IoT基礎 第7章の要点｜ゼロトラスト・匿名化・暗号

第7章「情報セキュリティを知る」は9つの節で構成されます。表の学習ポイントは当サイトの独自の整理で、テキスト本文の要約ではありません。

ゼロトラストはゼロトラストとは、暗号は暗号の基礎、IoTへの攻撃はIoTの脅威で詳しく扱っています。仮名加工情報は令和2年改正の個人情報保護法で設けられた区分です（個人情報保護委員会）。

第7章は範囲が広いため、「守る対象」と「守る手段」を表の縦と横に置くと整理しやすくなります。守る対象はネットワーク・デバイス・データ（個人情報を含む）・運用の4つ、守る手段は暗号化・認証・更新・監視の4つ、と置いて、各マスに該当する対策を書き込んでいきます。たとえば「デバイス×更新」はファームウェアの更新、「ネットワーク×暗号化」は通信の暗号化、「データ×暗号化」は保存データの暗号化、という具合です。

IoTならではのリスクは、台数が多く一台ずつの管理が難しいこと、10年以上使われる機器があること、人の目の届かない現場に置かれることです。初期パスワードのまま接続された機器が大規模な攻撃に悪用された事例もあり、日本ではIPAが2025年3月にIoT製品のセキュリティ要件適合評価及びラベリング制度（JC-STAR）の運用を始めています。

暗号は、鍵の使い方を図に描くのが一番の近道です。公開鍵暗号で秘密を送るときは受信者の公開鍵で暗号化し、電子署名では送信者の秘密鍵で署名して、受信者が送信者の公開鍵で検証します。この2つの向きを取り違えないことが得点のポイントです。

プライバシーの節では、個人情報保護法の区分が問われる可能性があります。仮名加工情報は令和2年の改正で新設された区分で、主に事業者の内部での分析に使うことを想定しています。匿名加工情報は、本人を特定できず、元に戻すこともできないように加工した情報です。名前が似ているので、目的の違いで覚えましょう。

以下は当サイトの目安で、公式の推奨ではありません。

1. 17-9の暗号を先に読み、鍵の使い方を図にする（約1.5時間）
2. 27-1〜7-5で対策をネットワーク・デバイス・運用に分けて表にする（約2時間）
3. 37-6〜7-8で著作権・プライバシー・匿名化を整理する（約1.5時間）
4. 4問題演習で対比の用語を確認する（約1時間）

合計で約6時間が目安です。暗号の仕組みを先に理解しておくと、7-2や7-4の対策（通信の暗号化・セキュアブートなど）が読みやすくなります。問題形式で確かめたい方はIoT基礎の無料お試しも使えます。

AさんがBさんへ文書を送る場面で、目的ごとに使う鍵を整理しました。よくあるミスは、電子署名を「送信者の公開鍵で作る」と逆に覚えることです。秘密を守るときは受信者の鍵、本人であることを示すときは送信者の鍵、と主語で覚えると取り違えにくくなります。

公開鍵暗号で、AさんがBさんだけに読める文書を送るとき、暗号化に使う鍵はどれか。

1. 1Aさんの秘密鍵
2. 2Bさんの秘密鍵
3. 3Aさんの公開鍵
4. 4Bさんの公開鍵

正解：4。受信者Bさんの公開鍵で暗号化すれば、対になる秘密鍵を持つBさんだけが復号できます。

2のBさんの秘密鍵はBさんしか持っていません。3で暗号化するとAさんしか読めません。1は電子署名に使う鍵で、秘密を守る目的には使いません。

ゼロトラストの考え方として、最も適切なものはどれか。

1. 1場所を問わずアクセスのたびに検証する
2. 2社内の通信はすべて安全と見なして許可する
3. 3ファイアウォールだけで社外の攻撃を防ぐ
4. 4一度認証すれば以後は確認を一切しない

正解：1。NIST SP 800-207は、ネットワーク上の場所だけで信頼を与えないことを基本としています。

2と3は境界型防御の考え方です。4は、継続的に検証するゼロトラストと逆の考え方です。

ハッシュ関数の性質として、最も適切なものはどれか。

1. 1入力が長いほど出力の長さも長くなっていく
2. 2秘密鍵があれば出力から元のデータに戻せる
3. 3出力から元のデータを求めることが難しい
4. 4同じ入力でも実行のたびに出力が変わる

正解：3。ハッシュ関数は一方向性を持ち、改ざん検知やパスワードの保存に使われます。

2は暗号化の説明です。1は誤りで、出力は入力の長さによらず固定長です。4は誤りで、同じ入力からは同じ値が得られます。