IoTの未来を守る：リスクを最小化しながらデジタルトランスフォーメーションを推進する

わずか数年で、モノのインターネット（IoT）は私たちの生活と仕事のあり方を根本から変えました。腕時計や家庭内のガジェットから、働く場所であるコネクテッドビルやスマートファクトリーまで、IoTは私たちをより安全に、より幸せに、より生産的にし、組織に新たな成長機会を提供しています。この技術は、すでに大多数のビジネスに浸透しているデジタルトランスフォーメーション革命の最前線にあり、企業をより効率的、俊敏、顧客中心にするのを助けています。

しかし、デジタル拡大はより大きなデジタルリスクも意味します：最新の数字は、IoT攻撃が前年比100%増加したことを示しています。したがって、ITチームの鍵は、新しい接続時代に適応したベストプラクティスセキュリティを通じて、ビジネス成長を支援しつつ、これらのサイバーリスクを最小化することです。

デジタル化への移行

IoTは比較的短期間で大きく前進しました。ガートナーは、2019年に142億台の接続デバイスが使用され、2021年までに総数が250億台に達すると予測しています。この急増するデバイス量に伴い、データが爆発的に増えています。シスコの推計では、すべてのデバイスが生成するデータ総量は2020年までに年間600ゼタバイトに達し、2015年の年間145ゼタバイトから大幅に増加します。これは莫大なデータ量です。1ゼタバイトは10億テラバイトに相当します。

なぜ過去数年でIoTがビジネス環境にこれほど完全に浸透したのでしょうか。2018年のフォーブスインサイト調査（700人の経営幹部対象）がこれを説明しています。60%の企業が新規事業ラインの拡大または変革を行い、同様に63%が顧客への新規・更新サービス提供を行い、3分の1以上（36%）が新規事業を検討しています。今後12ヶ月で、回答者のほぼ全員（94%）がIoTにより利益が5〜15%成長すると予測しています。

IoTセンサー、収集されたデータ、クラウドへの送信と分析は、顧客体験の向上、複雑なビジネスプロセスの合理化、インサイトに基づく新サービス創出という大きな新機会を提供します。これには、水漏れや停電の早期兆候を監視するユーティリティ企業、工場現場の運用効率を改善する製造企業、予知保全に基づく新たなアフターサービスを提供するハードウェアメーカーなどが含まれます。

リスクは至るところに

IoTおよび産業用IoT（IIoT）システムの利用を拡大するあらゆる企業が直面する課題は、その過程でコーポレート攻撃対象領域が拡大してしまうことです。OWASPの『IoT Attack Surface Areas』文書を一瞥するだけで、いかに多くの新たな潜在的弱点が導入されるかがわかります。これらは、デバイス自体（ファームウェア、メモリ、物理/Webインターフェース含む）から、バックエンドAPI、接続クラウドシステム、ネットワークトラフィック、アップデートメカニズム、モバイルアプリまで多岐にわたります。

最大のリスクの一つは、これらのシステムがITセキュリティベストプラクティスを十分に理解していないメーカーによって製造されていることです。これにより、攻撃者に悪用される深刻なシステム的弱点や脆弱性が生じる可能性があります。ソフトウェアの欠陥から、工場出荷時のデフォルトログインのまま出荷される製品まで多岐にわたります。また、製品の更新が困難だったり、セキュリティパッチを発行するプログラムが存在しなかったりすることも意味します。

こうした欠陥は多様な攻撃シナリオで悪用される可能性があります。データ窃取のための企業ネットワーク侵入、重要運用プロセスの妨害（被害組織からの恐喝または単なる最大限の混乱目的）などに利用される恐れがあります。より一般的なシナリオでは、ハッカーがインターネットをスキャンし、工場出荷時のデフォルトまたは推測/クラックしやすいパスワードでしか保護されていない公開デバイスを探し出し、ボットネットに徴募します。これは悪名高いMirai攻撃者たちが用いたモデルであり、その後多くの模倣攻撃で応用されました。これらのボットネットは、分散型サービス妨害（DDoS）、広告詐欺、バンキングトロイの木馬拡散など多様なタスクに使用されます。

闇の中での戦い

ITセキュリティチームにとっての難しさは、組織内のすべてのIoTエンドポイントを可視化することがしばしば困難であり、検知された一部のIoTデバイスがIT部門の知らないところで動作していることです。このシャドーIT要因は、エンタープライズBYOD課題の後継と言えます。ただし今度はモバイルフォンではなく、スマートウェアラブルやその他の家電が持ち込まれ、コーポレートネットワークに接続され、サイバーリスクを増大させます。例えば、スマートTVが攻撃者に乗っ取られ取締役会を盗聴されたり、スタッフ食堂のスマートケトルが社内ネットワークへのデータ窃取攻撃の橋頭堡として使われたりすることを想像してみてください。

ITセキュリティ責任者にとってさらに悪いことに、彼らはこの増大するサイバーリスクを、より少ない熟練プロフェッショナルで管理しなければなりません。実際、あるリクルートグループによれば、IoT役職の需要は2018年第4四半期に前四半期比49%急増しました。

規制当局の追いつき

大規模なIoT関連サイバー脅威の影響は深刻です。データ損失、ITシステム停止、運用混乱等は、財務的・評判的損害をもたらします。セキュリティ侵害の調査と是正だけでも法外なコストになり得ます。深刻な停止には、ITスタッフの残業代として多額の資金投入が必要になるかもしれません。規制上の罰金も、ますます重要なコスト要因です。顧客や従業員の個人データに影響する問題にはGDPRを考慮しなければならず、EUのNIS指令も特定の重要産業で事業を行う企業にベストプラクティスセキュリティを義務付けています。両方とも同額の最大罰金を科します。

この規制監督は大西洋の両岸に迫っています。米国で提案されている新法案は、国立標準技術研究所（NIST）にIoTメーカー向けの最低セキュリティガイドライン策定を義務付け、連邦機関がこれらの基準を満たすサプライヤーからのみ購入することを要求します。

可視化と制御

成立すれば、この米国法案はヨーロッパのETSI TS 103 645標準を基盤とし、それはさらに英国政府が提案した業界向け実践コードに基づいています。これは確かに素晴らしい第一歩であり、業界をよりセキュリティ意識の高いものにし、消費者と企業がより安全な製品を求められるようエンパワーするでしょう。しかし現実には、こうした措置が市場に浸透するには時間がかかり、それまでに組織はすでに数千台の安全でないレガシーIoTエンドポイントを稼働させている可能性があります。

ITセキュリティチームは今すぐ行動すべきです。自社のIoT環境への洞察を改善することから始めます。IT資産管理ツールがここで役立ち、最も重要な第一歩である「可視化」を提供します。次に、自動パッチ管理ツールでデバイスファームウェアを最新に保ち、このプロセスが正しく機能しているか監視します。一部のセキュリティアップデートはベンダーWebサイトの深い場所に埋もれており、有効化のために人的介入が必要な場合があります。さらに、ITチームはユーザー名/パスワードが即座に強力で一意の認証情報に変更されているか確認しなければなりません。さらに良いのは、多要素認証に置き換えることです。その他のベストプラクティスには、転送中データの暗号化、継続的ネットワーク監視、アイデンティティ管理、ネットワークセグメンテーションなどがあります。最後に、サイバーセキュリティの「人的側面」を忘れないでください：従業員にはIoTに関連するセキュリティリスクを理解させ、システムとデバイスを安全に使用する方法を教えるべきです。

これが、企業を不必要な追加リスクにさらすことなく、IoTイニシアチブから最大の価値を引き出す方法です。現代のデジタルビジネスの成功に不可欠な、イノベーション主導の成長を、たった一つの深刻なセキュリティ侵害が台無しにすることになりかねません。