はじめに
「IoTセキュリティガイドライン ver1.0」は、2016年7月に、IoT推進コンソーシアム、総務省、経済産業省が公表した文書です。IoT機器・システム・サービスについて、セキュリティ確保のために求められる基本的な取り組みを明らかにしたもので、対象は供給側の経営者、機器の生産者、サービス提供者から、利用側の企業利用者、一般利用者まで幅広く設定されています。
2016年の文書ですが、後述する「IoT特有の性質」は今のIoTを考えるときにもそのまま当てはまるものが多く、現在運用されている制度や取り組み（例：NOTICE、JC-STAR など）の土台を理解する入口として読み直す価値があると考え、学習メモとして残します。
なお、この記事はガイドラインの内容を要約・解説したものです。正確な要件は原典を確認してください。
出典：総務省「IoTセキュリティガイドライン ver1.0」
( https://www.soumu.go.jp/main_content/000428393.pdf )
1. なぜ「普通のITセキュリティ」と分けて考えるのか ― IoT特有の6つの性質
ガイドラインはまず、IoTには従来のIT（パソコンやサーバー中心の世界）と違う性質がある、という前提から入ります。挙げられているのは次の6つです。
| 性質 | 何が問題になるか | |
|---|---|---|
| 1 | 脅威の影響範囲・影響度合いが大きい | 機器同士やシステムがつながるため、1か所への攻撃が全体や現実世界（モノの動作、安全）に広がりやすい |
| 2 | IoT機器のライフサイクルが長い | 工場の制御機器など10年以上使われる機器もあり、導入時の対策が時間とともに古くなり、攻撃に耐えられなくなる |
| 3 | IoT機器に対する監視が行き届きにくい | 画面のない機器が多く、異常が起きても利用者が気づきにくい。管理されていない機器が勝手につながることもある |
| 4 | IoT機器側とネットワーク側の相互理解が不十分 | 機器とネットワーク、それぞれの前提がずれたまま接続され、想定した安全性や性能を満たせなくなることがある |
| 5 | IoT機器の機能・性能が限られている | センサーのような小さな機器では処理能力や電力に制約があり、暗号化のような対策をそのまま適用できない場合がある |
| 6 | 想定していなかった接続が行われる可能性がある | 後から別の機器やサービス経由でつながるなど、開発時の想定を超えた接続が攻撃の入口になる |
この6つが、以降の指針すべての前提になっています。例えば「監視が行き届きにくい（性質3）」から「異常を検知できる設計」が必要、というように、性質→対策の対応で読むと理解しやすくなる構成です。
2. 全体構造：ライフサイクルの5指針＋一般利用者のルール
ガイドラインの本体は、IoT機器・システム・サービスのライフサイクル（方針、分析、設計、構築・接続、運用・保守）の段階ごとに指針を示す構成です。これに加えて、一般利用者のためのルールが別に定められています。
次章から、各指針の要点をかみ砕いて解説します。要点の表現は、IPAが公開しているガイドラインの要点資料も参照して整理しました。
出典：IPA「安全安心なIoT製品・サービスを提供するために」（IoTセキュリティガイドラインの要点資料）
( https://www.ipa.go.jp/security/guide/ps6vr70000011kcx-att/000065095.pdf )
3. 指針1 「方針」 ― 経営者がコミットし、内部のリスクにも備える
要点は大きく2つです。
- 経営者がIoTセキュリティにコミットする（責任を持ち、方針と体制・予算を用意する）
- 内部不正やミスに備える
解説： IoTの事故は、技術の問題であると同時に、製品回収や信頼低下など経営の問題に直結します。そのため最初の指針が「技術」ではなく「経営者の関与」になっているのが、このガイドラインの特徴です。外部からの攻撃だけでなく、内部の不正や単純なミスも、最初から想定に入れています。
4. 指針2 「分析」 ― 守るべきものを特定し、「つながる」リスクを想定する
要点は次の3つです。
- IoTのリスクを認識する
- 守るべきもの（本来の機能や情報など）を特定する
- つながることによるリスクを想定する
解説： 対策は「何を守るか」が決まらないと選べません。IoTでは、守るべきものは情報だけでなく、機器の本来の動作や安全そのものも含みます。そして接続先が増えるほど攻撃の入口も増えるため、「この機器が、誰と、何のためにつながるのか」を先に書き出すことが分析の中心になります。
5. 指針3 「設計」 ― 守る設計、迷惑をかけない設計、そして「上位で守る」発想
要点は次の通りです。
- 守るべきものを守る設計を考える
- つながる相手に迷惑をかけない設計をする
- 不特定の相手とつなげられても安全安心を確保できる設計をする
- 安全安心を実現する設計の評価・検証を行う
解説： 特に重要なのが以下の2点です。
1つ目は「つながる相手に迷惑をかけない」。自分の機器が乗っ取られて踏み台（他者への攻撃の中継点）にならないことは、自分のためだけでなく社会のためでもある、という考え方です。第1章の性質1（影響範囲が大きい）と対応しています。
2つ目は、ガイドライン本文にある「個々の機器で対応しきれない場合は、それを含む上位の機器・システムで対策を検討する」という考え方です。性質5の通り、小さなセンサー単体では暗号化などの対策が難しい場合があります。そのときは機器単体で完結させようとせず、ネットワーク側や上位システム側で補う。この「全体で守る」発想は、IoTの設計で繰り返し出てくる重要な考え方です。
また、性質3（監視が行き届きにくい）に対応して、IoTシステムの異常を検知できる設計を検討することも、設計段階の要点として示されています。
6. 指針4 「構築・接続」 ― 初期設定と認証、そして用途に応じた接続
要点は次の通りです。
- 機能及び用途に応じて適切にネットワーク接続する
- 初期設定に留意する
- 認証機能を導入する
- ネットワーク上での対策を考える
解説： ここは利用者にもなじみのある論点です。出荷時の初期パスワードを同一にしない、初期設定のまま使わせない、というのは生産者側の留意点であり、利用者側の「初期設定に気をつける」という後述のルールと対になっています。
認証（正しい相手・利用者かを確認する仕組み）については、システム全体で認証機能を適用することに加え、機器の機能・性能の制約を踏まえた適切な認証方式を使うことが要点とされています。強い認証を全機器に一律に求めるのではなく、制約の中で現実的な方式を選ぶ、というバランス感覚が示されています。
（ここは私個人の研究内容と重なっており、特に注視している部分です。）
7. 指針5 「運用・保守」 ― 出荷してからが本番
要点は次の通りです。
- 出荷・リリース後も安全安心な状態を維持する
- 出荷・リリース後もIoTリスクを把握し、関係者に守ってもらいたいことを伝える
- IoTシステム・サービスにおける関係者の役割を認識する
- 脆弱な機器を把握し、適切に注意喚起を行う
解説： 性質2（ライフサイクルが長い）への回答がこの指針です。製品は出荷した瞬間が最も安全で、そこからは新しい脆弱性（セキュリティ上の欠陥）の発見によって相対的に危なくなっていきます。だから運用段階でも、ネットワーク上で機器を把握し、脆弱な機器を特定したら管理者へ注意喚起する、という循環が必要です。
なお、総務省・NICT等のNOTICEは、まさにこの「脆弱な機器の把握と注意喚起」を社会の仕組みとして実装した取り組みだと位置づけられます。
8. 一般利用者のためのルール ― 買う前から手放すときまで
ガイドラインは提供者向けだけでなく、一般利用者向けのルールも示しています。次の4つです（要約）。
- 問合せ窓口やサポートがない機器やサービスの購入・利用を控える
- 初期設定に気をつける（初期パスワードのままにしない、共有しない、使い回さない。説明書の手順でアップデートしてみる）
- 使用しなくなった機器については電源を切る（接続したまま放置すると不正利用のおそれがある）
- 機器を手放す時はデータを消す（機器内には個人情報や接続情報が残っている）
解説： 4つを並べると、「買う前」「使い始め」「使い終わり」という時間軸になっていることに気づきます。利用者に求められることは多くはありませんが、どれも「その段階でしかできないこと」です。逆に言えば、この4つが利用者の精一杯であり、それ以上は提供者側と社会の仕組みで支える領域だ、という線引きも読み取れます。
9. 読み直して考えたこと
※ここからはガイドラインの記述ではなく、私の考察です。
- 一番印象に残ったのはつながる相手に迷惑をかけないという設計観点です。セキュリティというと自社・個人を守る話になりがちですが、IoTでは被害と加害が地続きであることが、2016年の時点で明示されていました。
- 個々の機器で無理なら上位のシステムで守るという発想は、機器の制約を言い訳にしないための考え方だと感じました。守る場所は機器の中だけとは限らない、というのは設計の引き出しとして大きいものがあります。
- このガイドラインは「考え方と要点」の文書で、具体的な製品要件の物差しではありません。その物差しの役割は、後に始まったJC-STARのような適合ラベル制度が担っていく、という系譜で見ると、制度全体の地図が描きやすくなると感じました。
まとめ
「IoTセキュリティガイドライン ver1.0」は、IoT特有の6つの性質を前提に、方針・分析・設計・構築・接続・運用・保守というライフサイクルの指針と、一般利用者のルールを示した文書でした。
読み解いて残った芯は3つです。
- 対策は性質から逆算する（監視できないなら検知できる設計、制約があるなら上位で守る）
- 安全は機器単体ではなく、つながる全体と社会との関係で考える（迷惑をかけない設計）
- 出荷はゴールではなく、把握と注意喚起を回し続ける運用が本体である
参考文献
- 総務省「IoTセキュリティガイドライン ver1.0」（2016年7月、IoT推進コンソーシアム・総務省・経済産業省） https://www.soumu.go.jp/main_content/000428393.pdf
- 同ガイドライン概要 https://www.soumu.go.jp/main_content/000428394.pdf
- IPA「安全安心なIoT製品・サービスを提供するために」（ガイドラインの要点資料） https://www.ipa.go.jp/security/guide/ps6vr70000011kcx-att/000065095.pdf
- NOTICE公式サイト https://notice.go.jp/
- IPA「セキュリティ要件適合評価及びラベリング制度（JC-STAR）」 https://www.ipa.go.jp/security/jc-star/index.html