米国 NIST IR 8532(初期公開ドラフト)サプライチェーン全体におけるデバイスおよびコンポーネントのセキュリティ強化に関するワークショップ

こんにちは、丸山満彦です。

サプライチェーン全体におけるデバイスおよびコンポーネントのセキュリティ強化に関するワークショップの要約です...

サプライチェーンセキュリティ。。。というと

(1) ソフトウェア・ハードウェアの製造過程で意図しないプログラム、部品を混入されるリスク

(2) ソフトウェア・ハードウェアに関する技術情報等を受託関係の中で窃取されるリスク（委託関係の中の技術情報保護）

(3) 事業における受託関係の中でサプライヤー等がシステム障害等により事業がとまり、サプライチェーン全体に影響が及ぶレジリエンス・リスク（委託関係の中のレジリエンス）

の３つがあるように感じているのですが、これは (1) に関する話です。

日本では、サプライチェーンリスクというと (2) (3) の話が多いように感じます。。。

● NIST - ITL

・2024.08.14 NIST IR 8532 (Initial Public Draft) Workshop on Enhancing Security of Devices and Components Across the Supply Chain

NIST IR 8532 (Initial Public Draft)　Workshop on Enhancing Security of Devices and Components Across the Supply Chain	NIST IR 8532(初期公開ドラフト)サプライチェーン全体におけるデバイスおよびコンポーネントのセキュリティ強化に関するワークショップ
Announcement	発表
This report summarizes the presentations and discussions at a recent workshop on semiconductor security. Participants at the in-person workshop discussed existing and emerging cybersecurity threats and mitigation techniques for semiconductors throughout their life cycle .	本報告書は、半導体セキュリティに関する最近のワークショップにおけるプレゼンテーションと議論をまとめたものである。 ワークショップの参加者は、半導体のライフサイクル全体にわたる既存および新たなサイバーセキュリティの脅威と低減技術について議論した。
The workshop obtained valuable feedback from industry, academia, and government to inform NIST’s development of cybersecurity and supply chain standards, guidance, and recommended practices. The discussion focused on semiconductor development and highlighted cybersecurity measurements and metrics that utilize reference data sets to facilitate the testing, attestation, certification, verification, and validation of semiconductor components. It also emphasized the use of automated cybersecurity tools and techniques to secure manufacturing environments throughout the development life cycle.	このワークショップでは、産業界、学界、政府から貴重なフィードバックが得られ、NISTによるサイバーセキュリティおよびサプライチェーン標準、ガイダンス、推奨される実務の策定に役立てられた。 議論では、半導体開発に焦点を当て、半導体コンポーネントのテスト、認証、認定、検証、および妥当性確認を促進するために参照データセットを利用するサイバーセキュリティ対策と評価基準が強調された。 また、開発ライフサイクル全体を通じて製造環境を保護するための自動化されたサイバーセキュリティツールと技術の利用も強調された。
Abstract	要旨
NIST hosted an in-person, all-day workshop on February 27, 2024, to discuss existing and emerging cybersecurity threats and mitigation techniques for semiconductors throughout their life cycle. The workshop obtained valuable feedback from industry, academia, and government to inform NIST’s development of cybersecurity and supply chain standards, guidance, and recommended practices. The discussion focused on semiconductor development and highlighted cybersecurity measurements and metrics that utilize reference data sets to facilitate the testing, attestation, certification, verification, and validation of semiconductor components. It also emphasized the use of automated cybersecurity tools and techniques to secure manufacturing environments throughout the development life cycle. This report summarizes the content that was presented and discussed at the workshop.	NISTは2024年2月27日に終日のワークショップを主催し、半導体のライフサイクル全体における既存および新たなサイバーセキュリティの脅威と低減技術について議論した。このワークショップでは、産業界、学界、政府から貴重なフィードバックを得て、NISTによるサイバーセキュリティおよびサプライチェーン標準、ガイダンス、推奨される手法の開発に役立てた。議論は半導体開発に焦点を当て、半導体コンポーネントのテスト、認証、認定、検証、および妥当性確認を促進するために参照データセットを利用するサイバーセキュリティ対策および評価基準に重点を置いた。また、開発ライフサイクル全体を通じて製造環境を保護するための自動化されたサイバーセキュリティツールおよび技術の利用も強調された。本報告書では、ワークショップで発表および議論された内容を要約する。

・[PDF] NIST.IR.8532.ipd

1. Introduction	1. 序文
2. Workshop Sessions	2. ワークショップのセッション
2.1. Hardware Development Life Cycle	2.1. ハードウェア開発ライフサイクル
2.1.1. Speaker Viewpoints	2.1.1. 講演者の見解
2.1.2. Key Highlights	2.1.2. 主なハイライト
2.2. Metrology	2.2. 計測
2.2.1. Speaker Viewpoints	2.2.1. 講演者の視点
2.2.2. Key Highlights	2.2.2. 主なハイライト
2.3. Hardware/Silicon Testing	2.3. ハードウェア/シリコンのテスト
2.3.1. Speaker Viewpoints	2.3.1. スピーカーの視点
2.3.2. Key Highlights	2.3.2. 主なハイライト
2.4. Vulnerability Management	2.4. 脆弱性管理
2.4.1. Speaker Viewpoints	2.4.1. 講演者の視点
2.4.2. Key Highlights	2.4.2. 主なハイライト
2.5. Standards	2.5. 標準
2.5.1. Speaker Viewpoints	2.5.1. 講演者の視点
2.5.2. Key Highlights	2.5.2. 主なハイライト
2.6. Closing Remarks	2.6. 閉会の辞
3. Summary and Road Ahead	3. まとめと今後の展望
Appendix A. Workshop Agenda	附属書A. ワークショップの議題
Fig. 1. Components for securing microelectronics	図1. マイクロエレクトロニクスのセキュリティ確保のためのコンポーネント
Fig. 2. Distribution of workshop participants	図2. ワークショップ参加者の分布

図1. マイクロエレクトロニクスのセキュリティ確保のためのコンポーネント