セキュリティ要件適合評価及びラベリング制度（JC-STAR）の「★3（レベル3）」適合要件を公開、政府・重要インフラ向け通信機器などが対象　IPA

IoT製品の「セキュリティ要件適合評価及びラベリング制度」（JC-STAR）の「★3（レベル3）」に関して、「通信機器」および「ネットワークカメラ」向けの適合要件（1.0版）が6月12日に公表されました。レベル3は、政府機関や重要インフラ事業者などでの利用を想定したIoT機器を対象としています。また同時に、今年2月に公開されていた「★3セキュリティ要件」の更新版も公開されました。文書は制度を運営する情報処理推進機構（IPA）のWebサイトで確認できます。

JC-STARはIoT機器のセキュリティ対策がどのレベルまで満たしているかを、星の数で可視化する制度です。星の数は1つ星（レベル1）から4つ星（レベル4）までを設定しています。ただ、運用が始まっているのはレベル1のみです。レベル2以降については順次、要件を策定する方針となっており今般、レベル3の適合要件が示されました。

レベル3は、一般家庭や一般的なオフィスなどでの利用を想定したレベル1・レベル2とは異なり、政府や地方自治体、重要インフラなどでの利用を前提としています。そのため、セキュリティ対策の評価方式は、レベル1・レベル2が自己適合宣言によるラベル付与となるのに対し、レベル3以上は第三者評価機関（JC-STAR評価機関※1）による適合評価となります。

適合要件は、すでに定められているセキュリティ要件を満たすために、具体的に実装すべき基準などを示したものです。例えば、「脆弱なパスワードの使用による外部からの意図しないアクセス攻撃」などに対抗するための適合要件として、デフォルトパスワードに「admin」や「root」などの共通パスワードを使用せず、機器ごとに異なる一意で推測困難な8文字以上のパスワードとすることや、初回起動時にユーザによる推測困難なパスワードへの変更を強制することなどが規定されました。また、ブルートフォース（総当たり攻撃）による認証試行を防ぐため、一定回数の認証失敗に対して追加認証の禁止や認証の一定期間停止などのロックアウト機能の実装が必須とされました。

また、「廃棄・転売等された機器から守るべき情報資産の盗み取り」という脅威に対しては、利用中に保存された情報資産や設定値などをユーザ自身が容易に削除できる機能の実装を求めました。それに加え、そのデータ削除の強度は、「NIST SP800-88 Rev.2」（※2）で定義される、市販のデータ復旧ソフトによるサルベージ（復元）を困難にする「Clear」レベル以上の消去機能でなければならないと規定されました。

ベンダーに対しては、情報が残留したまま廃棄・中古販売することで想定されるリスクや、データ消去を含む製品の安全な利用終了方法をユーザが確認しやすいところで説明しておくことが求められています。

レベル3では、ソフトウェア部品表（SBOM）の作成と運用が義務化されています。そのため、製造業者は必須付随サービス（※3）を含む製品を構成するすべてのソフトウェアのSBOMを、機械処理と人による確認の双方に対応した形式で作成することが求められています。

設計や実装の評価に加え、JC-STAR評価機関によるペネトレーションテスト（侵入テスト）の実施がレベル3では義務付けられています。当該テストで検出されたセキュリティ上の課題（脆弱性）がすべて解消されなければ、ラベルは付与されません。

※1 JC-STAR評価機関：情報処理推進機構（IPA）が認めた第三者評価機関のこと。適合要件を満たしているかどうかの評価を行う。
※2 NIST SP800-88 Rev.2：米国立標準技術研究所（NIST）が発行した、記憶媒体のデータ消去に関するガイドライン。
※3 必須付随サービス：IoT機器本体だけでは意図した目的を達成できない場合に、必ずセットで利用されるクラウドサービスやモバイルアプリなどのデジタルサービスのこと。

参考情報