自動車や家電など製品のセーフティ設計・セキュリティ設計に関する実態調査の結果を公開
～ 半数以上の企業がセーフティ・セキュリティの基本方針を設けていない実態が明らかに ～
2015年9月10日
省庁・団体名
独立行政法人情報処理推進機構（IPA）
概要
IPA（独立行政法人情報処理推進機構、理事長：藤江 一正）技術本部ソフトウェア高信頼化センターは、自動車、スマートフォン、ヘルスケア、スマート家電の4分野を主な対象に、セーフティ設計・セキュリティ設計に関する実態調査を実施し、調査結果を2015年9月10日に公開しました。
内容
近年、家電製品や自動車などさまざまな製品や機器にネットワーク機能が備わり、インターネットや製品同士の接続を可能とする「IoT製品」の普及が進んでいます。その一方で、このような製品がネットワークに接続可能となることで、これまで想定していなかった事故や故障などの安全性の問題や、外部からの不正アクセスや遠隔操作などセキュリティ上の問題も懸念されます。
今回実施した調査は、今後IoT製品が拡大していくと考えられる「自動車」、「スマートフォン」、「ヘルスケア」、「スマート家電」の4分野を主な対象に、製品のセーフティ設計・セキュリティ設計に対する企業としての認識や取り組みの現状などを把握する目的で実施しました。
調査の結果、「すべての企業が設計の必要性を認識しつつも、半数以上の企業では基本方針が設けられていない」、「開発現場の判断が中心で経営層の関与は少ない」などの実態が明らかとなりました。
IoT製品を安全に利用できるようにするためには、製品開発の設計段階において安全性やセキュリティなどの信頼性をあらかじめ確保しておくことが重要であり、それらを実現するための「セーフティ設計」・「セキュリティ設計」は、経営層が積極的に関与し、企業としての基本方針やルールを設けるなどの取り組みが必要であるにも関わらず、実際は不十分な状況にあると言えます。
今回の調査結果を踏まえIPAは、セーフティ設計、セキュリティ設計導入促進を図るため、経営層の関与のあり方から、どのような設計手法を用いるべきかなどの指針を取りまとめ公開する予定です。
調査結果のポイントおよび調査概要は以下の通りです。
調査結果のポイント
（1）7割以上の企業がセーフティ設計・セキュリティ設計を実施はしている
セーフティ設計・セキュリティ設計の実施状況を確認したところ、セーフティ設計では、自動車分野が86.4%と最も多く、最も少ないところでもスマート家電分野の71.4%の企業がセーフティ設計を実施しており、セキュリティ設計では自動車分野では87.5%の企業が、自動車分野以外の3分野すべての企業がセキュリティ設計を実施していることがわかりました。
一方、今回の調査では次のような実態が見えてきました。
（2）すべての企業がセーフティ設計・セキュリティ設計は必要と認識。
しかし、半数以上が「設計に関する基本方針」を設けていない
製品開発におけるセーフティ設計・セキュリティ設計の必要性について確認したところ、回答企業すべてにおいて「どちらか必要」または「両方とも必要」という回答結果となりました。
しかし、製品開発における安全性やセキュリティの方針を示す「設計に関する基本方針」の有無を確認したところ、セーフティ設計では64.9%、セキュリティ設計では54.4%の企業が「明文化されたものはない」ということがわかりました。
このことから、すべての企業がセーフティやセキュリティの必要性を認識しつつも、半数以上の企業が基本方針を設けておらず、企業の認識と実態の乖離が明らかとなりました。
（3）「設計ルール」を有していない企業の半数以上が開発現場の判断に依存
製品開発において、遵守対象の法令や設計手法の選択などの具体的な基準となる「設計ルール」の有無を確認したところ、セーフティ設計・セキュリティ設計ともに約半数の企業が「明文化されたものはない」という回答結果となりました。さらに、設計ルールを有していない企業の半数以上が「リーダーなどの判断に任されている」と回答しており、相当数の企業が設計ルールを有しておらず、開発現場の判断に依存していることがうかがえます。
（4）発注者側からのセーフティ要件・セキュリティ要件は約3割が提示されていない
セーフティ設計・セキュリティ設計を行う上で必要となるそれぞれの要件が発注者側から提示されているか確認したところ、約3割が「提示されていない」という回答結果となりました。
セーフティ設計・セキュリティ設計は製品開発における重要なプロセスでありながら、約3割が明確な要件を提示しないまま、受注者側の判断に依存していることがうかがえます。
（5）セーフティ設計・セキュリティ設計に対する経営層の関与は少ない
セーフティ設計・セキュリティ設計の判断への経営者層の関与を確認したところ、「経営層が関与」と回答した企業は、セーフティ設計は26.4%、セキュリティ設計は29.8%に留まっており、「開発部門のみで判断している」という回答に比べて少ない結果となりました。
製品開発においては、企業全体の基本方針や設計ルールに基づき、想定される安全性のリスクやセキュリティ上の脅威を分析した上で、コストを踏まえた判断が必要となりますが、経営層はあまり関与しておらず、開発現場の判断に依存していることがうかがえます。
詳細
お問い合わせ
IPA 技術本部 ソフトウェア高信頼化センター 中尾／西尾
TEL:03-5978-7543