総務省トップ > 政策 > 白書 > 30年版 > IoT等に関する取組
第2部 基本データと政策動向
第5節 サイバーセキュリティ対策の推進

2 サイバーセキュリティ対策の強化

(1)IoT等に関する取組

社会基盤としてのIoT化が進展する一方で、IoT機器については、管理が行き届きにくい、機器の性能が限られ適切なセキュリティ対策を適用できないなどの理由から、サイバー攻撃の脅威にさらされることが多く、その対策強化の必要性が指摘されている。情報通信研究機構(NICT)が運用するサイバー攻撃観測網(NICTER)が2019年(令和元年)に観測したサイバー攻撃関連通信のうち、約半数がIoT機器を狙ったものであるという結果が示されている(図表6-5-2-1)。実際に、米国では、2016年(平成28年)10月、マルウェアに感染したIoT機器が踏み台となり、大規模なDDoS攻撃が発生し、一部サイトにアクセスできなくなる等の障害が発生した(図表6-5-2-2)。

図表6-5-2-1 NICTERによる観測結果
図表6-5-2-2 「Mirai」による大規模サイバー攻撃

こうした状況を踏まえ、パスワード設定等に不備のあるIoT機器について対策を行うため、総務省は、「電気通信事業法及び国立研究開発法人情報通信研究機構法の一部を改正する法律案」を2018年(平成30年)3月に国会へ提出、同改正法は同年5月に公布、同年11月に施行された。

同改正法に基づき、総務省及びNICTは、インターネット・サービス・プロバイダ(ISP)と連携し、2019年(平成31年)2月から「NOTICE(National Operation Towards IoT Clean Environment)」と呼ばれる取組を実施している。これは、①NICTがインターネット上のIoT機器に対して、例えば「password」や「123456」等のこれまでにサイバー攻撃に用いられたパスワードや同一の文字列等を用いたような容易に推測されるパスワードを入力するなどにより、サイバー攻撃に悪用されるおそれのある機器を特定する。②その特定した機器の情報をNICTからISPに通知する。③通知を受けたISPがその機器の利用者を特定し注意喚起を行う、といった一連の取組である(図表6-5-2-3)。

図表6-5-2-3 NOTICE及びNICTERに関する注意喚起の概要

また、NOTICEと並行して2019年(令和元年)6月から、総務省、NICT、一般社団法人ICT-ISAC及びISP各社が連携して、既にマルウェアに感染しているIoT機器の利用者に対し、ISPが注意喚起を行う取組を実施している。本取組は、NICTが前述のNICTERで得られた情報を基にマルウェア感染を原因とする通信を行っている機器を検知し、ISPにおいて当該機器の利用者を特定することにより行っている(図表6-5-2-3)。

2020年(令和2年)3月時点でこれらの取組に参加しているISPは50社であり、当該ISPが保有する約1.1億の国内IPv4アドレスに対して調査を実施した。NOTICEについては、おおむね月に1回の調査を実施しており、調査対象となったIPアドレスのうち、パスワード等が入力可能であったものが直近での調査において約100,000件であり、このうち、特定のパスワード等の入力によりログインでき、注意喚起の対象となったものは延べ2,249件となっている。また、マルウェアに感染しているIoT機器の利用者への注意喚起については、NICTERにより検知した情報を日ごとにISPに通知しており、その1日当たりの平均件数は162件となっている。

また、IoT機器を含む端末設備のセキュリティ対策に当たっては、製造業者にセキュリティ・バイ・デザインの考え方を十分に浸透させるとともに、対策がとられた機器の市場への展開を促進させることが重要であることから、今後製品化されるIoT機器がパスワード設定の不備等によりサイバー攻撃に悪用されないようにする対策として、2019年(平成31年)3月にIoT機器の技術基準にセキュリティ対策を追加するため、端末設備等規則を改正し、2020年(令和2年)4月に施行した。さらに、同規則の各規定等に係る端末機器の基準認証に関する運用について明確化を図る観点から、2019年(平成31年)4月に「電気通信事業法に基づく端末機器の基準認証に関するガイドライン(第1版)」を策定・公表している。

そのほかサイバー攻撃対策に資する取組として、上述の改正法により改正された電気通信事業法に基づき、2019年(平成31年)1月に、電気通信事業者がDDoS攻撃等のサイバー攻撃への対応を共同して行うため、サイバー攻撃の送信元情報の共有やC&Cサーバの調査研究等の業務を行う第三者機関である「認定送信型対電気通信設備サイバー攻撃対処協会」として、一般社団法人ICT-ISACを認定し、情報共有を促進するための体制整備を図っている。

テキスト形式のファイルはこちら

ページトップへ戻る