IoTセキュリティ——責任は誰にあるのか？

多くは人をセキュリティの最弱リンクと見なすが、現実はエコシステム全体が脆弱だ。IoTはほぼ完全な自動化ゆえに安全だと誤解されがちだが、その想定は危険だ。サイバー空間に本質的に安全なものはない。

IoTデバイスはサイバー犯罪者の格好の標的であり、脅威ランドスケープは年間15%拡大し、推定200億台に達するとIHS Markitは推計する。参考までに、世界のモバイル契約数はGSMAで49億を超える。IoTの規模はP2Pモバイル接続を大きく上回り、侵害ポテンシャルを増幅させると、Cisco IoTグローバルプロダクトマーケティングディレクター、サンジェイ・カトリ氏は指摘する。

バリューチェーンは長く複雑だ——すべてのリンクが不可欠かつ相互依存であり、それぞれが潜在的脆弱性を孕んでいる。単一ベンダーでは全ギャップをカバーできない。ゆえにIoTセキュリティは「村全体」で取り組む必要がある。

IoTセキュリティの村を築く

デバイスメーカー——通信モジュールやセンサーの専門家が多い——は最も可視なリンクだ。彼らが必ずしも「モノ」そのものの製造者ではないが、接続を可能にする。責任の所在を明確にすることが重要だ。技術的コントロールを持つ主体と、エンドユーザーが責任があると認識する主体は異なる場合がある。最終的に、エンドユーザー向け企業が責任を負う。侵害が発生すれば、その企業が結果を負うからだ。

ハードウェアプロバイダーが責任あると見なされがちだが、弱点はしばしばソフトウェアにある。開発者は厳格な認証制御を組み込む必要があり、IoTソフトウェアには不正検知・防止メカニズムを盛り込み、デバイスとデータの両方を守らなければならない。

ネットワークレベルの脆弱性は、デバイスがインターネットへ到達するあらゆる場所——セルラー、Wi-Fi、Bluetooth、LPWAN、衛星——で生じる。セルラーはグローバル標準、暗号鍵、SIMベース暗号化によるベースラインのセキュリティを提供し、デバイストラフィックをプライベートネットワークへ分離できる。他の無線プロトコルには追加の保護が必要だ。

クラウドプラットフォームプロバイダー——IBM、Microsoft、Salesforceなど——が極めて重要な役割を果たす。クラウドに格納されるデータを保護し、デバイス接続の管理・監視・保護を行う。

デバイスの保護

リスクはユースケースによって異なる。デバイス保護にはレイヤーが必要：認証、ユーザー/アプリケーションアクセス制御、ライフサイクル管理、データ暗号化。数千台規模の展開ではコストベネフィットトレードオフが顕著になり、データ機密度も異なる。どのデバイスが使用され、何のデータを収集しているかを把握することが、テーラーメイドのセキュリティ戦略への第一歩だ。

ネットワークとデータの保護

デバイスがゲートウェイとして機能するとき、ネットワークはデータをクラウドサービスへ運ぶハイウェイになる。このチャネル保護はエンドポイント保護と同等に重要だ。各ネットワークレイヤーが攻撃者の侵入点になるからだ。無線（Wi-Fi、セルラー）か有線かの選択が、必要なセキュリティプロトコルを規定する。転送中データを暗号化し、プライベートネットワーク内で分離し、ネットワーク認証でデバイスとアプリケーションを検証・認可する。

クラウドカバレッジ

IoTの核心はクラウドへの安全なリンクに依存するため、強固なクラウドセキュリティは譲れない。組織はデジタル制御と物理的保護を組み合わせ、ISO/IEC 27001などの標準に準拠し、堅牢な情報セキュリティ基盤を構築すべきだ。

環境を超えて、きめ細かな制御——ロールベースアクセスと異常検知——がIoTアプリケーションに不可欠だ。アイデンティティ管理とアクセス制御リストで適切な人に適切な権限を与え、異常検知でプラットフォームが疑わしい振る舞いを検知し、自動修復できるようにする。

IoTセキュリティチェックリスト

IoT成長は巨大で、機会とともにリスクも伴う。包括的な村スタイルのアプローチが不可欠だが、困難を伴う。戦略を研ぎ澄ますため、以下に注力せよ：

• IoTサービス内のすべてのエンティティ（ゲートウェイ、エンドポイントデバイス、ホームネットワーク、ローミングネットワーク、サービスプラットフォーム）へのエンドツーエンド識別と認証。
• デバイスとバックエンドサーバー間で交換されるすべてのユーザーデータの暗号化。
• 個人/規制データを扱う際のローカルプライバシーおよびデータ保護法令への準拠。
• ルールベースセキュリティポリシーを備えたIoT接続管理プラットフォームの導入。異常振る舞いへ即座にアクションをトリガー。
• 包括的なネットワークレベルセキュリティ姿勢。

著者：サンジェイ・カトリ、Cisco IoTグローバルプロダクトマーケティングディレクター