
・マルウェア対策
・無線LANの暗号化技術
| 対策 | 内容 |
|---|---|
| 耐タンバー性 | 物理的にデバイスを盗まれたときや不正なアクセスを受けたときに内部データやソフトウェアに対する解析の困難にさせる。 |
| セキュアブート | 電源投入時にデバイス内のソフトウェアが正規品であるかどうかを検証し、問題無ければ起動を許可し、あらかじめデジタル署名を保持したソフトウェアのみ実行できるようにする。 |
| ファイアウォール | インターネット側からの不正なアクセスを防御するネットワーク機器。 |
| 侵入検知システム、侵入防御システム | 多数のパターンをデータベースとして持ち、通信路を監視して攻撃をリアルタイムに検知するシステム。 |
| WAF(Web Application Firewall) | WAFはWebアプリケーションにおいてHTTP通信等を分析し、攻撃を検知・防御する。 |
| VPN(Virtual Private Network) | 暗号化処理などを行い仮想的なプライベートネットワーク実現する。 |
| マルウェア対策 | マルウェアの特徴をデータベース化(パターンファイル化)し、同一または類似しているファイルをマルウェアとして検出する。 |
| 無線LANの暗号化技術 | WEP、WPA、WPA2等の暗号化技術がある。 |