IoTセキュリティの指針・ガイドライン

IoTセキュリティの指針は、機器、通信、クラウド、アプリ、保守サービスを含むライフサイクル全体で、設計時から安全性を確保するための原則です。製造者、サービス提供者、設置者、利用者の責任分担も対象にします。

■ 試験で押さえるポイント

• 脅威・利用環境・保護資産を設計時に分析し、初期パスワードの個体化、不要機能停止、最小権限、セキュアブート、鍵の安全な格納を組み込みます。

• 通信相手を認証し、機密性・完全性を保護します。機器固有鍵を全製品で共用すると一台の解析が全台侵害へ波及します。

• 署名付き更新、ロールバック対策、更新失敗時の復旧を用意し、サポート期間と終了後の扱いを購入者へ明示します。

• 脆弱性受付窓口、影響調査、修正版配布、SBOM等による部品把握を整えます。出荷時点の検査だけでは長期運用を守れません。

• 安全な初期設定、ログ、異常検知、廃棄時のデータ・鍵消去まで含め、可用性や物理的安全への影響も評価します。

■ 過去問での着眼点

IoT対策は出荷時の機能だけでなく、更新、脆弱性対応、サポート終了、廃棄までのライフサイクルで評価します。特に、共通初期パスワードと更新不能な設計は大規模侵害へつながる典型的な問題です。

例: 監視カメラごとに異なる初期資格情報を設定し、初回変更を要求し、署名付き更新と脆弱性窓口を製品サポート期間中提供します。