「Huaweiのセキュリティには改善が見られない」とイギリスの政府機関が報告

by Isriya Paireepairit

Huaweiのセキュリティ問題を検証するために設立されたイギリスの政府機関が、2020年10月1日に「これまでにHuaweiのネットワークで発見された欠陥に関するHuaweiの対策は、限定的なものでしかない」とする報告書を発表しました。

Huawei Cyber Security Evaluation Centre (HCSEC) Oversight Board: annual report 2020
(PDFファイル)https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/923309/Huawei_Cyber_Security_Evaluation_Centre__HCSEC__Oversight_Board-_annual_report_2020.pdf

Britain says Huawei security failings pose long-term risk: govt report | Reuters
https://www.reuters.com/article/us-britain-huawei-idUSKBN26M64S

UK found flaw of 'national significance' in Huawei tech, says report | ZDNet
https://www.zdnet.com/article/uk-found-flaw-of-national-significance-in-huawei-tech-says-report/

NCSC sees no ‘significant improvement’ in Huawei’s overall security practices
https://www.computerweekly.com/news/252489961/NCSC-sees-no-significant-improvement-in-Huaweis-overall-security-practices

イギリスのファーウェイサイバーセキュリティ評価センター(HCSEC)の監査委員会は10月1日に、「我々はHuaweiのソフトウェア開発に関する慢性的な問題を特定しています。この問題は、イギリスにおける通信事業のリスクを著しく増大させており、今後も継続的な管理と緩和の処置が必要なことを浮き彫りにしました」と報告し、Huaweiによるセキュリティ問題修正の取り組みが「限定的な保証」しか提供していないとの見方を示しました。

HCSECは、Huawei製品がイギリスのネットワークインフラにもたらすあらゆるセキュリティリスクを緩和することを目的に、イギリス政府がHuaweiとの協定に基づいて設立した監査機関です。2010年11月の設立以来、HCSECはHuaweiから独立した機関として、Huawei製品のハードウェアやソフトウェアの安全性についての調査を重ねてきました。

HCSECの監査委員会が提出した第6回年次報告書によると、Huaweiのセキュリティ上の問題は、基本的なエンジニアリング能力とサイバー衛生に由来するものであり、意図的に混入されたものではないとのこと。そのため、報告書には「HCSECを主導する国家サイバーセキュリティセンター(NCSC)は、Huawei製品に見られる欠陥が、中国当局の干渉の結果として生じたものではないと考えています」と記されています。

一方、HCSECはHuaweiのセキュリティに対する姿勢を問題視しており、報告書の中で「Huaweiが独自の内部的なコーディングガイドラインを守っていないという証拠を含め、コーディングに対する安全意識の徹底が不十分であるという持続的な証拠が発見されました。これは、過去数年間でわずかに改善が見られたにもかかわらず、依然として問題です」と述べました。

その上でHCSECは、「攻撃者がHuaweiのセキュリティ上の脆弱(ぜいじゃく)性を認識し、これを悪用するための十分なアクセス権を有している場合、イギリスのネットワーク運用が影響を受ける可能性があり、場合によっては正常に作動しなくなるおそれがあります」と結論付けました。

ロイター通信は今回のHCSECの報告について、「この調査結果は、アメリカによるHuaweiの制裁や、Huawei製品が中国当局によるスパイに使われているという疑惑など、Huaweiをとりまく圧力を一段と強めることになるでしょう」と指摘しています。

一方、Huaweiの広報担当者は「HCSECの報告は、当社の改革プロセスは初期段階にあるものの、ソフトウェアエンジニアリングの能力向上にはある程度の進展があったことを認めたものです」と主張しました。