楽天モバイルは安全なOpen RANをどう築いたか：1000万回線を支えるゼロトラストとSBOM
携帯電話の電波を届ける基地局は、これまで一つのメーカーの機器とソフトウェアをセットで使うのが一般的でした。Open RANは、異なるメーカーの製品を共通のルールでつなぎ、組み合わせて使えるようにする仕組みです。通信事業者が目的に合った製品を選べる一方、関係するメーカーや接続部分が増えるため、「複雑なネットワークを本当に安全に管理できるのか」という課題も生まれます。楽天モバイルは、このOpen RANを全国規模で導入し、現在は1,000万回線を超える利用者を支えています。その安全性を支えているのが、ゼロトラスト、SBOM、暗号署名、継続監視などを組み合わせたセキュリティ対策です。
Open RANは実証から大規模商用運用の段階へ
楽天モバイルが大規模な商用Open RANネットワークを立ち上げてから、約6年が経過しました。ハードウェアとソフトウェアを分離し、汎用サーバーとクラウド基盤を活用することで、専用機器を中心とした従来の通信設備とは異なるネットワークを構築してきました。Open RANの商用利用は、日本以外にも広がっています。楽天シンフォニーが構築を支援したドイツの通信事業者1&1は、2025年11月初めまでに約1,000万件の既存顧客契約を自社のOpen RANネットワークへ移行しました。2026年3月末時点では、1,248万件のモバイル契約を抱えています。Open RANは、限られた地域で性能を確かめる実証技術ではなく、多数の利用者を抱える商用ネットワークで継続運用される段階に入りつつあります。
欧州の指摘を受けてセキュリティ要件を具体化
Open RANには、以前からセキュリティ面の懸念が示されてきました。2022年、EU加盟国は欧州委員会と欧州連合サイバーセキュリティ機関（ENISA）の支援を受け、Open RANのサイバーセキュリティに関する報告書をまとめました。ベンダーや構成部品、接続インターフェースが増えれば、攻撃の入口も増える可能性があります。システムが複雑になることで設定ミスや脆弱性を見落としやすくなるほか、クラウド基盤や外部サービスへの依存が、新たなリスクを生むことも指摘されました。こうした課題に対応するため、O-RAN ALLIANCEでセキュリティを担当するWork Group 11は、要件や試験方法の整備を進めてきました。2025年には、セキュリティ要件、プロトコル、試験、脅威評価に関する四つの主要文書がETSIとATISから公開されています。Open RANのセキュリティ対策は、理念を示す段階から、実装や第三者試験に利用できる具体的な仕様へと進んでいます。
アプリから無線装置までを継続的に検証
楽天モバイルが採用するセキュリティ対策は、特定の装置だけを守るものではありません。第三者製アプリケーションについては、提供ベンダーがアプリに署名し、ネットワーク管理を担うSMOが署名を検証します。機密データの確実な削除や、不要になったアプリケーションの安全な廃止も管理対象です。Open RANのインターフェースには、種類に応じてTLSやmTLS、IPsecなどを適用し、通信内容の機密性と完全性を保護します。接続相手の認証に加え、操作できる範囲を最小限に抑える認可制御も組み込まれています。無線装置やO-Cloudについても、セキュリティログ、ソフトウェアの完全性、証明書と暗号鍵の管理、コンテナや仮想マシンの分離などを強化しています。AI・機械学習モデルには、改ざんやデータ汚染、不正利用を防ぐための要件が設けられました。サプライチェーン対策の中心となるのが、SBOM（Software Bill of Materials）です。SBOMは、ソフトウェアに含まれる部品やライブラリを一覧化した「ソフトウェアの部品表」に当たります。ベンダーは、O-RAN向けソフトウェアを提供するたびに、署名付きのSBOMを提出することが求められます。ハードウェアには、起動時に正規のソフトウェアであることを確かめるセキュアブートや暗号署名を利用します。アプリケーション、ソフトウェア、ハードウェア、通信経路を個別に検証することで、一つの防御が破られても被害を広げにくい構造を目指しています。
全ての接続を検証するゼロトラスト
楽天モバイルのセキュリティ設計を支えているのが、ゼロトラストの考え方です。ネットワークの内部にあるから安全、特定のベンダーが提供しているから信頼できるとは判断しません。装置やアプリケーション、ベンダーをあらかじめ信用せず、接続や操作のたびに認証と権限確認の対象とします。従来型の通信設備では、少数の大手ベンダーがハードウェア、ソフトウェア、ネットワーク管理機能を一体で提供してきました。通信事業者から内部が見えにくい半面、システムの統合やセキュリティ対策を一社に任せやすい構造でもありました。Open RANでは、通信事業者がネットワークを構成する製品を選び、各部品の状態を把握できます。問題が発生した部品を特定し、影響を隔離した上で修正や交換を行いやすいことが利点です。ただし、ネットワーク全体の整合性を保ち、各ベンダーの対策を継続的に検証する責任は、通信事業者側に重くのしかかります。米国では、中国政府系とされる攻撃グループ「Salt Typhoon」が複数の通信事業者へ侵入し、通話記録や一部の個人の通信内容を窃取しました。この事件は、従来型の通信ネットワークも深刻な攻撃から無縁ではないことを示しています。単一ベンダーへの依存には、一つの製品や供給元の問題が広範囲に波及する「集中リスク」があると楽天モバイルは捉えています。一方で、どのような構造を採用しても、完全に侵入を防げる完璧なシステムは世界には存在しません。セキュリティは一度完成させるものではなく、変化する脅威を継続的に発見し、評価し、影響を抑えていく取り組みです。
私見と考察：Open RANの安全性を左右するのは運用力
Open RANの安全性を左右するのは、通信事業者の管理能力です。Open RANでは、複数のメーカーの機器やソフトウェアを組み合わせるため、問題が起きたときに原因となった製品を見つけ、該当する部分を切り離しやすくなります。その反面、製品同士が安全につながっているか、古いソフトウェアが残っていないか、不審な操作が行われていないかを、通信事業者自身が監視しなければなりません。従来は一社のメーカーに任せられた作業の多くを、自ら担う必要があるのです。つまり、Open RANは導入するだけで安全になる技術ではありません。ネットワークの中身を把握し、異常を素早く見つけて対処できて初めて、その仕組みが安全性につながります。
SBOMは防御そのものではなく、対応を速めるための地図
SBOMを導入しても、それだけで攻撃を防げるわけではありません。SBOMによって「何が使われているか」は把握できますが、深刻な脆弱性が見つかった際に、影響範囲を何時間で特定し、何日で修正できるかまでは保証されないからです。SBOMを実際の防御に結びつけるには、脆弱性情報との自動照合、ベンダーへの連絡、修正版の検証、緊急パッチの配信、問題が起きた場合の切り戻しまでを一つの運用として整える必要があります。セキュアブートや暗号署名も、署名鍵の管理や証明書の更新、失効処理が適切でなければ、本来の効果を発揮できません。Open RANの安全性を評価する際には、「SBOMを導入しているか」だけでなく、重大な脆弱性をどれだけ早く発見し、影響範囲を特定し、修正できたかを見る必要があります。
多ベンダー化は集中リスクを減らす一方で複雑性を増やす
特定のベンダーで問題が起きた場合の影響を抑えられるという点では、多ベンダー化に合理性があります。しかし、ベンダーを増やすだけで安全になるわけではありません。責任の境界が増え、証明書、アクセス権、更新時期、ログの形式などを複数社にまたがって管理する必要があるからです。Open RANでは問題のある部品を交換しやすいとされていますが、商用ネットワークでは性能調整や相互接続試験が欠かせません。仕様上の交換可能性と、障害発生時に短時間で交換できることは同じではありません。代替製品をあらかじめ検証し、障害時の切り替えや復旧手順まで用意して初めて、多ベンダー化がネットワークの強靱性につながります。O-RAN ALLIANCEも、バックアップ、ネットワーク分割、継続監視、資産情報の管理、サプライチェーン保護などには、追加の仕様整備が必要だとしています。Open RANのセキュリティは完成したのではなく、商用運用の経験を取り込みながら成熟している途中だと見るべきでしょう。
米国の通信会社への攻撃から分かること
Salt Typhoonと呼ばれる攻撃グループは、米国の複数の通信会社に侵入し、通話記録や一部の通信内容を盗みました。この事件から分かるのは、長年使われてきた通信網でも、サイバー攻撃を完全には防げないということです。ただし、Salt TyphoonがOpen RANを攻撃したわけではありません。そのため、この事件を根拠に「Open RANの方が安全だ」とは言えません。Open RANの安全性を判断するには、実際に攻撃を受けたとき、侵入をどれだけ早く発見し、被害の拡大を止め、元の状態へ戻せるかを見る必要があります。Salt Typhoon事件は従来の通信網にも弱点があることを示しましたが、Open RANの安全性を証明したものではありません。
1,000万回線は商用性の実績であって、安全性の指標ではない
楽天モバイルが1,000万回線を超える利用者を抱えながらOpen RANを運用していることは、この仕組みが大規模な商用環境で成立することを示す、非常に重要な実績です。ただし、契約回線数の多さだけでセキュリティの強さを判断することはできません。今後さらに知りたいのは、SBOMで管理できているソフトウェアの割合、重大な脆弱性への平均対応時間、第三者によるセキュリティ試験の結果、構成部品を隔離・復旧する訓練の実績などです。こうした情報が公開されれば、Open RANの安全性を理念ではなく、検証可能な実績として評価できるようになります。
問われるのは侵入を前提に被害を抑える力
Open RANのセキュリティは、「オープンだから危険」「クローズドだから安全」といった単純な二分法では評価できません。重要なのは、ネットワークを構成する部品を把握し、異常を早く見つけ、影響を限定し、確実に復旧できるかどうかです。楽天モバイルの次の試金石は、Open RANを構築できたことではありません。変化し続ける脅威に対応しながら、1,000万回線を超えるネットワークを今後も長期にわたって安全に運用し、その成果を具体的な指標で示せるかどうかだと思います。
How Rakuten Mobile built a Secure Open RAN network
https://rakuten.today/blog/how-rakuten-mobile-built-a-secure-open-ran-network.html
