IoT導入が停滞：ハイプが的外れな理由

ガートナーのハイプ・サイクルが正確なら、IoT（モノのインターネット）は今「幻滅の谷間」に入りつつある。最近の調査では、パイロット導入の約60%が約束された成果を出せていない。個別のプロジェクトがつまずくだけでなく、デバイスで市場が飽和してピークを迎える兆しもなく、新規導入のペースが鈍っているのだ。

IoT成長を阻む要因

大きな問題の一つは、接続性を必要としないデバイスにまで無理やり通信機能を持たせる傾向だ。餌やり・水温・水質を監視する「IoT水槽」を例に取ろう。ペン・テスト・パートナーズのパートナー、ケン・マンロー氏によれば、この水槽を設置したカジノが、フィンランドにあるデバイス経由で10GBのデータを盗まれたという。これは、セキュリティが甘いIoTエンドポイントが企業ネットワークへのバックドアになり、認証情報の窃取やデータ流出を招く典型例だ。

長期運用への懸念

多くの組織がファームウェア更新ではなくデバイス交換を選ぶため、長期的なROI（投資収益率）に疑問符がつく。デバイスが現役でも、メーカーが継続的なサポートやセキュリティパッチを提供するかは不透明だ。時間とともに脆弱性が見つかっても、メーカーにリソースや意欲がなければ更新は来ない。最悪の場合、サポートそのものが打ち切られる。

露見した脆弱性

メーカーは既存のインストールベースを守りきれていない。Shodanの公開データベースには、産業制御システムを含む数千台のIoT機器が、IPアドレス、OS、ソフトウェアバージョンとともに登録されている。これにFCCが公開する未発表デバイスの回路図を組み合わせれば、攻撃者は脆弱なモデルを特定し、デフォルト認証情報で侵入できる。ある事件では、技術者が「スーパーパスワード」リストを公開し、1年分の日次ログイン認証情報が漏洩した。サプライチェーンのセキュリティがいかに甘く、機密データが簡単に侵害されるかを示している。

こうしたリスクを前に、一部ベンダーはデータ収益化に走る。利用データをサードパーティに売れば収益にはなるが、ユーザーのプライバシーをさらに損なう。例えば、スマート掃除機のフロアプランデータがダークウェブで売られたり、ビル管理システム（BMS）のデータがスマートサーモスタットへのランサムウェア攻撃に悪用されたりする恐れがある。

今後の道筋

エンドユーザーに責任を求める声もあるが、多くは設置後にデバイスを再設定しない。設定を変えても、デフォルトのPINやパスワードが弱いまま（4〜6桁なら数時間で解読可能）のことが多い。信頼低下の根本原因は「セキュリティ設計の不備」にあり、メーカーが対応すべきだ。

セキュリティベストプラクティスには、安全なモバイルアプリ開発、堅牢なセッション管理、Webサービスのエンドツーエンド暗号化、無線規格の厳格な実装、未使用インターフェース（シリアル/デバッグポート）の無効化、デバイス上の難読化と安全な鍵保存、ファームウェアの暗号化とデジタル署名などがある。ベンダーがこれらを優先しない限り、IoT導入は躓き続ける。ポート80のような普及インターフェースを狙った著名マルウェア事件が一度でも起これば、市場の信頼は取り返しのつかない打撃を受ける。業界全体の標準化や規制による監視で信頼を築くことが、今や不可欠だ。

著者：ケン・マンロー、Pen Test Partnersパートナー