NIST新IoTセキュリティフレームワーク（NISTIR 8228）：デバイスへの影響

2024年初頭、米国立標準技術研究所（NIST）はドラフト出版物NISTIR 8228「Internet of Things（IoT）サイバーセキュリティとプライバシーリスクの管理に関する考慮事項」を公開しました。これは、連邦機関と民間組織の双方が、IoTデバイス特有の脅威を軽減するのを支援する一連のガイダンス文書の基盤を築くものです。

NISTIR 8228は、IoTデバイスに共通する3つの重要なセキュリティ脆弱性を特定し、リスク軽減のための3つの包括的目標を概説しています。この文書は、企業や政府環境でIoTの導入・管理を担当するすべての人にとって、実践的で実行可能なリソースです。

NISTIR 8228：IoTの核心的セキュリティ脅威を解剖

従来のIT機器（コンピュータ、タブレット、スマートフォン）とは異なり、IoTデバイスはカスタマイズされた、しばしばプロプライエタリなOSで動作し、ITチームが監視やパッチ適用を困難にしています。これらのデバイスが頻繁にインターネットに接続されるため、それ以外は安全なネットワークへの侵入ポイントになり得ます。攻撃者がデバイスのファームウェア脆弱性を悪用すれば、その足掛かりを使ってネットワーク上のあらゆるホストを攻撃できます。最も一般的なベクトルは、デフォルト認証情報を悪用したSSHブルートフォース攻撃です。

不正ネットワークアクセス以外にも、IoTデバイスは大規模ボットネットに徴用され、分散型サービス妨害（DDoS）攻撃を仕掛けられます。史上最大のDDoSイベントである2016年のDyn障害は、数百万台の未保護IoTデバイスが乗っ取られ、DNSインフラを圧倒したことを示しました。攻撃者はファームウェア欠陥を悪用して各デバイスを侵害し、主要インターネットサービスを麻痺させるトラフィック嵐を調整しました。

さらに懸念されるのは、特定のIoTデバイスが物理システム（HVAC、エレベーター、スプリンクラー制御など）を直接操作できることです。乗っ取られれば、物理的損害や安全危機を引き起こせます。

IoT追跡システムを安全に導入する方法をお探しですか？LinkLabsの無料デモを予約してください。

NIST IoTフレームワーク：デバイスライフサイクル全体での実践的推奨事項

特定されたリスクに対処するため、NISTはIoTデバイスライフサイクル全体にわたる一連のアクションを推奨しています：

• 特定の脅威ランドスケープを理解するため、徹底的なリスクアセスメントを実施する。
• 組織のポリシーと手順をIoT特有のリスクに合わせて改訂する。
• ネットワークセグメンテーションからセキュアなファームウェア管理まで、堅牢でエビデンスベースの緩和策を実装する。

メーカーは、セキュリティとプライバシー機能を製品に最初から組み込むよう促されています。しかし、市場にはこれらの保護機能を欠くレガシーデバイスが数百万台存在します。このギャップを埋めるには時間がかかり、設計者はセキュリティとコスト制約のバランスを取る必要があります。

IoTカテゴリによって求められるセキュリティレイヤーは異なります。デバイスレベル保護のみで十分なものもあれば、デバイスセキュリティに加えデータ暗号化とプライバシー保護が必要なものもあります。NISTIR 8228は、組織が導入する各デバイスに適切な保護レベルを評価するよう求めています。

フレームワークは貴重な出発点を提供しますが、あくまで第一歩です。今後のガイダンスでは、コスト効率の良いセキュアデバイスの構築方法と、既存IoTエコシステムの保護方法に取り組む必要があります。

Dyn事件から2年経っても、多くの脆弱性は未解決のままです。企業は自問すべきです：現在資産追跡と監視に使用しているIoTデバイスのリスクを、どう軽減できるか？

小規模フリートなら、デフォルトパスワードの変更だけで効果的な第一防衛線になります。大規模導入（数百〜数千台）では、時間と労力の観点からこのアプローチは非現実的です。

LinkLabsは包括的なソリューションを提供します。当社のAirFinderシステムは、標準IPプロトコルを使用しない専用ネットワーク上でIoTデバイスを分離し、侵害を困難にします。広域導入向けには、Symphony LinkプラットフォームがNSA基準を満たす公開鍵基盤（PKI）を組み込み、ファームウェア・オーバー・ジ・エア（FOTA）更新、リアルタイムAES鍵交換、ネットワークトラフィックの銀行グレードTLSをサポート。これら機能により、物理デバイスアクセスなしで迅速なパッチ適用とセキュアな通信が可能です。

LinkLabsがNISTIR 8228で概説されるリスクから貴社のIoT導入をどう守れるか知りたい方は、今すぐお問い合わせください. 実証済みの業界グレード技術で資産を保護しましょう。