さまざまなモノがIoT化することは、メリットがある一方で、サイバー攻撃の対象となるリスクの増加にもつながります。このような情勢を受け、製品ライフサイクルを通してサイバーセキュリティ対策を義務化する法規・ガイドラインの制定が進んでいます。設計・開発段階でのセキュリティ要件の実装はもとより、製品リリース後もSBOM^※1によりソフトウェアの構成を把握し脆弱性を管理することが求められます。

自動車や医療機器業界では、他業界と比較してサイバーセキュリティ対策の国際基準が先行して定められており、日本国内の規定にもその国際基準がすでに取り込まれています。^※2
サイバーレジリエンス法（EU Cyber Resilience Act）ではデジタル要素を備えたすべての製品が対象となり、今後EU域外でも同様の規制が制定される可能性があります。今後、セキュリティ対策の取り組みが業種や国境を越えて拡大していくと考えられます。

※2 主な国際基準

サイバーセキュリティ対策の各法規・ガイドラインが共通して求めるのは、製品ライフサイクル全体でのセキュリティ対策です。設計・開発時にはセキュリティ機能の実装が必要となります。IT製品と違い、組込み機器はネットワークへの接続を前提とせずセーフティ最優先で開発されてきた経緯があり、IoT化にあたり必要なセキュリティ対策を実装するための知見が開発現場に不足していることが想定されます。しかしながら、これまでのような「クローズド環境で使用しているのでセキュリティ対策は不要」は通用しません。
そもそも機器のリソースには制限があり、セキュリティの実装方式は限定されます。また、開発時だけではなくリリース後も脆弱性管理が求められますが、サプライヤーに発注したコンポーネントはバイナリで納品され、ソースコードを保持しておらず管理が困難なケースも想定されます。さらに、IoT製品はさまざまなフィールドに配置されている、設置された数も非常に多いといった事情により「脆弱性を突かれる可能性がある」だけで、簡単にパッチを適用することができません。

日立ソリューションズは、サイバーセキュリティに関連する法規への対応に向け、IoT製品の設計・開発時のセキュリティ実装から販売後の脆弱性管理まで、現場目線でトータルに支援します。

IoT製品の開発ライフサイクル全体のセキュリティ対策を支援するプラットフォームです。IoT製品、組込み機器に特徴的な、マイクロコンピュータなどのアーキテクチャーを幅広くサポートしています。
Cybellumはソフトウェアの構成情報を管理するSCA（Software Composition Analysis）ツールに分類されますが、収集する情報はソフトウェアに留まりません。アーキテクチャーやインターフェースなどのハードウェアやOS設定の情報を含むサイバーデジタルツイン^※5を生成し、収集した脆弱性情報との突き合わせを実施します。サイバーデジタルツインにより、検出された脆弱性の深刻度や関連性を評価し、本当に対策が必要な脆弱性を見極めます。またバイナリに含まれる認証情報、IPアドレスやEメールアドレスなども収集し、不適切な情報が意図せず混入していないかをチェックできます。公開脆弱性情報の管理以外にも、実装時の脆弱性の作りこみチェックや、業界準拠チェックの支援機能を提供します。

製造業や重要インフラで培ったセキュリティ対策の豊富なノウハウを生かし、IoT製品の各開発プロセスに求められるセキュリティ対策を支援します。セキュリティの課題を洗い出し、どこまでどのようにセキュリティを確保すればいいかをコンサルティング可能です。

IoT製品のセキュリティを支援するための部品ライブラリです。PKI証明書の配布や管理機能を提供するほか、軽量暗号化により、リソースが少ない製品でもデータ暗号化・改ざん検知機能を実現可能です。デバイスに組み込んで利用できる部品をAPIで提供するので、急にセキュリティ機能が必要になった場合でも、早期に対応できます。