IoTセキュリティガイドラインは、IoT機器開発やサービス提供を行う企業を主な対象読者としています。

例えば「IoT開発におけるセキュリティ設計の手引き」ともう少し詳細に比較してみると、「IoT開発におけるセキュリティ設計の手引き」の方が、脅威や課題に対するセキュリティ対策について、具体的に記載されており、フィルタリングやアンチウイルスなどといった基本的なことの他、耐タンパーのような内部データの解析を困難にする専門的な対策まで記載されています。

一方、「IoTセキュリティガイドライン」では、セキュリティ対策について具体的な名称まで記載されていることは少なく、課題と対策についてより簡易的に記載されており、初心者向けで分かりやすい内容になっていると言えるでしょう。

◆IoTセキュリティガイドライン

◆NISTIR 8200 (DRAFT)
「Interagency Report on Status of International Cybersecurity Standardization for the Internet of Things」

◆IoT開発におけるセキュリティ設計の手引き

◆ENISA Baseline Security Recommendations for IoT in the context of Critical Information Infrastructure

IoTセキュリティガイドラインは4つの章で構成されており、第1章ではガイドラインの策定背景や対象、第2章ではIoT供給者側が意識すべき指針や具体例、第3章では一般利用者向けの注意事項、第4章ではガイドラインの今後の検討事項が記載されています。ガイドラインの中身は第2章と第3章に集約されており、また第3章の個人利用者向けの内容は60ページ中1ページのみとなっています。この構成からも分かるように、一般利用者も対象読者になっていますが、前述の通りIoT供給者向けの色合いが濃い内容と言えるでしょう。

参考までに、各章における主な対象読者を下表で示します。

IoTの開発・運用を行う企業は、主に第2章を参照すると想定されるため、この部分を深く見ていきます。第2章では、IoTの導入における経営の方針決定から分析、設計、構築・接続、運用・保守までの全フローにおいて、セキュリティ対策の大元である指針を基に全21の要点が挙げられており、その要点毎にポイントと解説、必要となる対策が具体的に記載されています。

IoTセキュリティガイドラインの要点は、いわゆるIT系のガイドラインで解説されているセキュリティのポイントと共通する部分は多いのですが、IoT導入において特に重視すべきポイントがいくつかあります。
 

では、これらについて具体的な内容を見ていきます。

◆要点5：つながりで波及するリスクを想定する
IoTでは機器同士のつながりを通じて広範囲に影響が伝播します。あるIoT機器が単体で万全のセキュリティ対策を行っていたとしても、セキュリティレベルの低い他のIoT機器とつながることで、全体的なセキュリティレベルが低下することも想定されます。
そのため、個々のIoT機器のリスクが全体的に波及する可能性を視野に入れることが重要です。ITでも同様のリスクがありますが、IoTにおいてはよりセキュリティレベルが低くなりがちなため、特に意識したい点です。

◆要点6：物理的なリスクを認識する
IoTでは、可搬性のあるデバイスや、一般家庭や公共空間などに設置された機器・システムもネットワークを構成します。このため、きちんと管理されていないIoT機器が不正操作されるリスクが想定されます。例えば、駐車場の自動車や庭に置かれたIoT機器のカバーが開けられ、不正な機器をつなげられて遠隔操作されてしまうなどです。また、IoT機器が盗まれたり紛失したりすることも考えられます。このようなリスクを想定することが重要だとされています。

◆要点11：不特定の相手とつなげられても安全安心を確保できる設計をする
利用しているIoT機器が、意図していない不特定の機器につなげられて利用されるケースも考えられます。この状況においては、信頼性の低い機器が接続された場合に、機密情報が簡単に漏洩したり、想定していない動作が引き起こされたりすることが考えられます。そのため、他の機器と接続する際に、内容に応じて接続可否を判断できるようなセキュリティ対策が求められます。

◆要点15：初期設定に留意する
IoTシステム・サービスの提供者として、管理者権限等や利用者の初期設定のパスワード変更対応についても、徹底しなくてはなりません。ITリテラシーが高くない一般利用者が初期設定のまま使ってしまうことを考慮し、利用者にしっかりと注意喚起する必要があります。

◆要点19：つながることによるリスクを一般利用者に知ってもらう
IoT機器メーカーやサービス提供者が各種リスク対策を行ったとしても、一般利用者の使い方次第では、周囲に悪影響を与える場合があります。
そのため、企業側では一般利用者に対して、不用意なつなぎ方や使い方をしないよう、適切に周知する必要があります。一般的なITと比較して、IoTは波及効果により影響範囲や影響度合いが大きいため、自社のみならずその先のエンドユーザーにもしっかりと説明することが重要です。

IoTセキュリティガイドラインではこのように、IoTの導入における経営の方針決めから、リスクの特定・分析、IoT機器のセキュリティ設計、ネットワーク等の構築・接続、運用・保守までの各フローにおいて、ポイントや必要となる対策が記載されています。このため、企業はIoTを活用する際に、活用する場面と、本ガイドラインの各フローとを照らし合わせ、必要とされるリスクの認識や具体的な対策の検討を行うことができます。
内容はそれほど高度なことを要求している訳ではなく、一般的に取り組むべきことがしっかり書かれており、他のガイドラインと比較しても入りやすいものだと言えるでしょう。

IoTの発展は目覚ましく、これから私たちの生活をより豊かにすることが見込まれますが、リスクを適切に捉えて利用しないと思わぬ被害を受ける可能性があります。供給者も一般利用者も、IoTセキュリティガイドラインを活用し、セキュリティが保たれたIoT活用につなげることが期待されます。