IoTの台頭：なぜセキュリティを初日から組み込む必要があるか

今日の消費者デバイス（ケトルからスマートTVまで）はますます接続され、日常の物をインターネット接続された「モノ」に変えています。ペースメーカーやインスリンポンプのような医療機器でさえ、ローカルネットワークに依存することが多くなっています。Synopsys, Inc.のマネージングコンサルタントであるArt Dahnert氏によれば、この傾向は数年間加速しており、減速の兆しはありません。

接続性のメリットには暗い側面があります：ますます多くのIoTデバイスが侵害されています。ハイプロファイルなインシデントには、ボットネットに組み込まれた監視カメラ、監視に使われたスマートTV、機密サイトを暴いたフィットネストラッカーなどがあります。これらの攻撃は通常、基盤となるソフトウェアがセキュリティを優先事項として設計されていなかったために発生します。

脆弱な車両

現代の自動車はこの問題を鮮明に示しています。現在の単一車両には100個以上のマイクロプロセッサーと数百万行のコードが含まれ、アダプティブクルーズコントロール、レーンキーピングアシスト、自動駐車、緊急ブレーキなどの機能をサポートしています。市場投入の急ぎと複雑なコードベースが、セキュリティを事後対応に追いやることがよくあります。2016年、ヒューストンのギャングが車両セキュリティ制御をバイパスするソフトウェア脆弱性を悪用し、30台以上のJeepを盗みました。

これらのインシデントは、安全でない車両が攻撃者にとって魅力的なターゲットであることを強調しています。物理的な盗難だけでなく、データ窃取とサボタージュのためにもです。

何ができるか？

IoTのセキュリティ確保は文化的シフトから始まります：企業はセキュリティを事後対応ではなく基盤的要素として扱わなければなりません。主なステップには：

• Secure-by-Designトレーニング： 開発チームに安全なコード作成と機密データを分離するシステムアーキテクチャのベストプラクティスガイドラインを装備する。
• セキュアアーキテクチャ： パスワードやトークンを平文で送信しない設計を採用し、コンポーネント間で最小権限通信を強制する。
• 統合SDLC： ソフトウェア開発ライフサイクル全体にセキュリティチェックポイントを組み込む。毎ビルドでの静的コード分析と、本番リリース前の必須ペネトレーションテストを含む。
• 継続的監視： 新たに発見された脆弱性に迅速に対応するファームウェアアップデートとパッチ管理プロセスを導入する。

セキュリティは目的地ではなく旅です。IoTデバイスの増加（スマートケトルから自律走行車まで）に伴い、すべての接続された「モノ」は、ユーザー、データ、インフラを保護するためにレジリエンスを念頭に設計されなければなりません。

著者：Art Dahnert、マネージングコンサルタント、Synopsys, Inc.

著者について：

Art Dahnert氏は19年以上のIT経験を持つ情報セキュリティコンサルタントで、そのうち9年以上はアプリケーションペネトレーションテストに従事。数百件のセキュリティリスクアセスメント、ペネトレーションテスト、脆弱性評価をWeb、デスクトップ、モバイルプラットフォームで実施。専門知識は小規模Webアプリケーションから大規模エンタープライズバンキングシステム、米軍特有の展開まで多岐にわたります。