NTTとNEC、情報通信インフラの調達から保守・運用に至るセキュリティを透明化する新技術

　社会や産業のDXが加速する中、情報通信インフラを構成する通信機器とシステムの調達、および保守・運用に関するサプライチェーン全体のセキュリティリスクが顕在化しています。具体的には、以下のような例が挙げられます。 ・サプライチェーンを介して、マルウェアなど不正なソフトウェアが混入
・サプライチェーン上のセキュリティが脆弱な組織を介して侵害される 　この脅威への対策として、サプライチェーン上の供給側（通信機器ベンダー、システムインテグレータなど）が安全性を示し、調達側がこれを確認するという方法が考えられます。しかしこれは、現状では技術的に難しく、事業者間の信頼に依存せざるを得ないことから、双方に負担やリスクを強いるものになっているといいます。 　今回、NTTとNECの両社は、「トラステッドネットワーク」実現の中核となる、「セキュリティトランスペアレンシー確保技術」を開発しました。これは、「報通信インフラを構成する通信機器およびシステムの構成やリスクを可視化した情報」（「機器情報」）の共有によって、情報通信インフラのセキュリティに関する透明性を確保する技術です。 　以下のような手順により実現されます。 （1）通信機器のサプライチェーン（製造、出荷、導入、運用）において、ソフトウェア構成を継続的に可視化し、バックドアや不正な構成要素の検査結果を含む「機器情報」を生成します。
（2）上記の「機器情報」の網羅性・正確性が高品質なリスク分析および監視を実施可能にします。さらにそれらに基づく「機器情報」の継続的更新によって、透明性を高いレベルで維持し続けることが可能になります。
（3）サプライチェーンを形成する事業者間における「機器情報」の共有が、透明性を活用した対策を可能にします。その結果、サプライチェーンの全フェーズおよび全事業者に、セキュリティ向上をもたらします。 　今回の同技術は、両社が持つ以下の要素技術によって開発されました。 ・【NTT】通信機器のソフトウェア構成を可視化する「構成分析」技術
・【NEC】機器ソフトウェアの不正機能混入の可能性を検出する「バックドア検査」技術
・【NEC】通信システムにおける攻撃ルートを可視化する「サイバー攻撃リスク自動診断」技術 　「サイバー攻撃リスク自動診断」は、システムのセキュリティリスクとその対策効果を可視化する技術です。NECが「サイバー攻撃ルート診断サービス」として、2021年6月より提供しています。 　今回の「セキュリティトランスペアレンシー確保技術」によって、通信機器を調達する顧客は、調達・運用時に「機器情報」を参照できるようになります。そして、不正なソフトウェアの有無を確認できます。それにより、各国政府機関などが定めるガイドラインにおける「サプライチェーンセキュリティ要件」（機器調達・運用時のセキュリティ検査やリスク低減など）に対しても、容易に対応可能です。 　また、通信機器の供給者は、不正な構成要素の混入リスクについて、客観的に説明可能となります。さらに、ユーザー事業者は、新たなソフトウェア脆弱性の発見時に、「機器情報」との照合によって、影響の有無とリスクを把握しての速やかな対処が可能になります。

　両社は今後、今回の技術を活用したローカル5Gでの技術検証を、2021年度内に実施します。そして、各要素技術の有効性検証および課題抽出を行う予定です。 　さらに、通信機器ベンダー、システムインテグレータ、ユーザー事業者などのトラステッドネットワークの構築・運用に関わる各者によるコンソーシアムの設立を目指します。そして、同技術を活用することで、単一事業者では困難な、サプライチェーンセキュリティリスク対策の実現を進めていきます。