「IoTプラットフォームのセキュリティ評価基準（SESIP）」は、コネクテッドプラットフォームおよびそのコンポーネントを対象としたセキュリティ評価手法であり、GlobalPlatformによって公表され、CEN/CENELECによってEN 17927として標準化されています。この基準は、コモン・クライテリアの厳格さを踏襲しつつ、評価サイクルの短縮、再利用可能なセキュリティ機能要件カタログ、および製品の実際の脅威モデルに応じて調整可能な保証レベルなど、IoT市場の現実に合わせて再構築されたものです。
SESIPの特長は、その構成にあります。 認定プラットフォームの検証結果は、その上に構築された製品で再利用することができ、1回のSESIP評価を、ETSI EN 303 645やEN 18031から、IEC 62443、ISO/SAE 21434、NIST IR 8259A、PSA Certifiedに至るまで、他のスキームや規制の要件にマッピングすることができます。 これにより、認証は一連の個別のプロジェクトから、継続的に活用できる単一の資産へと変わります。
キーサイトは、TrustCB SESIP スキームに基づく認定評価機関です。当社のチームは、数十年にわたり、組み込みシステム、チップセット、およびセキュアエレメントの脆弱性解析と強化に取り組んできました。その攻撃者の視点に基づき、評価範囲の策定やセキュリティターゲットの作成から、認証前テスト、そして正式な評価技術報告書（ETR）の作成に至るまで、あらゆる評価においてその知見を活かしています。
- 発見と範囲の特定
- 研修と方向性の統一
- セキュリティ上の目標と証拠
- 事前認定評価
- SESIPの正式な評価
- 保守と再利用
発見と範囲の特定
まず、共同ワークショップを実施し、お客様のアーキテクチャ、ターゲット市場、および脅威の状況を把握します。その後、評価対象（ToE）を共同で定義し、適切なSESIP保証レベルを選定するとともに、お客様の製品カテゴリーに適したSESIPプロファイルを特定します。
トレーニングと調整（任意）
SESIPワークショップでは、エンジニアリング、製品、セキュリティの各チームが共通の認識を持つことができます。具体的には、SESIPカタログの仕組み、評価者が実際に何を重視するか、そしてSESIPがコモン・クライテリア、PSA認証、およびロードマップ上の規制とどのように関連しているかについて理解を深めることができます。
セキュリティ上の目標と証拠
セキュリティターゲットは、SESIPプロジェクトの成否を左右する重要な要素です。当社は、SESIPカタログからセキュリティ機能要件を選定し、正確かつ検証可能なクレームを作成するとともに、お客様の保証レベルに応じて必要なアーキテクチャ記述、脅威モデル、開発者による証拠をまとめるお手伝いをいたします。
事前認定評価
正式な評価が始まる前に、当社の専門家がお客様の製品に対して脆弱性分析と侵入テストを実施します。お客様は、対応にまだ余裕があるうちに、調査結果と是正措置の指針を受け取ることができます。
SESIPの正式な評価
当社は、TrustCB SESIPスキームの認定を受けた試験所として、自社ラボにて独立した評価を実施し、お客様の保証レベルに応じた必要な試験を行い、認証発行のためにTrustCBへ「評価技術報告書」を提出いたします。
保守と再利用
TrustCB SESIP 証明書は、ETRの発行日から5年間有効です。当社は、製品の更新、派生認証、より高い保証レベルの取得、および関連するスキームや規制当局への提出資料における証拠の再利用について、お客様の計画策定を支援いたします。
SESIPは、プラットフォームとその構成要素を対象として構築されています。つまり、ソフトウェアライブラリから完成したデバイスに至るまで、接続型製品のあらゆるレイヤーに適用されます。認証済みのコンポーネントはより高レベルの製品に組み込むことができるため、SESIPは、他社のシリコンやスタックを基盤として製品を開発するすべての人にとって、特に価値のあるものです。
SESIPの保証レベルと代表的な利用事例
SESIPでは、5つの保証レベルが定義されています。各レベルは、評価者の作業負荷および製品が耐えることが期待される攻撃の可能性の度合いが段階的に高くなることを表しています。適切なレベルとは、製品の実態に応じた脅威モデルと顧客の期待に合致するものです。
SESIP 1 は自己評価に基づいています。評価者は、プラットフォームが主張されているセキュリティ機能要件を実装しているかどうかを独自に検証しないため、このレベルは基本的な保証度を提供します。これは、初めて市場に投入されるソフトウェアコンポーネントやプラットフォーム、物理的な攻撃が考えにくい低リスクの消費者向け製品、および独立したテストに着手する前に、文書化された構造的なセキュリティベースラインを確立したいチームに適しています。
SESIP 2 では、独立したブラックボックス型侵入テストが追加されています。これは、開発者の協力なしにクローズドソースのプラットフォームに対して実施できる最高レベルのテストであり、サードパーティ製や買収したコンポーネントを評価する際に有用です。代表的な対象製品としては、ネットワーク接続型民生用デバイス、ホームハブ、ルーター、ゲートウェイ、およびネットワークに面する脅威に関する信頼性の高い独立した証拠を必要とするクローズドソースのプラットフォームなどが挙げられます。
SESIP 3は、時間制限付きのソースコードレビューと時間制限付きの侵入テストを組み合わせた、従来のホワイトボックス脆弱性分析です。これは、民間企業や規制当局から最も頻繁に依頼されるレベルです。代表的な対象製品には、セキュアマイクロコントローラやワイヤレスSoC、スマートメーターやグリッド機器、産業用コントローラ、自動車用ECUやゲートウェイ、および攻撃者がデバイスに対して長時間の物理的アクセスを得られる可能性のあるあらゆるプラットフォームが含まれます。
SESIP 4は当初、SOG-IS認証済みのプラットフォームや部品の再利用を目的として設計され、これらのプラットフォームがSESIPによる特定の商用ドメインへのマッピングを活用できるようにしていました。この再利用の道筋は、EUCC認証を含め、現在も利用可能です。 その後、CEN/CENELECはEN 17927に独立した評価手法を追加したため、現在ではSESIPのみに基づくSESIP 4評価が可能となっています。これは、高度な論理的および物理的攻撃が対象範囲に含まれる高価値のコンポーネントに適しています。
SESIP 5は、SESIP 4と同じ起源――認可を受けた試験所によるSOG-IS認定プラットフォームおよび部品の再利用――を持ち、CEN/CENELECのスタンドアロン手法を採用することで、SESIP単独の評価としても実施可能となりました。この規格は、セキュアエレメント、セキュアエンクレーブ、暗号鍵やその他の高価値資産を保護する「Root of Trust」の実装など、攻撃の可能性が高い攻撃者に対抗しなければならないコンポーネントを対象としています。
キーサイトとの協業
キーサイトがSESIPの準備と評価を全面的にサポートしますので、お客様は製品開発に専念していただけます。
攻撃者の視点で評価する
当社のチームは、サイドチャネル解析、フォールトインジェクション、ハードウェアおよびファームウェアのリバースエンジニアリングを活用し、実際の組み込み製品における真の脆弱性を特定するために数十年にわたり取り組んできました。その経験が、当社のスコープ設定、テスト、および助言の在り方を形作っています。そのため、お客様が取得される証明書は、単なるチェックリストの完了ではなく、攻撃に対する真の耐性を反映したものとなります。
評価の準備が整った状態で到着する
SESIPプロジェクトにおける遅延の多くは、セキュリティ目標の不明確さや、主張と証拠が一致しないことに起因しています。当社の準備状況評価、トレーニング、および文書化支援により、正式な評価が始まる前にこうしたギャップを明らかにすることで、スケジュールと予算の予測可能性を確保しています。
一度認証すれば、何度でも再利用可能
当社は、お客様のロードマップに盛り込まれた他のスキームや規制（CRA、RED、PSA Certified、IEC 62443、Common Criteria）と併せてSESIPの取り組みを計画します。これにより、1つの証拠資料で複数の義務を満たすことができ、新製品や派生製品の認証にかかるコストは、前回よりも低減されます。
よくあるご質問
SESIP（IoTプラットフォーム向けセキュリティ評価基準）は、GlobalPlatformが公表し、CEN/CENELECによってEN 17927として標準化された、接続型プラットフォームおよびそのコンポーネント向けのセキュリティ評価手法です。この規格では、セキュリティ機能要件のカタログと、IoT製品に合わせて策定された一連の保証レベルを定義しています。
TrustCBは、TrustCB SESIPスキームを運営しており、GlobalPlatform SESIP（GP_FST_070）およびCEN/CENELEC EN 17927に準拠して証明書を発行しています。評価自体は、Keysightなどの認定試験機関によって実施され、これらの機関はTrustCBに「評価技術報告書」を提出します。
SESIPの要件は、コモン・クライテリア（ISO/IEC 15408）に基づいていますが、IoTプラットフォーム向けに再構築されています。その結果、再利用可能な要件カタログと、一般的なIoT導入環境に合わせて調整された保証レベルにより、より簡素かつ迅速な評価が可能となりました。その一方で、コモン・クライテリアの信頼性を支える方法論的な厳密性は維持されています。
プラットフォームおよびプラットフォームの構成要素：チップ、セキュアエレメント、ルーツ・オブ・トラスト、RTOSおよびソフトウェアスタック、接続機能および暗号コンポーネント、ならびに完成品デバイス。SESIPは構成化をサポートしているため、認証済みのプラットフォームに基づいて構築された製品は、そのプラットフォームの証明情報を再利用することができます。
これは、製品の脅威モデル、お客様の要件、および遵守すべき規制によって異なります。SESIP 2は、ネットワークに接続されるコンシューマー向け製品やクローズドソースのコンポーネントに適しています。SESIP 3は、物理的なアクセスにさらされるデバイスにおいて最も一般的な商用レベルです。SESIP 4および5は、高度な攻撃者にさらされる高価値のコンポーネントに適用されます。当社のスコープ設定ワークショップは、こうした疑問を早期に解決することを目的としています。
所要期間は、保証レベル、評価対象の複雑さ、およびドキュメントの成熟度によって異なります。レベル2およびレベル3は、期間を定めたテスト作業を軸に構成されているため、比較的予測しやすいものです。最大の変動要因は通常、証拠の準備状況であるため、認定前のアセスメントの実施をお勧めします。
TrustCB SESIP証明書の有効期間は、スキームの手順に定められている通り、評価技術報告書の発行日から5年間です。
必ずしもそうとは限りません。SESIP認証は、CRAの技術文書や適合性評価を裏付ける、強固で体系的なセキュリティの証拠となりますが、CRAはSESIPの評価範囲外となる、脆弱性の対応、報告、および製品ライフサイクルに関する義務も課しています。弊社では、SESIPの対象範囲と、依然として対応が必要な事項を整理するお手伝いをいたします。
はい。SESIP 4 および SESIP 5 では、SOG-IS または EUCC 認定プラットフォームおよび部品を再利用するための明確な道筋が示されており、これにより、SESIP が商用製品領域に対して定義したマッピングを活用することが可能になります。
はい。TrustCBスキームは、GlobalPlatform SESIPおよびCEN/CENELEC EN 17927の両方をサポートしており、お客様の市場や顧客の要件に合致するバージョンを基準に評価の範囲を定めます。
SESIPプロファイルとは、SESIPカタログを用いて定義された、特定の製品カテゴリ向けに一般的に提供されるセキュリティ機能のセットです。これらのプロファイルは、GlobalPlatformやPSA Certifiedなどの組織によって公開されており、これらを利用することで、セキュリティターゲットを一から作成する手間を省くことができます。
リソースを学ぶ
注目のブログ
当社の専門家は、ブログを通じて実践的な知見を定期的に発信しています。デバイスセキュリティの最新動向をご覧ください。
この認証は、Silicon Labsにとって重要なマイルストーンであり、Keysightとの強固な連携の証でもあります。PSA認定レベル4の取得には、単なる技術的な準備だけでは不十分であり、深い専門知識と柔軟なプロセス、そしてセキュリティの卓越性に対する共通のコミットメントを備えたテストパートナーが必要でした。 キーサイトは、評価プロセスを導いてくれただけでなく、私たちが達成できる限界を押し広げるという点でも極めて重要な役割を果たしました。同社の厳格なアプローチと実践的なサポートのおかげで、この高度な保証レベルに到達することができました。
ロヒット・ラヴィチャンドラン
シリコン・ラボ、IoTセキュリティ担当プロダクトマネージャー