セーフティ & セキュリティ入門

AI、IoT の普及に伴い、セーフティとセキュリティが確保されたシステムの構築は急務となっている。セーフティは「偶発的なミス、故障などの悪意のない危険に対する安全」を示す。一方、「悪意をもって行われる脅威に対しての安全」を確保することをさすセキュリティには、「安心」という意味もある。セーフティとセキュリティが確保されて初めて安全安心なデジタル社会を構築できるのである。本書では「システム思考」と「レジリエンス・エンジニアリング」を駆使し、セーフティ技術とセキュリティ技術を統合的に組み合わせて、安全安心なシステムを構築する方法やその考え方を紹介している。
STAMP (System Theoretic Accident Model and Processes)、FRAM (Functional Resonance Analysis Method)、GSN (Goal Structuring Notation) などのセーフティ技術、コモンクライテリアなどのセキュリティ標準、セーフティ・セキュリティの統合手法 STAMP S&S、開発方法論 CC-Case についても解説。本書は、事例を交えて「AI、IoT 時代のシステム安全」を解き明かす「セーフティ & セキュリティ」の入門書である。
第 1 章 セーフティ & セキュリティ概説
第 2 章 システム理論と STAMP
第 3 章 レジリエンス・エンジニアリングと FRAM
第 4 章 セキュリティ・バイ・デザイン
第 5 章 IT セキュリティ標準コモンクライテリアと CC-Case
第 6 章 アシュアランスケースと IoT のセーフティとセキュリティ
第 7 章 機械学習システムのセーフティとセキュリティ

『セーフティ & セキュリティ入門』 (日科技連 SQiP 研究会 セーフティ & セキュリティ分科会 編、金子朋子 著、日科技連出版社、2021 年 10 月刊) は、故障や操作ミスといった悪意のない危険への備えであるセーフティと、悪意を持った脅威への備えであるセキュリティを、1 つのシステムの安全として組み合わせて考えるための入門書です。副題は「AI、IoT 時代のシステム安全」で、版元の紹介文は、本書を「システム思考」と「レジリエンス・エンジニアリング」を駆使してセーフティ技術とセキュリティ技術を統合的に組み合わせ、安全安心なシステムを構築する方法や考え方を紹介する本と位置づけています。

全 7 章の構成、STAMP と FRAM から機械学習システムまで

目次は第 1 章「セーフティ & セキュリティ概説」から始まり、第 2 章「システム理論と STAMP」、第 3 章「レジリエンス・エンジニアリングと FRAM」、第 4 章「セキュリティ・バイ・デザイン」、第 5 章「IT セキュリティ標準コモンクライテリアと CC-Case」、第 6 章「アシュアランスケースと IoT のセーフティとセキュリティ」と進み、第 7 章「機械学習システムのセーフティとセキュリティ」で終わります。紹介文は、STAMP、FRAM、GSN などのセーフティ技術、コモンクライテリアなどのセキュリティ標準に加えて、両者の統合手法 STAMP S&S と開発方法論 CC-Case も解説の対象に挙げ、事例を交えて説明する本だとしています。

セーフティとセキュリティの手法、STAMP から CC-Case まで

従来の安全分析は、部品の故障が連鎖して事故に至るという見方に立つものが多く、故障の木やその影響を一つずつたどる手法が中心でした。STAMP は事故を制御の問題として捉え直すモデルで、どの部品も壊れていないのに、部品どうしの相互作用や制御の指示の誤りから危険な状態が生まれる場合まで分析の対象に含めます。FRAM は、システムの機能が日々の運用の中で少しずつ揺らぎ、その揺らぎが重なり合って思わぬ結果を生む様子を描く手法で、うまくいっている運用の仕組みからも安全を考えるレジリエンス・エンジニアリングの考え方につながります。一方のセキュリティ側では、攻撃者の目的と手段を想定して守るべき資産と侵入の経路を洗い出す脅威モデリングが行われます。制御機器や IoT 機器 がネットワークにつながると、攻撃が物理的な危険を引き起こしたり、安全のための仕組みそのものが攻撃で無効化されたりします。

こうした安全とセキュリティの主張を第三者に説明する場面で使われるのが、アシュアランスケースです。システムが十分に安全である、あるいは十分に守られているという主張を、根拠と論証の筋道で組み立てて示すもので、GSN はその論証を図として表す記法の一つです。コモンクライテリアは IT 製品のセキュリティ機能と、その機能が正しく作り込まれていることの保証を評価するための国際標準です。本書の目次はこれらの手法と標準を同じ 1 冊の中に並べています。

著者の経歴と、目次の範囲に合わない目的

版元ドットコムに載る刊行時の著者プロフィールによると、金子朋子氏は国立情報学研究所の特任准教授です。NTT データでシステム開発や品質保証の業務を長く担い、2016 年から 2019 年まで情報処理推進機構 (IPA) に在籍出向して STAMP や FRAM などの安全分析技術の普及展開に従事した経歴を持ち、同分科会の主査を務めていました。入門書と位置づけられていますが、扱う手法と標準は STAMP、FRAM、GSN、コモンクライテリア、CC-Case と多岐にわたります。

Web アプリケーションの脆弱性対策やコードの書き方として安全な実装を学びたい人には、目次の範囲は合いません。逆に、製品の安全とセキュリティの両方を説明する責任を負う開発者や品質保証の担当者、安全分析の手法をこれから選ぶ立場の人にとっては、STAMP と FRAM、アシュアランスケース、コモンクライテリア、機械学習システム の安全までを 1 冊で扱う入門書です。