IoTセキュリティガイドラインとは、IoTの機器やサービスに関わる会社が取り組む基本の対策を、総務省と経済産業省がまとめた資料です。IoT推進コンソーシアム、総務省、経済産業省が2016年7月に公表した版（ver1.0）で、5つの指針と21の要点、一般利用者向けの4つのルールからなります。
今日やることは、自社の立場を決めることです。紙1枚に「売っている機器で、ネットにつながるもの」と「自社の工場や事務所で使っている、ネットにつながるもの」を書き出します。前者があれば作る側、後者があれば使う側です。多くの製造業は両方に当たります。
どちらの立場かで、読む所はどう変わる？
ガイドラインの本文には、章と要点ごとに想定読者を示した表があります。読者は「経営者」「機器メーカ」「システム・サービス提供者／企業利用者」「一般利用者」に分かれます。
ここで見落としやすいのが、企業利用者の定義です。本文の脚注では、機器やサービスを自社の生産活動などに組み込んで管理しながら利用する事業者とされています。ラインのセンサーを自社で管理している工場は、提供者と同じ欄で読むことになります。
| 立場 |
先に読む所 |
手元に残す成果物 |
| 経営者 |
要点1、要点2、概要版 |
方針と担当者の決定 |
| 機器を作る会社 |
要点3〜12、要点17〜20 |
設計の確認項目、出荷後の連絡の決まり |
| 機器を使う会社 |
要点13〜16、要点20〜21 |
機器の台帳、初期設定の点検表 |
3つの立場の読み方
- 全員、短い概要版から入る
- 両方に当たる会社は、担当を分けて読み、最後に要点20の役割分担で合わせる
- 要点21は提供者向けの仕組みの話なので、使うだけの会社は機器の把握の参考にとどめる
機器を作る会社は、どの順番で読む？
設計と出荷後の話を先に読みます。売った後の機器は自社の手元にないので、出荷前に決めておくことが多いためです。順番は次の5段階です。
- 要点3〜7で、守るものと、つながることで増えるリスクを洗い出す
- 要点8〜12で、設計の方針と検証の方法を確認する
- 要点15で、初期設定の扱いを確認する
- 要点17〜20で、出荷後の更新、情報の出し方、関係者の役割を決める
- JC-STARの適合基準で、自社製品が今の水準に届くかを項目ごとに照らす
たとえば、遠隔監視の通信ユニットを載せた工作機械を作る会社の場合を考えます。「工場のLAN内でしか使わないはずだ」と決めてかかると、要点の前提から外れます。本文は、つながる機能がある機器は利用環境の想定に関わらずリスクを見込むよう求めています。隔離して運用していた工場システムが、保守時に持ち込んだUSBメモリ経由でウイルスに感染した例も挙げています。
この会社が確かめる点は、出荷時の初期パスワードが全台同じになっていないか、保守用の窓口やツールが残っていないか、販売後に更新を届ける手段があるか、の3つです。同じ本文の対策例に、出荷時の初期パスワードを同一にしないことが書かれています。
機器を使う会社は、どの順番で読む？
ネットワークと初期設定の話を先に読みます。設計は変えられなくても、つなぎ方と設定は自社で変えられるからです。
要点13は機器の状態を把握して記録する機能、要点14は用途に応じた接続、要点15は初期設定、要点16は認証の話です。要点14には、機能が限られた機器は単体での対策が難しいので、システム全体で守る必要があると書かれています。
読んだら、初期パスワードと更新の点検手順に落とします。要点を読むだけでは現場は変わりません。工場全体を分析する段階なら、制御システムのリスク分析ガイドの使い方へ進みます。機器が多く手作業で把握しきれない場合は、IoTセキュリティ製品の比較で、通信を見て機器を洗い出す型を確かめる方法があります。
2016年の資料だけで足りる？
足りません。ガイドラインは考え方を示す資料で、概要版にも、法的責任の所在を一律に明らかにするものではなく、対象者に一律の対策を求めるものでもないと書かれています。具体的な基準は、次の資料で確かめます。
| 資料 |
位置づけ |
確かめること |
| 端末設備等規則 |
強制規格。2020年4月施行 |
回線に直接つなぐ端末の認証、ID・パスワード、更新機能 |
| JC-STAR |
任意の適合ラベル制度 |
★1の16の適合基準 |
| IoT-SSF |
経産省の枠組み。2020年公表 |
事故の影響の回復しにくさと経済的影響から見た対策の濃さ |
| EUのCRA |
EUの法律 |
報告義務の開始日、製品の要件 |
端末の技術基準は見直しが進んでいる
総務省の2026年4月の資料によると、2025年12月の一部答申で、3つの方向が示されました。パスワードの変更を「促す」のでなく「させる」こと、更新の仕組みを具体的に定めること、提供する意図のない通信機能を無効にすることです。省令案の意見募集は2026年5月29日までで、私たちは公布と施行の日までは確かめられていません。新製品の担当者は、総務省の発表を直接確認してください。
JC-STARの★1は具体的
★1の適合基準（2024年9月の版）は、ガイドラインより踏み込んでいます。初期パスワードについては、機器ごとに異なる推測しにくい6文字以上とするか、初回起動時に変更を必須にして8文字以上を強制するかのどちらかを求めます。脆弱性の連絡先と受け付け後の手続きを公開することも基準の一つです。★1と★2はベンダーの自己評価に基づくラベルで、★1の有効期間は発行日から2年です。
設計担当者には、このPDFを読ませるほうが話が早い場合があります。ガイドラインで「なぜ」をつかみ、適合基準で「どこまで」を決める、という分担です。
EUへ売る会社は日付を確かめる
欧州委員会の説明では、CRAの報告義務は2026年9月11日から、主な義務は2027年12月11日から適用されます。対象はデジタル要素を持つ製品です。輸出品がある会社は、通信機能を持つ部品や機械が対象に入るかを、輸出の担当者と現地の代理店に確かめてください。ここは社内だけで判断しないほうが安全です。
読んだ後、社内で何を決める？
機器を作る会社は、次の4つを決めます。
- 初期パスワードの方式と、製品ごとの変更手順
- 更新の配り方と、サポートを打ち切る時期の知らせ方
- 脆弱性の報告を受ける窓口と担当者
- 自社の機器が外から見えていないか、弱点が残っていないかを確かめる方法
最後の項目は、社内のIT資産も含めて管理するなら脆弱性管理ツールの比較が入り口になります。
機器を使う会社は、機器の台帳を作り、機器ごとに責任者とサポート終了日を書きます。工場の設備まで範囲を広げる場合は、経産省の工場向けガイドラインの手順が合います。このガイドラインも、IoT機器を検討する際の参考としてIoTセキュリティガイドラインとIoT-SSFを挙げています。
監視の製品を検討する段階になったら、工場向けOTセキュリティの製品比較と方式ごとの見方を読み、設備の分野全体は工場とIoTのセキュリティの一覧から探せます。
