IoTデバイスのセキュリティ：自社開発か購入か？サイバー脅威からビジネスを守る

モノのインターネット（IoT）は、施設や業務へのIoT統合を検討する中小製造業者（SMM）や、革新的製品でIoT市場への参入を目指すSMMにとって、多くの魅力を提供します。利用可能なIoT製品のスペクトルは広く、拡大し続けています。IoTの海に漕ぎ出す際、組織のリスク管理への影響（環境へのIoT導入時）や、製品ベンダーとして市場参入時の製品設計・サポートへの配慮など、潜在的なサイバーセキュリティの落とし穴に備えることが重要です。NISTのIoTサイバーセキュリティプログラムは、SMMがこれらの荒波を航行するために必要な情報を提供しようとしています。

IoTとリスク管理

従業員の快適さのためにスマートサーモスタットを設置し、休憩室にスマートコーヒーメーカーを置き、最新の産業制御システム（ICS）技術を生産環境に導入する前に、潜在的な影響を認識することが重要です。従来のIT向けに堅牢な情報セキュリティプログラムを持っていても、それらのツール、プロセス、手順はIoT導入時に適応が必要になるでしょう。IoTが従来と異なる主な点は以下の通りです。

• 物理世界との相互作用。 IoTデバイスは、環境から情報を収集するセンサー、または「現実世界」のオブジェクトを動作・変化させるアクチュエーターを備えています。センシングは大量の潜在的機密データを生成するため、何が収集され、どこへ送られるかを把握することが重要です。侵害されたアクチュエーターは、敵対者が大規模な混乱を引き起こす可能性を秘めています。例えば、誰がスマートロックを操作しているか不明な状況を想像してください。
• 従来のIT管理プラクティスへの挑戦。 IoTデバイスはしばしば「ブラックボックス」であり、内部動作が不透明で、サーバー、デスクトップ、ファイアウォールのようにエージェントを導入したりクエリを実行したりできません。その結果、一般的なIT管理プラクティスがIoTでは無効になり得ます。これらの管理課題は、IoTデバイスを「大規模に」導入すると急速に増大します。
• 一般的なサイバーセキュリティ・プライバシー機能の欠如。 IoTデバイスには、ログ記録・監視機能、新たに判明した脆弱性に対応するアップデート機能、生成・処理する機密情報を保護する暗号機能が欠けていることが多々あります。これらのデバイスが、同一ネットワーク上のITデバイスと同等のサイバーセキュリティ機能を持つと想定してはなりません。

環境にIoTを導入するSMMは、これらの課題に対処する準備が必要です。製品ベンダーとしてIoT市場に参入する場合、これらの課題を理解することは、より良い顧客体験を提供する製品開発の機会となります。

IoTセキュリティリスクの管理

組織でIoT技術を採用する際、SMMは以下の3つの目標に向けて課題に対処する計画を立てるべきです。

1. IoTデバイスのセキュリティを守り、製品が所有者の完全な管理下にあり、外部アクターによって悪用されてSMMのネットワークへアクセスされたり、ボットネットに参加させられたりしないようにする。
2. データセキュリティを守り、IoTデバイスが生成するデータが、デバイス上での保存中、ネットワーク転送中、クラウドサービスへの送信中に露出や改ざんされないようにする。
3. 個人のプライバシーを守り、IoT製品によってプライバシーに関わる情報が取得・生成される可能性と、そのデータがどこへ移動するかを認識する。

これらの目標は、NISTIR 8228『モノのインターネット（IoT）のサイバーセキュリティとプライバシーリスク管理に関する考慮事項』で明文化されており、現在利用可能なIoT製品では達成が難しい場合があります。NISTサイバーセキュリティフレームワーク（CSF）を適用している組織や、NIST SP 800-53コントロールでセキュリティ要件を定義している組織にとって、NISTIR 8228はIoTデバイスがCSFやSP 800-53の意図する目的達成にどのような課題を提示するかを特定しています。例えば、SP 800-53のコントロールSI-2（欠陥是正）は、安全なソフトウェア/ファームウェア更新機能を持たないIoTデバイスでは満たせません。同様に、多くのIoTデバイスは、CSFのサブカテゴリDE.CM-8（脆弱性スキャンの実施）を満たすために必要な方法で分析できません。

上記3目標への配慮は、IoT製品の選定と管理の両方に反映させるべきです。IoTデバイスのセキュリティ機能は、デバイスが統合されるシステムの全体的なセキュリティ要件達成に寄与するからです。

IoT製品のセキュリティ態勢を改善する

IoT製品の開発に乗り出す場合、サイバーセキュリティ課題への認識が、製品の開発・サポートアプローチの指針になります。前述の3目標は、IoT製品開発時にも適用されます。これらの目標を念頭に置いた熟慮された開発アプローチは、より管理しやすく、より安全な製品を生み出します。このアプローチは、製品の設計・開発フェーズと、市場投入後のサポートフェーズの両方に関わります。NISTIR 8259『IoTデバイス製造者のための基礎的サイバーセキュリティ活動』の以下の図で示されています。

コアベースラインは、デバイスの能力と支援アクションをニーズのスペクトルで示しています：

技術的サイバーセキュリティ能力

非技術的支援能力

計画活動と技術的・非技術的ベースラインの適用を組み合わせることで、SMMはよりセキュアで、よりサポートしやすい製品を開発でき、顧客がIoTイノベーションを活用しつつ、リスク管理課題への影響を限定できるよう支援します。

役立つ情報

NISTのIoTサイバーセキュリティプログラムは、過去数年間にわたりコミュニティと深く関わり、IoTサイバーセキュリティ課題に関する豊富なガイダンスを蓄積してきました。業務改善のためにIoTを統合したいSMM、新製品で市場参入したいSMMのどちらであっても、多くのリソースと出版物が利用可能です。

NISTのIoTサイバーセキュリティチームは、メーカーからの iotsec [at] nist.gov (フィードバック) を歓迎しています。