物理セキュリティ確保：安心のためのサイバーセキュリティの重要な役割

接続デバイスの時代は多くのことを約束します：以前は非接続だったアナログシステムからデジタルデータを組み合わせることで、新たな洞察とイノベーションを提供し、家庭と職場の効率と安全性を向上できます。しかし、イノベーションの第一原則は「害をなさない」ことであり、IoT（モノのインターネット）の場合、まずサイバーセキュリティの基本を正しく理解することです。

ビデオ監視と物理セキュリティの分野では、勢いが急速にシフトしています。クラウドへの移行は他セクターより遅かったものの、CCTV、アクセス制御、音声システムがますますネットワーク接続され、ITネットワークとプロセスに統合され、よりインテリジェントな物理保護を提供するようになっています。

しかし、このクラウド移行は多くのビジネス機会も創出します。例えば、ネットワーク接続カメラからのリアルタイムビデオデータを他システム情報と組み合わせ、クラウド分析を通じて新たなビジネス価値源を開発できます。

これは小売店で見られます。ネットワーク監視カメラを万引き防止・特定に導入するのが一般的ですが、同じカメラをクラウド分析スイートに接続すると、小売マネージャーが列の形成を自動検知しアラートを生成したり、店内のトラフィックフローをより良く理解したりできます。

接続システムの常在するリスク

しかし、企業が接続カメラを警戒するのには十分な理由があります。2016年末にDropbox、Netflix、Uberなど多くの人気インターネットアプリを無効化した、世界最大のDDoS（分散型サービス妨害）攻撃は、数十万台の侵害されたネットワーク監視カメラから部分的に実行されました。攻撃を指示したMiraiマルウェアは、admin:adminのような一般的なデフォルトユーザー名/パスワードの組み合わせを試すことで、ネットワークデバイスを制御しました。

これらの重大インシデントから2年半経った今でも、多くのプロフェッショナルグレード物理セキュリティ製品が、サイバーセキュリティベストプラクティスへの配慮がほとんどないまま販売され、デフォルト認証情報など基本的な監視テストにも合格していません。重点は市場投入スピードとコスト削減に置かれています。品質管理、「セキュア・バイ・デザイン」製品開発、ファームウェアアップデートと資産管理のための効果的な事後サポートプロセスへの注力が不十分です。

これは、これらのデバイスが提供する可能性を根本的に損ないます。物理セキュリティにおけるIoTの約束が「より良く、より安全な世界」であるなら、機器がクライアントのネットワークに新たな脆弱性を導入する可能性がある限り、それは達成できません。

OEMは、デバイスが目的適合性を持ち、イノベーションに信頼できることを保証するために多大な努力を払う必要があります。これには社内でのスキルとプロセスへの投資、サプライチェーン全体を通じた明確なコミュニケーションと透明性が必要です。すべてのコンポーネントが、顧客が当然期待する厳格な基準を満たしているか？

同様に重要なのは、エンドユーザー教育への投資です。市場は価格に非常に敏感で、顧客は未知ベンダーから正しく設定されていない機器を購入するリスクを理解するための明確なガイダンスを必要としています。

さらに、意識はIT部門を超えて駆動される必要があります。組織の誰もが正しい調達プロセスの重要性を理解する必要があります。モダンIoTデバイスのコスト低下と使いやすさにより、制御が困難になっているためです。CIOが最高の戦略を持っていても、ビジネスマネージャーがクレジットカードで機器を購入し企業ネットワークに追加したら、誰が製品の安全性を保証するのでしょうか？

規制が意識を高める

とはいえ、企業はネットワーク接続デバイスがもたらすサイバーセキュリティリスクをより認識するようになっており、2018年は脅威に対抗する多くの規制変更がありました。GDPR（一般データ保護規則）が施行され、NIS指令（ネットワークおよび情報システムのセキュリティに関する指令）も施行されました。

両指令は非コンプライアンスに対して同等の多額の金銭的罰則を課します。巨額の罰金はビジネスを弱体化させる可能性があるため、関連企業が要件を満たすためのデューデリジェンスを実施することが不可欠です。

すでに、CCTVシステム導入に関連するGDPR罰金が英国とEU全域で科されているのを目撃しています。最近、英国でハッカーが学校のCCTVシステムに侵入し、生徒の映像をインターネットでライブストリーミングしたと報じられました。当然、多くのネガティブな宣伝を招きました。毕竟、子供たちを学校に送るのは安全であるという期待があり、セキュリティシステムは彼らを守るためであって、リスクに晒すためではないからです。

適切なテクノロジーパートナーの選定が極めて重要

収束するセキュリティランドスケープにおいて、適切なテクノロジーパートナーの選定はこれまで以上に重要です。セキュリティ実務者は、サイバーセキュリティが単なるIT問題ではなく、物理・電子セキュリティシステムの導入に関連するビジネスへのサイバーセキュリティリスクを理解する必要があります。物理セキュリティのデジタル化は現在非常にエキサイティングな分野ですが、それが継続するためには、業界としてサイバーセキュリティ問題により良く対処し、早急に解決する必要があります。