投稿一覧に戻る
アイビーシー(株)【3920】の掲示板 2018/03/09〜2018/06/14
-
1026
>>1025
都合が良いとこだけ抜粋されてるん子だなぁーーーw
(抜粋)
本書は、IoT 開発においてセキュリティ設計を担当する開発者に向けた手引きである。
IoT のセキュリティ設計において行う、脅威分析・対策検討・脆弱性への対応方法を
解説する。セキュリティを検討する上で参考となる、IoT 関連のセキュリティガイド
を紹介する。また、いくつかの例題をもとに、IoT システムにおける脅威分析と対策
検討の実施例を示す。
本手引きを活用することで、IoT に関わる各業界がセキュアな製品を、ユーザに提供
できるようになることを期待する。
➡義務ではないけど同様なケースを想定した評価をすることが望ましいという意味なん子ではーーー？
(抜粋)
3.2.セキュリティ対策の検討
前節で述べた脅威分析の結果に基づき、必要となるセキュリティ対策を検討する。
脅威および攻撃手法に依存するが、単一の対策によって攻撃を 100%防御することは
困難であり、複数の対策を組み合わせた多層防御が望ましい。
しかしながら、全ての対策を実装することは困難であるため、実装対象のリソース
（CPU の処理能力やメモリ容量等）、投入可能なコスト、インシデント発生時の
影響度等を考慮して、対策を選定する必要がある。
➡セキュリティ対策はケースバイケースで対応することが望ましいん子という意味なん子だろうなーーー
終わりん子
h
ttps://www.ipa.go.jp/files/000052459.pdf
『ＩｏＴ開発における セキュリティ設計の手引き 』
2018年4月
独立行政法人情報処理推進機構
技術本部セキュリティセンター
(抜粋)
IoTで採用した暗号技術の利用・運用方針を明確化し、安全性の評価を支援するチェックリストは、いくつかに分類された複数の評価項目から成る。各評価項目には、「必須」または「推奨」のセキュリティ要件を設定し、要件のもととなった国際標準・業界標準等の関連箇所を参照として記載した。また、各々のIoTにおける対応状況（各評価項目に対する判定とその根拠）を記入することで暗号技術に関する設計・運用状況を明確化し、第三者によって適切であるか否かを判定する際に利用することが出来る。 評価項目の設定に当たっては、米国政府機関であるNIST（National Institute of Standards and Technology、アメリカ国立標準技術研究所）が定めた暗号鍵のガイドライン（NIST Special Publication 800-57, Recommendation for Key Management）[62]、スマートグリッドのセキュリティガイドライン（NISTIR 7628, Guidelines for Smart Grid Cybersecurity）[65]、CRYPTREC（Cryptography Research and Evaluation Committees）で定めた電子政府推奨暗号リスト[66]などの規定を参考に評価項目を設定した。
/////////////////
某会社が何やら胡散臭いIoTセキュリティを唱えているようですので国の方針ネタで一言。
長い文章ですが、結論としてIoTセキュリティはNIST(アメリカ国立標準技術研究所)準拠が必須ということ。ただ、ブロックチェーン自体まだまだNISTによる標準化ができていなく、今後いつまでに決められるかも定かではない。ブロックチェーン自体まだまだ実験の類いの域を越えないためである。
また、ブロックチェーンは、デジタル署名やハッシュ関数を含め、暗号分野の技術に依存している。このため、ブロックチェーンを安全に運用するには、安全な暗号技術を使うことが常に求められるが、これも使用しないということであれば、NIST準拠は更に遠のく。
仮に技術がまともであったとしても、NIST準拠には多くの企業との協業のもと多くの時間をかけテストを繰り返し実績を積み上げていく必要がある。
2年や3年でどうにかなるようなものではない。
仮にNIST準拠せず一般にIoTセキュリティとして商売することは企業としてのコンプライアンスに大きな傷を残すことのなるでしょう。
続きの苦言ネタはありますが明日以降にまたレスします。
『同様取り組みは複数あるが泣かず飛ばず』
『ブロックチェーンが実質適用できるのは限定分野』