スマートデバイスを守る：IoT安全のためのベストプラクティス

本記事では、「モノのインターネット」または「IoT」という用語を、相互接続されたスマートデバイス、M2M（マシンツーマシン）通信、関連ソフトウェア/ハードウェア技術を包括的に記述する総称として使用します。

IoT技術が提供するデータ洞察と自動化の可能性は、プロセス改善と企業運営の他の革命に大きな機会を創出しました。これらのデバイスの人気は大幅に上昇しています――グローバルIoT市場は、2025年までに世界中のさまざまなIoT業界で220億台のアクティブに接続されたデバイスに達すると推定されています。

あらゆる新技術と同様、IoTにもサイバーセキュリティの欠点があります。IoTデバイス導入を求めるあらゆるビジネスは、デバイス、システム、データを安全に保ちたいなら、サイバーセキュリティを主要な懸念として導入する必要があります。

IoTがビジネスをどう支援できるか？

IoTの傘下にある技術は、多様なセクターのビジネスに驚異的なことをもたらせますが、産業企業での使用で顕著なインパクトが実証されています。

IoTデバイスは、3Dプリンティング、人工知能、量子コンピューティング、エネルギー貯蔵の進歩など、他の急速に発展する技術とともに、産業企業の能力に前例のない革命を引き起こし、第4次産業革命として知られるようになっています。

IoTデバイスにより産業企業は：

• サプライチェーンをリモートで制御・監視
• 既存技術とIoTセンサーを組み合わせ、摩耗の兆候を監視し必要な解決策を実行することで、予防保全の予測と実装を支援
• リアルタイムエネルギーデータを通じて、プロセスをよりエネルギー効率よく運営

他セクターのビジネスにとって、IoTデバイスはデータ洞察の改善という形で相当な変化をもたらせます。これらの改善は、在庫管理の向上、スケジューリング効率の改善、廃棄物削減など、その他の拡張を含むメリットを企業にもたらせます。

IoTの危険性

データ収集と自動化を伴うIoTデバイスには明確な利点がありますが、リスクもありません。多くのIoTとスマートデバイスユーザーは、自分のデバイスの一部がどれほどアクセスしやすいか気づいていません。検索エンジンShodanは、貧弱なパスワード保護を持つデバイスをウェブで探し、アクセスできたスクリーンショットを表示します――最も注目すべき例は、ビジネススペースと個人宅の両方で使用されるIoTセキュリティカメラのストリームです。

このリストは決して包括的ではありませんが、非セキュアなIoTデバイスが悪用され得ること、慎重に導入すべきことを思い出させます。

IoTとスマートデバイスの組み込みセキュリティ不足

IoTの力を活用したいビジネスは、使用するIoTデバイスのメーカーがサイバーセキュリティを真剣に受け止めていることを確認する必要があります。

デバイスを大量販売しコストを低く抑える努力の中で、多くのスマートデバイスメーカーはサイバーセキュリティへの投資を放棄し、代わりにこの進化する市場で買い手を引き付けるため、デバイスのコスト効率を優先してきました。

英国や米国などの政府がIoTサイバーセキュリティ法制を真剣に取り組み始めていますが、大部分において、スマートデバイスメーカーが開発プロセスの初日からセキュリティを優先するよう外部圧力をかけることは十分ではありません。

多くのスマートデバイスは、二要素認証（2FA）機能が統合されておらず、収集・転送するデータを暗号化していません。スマートデバイスメーカーが開発初日からセキュリティを優先事項として実装する責任を負うまで、スマートデバイスはサイバーセキュリティ脅威の実行可能なベクトルであり続けます。

IoTセキュリティ侵害の例

歴史的に、IoTデバイスはマルウェア攻略のエントリーポイントとして使用されてきました。さらなる文脈のために、いくつかの著名な例を挙げます。

分散型サービス妨害（DDoS）攻撃

2016年、「Mirai」として知られるボットネットが、さまざまなIoTデバイスのデフォルトパスワードを悪用してDDoS攻撃を実行。この攻撃により、米国東海岸の大部分でインターネット接続が失われました。

この攻撃が実装された容易さは、IoT技術がいかに悪意ある目的で悪用され得るかの洞察を提供し、これは侵害されたIoTデバイスで動く唯一のボットネット攻撃ではありませんでした。

Stuxnetによる核機械破壊の試み

Stuxnetの作成者は確認されていませんが、この高度に回避的なコンピューターワームの広範な研究により、その目的が確認されました――核プラントで使用される遠心分離機を標的とし、物理コンポーネントに損傷を与えるサイクルを実行するよう再プログラミングすること。Stuxnetは、接続機械の脆弱性がデータ損失とソフトウェア無効化以上の問題を引き起こし得ることを示す教訓的物語です――デバイスに深刻な物理的損害を与え、甚至は生命を危険にさらす可能性があります。

サーモスタットがデータ侵害を招いた経緯

ラスベガスのある無名カジノが、顧客データのデータベースを最も予期せぬ方法で盗まれました――水族館のサーモスタットを通じて。カジノはWi-Fi接続IoTサーモスタットを使用して水族館の温度を監視・調整していました。サーモメーターが顧客データと同じネットワーク上にあったため、サイバー犯罪者がサーモメーターの脆弱性を悪用し、エントリーポイントとして利用できました。

クラウドコンピューティングからフォグコンピューティングへのシフト

一般的な信念とは異なり、IoTは外部クラウドコンピューティングプロバイダーなしで機能できますが、クラウドレスソリューションへのシフトを決める前に、クラウドコンピューティングの利点を強く考慮する必要があります。

データを完全に制御したいビジネスは、独自のローカル制御「フォグコンピューティング」インフラストラクチャを活用し、外部クラウドプロバイダーと共有せずにIoTデータを処理・送信できます。

フォグコンピューティングは、IoTデバイスからローカルエリアネットワーク（LAN）上のゲートウェイにデータを送信し、適切な処理ハードウェアへのデータ送信を処理する分散型コンピューティングインフラストラクチャです。このデータ処理にローカルハードウェアを使用することは「エッジコンピューティング」と呼ばれることが多いです。フォグコンピューティングとエッジコンピューティングは、レイテンシ削減とデータ共有・送信のより大きな制御など、一連の利点を提供しますが、脆弱性がないわけではありません。

フォグコンピューティングとエッジコンピューティングを活用してデータを保存・送信するビジネスは、収集するデータを保護するために必要な物理的、手続き的、技術的サイバーセキュリティ対策の唯一の提供者となります。これは決して小さな任務ではありません。

主要クラウドコンピューティングプロバイダーは、保存、送信、処理するデータを保護するために最先端のサイバーセキュリティ対策の実装と維持に多額の投資をしています。彼らのビジネスモデル全体が信頼性とセキュリティに依存しているためです。IoTデバイスを通常業務のアップグレードとして単に使用したいビジネスは、クラウドプロバイダーと同様のセキュリティレベルを合理的に維持できない可能性があり、フォグコンピューティングの使用が同等に堅牢なサイバーセキュリティ対策で行われない場合、より大きなサイバーセキュリティリスクにつながります。

IoTデバイスを安全に使用する方法

リスクはありますが、IoTデバイスはデータ収集と送信における前例のない進歩の機会を提示し、能力と効率の驚異的な向上につながります。IoTデバイスを安全に使用するには、主要なセキュリティ対策を実装できます。

機密データを暗号化

クラウドコンピューティングプロバイダーに処理のために送信する前にデータを暗号化するプロセスはデータ送信に遅延をもたらす可能性がありますが、機密データにとっては重要なステップです。医療データなどの機密データをIoTデバイスからクラウドに送信する企業は、そのデータの機密性を真剣に受け止める必要があります。しかし、より無害なデータは暗号化せずに残せます。

ユニークなパスワードを使用

MiraiボットネットDDoS攻撃で見られたように、IoTデバイスを悪用するために使用される方法の一つは、IoTデバイスのメーカーが使用する既知の工場出荷時デフォルトパスワードを使用してエントリーを試みるソフトウェアです。

工場出荷時デフォルトパスワードをユニークなパスワードに変更することに加え、使用するIoTデバイスは、工場出荷時デフォルトパスワードにリセットできないように製造される必要があります。デフォルトパスワードにリセットする機能が、サイバー犯罪者に攻撃の追加ベクトルを提供する可能性があるためです。

IoTデバイス用に別ネットワークを使用

機密データの管理者であるビジネスにとって、そのデータはIoTデバイスとは別のネットワークで保持される必要があります。IoTデバイスセキュリティの相対的な未成熟さにより、それらを別ネットワークに置くことで、メインネットワークへのエントリーポイントとして使用される可能性を減らせます。

IoTクラウドとデバイスプロバイダーを賢く選択

IoTデバイスのためにクラウドコンピューティングの力を活用することを選択するビジネスは、システム上でデータを保存・処理することを信頼できるIoTクラウドプラットフォームプロバイダーを慎重に選択する必要があります。また、サイバーセキュリティを重要な懸念として製造されたIoT製品を選択する必要もあります。

ニーズに合うIoTデバイスプロバイダーを決める際、以下を考慮してください：

• デバイスメーカーはサイバーセキュリティ脆弱性報告の公開連絡先を提供しているか？これらの報告を真剣に受け止める履歴があるか？
• デバイスメーカーは製品のセキュリティアップデートをどのくらいの期間提供するか？
• デバイスメーカーは生産命令の一部としてサイバーセキュリティを優先しているか？

IoTクラウドサービスプロバイダー（CSP）のサイバーセキュリティ考慮事項：

• CSPはサイバーセキュリティを真剣に受け止める履歴があるか？
• CSPはデータ保護のためにどのサイバーセキュリティ対策を講じているか？
• IoTインフラ成長に合わせ、CSPは暗号化とその他セキュリティ対策をスケールで提供できるか？

上記リストは決して包括的ではなく、各ビジネスユースケースには独自のサイバーセキュリティ考慮事項があります。IoT技術が急速な成長に貢献し続ける中、それらが提供する進化する洞察と機能を活用したいビジネスは、サイバーセキュリティを最優先し、ニーズに最適なソリューションの研究と実装を継続する必要があります。