データを守る：IoTプライバシーとセキュリティの究極ガイド

2021年9月30日

IoT（Internet of Things）

IoT（モノのインターネット）の成長と普及は天文学的だ。2017-2019年には一部セクターでIoT採用がCAGR 50%に達し、市場全体も収益5,200億ドルに達すると予測されていた。IoTは2020年に7,614億ドルに達し予測を上回り、市場全体の平均CAGRは10.53%に低下したものの、2026年の新予測は1兆3,860億ドルの収益だ。ROI（投資収益率）は莫大で、業界リーダーはIoT導入戦略により直接的・間接的メリットを実感している。多くのビジネスでIoT導入戦略により経費削減という直接メリットが生まれ、顧客満足度向上と長期戦略計画改善という間接メリットももたらした。IoTデバイスは世界を席巻したが、この圧倒的成長は代償を伴った。消費者プライバシーとデータセキュリティは、すべてのIoTサービスプロバイダとメーカーの懸念事項だ。

プライバシー

IoTデバイスの増加に伴いプライバシーが侵害され、規制当局は消費者プライバシー保護への継続的な圧力にさらされている。多くのIoTデバイスは消費者が気づかないデータを収集しており、現在のプライバシー規制では消費者データの収集を防げない。(PIA)プライバシー影響評価なしで運営する企業はリスクを完全に把握していない。PIAにより、企業は新たなIT/OT事業がもたらすリスクとセキュリティ懸念を認識できる。IoTサービスプロバイダとメーカーは常に消費者データ保護と戦わなければならない。

情報を追跡する能力は存在するが、消費者は自分のデータが分析のために取得されていることに気づいていない。企業はパブリックプロファイルを作成し、各顧客のターゲットオーディエンスと価格設定を構築できる。

これらのプライバシー懸念は、パブリックプロファイルから構築された暗号化されていないデータをハッカーが傍受する可能性も招く。消費者データの過剰公開を防ぐ方法はあり、業界拡大に伴い消費者信頼を確保するため、将来的に対処することが重要だ。消費者のデータアクセス制御管理能力を高めることは、プライバシー懸念の緩和要因となり得る。これにより消費者は、データで実際に何が起きているか（分析、保存場所、共有有無）を理解できる。規制当局の協力で消費者信頼を確保できれば、IoTの将来に利益をもたらす。しかしプライバシーは、イノベーションが進む限り業界が直面し続ける永続的な課題だ。

セキュリティ

過去10年間の技術進歩は目覚ましく、モバイルデバイスへの移行とデータの即時増加により、想像を超える形でイノベーションが加速した。継続的なイノベーションと研究により、専門家はセキュリティ侵害防止に取り組んでいる。グローバルIoTセキュリティ支出（侵害エンドポイント防止向け）は本年31億ドルに達する見込みだ。ハッキングの可能性はIoTデバイスが直面し続ける巨大なリスクだ。2018年、Samsungは「スマート」デバイスで複数のセキュリティ欠陥が発見され、即座にファームウェア更新を余儀なくされた。これによりユーザーデータとアプリケーションインフラが多数の脅威に晒された。IoTエンドポイントのフットプリント拡大に伴い、ハッカーがマルウェアを仕込んだりサービスを妨害したりする機会も増える。

IoTデバイスの設定は、保存情報への容易なアクセスにより、マルウェア攻撃とボットネットによる脆弱性悪用の極めて高いリスクにさらされている。ボットネットはDDoS（分散型サービス妨害）攻撃を実行し、サーバーに大量のWebリクエストを送ってデバイス機能を妨害する。デフォルトパスワードは、IoTデバイスがセキュリティ悪用で直面する最大リスクの一つだ。攻撃者はこれらのインターネット接続デバイスを容易に特定できる。AT&Tセキュリティソリューション担当VPのJason Porter氏は最近、IoTデバイスにはデバイス侵害を防ぐためにカバーすべき複数の認証レイヤーがあると報告している。

IoTデバイスのセキュリティには対処すべきポイントが多数あり、全産業のシニアエグゼクティブの80%がIoTデバイスを必須と考える中、プライバシーとセキュリティ懸念を考慮することは極めて重要だ。立法府もIoTデバイスの進歩の重要な一部だ。米議会は2020年11月、IoTのサイバーセキュリティを強化する法案を可決した。政府規制を最新に保つこの取り組みは、IoTデバイスが世界中で業界標準として成長し続ける中、消費者信頼の維持に役立つ。

結論

私の意見では、IoT業界が消費者データを守るためあらゆる努力を払うことは最重要だ。これにはデータの利用方法を明示することも含まれる。現在IoTプロジェクトを抱える企業にとって、プライバシー影響評価の実施はリスク認識と緩和に必要なプロセス把握に役立つ。サードパーティにプライバシー影響評価を依頼するのが、客観的評価を得る最良の方法だ！

Will Robinson氏は過去29年間、情報技術分野で働いてきた。まず米海軍無線通信士として4年間祖国に奉仕。除隊後、ITキャリアを追求し、多数の上級コンピュータ認定を取得、現在CISSP（公認情報システムセキュリティプロフェッショナル）とCSSA（公認SCADAセキュリティアーキテクト）資格を保持・維持している。過去13年間、情報システム、制御システム、モノのインターネットのサイバーリスク評価を担当する多くのセキュリティチームで活動してきた。