IoTデバイスがサイバー脅威となる理由：今すぐビジネスを守る

モノのインターネット（IoT）は、企業にサプライチェーンへの前例のない可視性と制御をもたらします。しかし同時に、壊滅的なサイバー攻撃への扉を開くことにもなります。

ポネモン研究所の新たな研究によると、セキュリティ対策が不十分なサードパーティ製IoTデバイスによって引き起こされるデータ漏洩が急増しており、トップセキュリティ専門家でさえ、それらを阻止するための十分な対策を講じていないことが示唆されています。

同研究所の第3回「サードパーティIoTリスク」年次調査の副題は「企業は自分たちが何を知らないかを知らない」です。確かに、サイバー攻撃の危険性に対する無知が、多くの企業の脆弱性を高めています。IoT関連の侵害は2017年以来、少なくとも26%増加しているとのことです。（著者らによると、ほとんどの企業が自社敷地内のサードパーティ製の未保護デバイスやアプリケーションをすべて把握していないため、実際の数はさらに多い可能性があります。）

データ漏洩が蔓延する時代において、サイバーセキュリティは、少なくともリソース投資の面からは、多くの企業にとって特に高い優先事項とはなっていないようです。経営トップによる監督は特に不十分です。調査によると、半数未満の企業の取締役会が、サイバー攻撃のサードパーティリスクを低減するプログラムを承認しています。そのうち、そのリスクの性質を完全に理解し、対応に必要なセキュリティ対策に「高度に関与している」のはわずか21%です。

サイバーリスクの予測に関しては、諦めに近い態度が蔓延しているようです。回答者の87%が、自組織が今後24ヶ月以内に、セキュリティ対策が不十分なIoTデバイスやアプリケーションによるサイバー攻撃を経験すると考えています。また84%が、同じ期間内にデータ漏洩を経験すると予想しています。

最新版の調査は、600人の有効回答者と約450社のユニークな企業から得られたデータに基づいています。ポネモン研究所共同創業者のラリー・ポネモン氏によると、「エクレクティックだが興味深いサンプリング」であり、参加者にはIT、データ保護、サードパーティテクノロジー、規制の専門家が含まれています。

「サードパーティ」とは、企業自身のIT環境の外部にある、ベンダー、請負業者、チャネルパートナー、内部関連会社の全範囲を指すと、サンタフェグループ傘下でサードパーティリスク評価を専門とする「シェアード・アセスメント・プログラム」のシニアアドバイザー、チャーリー・ミラー氏は説明します。

外部IoTデバイスは通常、センサー、スマートデバイス、プリンター、カメラ、Nestサーモスタット、音声認識パーソナルデジタルアシスタントなど、企業のネットワークに接続できる電子機器をあらゆる形で取ります。

このような未保護技術の数々が、従業員の個人デバイスを通じてネットワークに導入されるにもかかわらず、経営陣はそれを巨大なリスクと見なしていません、とポネモン氏は指摘します。ミラー氏は、近年市場に投入されたIoTデバイスの数が大幅に増加したことで、問題がさらに悪化していると付け加えます。

これらのデバイスはそれぞれ固有のIPアドレスを持ち、ハッカーやサイバー窃盗団が独自データにアクセスするための潜在的な脆弱性の侵入ポイントとなります。それらをネットワークに導入する前に、企業はデバイスが意図する動作、収集対象データの種類、情報の送信方法を正確に理解する必要があります。

「それらすべては基本的な概念ですが、この巨大なIoT空間ではまだ明確化されていません」とミラー氏は述べています。

この攻撃の波に直面して、なぜ企業はより積極的に予防に取り組まないのでしょうか。ポネモン氏は、組織内のアカウンタビリティ（説明責任）の欠如に問題があると指摘します。さらに、IoTデバイスは使い勝手が良すぎるため、所有者はそれが企業セキュリティをいかに脅かすかについてほとんど考えません。

ミラー氏は、セキュリティチームと組織の中に啓蒙の兆しを見ています。医療機器メーカーなど特定の業界は、厳しい規制の対象であるため、他業界よりもこの問題に注力しています。（例えばFDAは、「人体に埋め込むデバイスについて厳格なルールを設けている」とミラー氏は言います。）カリフォルニア州消費者プライバシー法などの新法規制は、マーケティング目的での消費者データ利用を厳しく取り締まっています。さらに、立法府は、IoTベースデバイスにより高いレベルの組み込みセキュリティを義務付ける措置でメーカーを標的にしています。（例えば、多くのユーザーが変更を怠る、解読しやすいデフォルトパスワードの使用を禁止するなど。）

サイバーセキュリティ強化の他の取り組みは、国立標準技術研究所（NIST）やシンガポール金融庁（同国の中央銀行）といった組織によって主導されています。後者の5つの推奨事項のうち4つがポネモン調査に含まれています。

「自組織内にどのデバイスがあり、サードパーティによる使用を許可しているかを理解する必要があります。そして、それらのデバイスの接続方法が、本番環境からセグメント化されていることを確認する必要があります。そうすれば、侵害が発生しても、本番以外のネットワークセグメントに隔離されます」とミラー氏は述べています。

教育が最重要だとポネモン氏は強調し、サイバーリスクへの意識が、個々の従業員から経営幹部、さらに外部のサプライチェーンパートナーや顧客に至るまで行き渡る必要があるとしています。

ミラー氏は、企業がユースケースを実施し、悪用の可能性を判断してからIoTデバイスの使用を決定すべきだと述べています。例えば、最新自動車の監視システムは、ハッカーによる遠隔操作を可能にする恐れがあります。「輸送業界はこの問題を非常に真剣に受け止めています」と同氏。

結局のところ、ユーザー側の警戒心にかかっています。「サイバー衛生は個人の責任です。それが極めて重要です。IoTだけの話ではなく、すべてに関わることです」とポネモン氏は語っています。