ETSI EN 303 645：規制当局はIoTデバイスを十分に保護できているか？

2020年6月、ETSI技術委員会は、IoTデバイスの包括的なセキュリティ基準であるEN 303 645をリリースし、情報セキュリティコミュニティから称賛を受けました。

SectigoのIoTおよび組み込みソリューション担当バイスプレジデント、アラン・グラウが報告します。

この標準は、接続デバイスの保護の緊急性を認識しつつある立法者・規制当局の動きに続くものです。2020年1月施行のカリフォルニア州SB-327、2019年のオーストラリア「消費者向けIoT保護のための実践コード草案」は、政府が果断な行動をとった好例です。

英国が2020年1月に独自のIoTフレームワークを発表したことは、デバイスセキュリティの長年の不備と、規制当局がそれに対処する準備ができていることを浮き彫りにしました。

しかし、これらの法律や標準が、私たちの家庭やビジネスに存在する数十億のIoTデバイスを守るのに十分かどうかという疑問は残ります。

法制化がIoTセキュリティをどう形作るか

歴史的に、IoTデバイスは明確な境界で保護された孤立したプロプライエタリネットワークで動作していました。インターネットの拡大によりこれらのシステムがTCP/IPで接続され、消費者と企業に前例のない統合メリットをもたらしました。IDCは2025年までに416億の接続デバイスが存在すると予測しており、その成長は規制の進化を上回っています。

規制の整備はこの急速な拡大に追いついていません。コスト効率の高い大量生産製品を追求する中で、多くのメーカーは堅牢な認証とセキュリティよりも市場投入スピードを優先し、デバイスを脆弱な状態に置いています。

拘束力のあるIoTフレームワークがないため、メーカーは最小限の組み込みセキュリティでデバイスを製造し、攻撃者に対してほとんど保護にならない静的な認証情報に頼ることがよくあります。セキュリティが義務化されるまで、手抜きは続きます。製造からデバイスライフサイクル全体にわたってセキュリティ・バイ・デザインを組み込むには、強力な法制とガバナンスが不可欠です。

進展とギャップ

カリフォルニア州SB-327のような進歩的な措置は、次世代のセキュリティと認証ツールの明確なフレームワークを定め、以前の慣行の欠点を露見させたボットネットを標的としています。しかし、この法律はカリフォルニア州のみに適用され、全国的な強制力を持ちません。

業界、学術界、政府の協力で開発されたETSI EN 303 645は、ステークホルダーに統一された目標を提示します。しかしSB-327と同様、法的拘束力がないため、コストが安いという理由や執行がないために、一部のメーカーは甘いセキュリティ慣行を採用し続けています。

真にIoTを保護するには、先進的な標準と、デバイス開発にサイバーセキュリティフレームワークを義務付ける立法アジェンダの組み合わせが必要です。

組み込みセキュリティが重要な理由

ベストプラクティスでは、セキュリティは工場出荷時点で組み込まれるべきだと強調されています。サプライチェーンが複雑化する中、OEMは各デバイスが鋳造所を出る瞬間から安全であることを保証しなければなりません。組み込み型公開鍵基盤（PKI）により、下流の組み立て過程で認証情報が改ざんされることを防ぎ、ライフサイクル全体の完全性を維持します。

グローバルサプライチェーン－世界標準の必要性

IoTのグローバルな広がりは、デバイスが複数の国境を越えて設計、製造、組み立てられることを意味し、セキュリティギャップのリスクを増幅させます。あらゆる段階でデバイスを保護し、財産、生命、データを守るには、協調的な立法努力が必要です。

著者は、SectigoのIoTおよび組み込みソリューション担当バイスプレジデント、アラン・グラウです。