「対策しないとどうなるか」まで記載、IoTガイドラインの解説編を公開(CCDS) | ScanNetSecurity
2021.05.15(土)

「対策しないとどうなるか」まで記載、IoTガイドラインの解説編を公開(CCDS)

CCDSは、「IoT分野共通セキュリティ要件ガイドライン2019年度版~11要件における解説編」を公開した。

調査・レポート・白書 調査・ホワイトペーパー
「IoT分野共通セキュリティ要件ガイドライン2019年度版~11要件における解説編」
「IoT分野共通セキュリティ要件ガイドライン2019年度版~11要件における解説編」 全 1 枚 拡大写真
一般社団法人 重要生活機器連携セキュリティ協議会(CCDS)は、「IoT分野共通セキュリティ要件ガイドライン2019年度版~11要件における解説編」を公開した。同解説書は、ガイドラインへの理解を深め、IoT機器における最低限の守るべき要件への対策や評価方法の検討に役立てることを目的としたもの。特に、各要件が満たされない場合の影響や脅威について具体的に記述していることが特徴となっている。

解説書では11の認証要件について、「脆弱性の種類」「説明(脅威の背景)」「レイヤー(OSI 7階層)」「攻撃経路」「モード(システムモード/システム状態)」「事例/脅威(対策しないとこうなると言う記載等)」「対応策(ケースバイケースの例)」「説明」の8つの項目を記載している。

たとえば「要件2:Web入力によるクロスサイトリクエストフォージェリの不具合がないこと」では、脆弱性が存在するIoT機器上のWebアプリで定義された処理が、意図せず実行されてしまう恐れがあるとして、「意図しない設定の変更」と「意図しない処理の実行」について詳細に説明している。

「要件6:システム運用上、必要な TCP/UDP ポートには、適切なアクセス認証方法(機器毎にユニークな IDとパスワード、もしくは外部公開の恐れのない管理された ID とパスワード)で管理されていること」では、Wi-Fiルータの管理画面をWebから検索可能な脆弱性が出荷後に発覚した例を紹介。ハッカーが基板のファームウェアを解析し、改ざんによりtelnetを有効化、侵入を可能にしていた。この脆弱性の残るルータは、多くのビジネスホテルなどに未だ存在している。

CCDSでは、ユーザ企業がIoT機器を調達する際のセキュリティ評価ポイントの検討時、またベンダ企業がIoT機器の開発時にセキュリティ訴求ポイントを検討する際などを対象としており、活用を推奨している。

《吉澤 亨史( Kouji Yoshizawa )》

関連記事

この記事の写真

/
PageTop

特集

アクセスランキング

  1. 日本で最もセキュリティを大切にする大手通販が経験者採用中 ~ ジャパネットセキュリティ担当者座談会 5/18、6/8(火)19時開催

    日本で最もセキュリティを大切にする大手通販が経験者採用中 ~ ジャパネットセキュリティ担当者座談会 5/18、6/8(火)19時開催PR

  2. 銀行130社ドメインアカウントの漏えい調査、2008から2020年で累計7,978件

    銀行130社ドメインアカウントの漏えい調査、2008から2020年で累計7,978件

  3. WordPressの脆弱性突きサイト改ざん、レンタルサーバがWPの最新バージョンに適応できず

    WordPressの脆弱性突きサイト改ざん、レンタルサーバがWPの最新バージョンに適応できず

  4. Salesforce 複数サービスで障害発生、約 5 時間で全システム復旧

    Salesforce 複数サービスで障害発生、約 5 時間で全システム復旧

  5. ランサムウェアの身代金支払いで反社への資金供与システムと化すサイバー保険産業

    ランサムウェアの身代金支払いで反社への資金供与システムと化すサイバー保険産業

  6. 神奈川銀行で2018年5月から計39回の誤送信、業務提携先からの連絡で行内点検し発覚

    神奈川銀行で2018年5月から計39回の誤送信、業務提携先からの連絡で行内点検し発覚

  7. セキュアイノベーション、エンジニア育成にGSX提供「セキュリスト(SecuriST)認定脆弱性診断士 公式トレーニング」活用

    セキュアイノベーション、エンジニア育成にGSX提供「セキュリスト(SecuriST)認定脆弱性診断士 公式トレーニング」活用

  8. クラウド型システムの設定不備による茨木市公式アプリ「いばライフ」への不正アクセス、調査結果を発表

    クラウド型システムの設定不備による茨木市公式アプリ「いばライフ」への不正アクセス、調査結果を発表

  9. 岡野バルブ製造のグループシステムへサイバー攻撃、ランサムウェアに感染

    岡野バルブ製造のグループシステムへサイバー攻撃、ランサムウェアに感染

  10. 誤送信で佛教大学研究者と研究課題の関係者、取引先の個人情報が流出

    誤送信で佛教大学研究者と研究課題の関係者、取引先の個人情報が流出

ランキングをもっと見る