ガートナーセキュリティ＆リスク・マネジメントサミット2016 個人的なまとめ
-
- いいね！0
rika-t
@rika_t
ガートナーサミットでブースの人と話す度に、相手が社名を見た時点で「あっ…」みたいな感じになるの何とかされたい。あと「御社のようなところだともうちゃんとされていると思うのですが」って接頭辞が付くのも何か恐れられているようでつらい。
2016-07-13 15:04:43
rika-t
@rika_t
「モノのインターネットにおける「モノ」の認証 ガートナー リサーチ 主席アナリスト アンモル・シン」 IoTセッションに来てみた。ええ声の講演者だ…
2016-07-13 15:06:29
rika-t
@rika_t
「今後、あらゆるタイプのビジネスでIoTを使うようになる。それぞれのデバイスがセキュアにやり取りができることが重要になるが、独自のプロトコルもあり、こうした点の議論をしていかなければならない」
2016-07-13 15:08:00
rika-t
@rika_t
「信頼性、安全性は大事だが、IoTのために連携させることが重要になる。電気系のエンジニアとソフトウェアのエンジニア。2人が連携する必要がある。CIASモデル。従来はCIAの三角形モデルだったが、S(Safety)、安全性を加える必要が出てきた。実際の環境の安全性を考える必要」
2016-07-13 15:19:56
rika-t
@rika_t
「IoTセキュリティ市場はまだ未熟だが、懸念が大きく、注目されている。毎分データが作られ続けている。接続性。アプリケーションがゲートウェイをどのように使うのか。オンプレミスもあればクラウドもある」
2016-07-13 15:20:14
rika-t
@rika_t
「IoTセキュリティは従来と何が違うのか。まず規模。数百万台が秒単位で情報を流してくる。ネットワークも、プロトコルも様々に使い、管理の対象となる。サプライ・チェーンも複雑になる。サーバの調達であれば決めて購買するだけ。IoTの購買はより長いものになる」
2016-07-13 15:20:30
rika-t
@rika_t
「次に多様性。色々なプラットフォームで、世代の違う機器で動く。セキュリティパッチを出さないとならない。多様なプロトコル。多様なベンダー。IoTのデバイスは特定の目的のみに作られていることが多い」
2016-07-13 15:20:45
rika-t
@rika_t
「IoTデバイスの分類。クラス1,2,3。シンプルなものから、アグリゲータやゲートウェイ、そしてインテリジェント・システム。分散型IoTアーキテクチャで開発すると良い。ノードからゲートウェイの認証、ゲートウェイからサーバへの認証。キー管理いおける総合認証が必要なケースがある」
2016-07-13 15:23:21
rika-t
@rika_t
「コンテキストに応じてどういうセキュリティが必要であるか決まってくる。PKIの採用。PKIをより軽量に利用することができる。互いに認証させるという信頼モデルがIoTネットワークを構築するための提案になる。それぞれの信頼レベルが必要」
2016-07-13 15:25:58
rika-t
@rika_t
「既存のPKIを使ってシンプルに認証する方法。ルート数と関与する中間認証機関を制限することでチェーンを短縮できる。証明書エクステンションも制限することで長さを短縮できる。暗号アルゴリズムも制約のあるノードで処理要件が低い物をサポートすることでPKIの適用もできるようになる」
2016-07-13 15:28:47
rika-t
@rika_t
「モノのアイデンティティを考えていく必要がある。IDの管理。それを使ってサービスを使えるようになる。デバイスのIDに対応している物は少ない。IDは元々複雑で流動的。2年間管理しなくていい。2,3日使って終わりでもいい。このような流動性が問題になることがある」
2016-07-13 15:30:29
rika-t
@rika_t
「関係の管理も必要。モノとモノ、モノと人の関係だけ見ていればいいのではない。アクターが増えてくる。ではどうなるのか。管理が必要なIDとリレーションが爆発的に増加する。新たな方法の確立が必要」
2016-07-13 15:32:45
rika-t
@rika_t
「何をしたらいいか。IAMの変更を考えて下さい。IAMプロセスの更改、契約の見直し。購買して終わりではない。プロビジョニングをどうするかを考えてほしい。IoTの管理にどういうユースケースがあるかを考える。モノとモノの関係管理を手動でやるのは無理。自動化しなければならない」
2016-07-13 15:34:12
rika-t
@rika_t
「社内でスタートアップ的に適用してみる事も検討すると良い。どういったリスクのエントリーポイントがあるのか、どこから入ってくるのか。規格が足りていない部分はどこか。サプライヤーと連携して取り組む」
2016-07-13 15:36:28
rika-t
@rika_t
「色々な標準、規格を提供する団体がある。プロトコル標準もある。MQTT、COAP、DDS、etc. こういったものに注目する必要がある。DDoSの脅威は、IoT においては DDS。中間者攻撃もある。ゲートウェイを隠し、デバイスに異常な命令を送るということができる」
2016-07-13 15:38:25
rika-t
@rika_t
「規制当局による規制について。デバイスは我々が思うよりも多くの情報を取ることができる。開示のポリシーをデバイスが明示しなければならない。デバイスを使う人の安全とどう守るのか。賠償責任からの保護なども考えなければならない」
2016-07-13 15:41:51