消費者向けIoTデバイスの保護：グローバルスタンダードが必要な理由

消費者にとって、モノのインターネット（IoT）の成長は、家の中のますます多くのオブジェクトがインターネットにリンクされ、サイバー攻撃やプライバシー侵害で個人データを公開するリスクにさらされていることを意味します。

ETSI の会長であるAlexLeadbeaterは、過去数年間で次のように述べています。 サイバーセキュリティ技術委員会（TC CYBER）では、この種の消費者向けIoT問題に関する報告が増えています。たとえば、セキュリティ研究者は最近、 ZipaMicro 、スマートホームハブは、各ハブで同じ秘密鍵を使用し、デバイスにハードコードされています。インターネットで見つけたスクランブルされたパスワードと組み合わせることで、研究者はハブによって制御されるロックを開くことができました。

危険にさらされているデバイスには、接続されたおもちゃが含まれます。これには、リモートアクセス可能なカメラとマイクが含まれている可能性があります。インターネットを介した攻撃だけでなく、一部のおもちゃは現在Bluetoothを使用していますが、これは潜在的な弱点です。 Amazon などのスマートスピーカー のエコーは、プライベートな会話を傍受するハッカーに対しても脆弱です。

これらの種類の問題は通常、新製品で警告を受けた後、デバイスベンダーによって迅速に修正されますが、それでは遅すぎる可能性があり、すでに市場に出ている問題を修正またはリコールするための一貫性のないアプローチがあります。政府は、より高い基準を義務付ける法律を導入しようとしています。たとえば、英国は、製品の強制的なラベル付けや最低基準を含む可能性のある新しい法律について協議しています。米国はそれほど遅れをとっておらず、カリフォルニアはすでに一般的なデフォルトパスワードを禁止しています。次に、データ保護の観点から、保存されている個人情報に適用されるEUのGDPRなどの法律があります。

しかし、これは製品ベンダーの生活を困難にする可能性があります。規制がまだ定義されている急速に変化する市場で、さまざまな国のさまざまな要件をコスト効率よく満たすにはどうすればよいでしょうか。

標準はセキュリティに関する推奨事項を提供します

この問題に対処するために、ETSIは最近、消費者向けIoTセキュリティの最初のグローバルスタンダードであるETSI TS 103645を発表しました。新しい標準は、企業がインターネットに接続される消費者製品をどのように保護するかについてのベンチマークを確立し、ベストプラクティスを促進することを目的としています。

同時に、特定の方法論ではなく結果に焦点を当てて作成されています。つまり、企業が特定の製品に最適なソリューションを革新して見つけることができる十分な柔軟性があります。この規格は、おもちゃ、ウェアラブルフィットネストラッカー、スマートホームアシスタント、スマートTV、ドアロック、ホームオートメーションシステムなど、さまざまな接続デバイスのニーズに対応することを目的としています。

ETSIの新しい規格のアドバイスと、それが接続された消費者向けデバイスをより安全にする方法を見てみましょう。

デバイス要件

まず、標準では、すべてのデバイスパスワードは一意である必要があると規定されています。これにより、多くの製品がデフォルトのユーザー名とパスワードで販売され、ユーザーは変更しないことが多いという今日の問題を克服できます。また、パスワードをデフォルトにリセットすることは不可能であるべきだとも述べています。市場に出回っている多くの製品が、新しい規格のこの要件やその他のより基本的な要件をまだ満たしていないのは驚くべきことです。

個人データの保護は標準の重要な部分であり、すべての機密情報をデバイス自体と、クラウドなどの関連サービスの両方に安全に保存する必要があります。クレデンシャルは比較的簡単に検出できるため、デバイスにハードコーディングされたクレデンシャルがあってはなりません。

製品は、明確な指示が提供され、消費者が必要なときに個人データを簡単に削除できるようにする必要があります。同様に、IoTデバイスのインストールと使用は、シンプルで十分に文書化されている必要があります。データは、通信時に保護および暗号化する必要もあります。デバイスは、暗号化に対する攻撃に対して適切な保護を提供する必要があります。

接続されているすべてのデバイスは、攻撃のリスクを最小限に抑えるために、未使用のソフトウェアやネットワークポートを閉じるなど、適切なセキュリティエンジニアリングの慣行に従う必要があります。範囲外の値の使用などの悪用を防ぐために、入力されたデータはすべて検証する必要があります。また、デバイスは、ある種のハードウェアベースの安全な起動メカニズムを使用してソフトウェアを検証し、電源またはネットワークの停止を正常に処理できる必要があります。

デバイス自体の要件だけでなく、ETSI標準には製品ベンダーに対する特定の要求があります。これには、脆弱性を迅速に探し出し、対処することが含まれます。

また、デバイスソフトウェアは、簡単かつ安全に更新できる必要があります。

消費者の信頼を築く

消費者は当然のことながらIoTセキュリティについて懸念しています。新しい標準は、ベンダーが顧客との信頼を再構築するための非常に貴重な方法です。そのガイダンスに従うことにより、メーカーは自社製品が適切なレベルのセキュリティとプライバシーを確​​実に満たすことができます。これは、顧客が保護され、企業がコストのかかる違反や悪評の影響を回避できることを意味します。

さらに重要なことに、ETSI規格は消費者にとって段階的な変更であり、接続されたデバイスを使用することで消費者の安全、プライバシー、セキュリティが危険にさらされることはないという確信を与えています。

ここでETSI標準を読むことができます

著者は、ETSIサイバーセキュリティ技術委員会（TC CYBER）の議長であるAlexLeadbeaterです。