IoTでは、絶妙な「バランス」のセキュリティが必要だ

はじめに

組込みシステムのシニアエンジニアをしているNoricです。前回は、

「IoTでは、セキュリティは主役になれない」

の「そもそもの話」をお届けました。

今回は、第2回として、「IoTでは、絶妙なセキュリティを組み込む必要がある」 の話をします。あと何回続くやら。

ちなみに、「絶妙」とは、バランスが完璧であるという意味です。

サイバーセキュリティは「保険」のようなものだ

サイバーセキュリティへの対応は、ある意味で 「保険をかける」 ことに似ています。

ご家庭を守るために、生命保険や火災保険、自動車保険など、さまざまな保険に加入していることでしょう。これらは「万が一の備え」であり、その「万が一」が起こらなければ、保険は役立ちません。もちろん、手厚く保険をかければ、より安心できますが、それに伴い保険料も高くなります。反対に、保険に入らなくても日常生活は続きますが、万が一の時には大きなリスクを負うことになります。

サイバーセキュリティも同様に、ある種の「保険」と言えるでしょう。それ自体が製品の機能に直接的な効果を与えるわけではありませんが、セキュリティ対策に過剰に対応しようとすると、製品コストが上がったり、技術的なハードルが高くなったりして、製品化が難しくなることがあります。それでも、セキュリティ対策をしなくても製品を販売することは可能です。しかし、その製品が外部から攻撃を受け、セキュリティが脆弱であると認識されるリスクがつきまといます。

ただし、近い将来、サイバーセキュリティは「保険」ではなく、 「運転免許証」 のような必須条件になるかもしれません。

今後、サイバーセキュリティに関する各国の法規制は、ますます厳しくなると予想されます。主な対応策としては、大きく2つのアプローチが考えられます。

1. 「優良マーク」によって、消費者の購買行動をセキュリティ対応製品に誘導し、脆弱な製品を市場から淘汰する方法。
2. 罰則付きの規制によって、脆弱な製品の出荷を防ぐ方法。

アメリカの「U.S. Cyber Trust Mark」は、まさに「セキュリティ優良マーク」を活用した戦略です。特に政府調達に関する製品は厳しい基準がありますが、一般消費者向け製品では、このマークを取得することで、非認定製品との差別化を図り、競争の中でセキュリティに弱い製品を市場から排除しようという狙いがあります。日本でも、これに似た制度の検討が進められています。

一方、欧州の「EU Cyber Resilience Act（CRA）」は、罰則を伴うサイバーセキュリティ法です。この法規は、インターネットに接続されるすべての機器（有線・無線問わず）や、欧州単一市場で販売されるソフトウェアに対して、高水準のセキュリティを保証することを求めています。また、製品のライフサイクル全体にわたり、メーカーにサイバーセキュリティの責任を負わせることを義務付けています。違反した場合、かなりの罰金が科される可能性があります。

つまり、セキュリティ認証という「ライセンス」を取得する必要が出てきます。このライセンスを取らずに市場という「高速道路」を走ることも可能ですが、違反が見つかった際のペナルティは「保険」程度のものでは済まなくなるでしょう。

サイバーセキュリティの絶妙な「バランス」のシーソーゲーム

しかし、IoTシステム製品の多くは、サイバーセキュリティの対応に悩まされています。特に、コンシューマ向け製品は。

これらの組込みIoTデバイスは共通して、限られたリソースと製造コストという厳しい条件に直面しています。これからIoT化を目指す製品は、法規制への対応やコスト増といった課題を克服しなければなりません。エンジニアは限られた予算内で、次の二つのバランスを取る必要があります：

• 甲: 外部攻撃による脅威
• 乙: その脅威に対するセキュリティ対応のコスト

「甲」と「乙」のバランスが製品成功のカギとなります。

• 甲が優先されると、セキュリティが弱まり、脆弱性が顧客の信頼を損ねるリスクを高めます。
• 乙が優先されると、製品の信頼性は向上しますが、コストがかさみ持続可能性が損なわれます。

このバランスを保つためには、製品全体を見渡す俯瞰力が求められます。エンジニアは「乙」（セキュリティ強化）を重視しがちですが、マネージメントはコストを抑える方向に力が働きます。さらに、市場では年々「甲」のリスクが高まっているという現実があります。

「市場」の側面では、外部からの攻撃のリスクが高まっている理由として :

• IoTデバイスの急速な普及により、攻撃対象が拡大しています。
• サイバー攻撃の手法も高度化・多様化し、個人情報の流出やデバイスの不正利用といったリスクが増大しています。
• ユーザーのセキュリティ意識が高まり、安全な製品への需要が増えています。
• 各国の法規制も強化され、対応しない製品は淘汰されるリスクがあります。

特に、スマートホーム、医療機器、自動車など生活に密接するIoT製品では、セキュリティの脆弱性が実生活に直接影響するため、消費者の不安が高まっています。

次に、「エンジニア」の側面として、セキュリティの強化を求めるべきと考える理由として :

• 技術的リスクの最小化: 脆弱性の露呈がブランドの信用失墜や大規模な損害を招くリスクがあるため、コストをかけてでもセキュリティ強化が必要です。
• 技術進歩に伴う対応: 攻撃手法の進化に追随するため、エンジニアは新しい技術を積極的に取り入れる傾向があります。
• 倫理的責任: 製品が市場に出た後も、顧客の安全を守るためにエンジニアは高い責任感を持ちます。

最後に「マネージメント」の側面として、セキュリティにコストをかけたくない(抑えたい)と考える理由として :

• コスト削減: コンシューマ向け市場では価格競争が激しく、セキュリティ強化によるコスト増が販売競争力を低下させます。
• 市場投入のスピード重視: 開発期間を短縮するため、セキュリティ対策を最低限にしたいというプレッシャーがあります。
• 投資対効果の最適化: セキュリティへの過剰投資は、他の重要な機能やマーケティングに使える資金を圧迫するため、バランスが求められます。

と、「市場」の高まるサイバーセキュリティのリスクとは裏腹に、エンジニアとマネージメントは、それぞれ異なる視点から「甲」と「乙」のバランスを追求しようとします。両者の構図は、次のバランスのちょうどよいものを探しています。

• 市場の高位標準化されたスタンダードに対応するには、現在の製品とかなりのギャップがある。
• しかし、その高位標準化されたスタンダードを全て対応することを絶対としている訳ではなく、身の丈に合うルールに「読み替える」必要がある。
• 製品コストから、必要最小限のセキュリティ実装を想定したい。⇒ 現状、このクライテリアが難しい

市場の変化に適応しながら、このバランスを考えていくのは、なかなか難しいのが実情でしょう。

「セキュア・バイ・デフォルト」で見つける新しいバランス

IoT製品は、スマートホーム、ウェアラブルデバイス、スマート家電など、私たちの生活を豊かにする技術として急速に普及しています。しかし、その一方で、利便性と引き換えに 個人情報の漏洩 や プライバシー侵害 などのリスクも高まっています。そのため、ユーザーが安心して使える サイバーセキュリティ の重要性がますます増しています。

IoT製品が直面するセキュリティの課題

市場に出回るIoT製品は、次のような課題を抱えています：

• パスワードの脆弱性：初期設定のままのパスワードが変更されず、使い回されることが多い。
• セキュリティ設定の難しさ：一般ユーザーにとって高度なセキュリティ設定は難解。
• ソフトウェア更新の遅れ：定期的なファームウェア更新が行われず、脆弱性が放置される。

これらの課題により、ユーザーが意識しないうちにセキュリティリスクが拡大しています。たとえ高度なセキュリティ機能を搭載しても、ユーザーがうまく使えなければ意味がない のです。

そこで、専門家たちは「ユーザーに複雑な設定を押し付けない」ことが重要だと考えるようになりました。これが、「セキュア・バイ・デフォルト」 の概念です。

「セキュア・バイ・デフォルト」とは？

「セキュア・バイ・デフォルト」とは、製品やシステムが 初期設定のままで最も安全な状態になるように設計する という考え方です。ユーザーが複雑な設定をしなくても、すぐに安全に使える環境を提供することを目指します。

つまり、製品を購入して電源を入れるだけで、簡単な操作で使い始められるようにし、ユーザーに複雑なセキュリティ設定を求めない ことが理想です。

具体例：QRコードを使った認証

IoT製品では、QRコード認証 がユーザーのセットアップを簡単にする方法として普及しています。以下はその手順の一例です。

1. 製品の起動とQRコードの表示
   製品を初めて起動すると、画面やラベル、またはスマホアプリ上にQRコードが表示されます。

2. QRコードのスキャン
   ユーザーがスマートフォンでQRコードをスキャンすると、シリアル番号や秘密鍵など製品固有の情報が暗号化されて取得されます。

3. 認証サーバとの通信
   スキャンしたデータはクラウドの認証サーバに送信され、正しい組み合わせが確認されると、製品の登録とユーザーアカウントの紐付けが自動的に完了します。

4. セキュアな接続の確立
   認証後、製品とクラウド間で暗号化通信（TLSなど）が始まり、ユーザーはすぐに利用を開始できます。

製造業者に求められる準備

QRコード認証などの簡単なユーザー体験を提供するためには、製造業者側で以下のような事前準備が不可欠です。

1. デバイス固有の情報の埋め込み

   • 製造時に、ユニークな秘密鍵やシリアル番号を生成し、デバイスに埋め込みます。
   • これらの情報は、セキュアストレージに安全に保存されます。

2. QRコードの生成と登録

   • 製品ごとにQRコードを生成し、画面やラベルに表示します。
   • クラウド認証サーバにもQRコード情報を登録し、ユーザーがスキャンした際に即時照合できるよう準備します。

3. クラウドとの連携

   • デバイス証明書を発行し、クラウドと安全に通信できるようにしておきます。
   • サーバの公開鍵や認証局（CA）の証明書もデバイスに埋め込み、信頼性を確保します。

4. ファームウェアのセキュアプロビジョニング

   • 出荷時に最新のセキュリティパッチを適用したファームウェアを搭載し、OTA（Over-the-Air）更新機能も備えます。

5. 初期設定の自動化

   • QRコードをスキャンするだけでWi-Fi設定やアカウント連携が完了するなど、初期設定を自動化します。

「セキュア・バイ・デフォルト」の価値

QRコード認証のような簡単な操作は、ユーザーに直感的な体験を提供し、「セキュア・バイ・デフォルト」の実現に寄与します。これにより、ユーザーにとってセキュリティの負担を軽減し、利便性を高められます。

ただし、これを実現するためには、製造業者がプロビジョニング（事前準備）に責任を持つ必要があります。具体的には、デバイス固有の情報を安全に組み込み、クラウドとの認証基盤を整えるためのコストを負担しなければなりません。製造コストを削減する議論よりも、セキュリティリスクを最小化するための責任を果たすことが市場から求められているのです。

まとめ：IoTのセキュリティにはバランスが必要

IoT製品のセキュリティには、以下の3つのバランスが重要です。

1. 製品に見合ったセキュリティ基準の適用
   市場の標準を理解し、製品に適したルールに置き換えることが必要です。

2. エンジニアと経営陣の視点のバランス
   製品のコストとセキュリティのバランスを取りながら、持続可能なビジネスモデルを設計します。

3. 簡単なユーザー体験を提供するための事前準備
   ユーザーが安心して使える体験を提供するために、セキュリティを事前に整備する必要があります。

・・・さて、難しくなってきて、少しめまいもしてきました。今日はここまでにしましょう。

とはいえ、「そもそもどこから手をつけるべきか？」という問いは尽きないものです。続きはまた次回に。