在宅勤務者のセキュリティ確保：IoT脅威ランドスケープへの対処

Greg Day of Palo Alto Networks

オフィスと自宅の境界が曖昧になる中、企業と個人のIoTデバイスがますます重なり合い、企業と在宅勤務者双方の協調的対応を要求する新たなサイバーセキュリティ課題を生んでいます。Palo Alto NetworksのVP兼CSO EMEA、グレッグ・デイ氏が解説します。

非業務IoTがビジネスネットワークに流入

リモートとハイブリッドワークの急増により、コンシューマーIoTガジェットが企業ネットワークに頻繁に接続されるようになりました。EMEA、APAC、アメリカ大陸の18カ国を対象とした2年間のIoTセキュリティ研究でこの傾向を追跡しています。

2021年の調査では、すでにIoTデバイスをホストしている組織のITリーダーのうち、世界で78%が過去1年間にリモートワーカー経由の非業務IoT接続の増加を報告。米国では84%に上ります。

デバイスは多岐にわたります。最も頻繁に報告される非業務IoTガジェットはウェアラブル医療モニター、次いでスマート電球、コネクテッドジム機器、コーヒーメーカー、ゲーム機、ペットフィーダーなどです。この傾向は、WFH習慣に後押しされたスマートホームキットとヘルス&フィットネスウェアラブルの同時ブームを反映しています。

サイバーセキュリティの欠陥と脅威

デバイスの多様性は一見奇妙に見えますが、深刻な脅威をはらんでいます：単一の脆弱なガジェットが攻撃ベクトルになり得ます。多くのコンシューマーIoT製品は堅牢なセキュリティを欠き——しばしば100ドル（約88.59ユーロ）未満——エンタープライズソフトウェアのような厳格なコーディング標準なしに構築され、パッチが遅く、長期にわたる脆弱性を抱えています。

Palo Alto Networksの脅威インテリジェンス部門Unit 42は、在宅勤務IoT脆弱性を悪用する攻撃を文書化しています。2021年2月、Mirai亜種が多くのコンシューマーデバイスのセキュリティ欠陥を標的としました。より深刻なのは、ランサムウェアグループがeCh0raix亜種を展開し、在宅勤務者のNASデバイスを標的としている最近の証拠です。この戦略は、侵害された個人ガジェットを足がかりに、潜在的な身代金が巨大な大企業へのサプライチェーン攻撃を仕掛けるようです。

調査はコンシューマーIoTが企業にとって重大なリスクであることを確認しています。世界中で、ネットワークにIoTデバイスをホストするITリーダーの81%が、パンデミック主導のリモートワークシフトが非セキュアデバイスへの曝露を高めたと回答。そのうち78%で、リスク増大がIoT関連セキュリティインシデントの増加として顕在化しました。

リモートワークとIoT普及が持続する中、IoT防御強化への圧力が高まっています。グローバル調査では、2021年に96%、2020年に95%の回答者が自組織のIoTセキュリティ戦略に改善が必要と感じ、25%が全面的な見直しを提唱しています。

在宅勤務者ができる支援

効果的な緩和には、自宅から始まる3階層戦略が必要です。

組織はリモートスタッフを教育し、ホームサイバー衛生の向上を義務付けなければなりません。ルーター設定から始めます。主要アクションには、デフォルト設定の更新、WPA3 Personalの有効化（不可ならWPA2 Personal）、接続デバイスの監査——未使用デバイスの無効化——が含まれます。

さらに、リモートワーカーはルーターファームウェアに一般的なマイクロセグメンテーション機能を活用し、ゲストとIoTデバイスを企業トラフィックから分離する個別ネットワークを作成すべきです。

セグメンテーションは企業と自宅の両環境で不可欠です。調査では、IoTデバイスをホストするITリーダーの51%が、それらをHR、メール、財務などのコアビジネスシステムとは別の専用ネットワークに分離していると報告。しかし5人に1人のリーダーがIoTデバイスが重要ビジネスアプリケーションと同じネットワークを共有していると告白し、英国では3人に1人がこの欠陥——セグメンテーションなし——を抱えています。

最後に、すべてのトラフィックを単一VPNに集約するハブアンドスポークモデルを放棄すべきです。今日の異種混在接続環境では、ワンサイズフィッツオールアプローチは失敗します。ユーザーはビデオ会議など必須サービスにアクセスするために頻繁にVPNをオフにします。エッジベースのコンテキスト認識セキュリティは、ワークフローを妨げずシームレスな保護を提供し、セーフガードを無効化するインセンティブを取り除きます。

ゼロトラストの適用

強固なIoT保護は、不正デバイスが企業ネットワークに参加するのを防ぐ内部統制にも依存します。

最小権限アクセスポリシーの実装により、検証済みデバイスとユーザーのみが接続できるようにします。ゼロトラストフレームワークは、各デバイスの信頼性を継続的に検証することでデータ露出を防ぎ、ビジネス継続性を守ります。

リアルタイム監視はIoTセキュリティに不可欠です。未検知・忘却デバイスを含む最新インベントリを提供し、既存ファイアウォール機能を活用してリスクベースのポリシーを自動推奨・強制できます。統合ソリューションは企業セキュリティをリモートワーカーに拡張し、統合ポリシー管理とコンテキスト認識保護のためのSASE（セキュアアクセスサービスエッジ）を提供します。

法的解決を待たない

今後の規制はメーカーに強固なセキュリティ組み込みを強制することを狙っていますが、EUと英国の法令はまだ初期段階で、発効には数年かかります。強固なIoT防御の責任は最終的に従業員とその組織にあります。

IoTが現代の仕事と生活の中心的役割を果たすことを踏まえ、組織はC-suiteから全従業員まで、あらゆるレベルにサイバー衛生を組み込み、反応的から予防的サイバーセキュリティへ進化しなければなりません。そんな文化は、一見無害なデバイスからの攻撃でさえ抑止し、被害を軽減する予防的実践への投資を促進します。

—グレッグ・デイ、VP兼CSO EMEA、Palo Alto Networks。