経済産業省は2021年4月19日、ネットワークに常時接続する機器に対するセキュリティ検証の高度化を目的に、「機器のサイバーセキュリティ確保のためのセキュリティ検証の手引き」を公開した。効果的な検証手法や、検証サービス事業者と検証依頼者が実施すべき事項などをまとめている。
出荷前の機器に対して行われるセキュリティ検証は、脆弱性の有無やセキュリティ対策の妥当性の確認手法として有効だが、検証人材の暗黙知に依存する部分が大きく、効果的な検証手法や実施すべき事項の統一的な整理がなされていなかった。
また、セキュリティ検証サービスを利用する機器メーカーなどの検証依頼者にとっては、信頼できる検証サービス事業者を選定する基準や、適切な検証目的を設定する統一基準がないため、求める品質や結果が得にくいといった状況も生じている。
同手引きは、こうした課題に対応し、セキュリティ検証サービスの高度化を目的にまとめられた。経済産業省では、同手引きを検証サービス事業者と検証依頼者の双方が活用することで、セキュリティ検証サービスの水準向上や適切な検証体制の構築が期待されるとしている。
検証方法を対象別にガイド 「手引き」の概要と使い方は
検証対象は、IoT機器をはじめとするネットワークに常時接続する機器と、その関連サービス。同手引きは、これらの機器のサイバーセキュリティ確保に焦点を当てた記載が中心で、IoT機器などが接続するクラウドサーバや機器を組み合わせたシステム全体の検証は対象外となっている。
同手引きは、本編と3点の別冊で構成されている。本編では、機器検証の目的や検証手順、検証結果の分析などの概要説明を通して、「検証サービス事業者が実施すべき事項」「検証依頼者が検証に向けて実施すべき事項や用意すべき情報、持つべき知識」「検証サービス事業者・検証依頼者間の適切なコミュニケーションのために共有すべき情報や留意すべき事項」などを記載している。
別冊1では、検証サービス事業者が実施すべき脅威分析の手法や実施すべき検証項目、検証の流れを詳細に解説。機器全般に汎用的に活用できる内容となっており、ネットワークカメラを実例とした手法の適用事例も結果も示している。
別冊2では、主な検証依頼者である機器メーカーが、検証を依頼するに当たって実施すべき事項や用意すべき情報などを詳細に提示。攻撃手法への対策例や、検証結果を踏まえたリスク評価などの対応方針も掲載している。
別冊3では、高品質な検証サービスの提供に向け、検証サービス事業者で検証を担当する人材（検証人材）にフォーカスを当て、求められるスキルや知識、検証人材の育成、検証人材のキャリア設計で考慮すべきポイントなどをまとめている。
各手引きは、経済産業省のニュースリリース「機器のサイバーセキュリティ確保のためのセキュリティ検証の手引きを取りまとめました」、から参照できる。
同手引きの対象者は、機器検証を実施する検証サービス事業者、同事業者に対して機器検証を依頼するメーカーの開発者、検証担当者、品質保証担当者、セキュリティ担当者などの検証依頼者とされている。一部で機器のセキュリティ確保に向けて実施すべき事項についても記載しているので、メーカーの機器設計、構築の担当者、サプライチェーン管理に関わる担当者なども参照できるとしている。