日本、全国規模のIoTセキュリティ監査を開始し脆弱性ギャップに対処

2月中旬から、日本政府は国内で使用されている2億台以上のIoTデバイスに対して、体系的なセキュリティ監査を開始します。

先週発表されたこの取り組みは、専門家が長年知りながら消費者がほとんど見落としてきた事実を浮き彰りにすることを目的としています：消費者向けIoT製品のかなりの部分がサイバー攻撃に対して脆弱なままです。

IoTの不安定さはいくつかの要因に起因します：消費者の無関心—ほとんどのユーザーはデバイス購入・設置後にデフォルトパスワードを変更しない；デバイス間通信における固有の監視不足；サービスプロバイダーによる自動ファームウェアアップデートの稀な展開。

セキュリティ専門家はこの計画を必要な措置として称賛していますが、多くの日本のメディアは国家による越権行為だと批判しています。

批判者はプライバシー侵害だと主張し、なぜ市民が政府による個人デバイスの検査を許可すべきかと疑問を呈します。多くは国家が収集データを守る能力を信用せず、偶発的または意図的な漏洩を懸念します。また、このような監視が市民的自由を侵食し、日本を監視国家へ押しやるという広範な懸念もあります。

情報通信研究機構（NICT）は、デフォルトパスワードのプロービングなどの手法を用いてランダムに選択されたIoTデバイスをテストし、脆弱な製品の包括的なインベントリを作成する目標を明らかにしました。

NICTは調査結果をインターネットサービスプロバイダーに転送し、彼らは消費者に通知してセキュリティ対策を推奨します。正確な範囲は未定ですが、プログラムは当初ルーターとウェブカメラに焦点を当て、最大5年間延長される可能性があると機関は示唆しています。

支持者は、東京オリンピックをきっかけとしたセキュリティ強化の必要性を理由に、大規模監視を正当化します。

大規模国際イベントは、専門家と当局からのサイバーセキュリティ警戒の急増を定期的に促します。Miraiボットネットの記憶—マルウェアがIPカメラやホームルーターなどの消費者デバイスを乗っ取り、大規模DDoS攻撃を仕掛けたこと—が、プロアクティブな措置の緊急性を強調しています。

IoTと新興技術を専門とするIHS Markitのサイバーセキュリティアナリスト、タナー・ジョンソン氏は、日本のハッキングプログラムを単純なプロアクティブな保護策と表現します。

「オリンピックのようなイベントは数百万人の来訪者を確実に呼び込み、全体的なセキュリティ懸念を高めます」とジョンソン氏は指摘します。「ハッカーはネットワークの最も弱いリンクを標的とし、最も安全なデバイスではなく最も脆弱なデバイスを悪用する傾向があります。」

一部の懐疑論者は、このプログラムが単なるオリンピックのための訓練なのか、より広範な政府目的があるのかを疑問視します。AnyConnectのカントリーマネージャー、小倉岳氏は、主な動機がオリンピックセキュリティなら、なぜ最大5年間も継続するのかと疑問を投げかけます。

小倉氏は、多くの日本の消費者が接続デバイスのデフォルトパスワードを変更しないことを指摘します。また、このプログラムが日本のネットワークインフラにおけるHuawei技術の統合を評価する機会である可能性も指摘しています。

モノのインターネットテクノロジー