サイトアイコン IT & ライフハックブログ｜学びと実践のためのアイデア集

中国製品のセキュリティ評価ガイド　政府への漏えい疑義、脆弱性、規制をどう見分けるか

greeden
american and chinese flags and usa dollars

Photo by Karola G on Pexels.com

中国製品のセキュリティは、「中国製だから安全」「中国製だから危険」という二択では判断できません。政府への意図的なデータ提供、製品による過剰な情報収集、攻撃者に悪用される脆弱性、法令や契約による利用制限は、それぞれ証拠も対策も異なる問題だからです。

公開資料で広く確認できる「中国政府向けの意図的な漏えい」の例は限られます。一方、同意や十分な説明を欠いたデータ送信、危険な更新機能、深刻な脆弱性、従業員による不適切なアクセスは実際に報告されています。購入や導入では、国籍だけで一括評価せず、製品、用途、扱うデータ、接続先、更新体制、適用規制を個別に確認する必要があります。

判断の要点

  • 「データが外部へ送られた」と「政府へ意図的に渡された」は同じ事実ではありません。
  • 脆弱性の存在は国家関与の証明ではありませんが、放置すれば第三者による侵入や情報流出につながります。
  • 規制対象であることは、個別の不正行為が立証されたことを必ずしも意味しません。行政機関は、被害が起きる前に許容できない可能性を減らす目的でも制限を設けます。
  • 企業は法令と契約を満たしたうえで、ネットワーク分割、権限管理、更新、監視、撤去計画まで設計します。個人は初期設定、クラウド保存、遠隔接続、更新期間を優先して確認します。

最初に分けるべき四つのリスク

議論が混乱する主な理由は、異なる問題を一つの「漏えいリスク」にまとめてしまうことです。次の四つに分けると、必要な証拠と対策が見えやすくなります。

リスク 確認する問い 有力な根拠
政府への意図的な提供 政府機関への送信や引き渡しを示す記録があるか 公的調査、裁判資料、技術解析、企業の認定
製品やサービスによる収集 何のデータを、どの接続先へ、どの同意に基づいて送るか 通信解析、プライバシー表示、設定画面、監査報告
技術的な脆弱性 認証回避や任意コード実行など、攻撃に使える欠陥があるか ベンダーの勧告、CVE、各国の脆弱性情報
規制と調達 用途、契約、国や地域によって使用が制限されるか 法令、行政機関の対象一覧、入札要件、契約条項

たとえば、カメラに重大な脆弱性が見つかっても、それだけで政府向けの送信を証明したことにはなりません。しかし、攻撃者が映像や管理機能へ到達できるなら、運用上の危険は現実にあります。原因の推測と、すでに確認できる被害経路を分けて扱うことが出発点です。

中国の法制度はどう評価材料になるか

国家情報法は、中国の情報活動に対する組織と公民の協力義務を定めています。英訳資料では、国家情報法第7条の文言を確認できます。この規定は、企業が当局から要請を受ける可能性を評価する材料になります。

ただし、法律上の協力義務があることと、特定の製品が実際に政府へデータを送ったことは別です。前者は制度上の可能性、後者は個別製品の挙動についての事実認定です。ここを飛び越えて「すべての製品が政府へ送信する」と結論づけることはできません。

データの保管、処理、越境移転を検討する際は、サイバーセキュリティ法、データ安全法、個人情報保護法も関係します。国家秘密保護法については、2024年改正を扱った報道があります。具体的な事業やデータ移転への適用は、対象データ、処理主体、保存場所によって変わるため、法務の確認が必要です。

中国でサービスを提供する側の論点は、中国向けサービスのデータセキュリティでも、不正流出、当局からの適法な要請、国外移転に分けて整理しています。

確認された事例から何が分かるか

以下は、元の記事が挙げていた事例のうち、問題の内容と根拠を比較しやすいものです。どの事例もセキュリティ判断には役立ちますが、政府への意図的な提供を一律に証明するものではありません。

製品や事案 確認された問題 読み取れること
Adupsを組み込んだ一部Android端末 Kryptowireの2016年公表では、本文を含むSMS、連絡先、通話履歴、端末識別子などが、利用者への開示や同意なしに外部サーバーへ送られたと報告されました。 完成品のブランドだけでなく、組み込まれた更新ソフトウェアと送信先の確認が必要です。
RagentekのOTA更新機能 JVNの脆弱性情報とCERT/CCの情報は、暗号化されていないOTA通信を介して、遠隔の攻撃者がroot権限で任意のコードを実行できる問題を説明しています。 OTAはネットワーク経由でソフトウェアを更新する仕組みです。更新経路そのものが安全でなければ、修正機能が侵入口になります。
Hikvisionの一部カメラ製品 メーカーはCVE-2017-7921に関する通知とCVE-2021-36260に関する通知を公表しています。後者は一部製品のコマンドインジェクション脆弱性です。 機種、ファームウェア版、修正版の有無を資産台帳で照合する必要があります。
Dahuaの一部製品 JVNとNVDには、認証情報の扱いに関する過去の脆弱性情報があります。 「バックドア」という意図を含む言葉でまとめず、具体的な欠陥と影響範囲を確認するほうが正確です。
Lenovoの一部ノートPC 米FTCの公表によると、広告表示用のVisualDiscoveryが暗号化通信に介入し、深刻なセキュリティ上の問題を生じさせました。LenovoはFTCと32州の司法長官による申立てで和解しました。 出荷時ソフトウェアも調達時の検査対象です。不要なプリインストール機能を削除できるか確認します。
ByteDance従業員によるアクセス 2022年の報道では、従業員が記者のデータへ不適切にアクセスしたことを会社が認め、関係者を処分したとされています。 組織内部の権限管理と監査が必要だと分かります。一方、この事案だけで政府の指示を立証することはできません。

未確証の疑義は規制と分けて読む

Huawei、DJI、Supermicroを巡っては、政策上の懸念、技術監査、企業の反論、報道が並行してきました。これらを読むときは、主張の大きさに見合う証拠があるかを確認します。

  1. 何が直接確認されたかを特定する。 通信記録、脆弱性、内部不正、規制決定のどれなのかを書き分けます。
  2. 情報源の立場を確認する。 行政機関の決定、独立した技術調査、企業が依頼した監査、匿名情報を基にした報道では、証明できる範囲が異なります。
  3. 反論の有無を確認する。 反論があるだけで当初の主張が誤りになるわけではありませんが、未検証の段階で事実として扱うこともできません。
  4. 政策判断を技術的証明に置き換えない。 政府は、被害の重大さと発生可能性を踏まえ、公開された不正の証拠がそろう前に制限を設ける場合があります。

したがって、「規制されたから政府への送信が証明された」「意図的な送信の証拠がないから安全だ」という二つの推論は、どちらも成り立ちません。規制適合と技術的安全性を別々に確認する必要があります。

米国と英国の規制はどこまで及ぶか

規制の対象は、国、製品、用途、契約によって異なります。「中国製品をすべて禁止する制度」と読み替えると、対象外の製品を誤って排除したり、対象製品を見落としたりします。

制度は改定される可能性があります。調達担当者は、記事の要約だけで適否を決めず、発注時点の公式リスト、法令、契約条項を確認してください。

企業と個人では優先順位が異なる

利用者 主な影響 最初に確認すること
企業、自治体、学校、医療機関 映像、業務情報、施設の配置、従業員や来訪者の情報、事業継続 調達規制、資産台帳、通信先、管理権限、ネットワーク分割、ログ、撤去計画
個人と家庭 室内映像、音声、位置、生活時間、家族や来客の情報 初期パスワード、二要素認証、遠隔接続、クラウド保存、更新期間、アプリ権限

企業は機器を一括管理し、通信を制限し、証跡を保存できます。その代わり、侵害時の影響範囲と法的責任が大きくなります。個人は契約条項を作れませんが、不要な遠隔接続を止め、更新が続く製品を選び、機微な場所へカメラを置かないことで露出を減らせます。

導入前から運用終了までの確認手順

1. 製品とソフトウェアを特定する

ブランド名だけでなく、型番、ハードウェア版、ファームウェア版、利用するアプリ、クラウドサービス、組み込まれた更新機能を記録します。同じ製品名でも世代や地域によって構成が違う場合があるためです。

2. データの流れを図にする

収集するデータ、保存場所、送信先、保管期間、閲覧できる役割、削除方法を一枚にまとめます。映像本体だけでなく、端末識別子、時刻、位置、接続履歴などのメタデータも対象です。クラウド機能を無効にできるか、オフラインでも必要な機能が動くかも確認します。

3. 脆弱性と更新体制を確認する

CVEは公開された脆弱性を識別する番号です。番号だけで危険度を決めず、対象機種、攻撃条件、修正版、自組織での利用状況を照合します。ベンダーがセキュリティ情報を公開しているか、署名付き更新を提供するか、サポート終了日を示しているかも判断材料です。

4. 規制と契約を照合する

国や自治体の調達、重要インフラ、米連邦政府との契約などでは、一般消費者向け製品と異なる制限がかかる場合があります。対象企業名だけでなく、用途、子会社、再委託、ネットワーク内での役割まで確認します。

5. 接続範囲と管理権限を絞る

カメラやNVR（ネットワーク映像録画装置）の管理画面をインターネットへ直接公開せず、業務用端末や基幹系ネットワークから分離します。遠隔管理が必要なら、VPN、接続元制限、二要素認証を組み合わせます。OT機器を外部公開する危険と対策は、英国NCSCの警告を基にしたOT防御の解説でも確認できます。

6. 更新と監視を日常業務にする

更新確認、アカウント棚卸し、通信ログの確認、設定バックアップ、障害時の切り分けを担当者と頻度まで決めます。「最新版にした」で終えず、更新後に設定が戻っていないか、不要な外向き通信が増えていないかも確認します。

7. 置き換えと終了の条件を決める

更新提供の終了、重大な規制変更、修正されない脆弱性、クラウドサービスの終了を交換条件として定めます。機器価格だけでなく、撤去、再設定、データ移行、廃棄まで含めて費用を比較すると、安価な製品が本当に低コストか判断できます。

用途別の考え方

工場や施設の監視カメラ

最初に、カメラとNVRが外部から直接見える状態になっていないか確認します。次に、型番とファームウェアを資産台帳へ登録し、既知の脆弱性と照合します。映像系ネットワークを業務系から分け、管理画面への接続を限定し、ログを別の場所へ保存すれば、機器が侵害された場合の影響を狭めやすくなります。

職場へ持ち込む個人端末

BYODは、従業員の私物端末を業務で使う運用です。端末の製造国だけで許可や禁止を決めるのではなく、OSの更新状態、画面ロック、暗号化、改変の有無、業務データを私用領域から分離できるかを条件にします。機密性が高い業務は、管理可能な会社支給端末へ限定する判断も必要です。

家庭用カメラとIoT機器

購入前に更新期間とクラウド保存先を確認し、設置後は初期パスワードを変更します。利用できる場合は二要素認証を有効にし、不要な遠隔閲覧と共有アカウントを止めます。寝室や子どもの生活空間など、漏えい時の影響が大きい場所では、設置しないことも有効なリスク低減策です。

購入前に使えるチェックリスト

よくある質問

中国製品はすべて危険ですか

一括して判断する根拠はありません。脆弱性や不適切なデータ処理は他国の製品でも起こります。一方、中国の法制度や各国の調達規制を無視してよいわけでもありません。製品の挙動、更新体制、用途、規制を個別に確認してください。

政府への漏えいは公的に証明されていますか

元の記事が扱った公開資料の範囲では、政府向けの意図的な送信を広く立証する決定的な事例は限られます。Adupsのデータ送信、Ragentekの危険な更新機能、カメラ製品の脆弱性、ByteDance従業員の不適切なアクセスは、それぞれ確認された問題ですが、同じ種類の事実ではありません。

ファームウェアを更新すれば十分ですか

更新は必要ですが、それだけでは足りません。クラウドへの送信、弱い認証、過剰な権限、インターネットへの直接公開、規制違反は、最新版でも残る可能性があります。通信制限、権限管理、ログ監視、契約確認を組み合わせます。

規制対象外なら安全ですか

規制対象外は、安全性の認証ではありません。規制には固有の目的と範囲があり、一般的な脆弱性やプライバシー上の問題をすべて判定する制度ではないからです。対象外の製品も同じ技術基準で評価します。

結論

中国製品のセキュリティ評価では、疑いを無視する必要も、疑いを事実として扱う必要もありません。政府への意図的な提供、製品による収集、技術的な脆弱性、規制と調達を分け、各項目に合った証拠を確認します。

規制や契約が利用を禁じるなら、運用上の工夫では代替できません。利用できる製品であっても、データの流れを把握し、更新できる期間を確認し、接続範囲と権限を狭め、終了条件を決めます。製造国ではなく、確認できる事実と制御できる経路に基づいて判断することが、過剰な不安と無防備な導入の両方を避ける方法です。

参考資料

この記事に関連する株式会社greedenの取り組み

機器の出自だけで判断せず、データ経路と権限、更新方法を要件に落とし込むことが、安全な運用につながります。株式会社greedenは、要件定義から保守運用までWebシステム開発を一気通貫で支援します。

モバイルバージョンを終了