IoTセキュリティの新常識　JC-STAR制度でマルウェア攻撃に対抗

IoT機器を狙ったサイバー攻撃が深刻化する中、経済産業省が推進するIoTセキュリティ適合性評価制度「JC-STAR」が本格運用を開始しました。5月27日に開催されたプレスセミナーでは、制度の意義と現状、そして参加企業の取り組みが紹介されました。

10年続くIoTマルウェアとの戦い
1. 攻撃の進化と深刻化
JC-STAR制度：予防的対策の切り札
1. 国際連携も進展
バッファローの本格参入：79製品でラベル取得
1. 販売網を活用した普及戦略
今後の展望と課題

10年続くIoTマルウェアとの戦い

横浜国立大学の吉岡克成教授は、IoTセキュリティ問題の推移について詳しく解説しました。「IoT機器へのサイバー攻撃は、もう十年くらい前から始まっています」と吉岡教授は語ります。

2014～15年頃から本格化したIoT攻撃は、主にTelnetプロトコルの脆弱性を狙ったものでした。当時、多くのIoT機器で「12345」といった推測しやすいパスワードが設定されており、攻撃者にとって格好の標的となっていたとのことです。

そして、2016年に登場した「ミライマルウェア」は、IoT分野におけるパンデミックを引き起こしたと吉岡教授は語ります。吉岡教授の観測網では、一か月で100万IPアドレス以上からの攻撃を記録し、感染機器は監視カメラから様々な家電製品まで500種類に及んだとのことです。

攻撃の進化と深刻化

近年の攻撃はさらに高度化しています。初期のミライは電源を切れば駆除できましたが、現在では「電源を切っても消えないIoTマルウェア」が登場しています。さらに深刻なのは、攻撃のビジネス化です。

「攻撃で遊びでやっているのではなく、対価を受け取って攻撃しています」と吉岡教授は警告します。Telegramなどを通じて攻撃サービスが売買され、会員制で攻撃時間に応じた料金体系まで構築されている実態が明らかになりました。

JC-STAR制度：予防的対策の切り札

経済産業省サイバーセキュリティ課の武尾伸隆課長は、JC-STAR制度の概要を説明しました。「脆弱な機器が世の中に提供され続けていては、いつになっても終わりません」として、予防的対策の重要性を強調しました。

「JC-STAR」とは「セキュリティ要件適合評価及びラベリング制度（Labeling Scheme based on Japa n Cyber-Security Technical Assessment Requirements）」のことです。「JC-STAR」は、「ETSI EN 3 03 645」や「NISTIR 8425」等の国内外の規格とも調和しつつ、独自に定める適合基準（セキュリティー技術要件）に基づき、IoT製品に対する適合基準への適合性を確認‧可視化する日本の適合性評価制度です。

「JC-STAR」は、経済産業省の示す制度構築方針に従い、同省の監督のもと、IPA（独立行政法人情報処理推進機構）が制度を構築‧運営するスキームです。