企業の90%がIoTサイバー攻撃を予期、新調査で判明

認識の高まりにもかかわらず、この研究はIoTリスク管理能力が、ほぼ全ての企業で依然として大幅なアップグレードを必要としていることを示している

リスク管理は、ITシステムからデータセキュリティ、労働者補償請求まで、企業横断のあらゆる領域をカバーする規律だ。しかし、企業はInternet of Things（IoT）から直面する潜在的リスクに、ようやく目覚め始めたところだ。今後5年以内に4000万台以上のデバイスがビジネスに接続される見込みだ。

現実を直視しよう。IoTのかなりの部分は、企業の壁の外部にあるエッジデバイスと、他者によって維持管理されるデータで構成されている。これら外部当事者がデバイスの維持管理と提供データの品質に注意を払ってくれることを期待している。その依存の一部はセキュリティにも及び、ここがIoTの厄介なところだ。

関連記事: IoTセキュリティは依然としてトップ懸念事項

認識の高まりにもかかわらず、この研究は、職場内およびサードパーティにおけるIoTリスク管理能力が、全業界・ほぼ全企業で依然として大幅なアップグレードを必要としていることを示している。

これは、Ponemon Instituteの「サードパーティIoTリスク管理」調査の結論だ。630人のエグゼクティブを調査し、うち4分の3が、サードパーティIoTリスクが自社の高価値データ資産に深刻な脅威をもたらすと認めている。

Ponemonレポートによると、未保護デバイスによる既知のデータ漏洩は2017年以来倍増。さらに、回答者の約9割（10人中9人）が、今後2年以内に未保護IoTデバイスまたはアプリケーションによるサイバー攻撃またはデータ漏洩を自社が経験すると予想している。

また、この分野でのベストプラクティス特定と実装への強いニーズがある。回答者の74%が、自社のIoTリスク管理プログラムが、社内外でのIoTデバイスの普及がもたらすリスクに追いついていないと報告している。

Ponemonレポート著者らは、IoTスペクトラム全体でより高いセキュリティを確保するため、以下を推奨する：

理解と実践のギャップを埋める。 「現在のIoTリスクガバナンスは、不十分なリスク管理構造、リソース、注力、緩和技術が特徴だ。これら全ての欠点が、アウトソーシング組織内部とサードパーティ双方のIoT脆弱性を露呈させている」

より強固なリスク文化を醸成する。 「IoTエコシステム全体の個人が、技術による脅威をより良く理解すべきだ。組織は、IoTセキュリティがガバニングボードを含む全レベルの経営陣によって真剣に受け止められることを確実にする必要がある」

IoTリスクへのより高いアカウンタビリティ（説明責任）を採用する。 「成熟したIoTリスク管理構造は、IoT技術のセキュリティが定義されたリスク許容度を満たすことを保証するために不可欠だ。IoTエコシステムが提示する脅威ランドスケープは急速に拡大しているが、IoT関連の監視に対するアカウンタビリティとオーナーシップを組織全体で割り当てている企業は少なすぎる。ガバニングボードが組織リーダーにそれを求めることも稀だ」

より効果的なIoTコントロール評価を導入する。 「『信頼するが検証する』モデルに構造化されたコントロール検証パラダイムへの移行が必要だ。現在、企業はサードパーティ契約とポリシーレビューに依存し、IoTデバイスとアプリケーションコントロールの『信頼』要素に注力しているが、適切な検証なしに」