さまざまなモノがIoT化することは、メリットがある一方で、サイバー攻撃の対象となるリスクの増加にもつながります。このような情勢を受け、製品ライフサイクルを通してサイバーセキュリティ対策を義務化する法規・ガイドラインの制定が進んでいます。設計・開発段階でのセキュリティ要件の実装はもとより、製品リリース後もSBOM^※1によりソフトウェアの構成を把握し脆弱性を管理することが求められます。

自動車や医療機器業界では、他業界と比較してサイバーセキュリティ対策の国際基準が先行して定められており、日本国内の規定にもその国際基準がすでに取り込まれています。^※2
サイバーレジリエンス法（EU Cyber Resilience Act）ではデジタル要素を備えたすべての製品が対象となり、今後EU域外でも同様の規制が制定される可能性があります。今後、セキュリティ対策の取り組みが業種や国境を越えて拡大していくと考えられます。

※2 主な国際基準

サイバーセキュリティ対策の各法規・ガイドラインが共通して求めるのは、製品ライフサイクル全体でのセキュリティ対策です。設計・開発時にはセキュリティ機能の実装が必要となります。IT製品と違い、組込み機器はネットワークへの接続を前提とせずセーフティ最優先で開発されてきた経緯があり、IoT化にあたり必要なセキュリティ対策を実装するための知見が開発現場に不足していることが想定されます。しかしながら、これまでのような「クローズド環境で使用しているのでセキュリティ対策は不要」は通用しません。
そもそも機器のリソースには制限があり、セキュリティの実装方式は限定されます。また、開発時だけではなくリリース後も脆弱性管理が求められますが、日々確認が必要な脆弱性の数は膨大で、しかも調査には専門的な知識が必要なためPSIRT部門にとっても、設計・開発部門にとっても大きな負荷がかかります。さらに、IoT製品はさまざまなフィールドに配置されている、設置された数も非常に多いといった事情により「脆弱性を突かれる可能性がある」だけで、簡単にパッチを適用することができません。

日立ソリューションズは、サイバーセキュリティに関連する法規への対応に向け、IoT製品の設計・開発時のセキュリティ実装から販売後の脆弱性管理まで、現場目線でトータルに支援します。

脆弱性調査支援サービスは、CVE^※5番号を入力するだけで、生成AIが脆弱性の概要や顕在化しない条件などをわかりやすく日本語でレポートするWebサービスです。
本サービスをご利用いただくことで、脆弱性対応に必要な技術情報の収集時間を大幅に削減できます。さらに、緊急対策が不要となる条件（脆弱性が顕在化しない条件）を明確に提示することで、調査が必要な脆弱性の数も低減可能です。

製造業や重要インフラで培ったセキュリティ対策の豊富なノウハウを生かし、IoT製品の各開発プロセスに求められるセキュリティ対策を支援します。セキュリティの課題を洗い出し、どこまでどのようにセキュリティを確保すればいいかをコンサルティング可能です。

IoT製品のセキュリティを支援するための部品ライブラリです。PKI証明書の配布や管理機能を提供するほか、軽量暗号化により、リソースが少ない製品でもデータ暗号化・改ざん検知機能を実現可能です。デバイスに組み込んで利用できる部品をAPIで提供するので、急にセキュリティ機能が必要になった場合でも、早期に対応できます。