IoT時代に重要なPSIRTとは？
CSIRTとの違いも解説

IoTの普及にともない、IoT機器の脆弱性を狙ったサイバー攻撃が増大しています。こうした中、IoT機器の脆弱性を検証し、セキュリティインシデントに迅速に対処するPSIRTの重要性が高まっています。PSIRTの役割や活動内容、PSIRTを構築するときのポイントなどについて解説します。

PSIRTとは？CSIRTとの違い

PSIRT（Product Security Incident Response Team）が注目されるようになった背景には、IoT機器の普及があります。各種センサーデバイスやロボットなどがインターネットに接続するIoTは、今や製造、流通・サービス、農業など、さまざまな産業分野で導入、活用されています。たとえば、製造業では生産ラインにIoTセンサーを組み込んで設備の稼働状況を監視・制御したり、農業では作物の栽培施設の温度や湿度の変化をIoTセンサーでモニタリングし、最適な生育環境を維持するのに活用したりしています。このように、さまざまな分野でIoT機器／サービスが普及・浸透している中、万が一、IoT機器／サービスに不具合が生じると、生産工場の稼働が停止してしまうなど、甚大な被害が発生することが考えられます。とくに、最近では、IoT機器の脆弱性を狙ったサイバー攻撃も増加傾向にあり、国立研究開発法人情報通信研究機構（NICT）の調査では、2020年に観測・検知されたサイバー攻撃に利用されたパケットのうち、約30％がIoT機器を狙ったパケットでした※1。こうした背景から、インシデント発生を未然に防ぐためにIoT機器／サービスの開発段階からセキュリティレベルの向上を図ることが重要となっています。 PSIRTは、自社で開発・提供したIoT機器／サービスに関するセキュリティ対策を担います。脆弱性やセキュリティインシデントへの対応のために、製品開発に関わったほかのメーカーや組込ソフトウェアの開発会社など、さまざまな企業・組織・機関との連携も必要です。自社の製品やサービスのセキュリティ対策には、製品やサービスの開発段階から脆弱性を残さない、埋め込まないための開発プロセスの構築も含まれます。これに対して、CSIRT（Computer Security Incident Response Team）はおもに企業内の社内ネットワークや情報システムにおける脆弱性やセキュリティインシデントに対応し、社内の関連部署と連携し、社内への影響を抑えることを目的とした活動になります。このように、両者のセキュリティ対策の対象やステークホルダーは異なります。PSIRTの方が、サプライチェーンや多くの部門を巻き込んで、広範囲の活動を必要とする組織と言えるでしょう。 ※1 https://www.nict.go.jp/press/2021/02/16-1.html

PSIRTの活動内容

PSIRTの活動内容は、おもに「ステークホルダーとの連携」、「脆弱性関連情報の収集」、「インシデント発生の対策」に分けて考えることができます。ここではPSIRTのおもな活動内容を解説します。

PSIRTのおもな活動

PSIRTのおもな活動内容は以下のとおりです。

ステークホルダーとの連携

日々の対応がスムーズに進むように、社内の各部門（開発、設計、広報など）との連携を図る
製品／サービス利用者またはサプライチェーンの関係者から情報提供をしてもらう仕組みを確立しておく
インシデントが発生した場合に備え、報告すべき関係省庁やサプライチェーンの関係者、外部のセキュリティベンダーなどをまとめておく

脆弱性関連情報の収集

ISAC（Information Sharing and Analysis Center）やオープンソースコミュニティなど、脆弱性に関する情報が集約されているデータベースから情報を収集する
収集した脆弱性の危険度を確認・分析する
自社の製品／サービスに影響するか一次切り分けを実施する

インシデント発生の対策

優先順位を設定する（トリアージ）
開発部門や設計部門などと連携し、脆弱性の修復方法を検討する
インシデントに関する情報と、修復方法または回避策・緩和策などを公開する

なお、IoT機器などの製造メーカーだけでなく、それらのIoT機器を活用してサービスやソリューションを開発・提供するサービス事業者やソリューションベンダー、システムインテグレーターなどにおいてもPSIRTは重要な役割を担います。

PSIRTの体制を確立するためには

企業としてPSIRTの体制を確立するためには、どのような点に注意すればよいのでしょうか。今回は特に重要なポイントとして3つの要素を紹介します。

脆弱性管理体制の整備

インシデントの影響を抑えるためには、脆弱性に関する情報を収集し、いち早くトリアージ（対応の優先順位付け）することが求められます。脆弱性に関する情報を収集する際に注意したいのは、最近では、IoT機器およびシステムの開発にあたって、柔軟な開発を実現するためにオープンソース化が進んでいることです。オープンソースは開発の自由度が高い一方で、さまざまな機能のカスタマイズや改変によってセキュリティリスクが生じやすい欠点もあります。緊急時には迅速なサポートが受けられるとも限らないため、オープンソースの製品／サービスを利用する際には、事前に開発する製品やシステムの特性に応じて、迅速に情報を収集できるかどうかを確認し、情報収集体制を整備しておく必要があるでしょう。

製品開発プロセスの構築

セキュリティインシデントの発生時の迅速な対応も重要ですが、セキュリティインシデントの発生自体を低減するために、製品／サービスの設計・開発段階から脆弱性を残存させない、また新たに組み込まないような開発プロセスを構築することも重要です。

製品サポートの提供方法の検討

ネットワークに接続される機器の場合は、データセンターなどにおいて機器の状態を管理することも可能ですが、そうでない製品の場合にはソフトウェアアップデートやセキュリティパッチの適用などについて方法を検討しなければなりません。

セキュリティインシデントに迅速かつ的確に対処するためにPSIRTの設置を

IoTがますます普及・浸透するにつれ、ネットワークに接続される機器は爆発的に増加し、IoT機器／サービスを狙ったサイバー攻撃もより深刻化することが予測されます。PSIRTの重要性が、さらに高まっていくと考えられる中、「一からPSIRTの体制を整えるのは難しい」「自社にノウハウがない」といった悩みを抱える企業も少なくないでしょう。PSIRTの構築を支援するサービスの利用なども検討し、自社のIoT機器／サービスにおけるセキュリティインシデントに迅速かつ的確に対処できる体制を構築しておきましょう。