[経済産業省] 機器のサイバーセキュリティ確保のためのセキュリティ検証の手引き

2021年05月09日

   経済産業省では、セキュリティ検証サービスの高度化を目的とし、検証サービス事業者及び検証依頼者が実施すべき事項や、二者間のコミュニケーションにおいて留意すべき事項等について整理した「機器のサイバーセキュリティ確保のためのセキュリティ検証の手引き」を公開しました。

関連：「サイバーセキュリティ体制構築・人材確保の手引き」（第1.1版）

背景・趣旨
  経済産業省は、平成29年12月に「産業サイバーセキュリティ研究会」を設置し、ワーキンググループ3（サイバーセキュリティビジネス化）において、日本発のサイバーセキュリティビジネスの成長促進に向け、検討を行ってきました。

我が国が提唱する「Society 5.0」は、IoT機器等を通じてサイバー空間とフィジカル空間が高度に融合することによって、新たな価値が生み出していくものです。しかしその一方で、サイバー空間とフィジカル空間が相互に作用しあうことで、サイバー攻撃がフィジカル空間に及ぼす影響も増大していくことを意味しており、サイバー攻撃による被害が甚大なものになっていく可能性を秘めています。

IoT機器において、セキュリティ上の脅威に繋がりうる脆弱性の有無や、セキュリティ対策の妥当性を確認する方法としては、機器に対するセキュリティ検証が有効です。しかしながら、現在までのセキュリティ検証サービスは、検証人材の暗黙知に依存している部分が大きく、効果的な検証手法や実施すべき事項について統一的な整理がなされていない状況にありました。

また、検証を依頼する立場にある機器メーカ等の検証依頼者においても、信頼できる検証サービス事業者を選定するための基準や検証サービスを利用する目的が不明瞭なまま依頼を行うことによって、依頼者が求める結果が十分に得られないような状況も生じていました。

このような問題意識を踏まえ、経済産業省では、「機器のサイバーセキュリティ確保のためのセキュリティ検証の手引き」を作成しました。本手引きは、セキュリティ検証サービスの高度化を目的とするもので、以下の点について整理したものです。

• 機器のセキュリティ検証において検証サービス事業者が実施すべき事項
• より良い検証サービスを受けるために検証依頼者が実施すべき事項及び持つべき知識
• 検証サービス事業者・検証依頼者間の適切なコミュニケーションのために二者間で共有すべき情報や留意すべき事項
  
  本手引きが検証サービス事業者及び検証依頼者に活用されることで、国内の検証サービス水準向上に寄与するとともに、二者間の適切な検証体制が構築されることを期待しています。

• 【本編】機器のサイバーセキュリティ確保のためのセキュリティ検証の手引き（PDF形式：1,251KB）
• 【別冊１】脅威分析及びセキュリティ検証の詳細解説書（PDF形式：8,082KB）
• 【別冊２】機器メーカに向けた脅威分析及びセキュリティ検証の解説書（PDF形式：2,183KB）
• 【別冊３】検証人材の育成に向けた手引き（PDF形式：787KB） 
• 「サイバーセキュリティ体制構築・人材確保の手引き」（第1.1版）本体（PDF形式：4,406KB）
• 「サイバーセキュリティ体制構築・人材確保の手引き」（第1.1版）概要（PDF形式：769KB）