IoT時代のものづくり「セキュリティ・バイ・デザイン」

IoT時代のものづくり「セキュリティ・バイ・デザイン」

近年、スマートフォンで制御できる家電や、インターネットに接続できる自動車など、インターネットに接続できる製品(IoT機器)が増えてきました。一方で、それらがセキュリティの脅威にさらされるリスクも高くなっています。そのため、システムやソフトウエアの設計段階、開発の初期段階でセキュリティ対策を考慮する「セキュリティ・バイ・デザイン」という考え方に注目が集まっています。
「セキュリティを考慮したものづくり」とはどのようなものなのか、CTO室の後藤が九州大学で行った講義、「安全なサービスを作るセキュリティ」からご紹介します。
また、セキュリティを考慮してものづくりができる人材の育成を行っている、九州大学サイバーセキュリティセンターの金子准教授にもお話をうかがいました。

セキュリティ・バイ・デザインとは

「セキュリティ・バイ・デザイン」とは、企画・設計の段階でセキュリティ対策を組み込みサイバーセキュリティを確保するという考え方です。内閣サイバーセキュリティセンター(NISC)を中心に提唱され、「情報セキュリティを企画・設計段階から確保するための方策」と定義されています。
また、「IoTシステムの設計・構築・運用に際しては、セキュリティを事前に考慮するセキュリティ・バイ・デザインを基本原則とし、これが確保されていることが当該システムの稼働前に確認・検証できる仕組みが求められる」(※1)とされています。
※1 安全な IoT システムのためのセキュリティに関する一般的枠組(内閣サイバーセキュリティセンター)

IoTの普及によって発生した課題には、以下のようなものがあります。

  • IoT機器の脆弱(ぜいじゃく)性を攻撃されて攻撃者に乗っ取られ、他のコンピューターなどへの「攻撃の踏み台」になってしまうリスク
  • 犯罪など不正な行為の道具としてIoT機器が悪用されるリスク(ウェブカメラや監視カメラに不正アクセスされて映像を盗み見られるなど)
  • 不正アクセスによりIoT機器が誤作動・停止して、物理的な事故を引き起こすリスク

これらの課題を解決するため、早い段階からセキュリティについて考慮した仕様を検討しておくことが重要です。
「セキュリティについて考慮した仕様を検討しておく」とは、たとえばIoT機器が扱うデータについて個人情報に該当するかを精査し、「個人情報に該当する場合、データを盗み取られると個人情報漏えいになるので通信や保存は暗号化する」など、設計の段階でどんなセキュリティ対策が必要かを確認し、計画しておくことです。

セキュリティについての早い段階での検討には、以下のようなメリットがあります。

  • 開発の段階でセキュリティ対策の仕様変更が発生しても、最小限の工数で修正できる
  • 保守性の高いものができる
  • コストが少なくすむ
    設計時のセキュリティ対策コストを「1」とした場合、運用時の対策コストはその約100倍だといわれています(情報処理推進機構(IPA)調べ)

セーフティ、セキュリティは車の両輪

現在のようにIoT化が進む前は、人命や財産の安全を確保するために設計の段階で安全性に関わるリスク分析と低減対策を行う「セーフティ設計」が中心でした。
「セキュリティ設計」の考え方はまだ歴史が浅く、かつ非機能要件(性能面やセキュリティ面などにおいて実現するべき要件)のため、企画段階では考慮しにくいという背景がありました。しかし、今後はセーフティ設計とセキュリティ設計の両方を考慮していく必要があります。

画像
つながる世界のセーフティ&セキュリティ設計入門【ダイジェスト】(IPA)より

ヤフーのセキュリティ・バイ・デザインを実現するための体制

ヤフーには100以上のサービスがあり、それぞれのサービスで「企画」と「設計」を進めています。そのため、独自にセキュリティ対策を考えると考慮漏(も)れが起きる可能性があります。
ヤフーでは「情報セキュリティ基本規程」のなかで「従業者は、当社の情報セキュリティを侵害する事故を予防するために、情報システム開発、業務フロー変更、新規サービスの企画等を行う際には、情報セキュリティ統括組織が指定するセキュリティチェックを実施する」と定めています。
そして、扱う情報の重要度と利用シーンごとにセキュリティ対策をマニュアル化し、共通のセキュリティ対策の基準を作っておくことで、ヤフーのすべてのサービスで同じレベルのセキュリティ対策を実施できるようになっています。
さらに、各組織に情報セキュリティ責任者を置いており、迷った場合は責任者に「セキュリティ相談」ができます。

また、脆弱性を作らない開発ができるエンジニアを育成するため、ヤフーのエンジニアは原則、全員がセキュア・プログラミング研修を受けています。具体的には、ケーススタディーの講義やeラーニングを受講し、さらにテストでスキルが身に付いたかを確認します。

企画時に考慮するべきセキュリティとは

飲食店予約サービス「Yahoo!ダイニング」では、2019年1月24日~2月26日の約1カ月間、人感センサーを活用して飲食店の空席情報をリアルタイムに掲出するIoTの実証実験を行いました。
参考)ヤフー、飲食店の空席情報をリアルタイムに掲出するIoTの実証実験を開始(プレスリリース)

この実験の企画段階でセキュリティについて考慮した内容を、担当者に聞きました。

今回の実証実験では「そのテーブルに人がいるかどうか」の情報だけがとれればよく、人数や性別・年齢などの属性情報も不要でした。そのため、店内にカメラを設置するなどの方法ではなく、テーブルの下に人感センサーをつけて人がいるかどうかを判断するという、個人情報を取得しない仕組みにしました。

画像
人感センサー

エンジニアは、大事な情報を持っている前提でそれをいかに盗まれないようにするかを考えて設計します。それに対し私たち企画担当は、サービスが求める要件を満たす範囲で最小限な情報しかとらないこと、そして万が一漏(も)れてしまっても影響が少ない設計にすることを心がけています。
企画担当者がセキュリティを意識して設計を行うためには、プログラミングまでできる必要はありませんが、アーキテクチャ(コンピュータシステムの構造)がどういう仕組みで、どのようなことができるかは理解しておいた方がいいと思います。

画像
テーブルの下に人感センサーを設置

セキュリティシステムのメカニズムを知る経験が、ものづくりに役立つ

セキュリティを考慮してものづくりができる人材の育成を行っている、九州大学サイバーセキュリティセンターの金子准教授に、セキュリティを考慮したものづくりやIoT時代のセキュリティについてうかがいました。

私は(九州大学の)1年生を対象に、セキュリティを考慮したものづくりの考え方を教えています。授業では、実際に手を動かしながらセキュリティのことを考えてもらっています。セキュリティに関係したシステムがどういうメカニズムで動いているのかを知ることで、企画・設計・実装するときにその体験が役に立つと考えているためです。
たとえば、授業で生体認証について習い、静脈認証や指紋認証などの知識があっても、それがどれくらいの精度で認証されるのか、どのような課題があるのかは、実際に認証してみないとわかりません。「これくらいの精度で認証されるんだな」という実体験が、設計するときにはとても大切です。

IoTが普及することで、デバイスからハードウエア、ソフトウエア、クラウド、ネットワークなど広い範囲でつながっていくので、より幅広いセキュリティの知識が必要になってくると考えています。エンジニアが1人でそれらのすべてについて対策するのはほぼ不可能なので、エンジニア間、企業間の連携が今以上に必要になってくると思います。
また、1人でセキュリティ対策ができにくくなるということは、攻撃する側もグループになる可能性があります。さらに、複数のシステムで連携するということは、セキュリティの穴ができやすくなる可能性があるので、すべてのエンジニアがセキュリティを意識してものづくりする必要があります。

「サイバーセキュリティ」というと、情報系の特別な人が受けている科目という印象を持たれがちですが、10年後くらいにはエンジニアの基礎科目となっているのではないかと考えています。
エンジニア以外の企画や設計にあたるような人たちも、セキュリティについてエンジニアと話し合ったり、考慮したりするマインドが必要になってくると思っています。九州大学で全学生を対象にセキュリティの授業をしているのはそのような意図からです。

画像
九州大学サイバーセキュリティセンターの金子 晃介准教授

未来のセキュリティ対策について

近い将来には、スマホのかわりにメガネなどのウエアラブルデバイスで自分の体にコンピューターを付けているかもしれません。そうなると、スマホをポケットから取り出したり、ロックを解除してアプリを起動したりする手間もなくなり、よりスムーズに情報を得られるようになります。
その反面、コンピューターが人間の感覚を拡張するデバイスになりうるので、それがジャックされてしまうと今とは違うリスクがありますし、その影響も大きくなるのではないかと思います。

さらに、それよりも遠い将来には、コンピューターはもっと小さくなり、今以上に人間と親和性の高いものになっていくと考えています。たとえば、DNAを使ったロボットが体内で薬を運んでくれたり、病原菌を倒してくれたりするような未来を想像できるようになってきました。
そのように、DNAを使って情報の書き込みと取り出しができる素材を作るときも、企画・設計段階からセキュリティを確保した仕組みを考えておく必要があります。

授業でサイバーセキュリティを教えるときは、攻撃方法についても体験を通じて知ってもらう機会を作っています。そして、その攻撃方法を普段利用してはいけないということも教えておく必要があります。
セキュリティ対策をすることと、攻撃の技術を知ることは表裏一体です。同じ技術でもセキュリティを守る方に使うのか、攻撃する方に使うのか。たとえるなら「スター・ウォーズ」のフォースのようなもので、それをいかにダークサイドに落ちずに使えるかが大切です。ダークサイドに落ちる人を作らないための仕組みも、これからのセキュリティ教育においては考えていかなければならないと思っています。

【関連リンク】