IoTセキュリティに対する取り組み（JC-STARへの適合）

IoT製品にはセキュリティ対策が不可欠

IoT製品を狙ったサイバー攻撃は年々増加しており、脆弱性を悪用した被害も多発しています。そのため、IoT製品にはセキュリティを十分に考慮し長期運用を見据えた開発が不可欠です。一方でIoT製品にセキュリティ対策を導入するには、人材の確保、コスト、開発工数といった点で課題があり、十分な対策が講じられないまま市場に出回るケースも少なくありません。

JC-STARとは

セキュリティ要件適合評価及びラベリング制度（JC-STAR: Labeling Scheme based on Japan Cyber-Security Technical Assessment Requirements）は、インターネットとの通信が行える幅広いIoT製品を対象として、セキュリティ機能を評価・可視化することを目的としたラベリング制度です。
求められるセキュリティ水準に応じて、★1から★4までの基準が設けられています。★1は2025年3月から運用が開始され、適合するにはIoT製品に対して13項目と、IoTベンダーに対して3項目の計16項目の要件を満たす必要があります。
今後、政府の調達要件や、セキュリティが重視される業界内での基準の設定に活用されることが検討されています。

下記は、★1適合基準・評価ガイドより「IoT製品に対する適合基準」の要件を一部抜粋しています。「IoT製品ベンダーに対する適合基準」につきましては別途ご確認ください。

独立行政法人情報処理推進機構: セキュリティ要件適合評価及びラベリング制度(JC-STAR)

ソフトウェアコンポーネントのアップデート機能

製品に含まれる特定のソフトウェアコンポーネントについて、アップデート可能にしなければならない

不要かつリスクの高いインターフェースの無効化

すべての未使用の物理的インターフェース及び論理的インターフェースは無効化しなければならない

製品に保存される守るべき情報の保護

製品のストレージに保存される守るべき情報資産が、ネットワーク経由の不正アクセスに対してセキュアに保存されること

適切な認証に基づくアクセス制御

TCP/UDP通信を介した守るべき情報資産への他の機器又はユーザーからのアクセスに対して、適切な認証に基づくアクセス制御が行われていること

停電・ネットワーク停止等からの復帰時の認証情報やソフトウェア設定の維持

データネットワークと電源の停止の可能性を考慮して、レジリエンスを製品とサービスに組み込まなければならない

ネットワーク経由のユーザー認証に対する総当り攻撃からの保護

ネットワークを介して行われる認証に対する総当たり攻撃等のブルートフォース攻撃が実行できないようにするメカニズムを保有しなければならない

その他7個の要件

Armadilloは半完成品としてJC-STARの★1に適合予定

Armadilloで開発することでラベル取得までの道のりを短縮

ArmadilloはIoT製品のプラットフォームとして半完成品の状態でも各種のセキュリティ要件を満たし、★1に適合予定です。IoT製品ベンダーは、開発した独自のアプリケーション部分と、拡張したハードウェア部分を検証することで、Armadilloを完成品のIoT製品として★1に適合させることができます。
加えて、今後のJC-STAR★2以上の基準や、米国のU.S. Cyber Trust Mark、EUのサイバーレジリエンス法などの国際的なIoTセキュリティ制度に対応するため、引き続きアップデートを行う方針です。