ゼロトラスト：IoTデバイスセキュリティの究極の防御

サイバーセキュリティ専門家は、世界中の数百万IoTデバイスの弱点を突こうとするハッカーに一歩先んじようと奔走しています。しかし、彼らは間違った問題に焦点を当てているかもしれません。

IoTデバイスは今日のビジネスのほぼあらゆる側面に浸透し、コンシューマーセクターにも急速に進出しています。インターネットに接続する各センサーは、ユーザーにとってもう一つの潜在的脆弱性を生み出します。したがって、Tempered Networksのマネージングディレクター、ゲイリー・キングホーン氏が言うように、IoTセキュリティの現状は「おそらくあまり良くない」のも当然です。

カジノのハイローラーデータベースが「スマート」な魚槽温度計を経由してハッキングされるとき、急拡大するIoTユニバースに深刻な問題があることは明らかです。技術の脆弱性状態は「ほぼ不条理なレベルに達している」とキングホーン氏。

情報システムを強化しようとする企業は、デバイス自体、特に強力なパスワードでサイバー泥棒から守る必要性に焦点を当ててきました。政府も、最近成立したサイバーセキュリティ改善法のような措置でIoTデバイスの強化を図ってきました。しかしキングホーン氏は、それが完全な答えではない――あるいは正しい質問さえではないと考えます。

すべてのIoT接続デバイスにはIPアドレスがあり、ハッカーにとって格好の標的です。しかし、トランスミッター（送信機）は、その流行りの形容詞が示すほど「スマート」ではありません。「それらは非常にシンプルなデバイスだ」とキングホーン氏。「正当なネットワーク接続やデータ要求を分析するほど高度になることは決してない。」

代わりに、ユーザーはキングホーン氏が「セキュリティの本当の穴」と呼ぶもの、すなわちネットワーク自体に焦点を当てるべきです。鍵は、攻撃ベクトルがハッカーに利用できないようにすることです。そのためには、システムがエントリー認証のために「ゼロトラスト」モデルを採用する必要があります。

この用語は、「自分の内部ユーザーのアプリやデバイスであっても、ネットワークに接続しようとするものを何も信用しない。ただし、特別に認可されたものは除く」ことを意味するとキングホーン氏は説明します。詐欺師、テレマーケター、自動音声電話から電話回線を守るため、事前に指定された番号以外をすべてブロックする「ホワイトリスト」を想像してください。

ゼロトラスト環境では、「すべてのトラフィックがネットワーク内で暗号化して移動するため、傍受や中間者攻撃がない」とキングホーン氏。組織のセキュリティポリシーは、IoTセンサーの信頼性を当てにするのではなく、デバイスとユーザーの事前特定を中心に管理されます。

このようなシステムでは、最も信頼できるデバイスでさえネットワークへのアクセスを制限されます。ハッキングされたカジノのケースで、キングホーン氏は問います：なぜ魚槽温度計が最初から顧客データベースに接続されていたのか？「それは一つのシステム――水槽の温度について語るシステム――にのみアクセスを許可されるべきだ。」

ゼロトラストは、個々のセンサーをより大きなネットワークから隔離することを可能にします。ではなぜ、セキュリティ侵害が増え続ける中、より多くの民間・公共ユーザーがこの概念を採用しないのでしょうか？

キングホーン氏は、Cybersecurity Insidersの「ゼロトラスト採用レポート」にいくつかの答えを見出します。それによると、ゼロトラストモデルへの熱意は高く、調査対象のITセキュリティチームの78%が将来的にゼロトラストネットワークアクセスの導入に関心を示しています。企業がパブリッククラウドへ移行し、モバイルワークフォースを安全に管理しようとする中、システムセキュリティ強化のニーズに応えています。

同時に、サンプルの47%が、現在のセキュリティテクノロジーでゼロトラストを実装する能力に自信がないと答えています。すでに導入しているのはわずか15%で、約20%はこのテクノロジーについてほとんど検討していません。

コストが制限要因だとキングホーン氏は言います。ゼロトラスト実現にはコストがかかり、一部ITシステムの「リップアンドリプレース（撤去と置換）」が必要で、現在の形ではデータセンター外のアプリケーションへの拡張が必ずしもうまくいきません。

「それが我々の焦点だ」とキングホーン氏。「典型的なソフトウェアエージェントとハードウェアゲートウェイデバイスの組み合わせで、あらゆるネットワークやデバイスにゼロトラストを適用できるようにすること。」

テクノロジーアップグレードでは、変化は決して容易ではありません。ITセキュリティチームは、従来のファイアウォールとVPN（仮想プライベートネットワーク）で快適だと感じているかもしれないし、多要素認証の手間を懸念するかもしれません。しかしゼロトラストはシングルサインオンで設定でき、エージェントは数分でインストールできるとキングホーン氏は主張します。「法外に高コストというわけではないが、一部の組織はそうさせてしまうかもしれない。」

同氏は、COVID-19パンデミックとそれがIT部門にもたらした追加のセキュリティ問題への対応として、ゼロトラストへの関心が急速に高まっていると見ています。テクノロジーの完全な受容には時間がかかるかもしれませんが、前進しなければ、企業は創造的なハッカーによるますます損害の大きい攻撃にさらされることになります。

昨日のレガシーシステムは、現代のサイバー脅威に対処する装備がありません、とキングホーン氏。「IPプロトコルスタックは50年前のものだ。IT組織が今日求められていることをするよう設計されていなかった。だからこそ、完全に新しいモデルが必要なのだ。」