セキュリティがIoTの真価を解き放つ

2年前、IoT開発者はほぼハードウェアのみに注力していました。今日、TrustonicのCISOリチャード・ヘイトン氏は、特にコネクテッドカー、ウェアラブル、ヘルスモニターなどのコンシューマー向けデバイスにおいて、ソフトウェアが主役になったと観察しています。

Statistaによると、エンドユーザー向けIoT市場は2025年までに1.6兆米ドル（約1.31兆ユーロ）に達すると予測され、コンシューマー向けアプリケーションの急速な拡大を示しています。しかし、製造業と医療における産業・組織展開も急速に成長しています。

セキュリティと拡大するIoTランドスケープ

IoTソリューションが普及するにつれ、多くのメーカーがハードウェアとソフトウェアプラットフォームを製品間で再利用するようになりました。再利用は開発を加速できますが、あらゆる脆弱性の影響も拡大します。ある文脈で構築されたライブラリが、予期せぬシナリオで露見する可能性があります。

業界全体での「セキュアブート」と「セキュアソフトウェアアップデート」の採用は前進ですが、これらは万能ではありません。個人情報や認証情報など、極めて価値の高いデータを保存するデバイスには、より堅牢な防御が必要です。ブート時とアップデート時のセキュリティのみに依存すると、単一障害点が残ります。一度侵害されれば、攻撃者はデバイスを侵害し、他の資産への足がかりとして利用する可能性があります。

Trusted Execution Environments：より深い保護層

これらのリスクを軽減するには、より広範な戦略が必要です。重要なコードとデータを専用のハードウェア保護ゾーンに分離します。特にArmのTrustZoneのような最新チップセットが、このような分離を提供します。TrustZone上に構築されたTrusted Execution Environment（TEE）は、暗号学的コード署名と独立監査済みAPIを採用し、ソフトウェアが外部クラウドサービスに対して自己の真正性を証明できるようにし、サブバージョンリスクを劇的に低減します。

消費者にとって、侵害されたIoTデバイスはデータ窃盗、なりすまし詐欺、決済認証情報のハイジャックを招きます。メーカーにとって、単一の高プロファイル侵害はブランド信頼を損ない、特に医療や商用IoTのような規制市場では、規制当局が迅速に厳格な基準を施行するため、回復はほぼ不可能です。

前進の道

歴史的にセキュリティはコンプライアンスのチェックボックスとして扱われてきました。今日、世界中の規制当局は最低限の衛生管理——セキュアブート、デフォルトパスワード削除など——を義務付けています。これらは基礎的なステップですが、真の変革には、セキュリティを事後対応のアドオンではなく、コア製品機能として組み込むことが必要です。IoTエコシステムが成熟するにつれ、統合されたディフェンスインデプスセキュリティを採用するメーカーは、規制要求を満たすだけでなく、持続的な消費者信頼を獲得できるでしょう。

著者：Richard Hayton、CISO、Trustonic

企業が克服すべきデータプライバシー上位3つの課題（2021〜23年） eSIMでモバイル接続に革命を：NetLyncのビジョン

モノのインターネットテクノロジー