最近の侵害事例から学ぶIoTセキュリティ──企業を守る教訓

意外な展開で、ラスベガスのある無名のカジノが、IoT対応の水槽を起点としたサイバー攻撃の被害を受けました。給餌と水温を監視するリモート制御温度計が、ハッカーにとって機密顧客データを窃取するゲートウェイとなったのです。

モノのインターネットは、サプライチェーン全体でデバイスを接続し、効率向上、コスト削減、新製品の可能性を開くことで、企業運営を再構築しています。Tata Communicationsのマネージドセキュリティサービス責任者、アビナッシュ・プラサド氏によれば、IoTの変革ポテンシャルを完全に実現するには、セキュリティをビジネスモデルに初日から組み込む必要があります。

IoTデバイスが生成するデータ量は前例のないインサイトを提供しますが、同時にサイバー犯罪者にとって魅力的な侵入ポイントも作り出します。Gartnerの報告によると、過去3年間でほぼ20%の組織が少なくとも1回のIoTベースの攻撃を経験しています。2025年までに世界で推定750億台の接続デバイスが存在するとされ、サイバー脆弱性への曝露は5倍に増大すると予測されています。

IoT支配の時代を迎えるにあたり、広範なデバイス展開に伴う脅威を精査し、堅牢なセキュリティ対策を企業戦略に織り込むことが不可欠です。以下は、すべての企業が対処すべき3つの主要なIoT脆弱性です。

1. 最もシンプルな接続デバイスでさえ脆弱になり得る

ラスベガスの水槽事件は、どのデバイスも免疫ではないことを示しています。サーモスタットのファームウェアが攻撃者に10GBの個人データ窃取を許し、フィンランドのリモートサーバーへ送信させました。世界のデータの80%がプライベートサーバーに保存されている現状では、最も基本的なIoTデバイスの保護でさえ、全体のネットワーク完全性を維持する上で極めて重要です。

2. 物理的セキュリティとデバイス廃棄が独自の課題を提示する

2018年、セキュリティ研究グループLimited ResultsがLIFX Mini Whiteスマート電球を分解したところ、デバイスが所有者のWi-Fiパスワード、RSA秘密鍵、ルートパスワードを平文で保存していることが判明しました。LIFXはファームウェア修正をリリースしましたが、この事件は運用中のデバイス保護と、廃棄済みハードウェアの安全な処分の重要性を浮き彫りにしています。

3. 産業用マルウェアが物理的安全を脅かす

2018年、サウジアラビアの石油精製所へのTritonマルウェア攻撃は、サイバー脅威が産業安全システムを破壊するよう設計された初めての事例となりました。安全センサーを無効化することで、攻撃者は大惨事を引き起こす可能性がありました。この特定の攻撃は実行前に阻止されましたが、産業制御システムがより接続されるにつれ、そのセキュリティを最優先しなければならないことを強く思い出させます。

コンプライアンスのジレンマ

British Airways、Marriott Hotels、各地の自治体での最近の著名な侵害は、不十分なデータ保護がEU一般データ保護規則（GDPR）の下で多額の罰金につながることを示しました。Marriottの侵害だけで700万件の英国居住者レコードが露出しました。

欧州委員会を含む規制当局は、データプライバシーの執行を強化しています。今後の英国IoT規制では、メーカーがデバイス固有の脆弱性に責任を負うことになり、企業側も自社のITエコシステムの保護責任を負うことになります。

解決策とは？

IoTの普及が進む限り、攻撃者にとって魅力的な標的であり続けます。進化する脅威から守るため、企業は高度な分析、機械学習、人工知能を取り入れ、すべての接続デバイスで異常な振る舞いを検知する多層防御戦略を採用すべきです。

ブロックチェーン技術は制御を分散化し、ネットワーク内のデバイスが互いのアクションを検証し、不審なリクエストを管理者に警告できるようにします。リアルタイムの脅威インテリジェンス、自動対応、コンプライアンス支援を提供するマネージドセキュリティサービスプロバイダーと提携すれば、包括的なセキュリティダッシュボードが得られ、経営陣はIoTランドスケープを完全に可視化できます。

包括的なクラウドベースのアプローチ（広範な制御、拡張された可視性、新興技術の統合）を採用することで、組織は進化するデータ保護基準に準拠しながら、エンドツーエンドのIoT環境を保護できます。

結論として、IoTを恐れる必要はありません。適切なセーフガードがあれば、IoTはその約束を果たし、企業運営を向上させることができます。

著者はアビナッシュ・プラサド氏、Tata Communicationsマネージドセキュリティサービス責任者