IoTサイバーセキュリティ改善法がコネクテッドデバイスの未来をどう形作るか — 企業が知るべきこと

IoTサイバーセキュリティ改善法がコネクテッドデバイスの未来をどう形作るか — 企業が知るべきこと

セキュリティ懸念がIoT（モノのインターネット）議論の中心舞台に躍り出ました。最近の調査では、IoTネットワークを利用する米国企業のほぼ50%がセキュリティ侵害を経験したことが判明。頻発するインシデントが2017年IoTサイバーセキュリティ改善法という連邦法案を触発しました。これは主に政府調達を目指すベンダーを対象としますが、業界全体のデファクトスタンダードを設定する可能性があります。

この法案の目標はシンプルです：連邦機関が購入または使用するあらゆるインターネット接続デバイスに、最小限のサイバーセキュリティ運用標準を確立すること。 提案では、ベンダーは政府への販売前に以下の要件を満たさなければなりません：

• デバイスに既知の脆弱性と欠陥がないこと。
• 定期的な自動ソフトウェアアップデートをサポートすること。
• リモート管理、アップデート配信、通信のための固定またはハードコードされた認証情報を含まないこと。

IoTデバイスはプライベートネットワークでも普及しているため、規制当局と業界リーダーは連邦調達を超えて同様のルールが採用されることを予期しています。賭けは高いです：Ted Koppel氏はIoT攻撃が米国電力網を全国規模で停止させる可能性を警告し、イスラエルの研究者たちは「スマート電球」への協調攻撃で街区規模のオフィスを停止可能だと実証しました。

DNSプロバイダーDynへのDDoS攻撃のような著名侵害—同社ビジネスの8%を失わせたと報道—は、IoT中心の攻撃が如何に破壊的かを示しています。規制期待が高まる中でも、組織は自社ネットワークをプロアクティブに保護しなければなりません。

すべての企業が取るべきステップ

従来のセキュリティプラクティス—パッチ適用、ファイアウォール、アンチスパイウェア、従業員トレーニング—は必要ですが、IoTがもたらすユニークな脅威に対して十分ではありません。クラウドインフラと物理的に分散したデバイスの融合は、新しいセキュリティマインドセットを要求します。攻撃を防御し、今後の法制化に整合する具体的アクションを示します：

• デバイスレベルのキーを暗号化し、各ユニットを単一ゲートウェイ依存ではなく個別に監視・管理可能にする。
• 異なる機能（認証、データ暗号化、ファームウェアアップデート等）ごとに別個の暗号化キーを派生させる。
• 定期的なキーローテーションを実装し、侵害デバイスの機会ウィンドウを制限する。
• 可視化と制御を一元化し、疑わしいデバイスを即座に隔離・無効化できるようにする。
• ハードウェアベースのセキュリティモジュールを採用し、ソフトウェアだけでは実現できない耐タンパー保護を提供する—アナリストPatrick Moorhead氏も推奨する戦略。

IDCによれば、IoTへの世界投資は2021年までに1.4兆ドル（約1.17兆ユーロ）に達すると予測。すでに約250億デバイスが接続され、Hewlett Packardの研究では70-80%が適切な暗号化やパスワード保護を欠いています。これらギャップが高度な攻撃の格好の標的となっており、堅牢なセキュリティ対策の緊急性を強調しています。

上記ステップを採用することで、企業は機密データを守り、重要インフラを保護し、コネクテッドテクノロジーの完全な経済ポテンシャルを解き放つ、レジリエントなIoTエコシステムを構築できます。

著者：Amir Haleem、Helium CEO