[論文レビュー] Best Practices for IoT Security: What Does That Even Mean?

Christopher Bellman, Paul C. van Oorschot|arXiv (Cornell University)|Apr 25, 2020

Advanced Malware Detection Techniques参考文献 23被引用数 5

ひとこと要約

本稿は、IoTセキュリティにおける「ベストプラクティス」の曖昧で一貫性のない使用を調査し、多くのガイドラインが望ましい結果と実行可能な実践を混同していると主張する。1,014件のIoTセキュリティ推奨事項の分析を通じて、70%が主に製造元の責任である製品ライフサイクルの初期段階に関連しており、91%が具体的な行動ではなく曖昧な結果であることが判明した。これは実装を損なう要因となる。主な貢献は、用語を明確化し、効果的な導入を可能にする実行可能なベストプラクティスを定義するフレームワークの構築である。

ABSTRACT

Best practices for Internet of Things (IoT) security have recently attracted considerable attention worldwide from industry and governments, while academic research has highlighted the failure of many IoT product manufacturers to follow accepted practices. We explore not the failure to follow best practices, but rather a surprising lack of understanding, and void in the literature, on what (generically) "best practice" means, independent of meaningfully identifying specific individual practices. Confusion is evident from guidelines that conflate desired outcomes with security practices to achieve those outcomes. How do best practices, good practices, and standard practices differ? Or guidelines, recommendations, and requirements? Can something be a best practice if it is not actionable? We consider categories of best practices, and how they apply over the lifecycle of IoT devices. For concreteness in our discussion, we analyze and categorize a set of 1014 IoT security best practices, recommendations, and guidelines from industrial, government, and academic sources. As one example result, we find that about 70\% of these practices or guidelines relate to early IoT device lifecycle stages, highlighting the critical position of manufacturers in addressing the security issues in question. We hope that our work provides a basis for the community to build on in order to better understand best practices, identify and reach consensus on specific practices, and then find ways to motivate relevant stakeholders to follow them.

研究の動機と目的

• IoTセキュリティにおける「ベストプラクティス」という用語の意味が広く混乱しており、合意が得られていない現状に対処すること。
• 既存の文献および基準において、「ベストプラクティス」「推奨事項」「ガイドライン」「要件」といった用語がどのように不一致に使用されているかを調査すること。
• 1,014件のIoTセキュリティ推奨事項のライフサイクル段階への分布を分析し、セキュリティ責任がどこにあるかを特定すること。
• 多くのガイドラインが実行可能でないことが示され、これは製造業者やその他のステークホルダーによる実装を妨げることになること。
• 望ましい結果と具体的かつ実装可能な実践を明確に区別できる、より明確で標準化された語彙の確立を提唱すること。

提案手法

• 著者は、産業界、政府、学術機関の出典から得た1,014件のIoTセキュリティベストプラクティス、推奨事項、ガイドラインを包括的に分析した。
• これらの項目を3つのタイプに分類した：(1) 実行可能なセキュリティ実践、(2) 特定の望ましい結果（タイプ-S）、(3) 曖昧な望ましい結果（タイプ-V）。
• IoTデバイスのライフサイクルモデルを用いて、各推奨事項を適切な開発・導入段階にマッピングした。
• 1,014件の項目のマッピングと分析に、英国の消費者向けIoTセキュリティコード・オブ・コンダクトをフレームワークとして用いた。
• 質的および量的分析を用いて、異なるライフサイクルフェーズにおける推奨事項の詳細さと実行可能性を評価した。
• 著者は、セキュリティの成果とその達成に寄与する実践の間を明確に区別する概念的モデルを提唱し、明確性と実装性の向上を目的としている。

実験結果

リサーチクエスチョン

• RQ1 IoTセキュリティの文脈において、「ベストプラクティス」とは実際に何を意味するのか。なぜその用語がガイドライン間で一貫性なく適用されているのか。
• RQ2 IoTセキュリティにおいて、「ベストプラクティス」「推奨事項」「ガイドライン」「要件」といった用語は、意味と適用においてどのように異なるのか。
• RQ3 大多数のセキュリティ推奨事項は、IoTデバイスライフサイクルのどの段階に適用されており、誰がその実装を担当するのか。
• RQ4 現在のガイドラインの実行可能性はどの程度で、曖昧な結果の多さが製造業者の実装にどのように影響しているのか。
• RQ5 IoTセキュリティ実践の導入と効果を高めるために、より明確で正確な語彙をどのように確立できるか。

主な発見

• 分析対象の1,014件のIoTセキュリティ推奨事項の約70%が、デバイスライフサイクルの販売前（作成）段階に関連しており、主に製造業者の責任に帰属する。
• 推奨事項の約91%が、具体的な行動ではなく曖昧または特定の望ましい結果に過ぎず、さらに明確化されない限り実装が困難である。
• 大多数のガイドラインが、望ましいセキュリティの成果と実際の実践を混同しており、曖昧さを生じさせ、導入の可能性を低下させている。
• 本研究では、開発初期にとられた悪いセキュリティ意思決定が蓄積され、後で是正するのが高コストになる「セキュリティデット」現象を特定した。
• 分析により、現在のガイドラインがしばしば具体的で実装可能な行動を提供せず、意思決定者が協力を望んでもその有効性が損なわれていることが判明した。
• 本研究は、IoTセキュリティの改善に向けた基盤的ステップとして、成果と実行可能な実践を明確に区別する正確で共通の語彙を確立することが不可欠であると結論づけた。