NTTとNEC、情報通信インフラのサプライチェーンセキュリティリスクへの対策技術を開発

　日本電信電話株式会社(本社:東京都千代田区、代表取締役社長:澤田　純、以下「NTT」)と、日本電気株式会社(本社:東京都港区、代表取締役 執行役員社長 兼 CEO:森田 隆之、以下「NEC」)は、第5世代移動通信方式(5G)、ローカル5G、革新的ネットワーク技術IOWN(注1)等の情報通信インフラを構成する通信機器およびシステムの構成やリスクをサプライチェーン全体で共有し、セキュリティに関する透明性を確保することによってサプライチェーンセキュリティリスクの抜本的な低減を図る「トラステッドネットワーク構想」の実現をめざし、本構想実現の中核となる「セキュリティトランスペアレンシー確保技術」を開発しました。

　両社は、革新的光・無線技術を活用したICT製品の共同研究開発およびグローバル展開を目的として2020年6月に資本業務提携を実施し(注2)、国際競争力のある製品の開発や技術開発を進めており、今回の取り組みは本提携の一環です。なお、2021年11月16日～19日に開催予定の「NTT R&DフォーラムRoad to IOWN 2021」(注3)において本技術に関する最新成果を公開します。

1.背景

　社会や産業のデジタルトランスフォーメーション(DX)が加速する中、情報通信インフラを構成する通信機器とシステムの調達、および保守・運用に関するサプライチェーンを介して不正なソフトウェア(マルウェア等)が混入、あるいはサプライチェーン上のセキュリティが脆弱な組織を介して侵害される等のサプライチェーンセキュリティリスクが顕在化しています。

　この脅威への対策は、サプライチェーン上の供給側(通信機器ベンダ、システムインテグレータ等)が安全性を示し、調達側がこれを確認する方法が考えられますが、現状では技術的に難しく事業者間の信頼に依存せざるを得ず、双方に負担やリスクを強いるものになっています。

2.研究開発の技術概要

　トラステッドネットワーク実現の中核となるセキュリティトランスペアレンシー確保技術は、情報通信インフラを構成する通信機器およびシステムの構成やリスクを可視化した情報(以下、「機器情報」)の共有によって、情報通信インフラのセキュリティに関する透明性を確保する技術です。

(1) 通信機器のサプライチェーン(製造、出荷、導入、運用)においてソフトウェア構成を継続的に可視化し、バックドアや不正な構成要素の検査結果を含む「機器情報」を生成します。

(2) 上記の「機器情報」の網羅性・正確性が高品質なリスク分析および監視を実施可能にし、さらにこれらに基づく「機器情報」の継続的更新によって透明性を高いレベルで維持し続けます。

(3) サプライチェーンを形成する事業者間における機器情報の共有が透明性を活用した対策を可能にし、サプライチェーンの全フェーズおよび全事業者にセキュリティ向上をもたらします。

　このような特長を有する本技術は、NTTおよびNECが持つ以下の要素技術によって実現しました。

・【NTT】通信機器のソフトウェア構成を可視化する構成分析技術

・【NEC】機器ソフトウェアの不正機能混入の可能性を検出するバックドア検査技術

・【NEC】通信システムにおける攻撃ルートを可視化するサイバー攻撃リスク自動診断技術(注4)

　本技術によって、通信機器を調達する顧客は、調達・運用時に「機器情報」を参照して不正なソフトウェアの有無を確認可能(注5)になり、通信機器の供給者は不正な構成要素の混入リスクについて客観的に説明可能になります。また、ユーザ事業者は、新たなソフトウェア脆弱性の発見時に、「機器情報」との照合によって影響の有無とリスクを把握して速やかな対処が可能になります。

※注1　NTTが現在検討している光ベースの革新的なネットワークの構想IOWN（アイオン）「Innovative Optical & Wireless Network」

URL：https://group.ntt/jp/newsrelease/2019/05/09/190509b.html

※注2　革新的光・無線技術を活用したICT製品の共同研究開発およびグローバル展開で提携

URL：https://group.ntt/jp/newsrelease/2020/06/25/200625b.html

※注3　NTT R&DフォーラムRoad to IOWN 2021

URL：http://www.rd.ntt/forum/当該ページを別ウィンドウで開きます

※注4　NECが提供するシステムのセキュリティリスクとその対策効果を可視化する技術

「サイバー攻撃ルート診断サービス」

URL：https://jpn.nec.com/press/202106/20210629_01.html当該ページを別ウィンドウで開きます

※注5　各国政府機関等が定めるガイドラインにおけるサプライチェーンセキュリティ要件（機器調達・運用時のセキュリティ検査やリスク低減等）に対して容易に対応が可能になります。