英国IoTセキュリティ規制、消費者により安全な接続デバイスを求める権限を付与

英国政府は、急速に拡大するIoTエコシステムの保護を目指す世界的な動きに合わせ、IoTデバイスに包括的な規制フレームワークを導入しようとしています。DigiCertのIoTセキュリティ担当バイスプレジデント、マイク・ネルソン氏が説明します。

長年にわたり、IoT製品は重大な脆弱性を抱えたまま市場に投入され、ハッキング可能な自動車や遠隔監視ツールとして機能する人形など、新たな脅威ベクトルを生み出してきました。また、コアインターネットインフラを脅かしたMiraiボットネットのような大規模インシデントも発生しました。これらのリスクが英国の規制対応を促しました。

新規制は2018年の実践規範「セキュア・バイ・デザイン」を基盤としており、メーカーと消費者にベストプラクティスガイドラインを提供してきました。これには、認証情報の安全な保存、攻撃対象領域の最小化、継続的なソフトウェア完全性と更新、通信の暗号化などが含まれます。

2018年の規範は任意でしたが、政府は主要条項を義務化する方向で動いています。規制当局は少なくとも3つの核心要件を強制します。

3つのガイドライン

第一に、IoTパスワードは一意でなければならず、工場出荷時のデフォルトにリセットできないこと。これにより、攻撃者がデフォルト認証情報を悪用するリスクを排除します。

第二に、メーカーは脆弱性報告用の公開連絡先を設置し、セキュリティ欠陥の迅速な報告と修正を可能にしなければなりません。

第三に、デバイスメーカーはセキュリティアップデートが提供される最小期間を開示し、消費者にデバイスの廃棄や追加セキュリティ対策の明確な目安を示さなければなりません。

これらの基準を満たすデバイスは政府認定のセキュリティシールを表示でき、消費者に信頼を示せます。

IoTセキュリティの判断を消費者へ移譲

従来、デバイスセキュリティの責任はメーカー、場合によっては企業セキュリティチームが担っていました。「セキュア・バイ・デザイン」認証により、その意思決定がエンドユーザーに移り、購入前に保護ネットワークへの統合リスクを評価できるようになります。

消費者が購入決定にセキュリティを考慮するようになれば、メーカーは手抜きではなくイノベーションを迫られます。これまで不安全なままの方がコストが低かったのが、今やセキュリティが市場での差別化要因になり得ます。

この計算は長く遅すぎました。これまでメーカーにインセンティブ（アメとムチ）が欠けていました。新規制で全脆弱性が解消されるわけではありませんが、積極的なセキュリティ設計を報いる建設的な枠組みを提供します。

著者はDigiCertのIoTセキュリティ担当VP、マイク・ネルソン氏

著者について

マイク・ネルソン氏はDigiCertのIoTセキュリティ担当VPとして、デジタルセキュリティのグローバルプロバイダーである同社の重要インフラ産業向け戦略的市場開発を統括しています。医療、輸送、産業オペレーション、スマートグリッドおよびスマートシティ実装における高度に機密性の高いネットワークとIoTデバイスの保護を担当。組織へのコンサルティング、メディアへの寄稿、業界標準化団体への参加、カンファレンスでの講演を通じ、テクノロジーが重要システムとそれらに依存する人々のサイバーセキュリティをどう改善できるかを発信しています。

医療IT分野でキャリアを積み、米国保健福祉省、GEヘルスケア、レヴィット・パートナーズ（ブティック型医療コンサルティング企業）での経験を持ちます。1型糖尿病患者としての個人的経験と、治療における接続技術の活用から、この業界への情熱を抱いています。