データ送信を暗号化または閉域接続で保護する

IoT セキュリティとしてデータ送信を考えるときは、デバイスからクラウドまでをどこで保護するかを切り分けて考える必要があります。SORACOM Air for セルラーでは、デバイスから SORACOM までは閉域網で保護されるため、このページでは SORACOM からクラウドやお客様システムまでの区間をどう守るかを整理します。

図: デバイスからクラウドへの片方向通信、双方向通信、サポート外連携の 3 つの要件から SORACOM Beam、SORACOM Funnel、SORACOM Funk、SORACOM Canal、SORACOM Door、SORACOM Direct を選ぶ

この構成が向いているケース

デバイス側で暗号化実装や認証情報の保持をできるだけ増やしたくない。
顧客施設や工場のデータをクラウドへ送りたいが、インターネットへ直接公開したくない。
データ送信は片方向で足りるのか、双方向 IP 通信が必要なのかを整理したい。
SORACOM Beam / Funnel / Funk と SORACOM Canal / Door / Direct のどちらを選ぶべきか迷っている。
通信量や接続先の性質に応じて、暗号化と閉域接続をどう使い分けるかを決めたい。

まず 2 つの保護方式に分けて考える

データ送信の保護方式は、まず次の 2 つに分けて考えます。

方式	向いているケース	主なメリット	主な注意点
デバイスとクラウド間の End-to-End (E2E) 構成	デバイスからクラウドまでを独自に保護したい。	連携先の自由度が高い。	デバイス側で暗号化、認証情報、Virtual Private Network (VPN) などを管理する必要がある。
SORACOM を活用して SORACOM からクラウドまでを保護する構成	デバイス負荷と認証情報管理の負担を減らしたい。	接続先設定や認証情報を SORACOM 側でまとめて扱いやすい。	要件に応じて SORACOM Beam / Funnel / Funk と SORACOM Canal / Door / Direct を使い分ける必要がある。

このページでは、SORACOM を活用して通信を守る構成 を整理します。

SORACOM を活用する場合の考え方

片方向通信だけでよい場合

デバイスからクラウドやお客様システムへデータを送るだけなら、まずは SORACOM Beam / Funnel / Funk を検討します。これらは、接続先の設定や認証情報を SORACOM 側で管理し、SORACOM から接続先までを暗号化して送信するためのサービスです。

SORACOM Beam は、任意のサーバーへの転送を整理したい場合に向いています。
SORACOM Funnel は、対応するクラウドサービスへの連携に向いています。
SORACOM Funk は、対応する Function as a Service (FaaS) への連携に向いています。

デバイス側の中央演算処理装置 (Central Processing Unit, CPU) 性能や消費電力に余裕が少ない場合や、接続先設定をまとめて変更したい場合に使いやすい構成です。

観点	SORACOM Beam / Funnel / Funk	SORACOM Canal / Door / Direct
主な保護方法	SORACOM からクラウドまでの暗号化	SORACOM からクラウド / オンプレミスまでのプライベート接続
向きやすい通信	片方向通信	双方向通信やサポート対象外の連携先を含む通信
料金を見るときの軸	送信量と接続先サービスの使いかた	VPG と接続方式を含めた構成全体
検討しやすいケース	少量送信、早く始めたい、設定をまとめたい	公開を避けたい、双方向性が必要、接続先が決まっている