セキュリティの
学び場

今回の解説ニュース

重要インフラでより高いセキュリティ機能を実装した半導体の開発や製造の必要性について解説されています。重要インフラのインシデント事例や、IoT機器のセキュリティ対策について説明します。

今回の資料では、世界各国で重要インフラをターゲットにしたセキュリティ攻撃の多発を受け、サイバーセキュリティの観点も「国家安全保障」から「経済安全保障」へ拡大していると指摘しています。セキュアIoTプラットフォーム協議会では経済安全保障の確保のために、重要インフラに対応するセキュリティ要件が実装されている半導体の開発や製造に目を向ける必要があるとしています。

具体的には、IoT機器の製造段階で半導体に電子鍵を組み込み、運用が終わった際には電子鍵を失効させることが挙げられています。また、運用期間中はOTAでファームウェアとソフトウェアをアップデートすることで、データの改ざんやソフトウェアの不正書き換え、改造、機器のなりすましを防止することができるということです。

2021年に発生した重要インフラに対するサイバー攻撃事例

今回の資料でも挙げられている、2021年に発生した重要インフラに対するサイバー攻撃について3つ事例をあげます。結果として、重要インフラでもランサムウェアによる被害が多いようです。

サイバー攻撃事例（１）アメリカの大手パイプライン会社への攻撃

アメリカの大手パイプライン会社がランサムウェアの被害を受けて、6日間の操業停止が発生しました。同社はアメリカ東海岸の50%に対して燃料供給を行っていたため、社会的な大混乱を招きました。ランサムウェアによる身代金として440万ドルがビットコインで支払われるよう要求されましたが、後日ほとんど回収できたということです。ロシアのハッカー集団「ダークサイド」による犯行とされています。

サイバー攻撃事例（２）ブラジルの世界最大手食肉加工会社への攻撃

ブラジルの世界最大手食肉加工会社がランサムウェアの被害を受けて、アメリカ、オーストラリア、カナダの工場が操業停止になりました。食品関連のサプライチェーンが分断され、価格が高騰するなど、社会生活に大きな影響が発生しました。ロシアのハッカー集団「レビル」による犯行とされています。

サイバー攻撃事例（３）アメリカのフロリダ水道局への攻撃

アメリカのフロリダ水道局が管理システムをハッキングされ、水処理に使われる水酸化ナトリウムの濃度設定が通常の100倍に設定されました。オペレーターが事前に気が付いたので事故にはなりませんでしたが、住民の人命や健康被害につながる重大インシデントに発展する可能性があったサイバー攻撃と言えます。

このように、重要インフラをターゲットとしたサイバー攻撃は、国民生活や経済活動、場合によっては人命に大きな影響を与える可能性があるため、社会的課題として考える必要があります。

IoT機器の根本的なところからセキュリティ対策を立てる

ルートオブトラストとは「信頼の起点」とも訳される、IoT機器のセキュリティにかかわる概念です。IoT機器が組み立てられる前段階において、必ず組み込まれるICチップに普遍的な認証情報を埋め込むことで、検証の信頼度を確実なものにすることを提唱しています。少し難しい内容かと思いますので、できるだけわかりやすく説明します。

身近なIoT機器、スマートスピーカーを例に

皆さんの身近なIoT機器として、スマートスピーカーを例に挙げてみましょう。もし、Aさんのスマートスピーカーが第三者に盗聴されるような改ざんをされていたら、未然に検知してほしいですよね。改ざんを検知するためには、正しい状態を保存しておいて検証する仕組みが必要ですが、その仕組み自体も改ざんされてしまうと、何が正しいかわからなくなってしまうため、検知することができなくなります。

「盗聴や改ざんがされていないか？」を確認する仕組みの保護が必要

そのため、Aさんのスマートスピーカーが改ざんされていないかチェックする仕組み自体を改ざんから保護する必要があります。例えば、改ざんをチェックする仕組みが、OSやソフトウェアの機能によって保護されている場合は、脆弱性をついた攻撃によりが改ざんされてしまう可能性があります。

デバイスの信頼性を保証するための対策

そこで、改ざんをチェックする仕組みが、ICチップなどで保護されている場合、ハードウェアで切り離されているため、仮にOSやソフトウェアの脆弱性をつかれても、その影響を受けることはありません。このように、ルートオブトラストでは、デバイスの信頼性を保証するために、認証情報をハードウェアで保護することが望ましいとしています。

今回は、重要インフラに対するサイバー攻撃とIoT機器のセキュリティについてお届けしました。ルートオブトラストにはIoT機器のセキュリティで必要とされる考え方が他にも含まれていますので、興味がある方はインターネットで検索してみるのも良いかと思います。