2024.08.06. 公正経済 — 「世帯端末機（ウォールパッド）などのホームネットワーク機器は、関連法令で定められたセキュリティ要求事項を満たさなければならないとされているが、その充足を確認するための具体的な基準が全くありません。結局、政府が『IoTセキュリティ認証』を受けた製品だけを使うよう強要しているようなものです。」住宅建設事業において、『IoTセキュリティ認証』を受けた製品のみを提案できるようにしている発注担当者の言葉だ。
複数の共同住宅新築現場ではホームネットワーク設備が一緒に設置されているが、ホームネットワーク機器が関連法令で要求するセキュリティ要件を満たしているかを確認できる具体的な基準がない状況だ。このような事情から、情報通信技術（ICT）業界では政府が「IoTセキュリティ認証」を推し進めるために消極的な行政を行っているという意見さえ出ている。ホームネットワーク機器が当該認証を取得するには、最大2,000万ウォンの認証手数料を支払う必要がある。これに対し、政府が過剰規制を行っており、機器メーカー側の負担を無視しているという批判もある。
アパート入居世帯大量ハッキングに対しセキュリティ強化法令整備
科学技術情報通信部、産業通商資源部、国土交通部の3省庁は、2021年12月にアパート、オフィステルなどに設置されるホームネットワークのセキュリティ強化を目的として共同告示「インテリジェントホームネットワーク設備の設置及び技術基準」を改正し、翌年の2022年7月から施行に入った。
これは、2021年10月にアパート団地の入居世帯内部撮影映像が違法に流出した事件が発生したことを受け、同様の事件の再発を防止するための措置として評価されている。
当時、多数のアパート入居世帯のホームネットワーク接続装置が同時にハッキングされ、これらの装置のカメラを通じて世帯内の生活空間が無断で撮影・配布された。
サイバー脅威がもはや他人事ではなく自分事になっているという事実に市民の不安が高まったため、政府はホームネットワークのセキュリティ強化に向けて告示の改正を急いだ。
ハッキング事故発生からわずか3ヶ月で策定された改正告示の主な内容は ▲アパート管理主体へのホームネットワーク設備維持・管理マニュアルの提供 ▲物理的または論理的な方法による世帯別ホームネットワークの分離 ▲機密性、認証、アクセス制御などのセキュリティ要件を充足するホームネットワーク機器の設置 ▲情報通信網法に基づく情報保護認証を取得した機器の設置を推奨することなどである。
このうち、ホームネットワーク機器のセキュリティ要件は告示の『別表1』で具体的に規定されている。要件はデータ機密性、データ完全性、認証、アクセス制御、送信データセキュリティの5分野で構成されている。
「データ機密性」とは、利用者識別情報、認証情報、個人情報などに対して暗号アルゴリズム、暗号鍵の生成・管理などの暗号化技術と、機密データのアクセス制御管理技術を適用し、悪意のあるハッカーなど権限のない者がデータの内容を覗き見できないようにしなければならないというものである。ただし、データの処理（生成、読み取り、書き込み、変更、削除、保存など）ではなく、単なる伝送などを担当するワークグループスイッチなどは機密性の適用対象外とする。
「データ完全性」とは、利用者識別情報、認証情報、個人情報等に対し、ハッシュ関数、デジタル署名等の技術を適用して偽造・改変を防止できることを意味する。これもまた単純な送信等を担当するワークグループスイッチ等は適用しない。
「認証」とは、ユーザー確認のために電子署名、ID（ID）・パスワード（Password）、ワンタイムパスワード（One Time Password、OTP）などを通じて本人確認および認証機能を実装しなければならないという意味である。
「アクセス制御」とは、資産・ユーザーの識別、IP管理、端末認証などの技術により、ユーザー種別の分類、アクセス権限の付与・制限機能などを実装し、認可されたユーザーのみがアクセスできるように制御できることを意味する。
「送信データセキュリティ」とは、承認されたホームネットワーク機器間で送信されるデータが漏洩または窃取されたり、フローの転換等が発生しないようにすることを指す。
政府は、月パッドなどのホームネットワーク機器が保安性を確保するために告示のセキュリティ要件を満たす必要があると要求し、『情報通信網利用促進及び情報保護等に関する法律』第48条の6に基づく情報保護認証である『IoTセキュリティ認証』を受けた月パッドは、告示のセキュリティ要件を満たしているものと認めた。
政府は、改正告示の施行日である2022年7月1日以降に住宅建設事業計画承認を申請する場合からこれを適用することとした。
セキュリティ要件の充足を確認するための具体的な基準が欠如
最近、民間・公共で推進中の住宅建設事業において、発注機関が『IoTセキュリティ認証』を受けた月パッド製品のみを提案・納品できるように制限している状況だ。任意認証がまるで必須認証であるかのように強制化されている。
公正経済の取材を総合すると、最近住宅建設を推進する多数の機関・企業がRFP（提案依頼書）で月パッドなどのホームネットワーク機器は『IoTセキュリティ認証』を受けた製品のみを提案するよう要求している。
A自治体の場合、『公共賃貸住宅青年ビレッジ建設』事業において、月パッド製品は『関連法に基づく機器認証を受けた製品』でなければならないと定めた。
Bエネルギー関連機関も、『単身赴任者社宅新築工事ホームネットワーク設備購入』事業において共通条件として『IoTセキュリティ認証』を受けた製品でなければならないという条件を設けた。特に、月パッドは『ベーシックプラス（Basic+）』以上の等級の認証を受けなければならないと定めた。IoTセキュリティ認証は基本的にライト、ベーシック、スタンダードの3等級で構成され、各等級の評価項目以外に追加的な保安性確保技術・機能が適用されたと認められる場合にはプラス（+）が付与される。総合すると、当該認証は合計6等級に細分化できることになる。
首都圏で公共住宅建設を行うC機関も、『都市開発事業地区内アパート情報通信工事』事業において、月パッドなどは『IoTセキュリティ認証』を受けたことを証明する証明書の添付を要求した。
国内主要建設会社であるDも、『IoTセキュリティ認証』を受けたホームネットワーク機器のみを使用するという方針を立てており、これを自社の共同住宅建設現場に適用している。
これらの企業・機関の担当者は「告示ではウォールパッド等のホームネットワーク機器にセキュリティ要件を満たすことを定めているが、実際に満たしているかを確認できる具体的な基準を政府が整備していない。したがってやむを得ず『IoT セキュリティ認証』を取得した製品の提案・納品を制限せざるを得なかった」と語った。
これに対し、科学技術情報通信部の関係者は「告示は『IoTセキュリティ認証』を受けたホームネットワーク機器だけを使うよう強制したわけではない。現場で未認証の製品を導入しようとする場合には、告示のセキュリティ要求事項を満たしているかを確認すればよい」と回答した。具体的には、各現場の通信監理員が施工状態評価報告書を作成する際に『インテリジェントホームネットワーク設備に関する検査』を行い、それに応じてホームネットワーク機器が告示のセキュリティ要求事項を満たしているかを確認すればよいということだ。
義務を要求する政府が履行確認方策の策定に消極的
しかし、現場の声は科学技術情報通信部の立場とは大きく異なっていた。
住宅内のホームネットワーク設備設置事業を推進する自治体の担当者は、電話取材に対し「住宅建設事業において通信監理員にホームネットワーク機器がセキュリティ要求事項を満たしているかを判断させるのは適切ではない。これは機器の提案段階でセキュリティ要求事項の充足を確認できず、現場で事後的に確認しろという話であり、もし設置予定の機器がセキュリティ要求事項を満たしていないことが判明すれば、工期（工事期間）が延びることになる」と述べた。
別の機関関係者も「政府が告示のセキュリティ要件の満足を確認できる具体的基準を整備していない状態で、第一線の機関や企業に満足可否の確認を求めるのは、実質的に『IoT セキュリティ認証』を強制化した措置だ」と指摘した。さらに「政府が過剰規制という批判を懸念し、要件満足の確認規定を設けたのは、いわば『回避用の裏口』を作ったのではないか」と推測した。
ウォールパッドなどのホームネットワーク機器メーカーの立場からも、『IoTセキュリティ認証』が負担であるという声が出ている。
ホームネットワーク機器製造会社の従業員は匿名を希望し、「政府が『IoTセキュリティ認証』について法定認証だが任意認証であると強調してきたが、実際にはアパート建設現場など現場で働く人々は政府のその言葉を信じていない。告示のセキュリティ要件は抽象的な概念だけを列挙しているだけで、各製品がどのような技術・機能・措置でセキュリティ要件を満たすべきかについては一切言及がない」と述べた。
同氏は「ホームネットワーク機器が『IoTセキュリティ認証』を受けるためには、モデル別に600万〜2,000万ウォンの認証手数料を支払わなければならない。政府は機器メーカーの負担を軽減すると言いながら、基本モデルから微細な変更が行われた『派生モデル』については、認証費用を70〜140万ウォン程度に下げてくれたこともある。しかし、政府がセキュリティ脆弱性のパッチ適用などのファームウェアアップデートを積極的に行うよう求めている状況で、ソフトウェアの変更による『形状の不一致』が生じた場合には、再び認証を受けるようにしている。結果として、負担は減るどころか増える構造だ」と、企業が置かれた状況を具体的に説明した。
業界では、『IoTセキュリティ認証』の評価項目に相当するチェックリスト方式のセキュリティ要件充足確認基準を設けない限り、現場では当該認証を受けた製品しか使用できないだろうと予測している。また、発注側が安全な製品を導入するという趣旨で、次第に高い等級のセキュリティ認証を受けた製品を要求するようになるため、最終的にホームネットワーク機器製造企業の負担が増えると懸念している。
情報保護の非専門家はセキュリティ要件の確認が困難
情報通信工事を監理する通信監理員の中で、情報保護分野の専門性がない者に、現場に設置されるホームネットワーク機器が告示のセキュリティ要件を充足しているかを確認させることへの批判も出ている。
ICTは現在、多様な専門分野に細分化されているが、情報保護の専門性のない通信監理員に告示のセキュリティ要件充足を確認させることが妥当かという指摘がある。
ICTコンサルティング事業を手掛ける企業代表は電話で「以前は通信といえば音声通話やモールス符号を用いた電報などのサービス程度だったが、技術の進歩に伴い、現在は移動通信網、Wi‑Fi、Bluetooth、光通信、衛星通信など多様な有線・無線通信手段が登場し、通信プロトコル、インフラ、システムも目的に応じて多数のタイプに分類されている。これに伴い、現在ICT分野の国家技術・専門資格も数十種類に及ぶほど専門化・細分化されている」と述べた。
彼はさらに「もはや一人の情報通信技術者がすべてのICT分野で専門性を発揮できる時代ではない。しかし、政府の情報通信技術者育成・運営政策は依然として数十年前のレベルにとどまっている。インテリジェントホームネットワーク設備のうち、専門的な情報保護業務を情報保護の非専門家に任せることを許容している現状はおかしくないか」と疑問を呈した。
また、第一線の現場で通信監理員が建設事業者にICT関連認証を取得するよう要求する事例まで起きているという情報もある。
最近アパート建築を手掛けている建設会社の従業員は「通信監理員が韓国情報通信振興協会（KAIT）の超高速情報通信建物認証のうち予備認証を取得すれば監理を通過させてくれると言った。ホームネットワークの問題が顕在化している現在、KAITのホームネットワーク建物予備認証を取得するよう求められることもあると聞いた」と述べた。
しかし、KAITが運営する超高速情報通信建物認証やホームネットワーク建物認証は民間任意認証に過ぎない。これらの認証は法定認証ではないため、いかなる法的効力もないにもかかわらず、監理員たちが責任回避のためにこのような行為を行っているというのだ。
首都圏に位置する大学のICT関連学科の教授は、「もはや通信分野の技術者も専門分野別に区別すべき時代だ。医学界でも医師が一般医の資格取得後に各分野の専門医資格を取得するように、ICT産業においても情報保護は情報保護の専門家が担当すべき時だ」と述べた。
チェックリストの策定・公認試験成績書発行制度の提案
業界では、政府がホームネットワーク機器のセキュリティ要求事項の充足を確認できる具体的な方策を策定すべきだという意見が出されている。
まず、セキュリティ要求事項の充足を確認できるチェックリスト方式の基準を作ろうというものだ。現在、告示で規定されている5つのセキュリティ要求事項は抽象的な概念に過ぎず、現場でこれを基準にホームネットワーク機器のセキュリティ性を確認するのは難しいというのが業界の共通した意見だ。
現在「IoTセキュリティ認証」の認証領域別情報保護認証基準が整備されているため、これをチェックリスト化し、現場でセキュリティ要件充足の可否を確認できるようにすべきだという意見がある。
また、「IoTセキュリティ認証」でも等級ごとに認証基準範囲に差を設けているように、現場でもホームネットワーク機器の種類や目的に応じてセキュリティ要件充足確認レベルを差別化するのが望ましいという声も出ている。
さらに、公認試験機関がホームネットワーク機器がセキュリティ要件を満たすことを確認する試験成績書発行制度を設けるべきだという意見もある。
これと同様の事例が、2020年に政府の公共Wi‑Fi事業や学校無線網構築事業で問題となった『Wi‑Fiアライアンス認証』要求事件である。当時、政府と市道教育庁から事業執行を委託された韓国知能情報社会振興院（NIA）は、Wi‑Fi機器である無線LANアクセスポイント（WAP）製造企業に対し、当該認証を受けたWAPのみを提案できるよう規格制限を設けた。
これに対し、業界は当該認証を受けるにはモデルごとに数千万ウォンに上る高額の認証手数料が発生すると反発し、政府は後に当該認証要求方針を撤回した。
代わりに、WAPの性能・機能の安定性を証明できる手段として『公認試験成績書』が注目された。韓国情報通信技術協会（TTA）は、IEEE 802.11無線LAN製品を対象に、顧客社と協議して試験項目・手順を策定し、これに基づいて試験を実施した後、TTA公認試験成績書を発行している。
ホームネットワーク機器メーカーは、政府が公認試験機関を通じてホームネットワーク機器のセキュリティ要求事項の充足を試験し、これに対する公認成績書を発行する制度を作れば、業界の負担軽減につながると話している。
科学技術情報通信部関係者は「事実確認後、ホームネットワーク機器メーカー側の負担を軽減し、告示が忠実に実施できる方策を検討する」と回答した。
0件のコメント
まだコメントはありません。