産業用IoTセキュリティ：課題とソリューション

産業用IoTの指数関数的成長は、最近の予測で順調に進んでいます。そして、2025年までに750億を超える接続デバイスが存在する世界に向かうにつれて、ほぼ3分の1が製造業の産業用アプリケーションで利用されるようになります。しかし、この市場内の機会（特にクラウドベースのサードパーティサービスプロバイダー）が拡大し続けるにつれて、1つの問題は、無視できない危険信号であるよりも、成長への障壁として目立たなくなります。その危険信号は、常に存在するセキュリティの要件です。

週を追うごとに、以前よりもはるかに大規模なデータベース内のデータの侵害をカバーする新しいストーリーがあり、そのような侵入から安全であると考えられている企業があります。同様に苦痛なのは、企業が収集したデータを、そもそもデータを委託した人々や企業が意図していなかった方法で保存または使用した場合です。また、デバイスの増殖が加速するにつれて、問題は改善する前に悪化する可能性があります。

この記事では、産業用IoTネットワークの一般的な脆弱性と、これらの脆弱性に対処してネットワークとビジネスの安全性を確保する方法について説明します。

ここに到達した方法

インダストリアルIoTがこのジレンマにどのように到達したかを説明する2つの基本的な理由があります。 1つは単純な数学に基づいています。展開されるデバイスの数が飛躍的に増加し、サービスプロバイダーにデバイスとプラットフォームの両方を展開するよう圧力をかけることで、業界は自らを先取りし、セキュリティイニシアチブとプロトコルが吸収して対応できる以上のことを行うリスクにさらされています。 。

2番目の理由は、過去に他の新しく大成功を収めたテクノロジーを悩ませてきた問題です。つまり、セキュリティの問題は、これまでマシンレベルで対処する必要がありませんでした。したがって、標準やプロトコルは開発されていませんでした。多くの点で、これは、プロバイダーが遭遇したときにアドホックに対処するか、クライアントが選択したサードパーティのセキュリティプロバイダーを使用するか、クライアントの内部セキュリティ対策のみに依存することを意味しました（多くの場合、それ自体では不十分です）。

問題に加えて、多くのサービスプロバイダーは、ファームウェアアップグレードの展開が遅いか断続的であるということです。これは、新しく改善されたコア機能のプッシュが優先されることが多いためです。問題がどのように発生したかにかかわらず、これは今日の業界で最もホットな問題の1つであり、多くの人が対処するのに苦労しています。

セキュリティ上の懸念事項の場所

ハッカーがIoTシステムを構築するのと同じデータツールとAIテクノロジーの使用においてより高度になるにつれて、データ侵害のリスクが高まります。工場とそれに接続されたシステム内には、侵害が発生する可能性のある場所がいくつかあります。

• 安全でないWebインターフェイス：ユーザーがIoTデバイスとインターフェイスする場所は、不適切なデフォルトパスワード、ロックアウトとセッション管理の問題、ネットワーク内の資格情報の公開などの問題に悩まされています。
• 安全でないネットワークサービス： これは、ハッカーが開いているポート、バッファオーバーフロー、サービス拒否攻撃などを介してネットワーク自体にアクセスできる可能性がある場所です。
• 弱い暗号化： 暗号化が弱い場合、または暗号化されていない場合は、侵入者がデバイス間の交換中にデータを収集できるようになる可能性があります。
• 安全でないモバイルインターフェース： 多くの企業が修理とメンテナンスのための製造業務の延長としてフィールドサービスを提供しているため、モバイルインターフェースは暗号化と認証の同じ問題に悩まされています。

IIoTセキュリティの課題

多くの企業は、そもそもセキュリティが弱いか不適切であるため、サービスとデバイスの両方を提供するIoTプロバイダーに負担をかけています。すべての重要なインフラストラクチャ操作の50％以上が、古いMicrosoftソフトウェアを利用しており、すべての産業用サイトの40％がパブリックインターネットを使用しています。

これにより、デバイスが急増するにつれて、マシンの侵入が主要なリスクになります。つまり、高度なハッカーが工場全体にアクセスし、長期間にわたって生産能力を大幅に中断または損傷する可能性があります。また、侵入の直接的または間接的な結果として、物理的に危険な状態を引き起こす可能性があります。

レガシーセキュリティも懸念事項です。産業用IoT展開の重要な価値提案の1つは、レガシー機器にIoTデバイスを後付けできることです。これにより、設備のライフサイクルが長くなり、高額な設備の購入を引き起こすことなくスマートな工場を構築するための完全な統合が可能になります。ただし、システム内で使用するために適切に保護できるデバイス、企業が持っていないスキルセット、および必要なものを認識していないスキルセットを慎重に検討するとともに、選択を行う必要があります。

まだ揺籃期にあるが天文学的に成長している業界における標準とプロトコルの欠如も、一貫したセキュリティの進歩を妨げています。ビジネスコミュニティとしてのIoTサービスプロバイダーが一堂に会し、すべての開発のための標準とプロトコルを開発するために自己規制するという感じです。

これにより、「ローカル」プロトコルが競合または重複する可能性がなくなり、クライアントにとって最も費用効果が高くなります。それまでは、標準がないためにアドホックセキュリティが標準になり、クライアントの既存のセキュリティシステムの機能が強調されます。これには、すでに独自の弱点がある可能性があります。

産業用IoTセキュリティソリューション

すべての侵害の40％以上は、マルウェアまたはブルートフォース攻撃のいずれかで構成されています。しかし、侵入には他にも多くの形態があります。企業のデバイスやシステムにアクセスする方法は多数あるため、セキュリティは4つの層で構成されていると見なされます。デバイス、通信、クラウド、およびライフサイクル管理。業界の成長速度が速いため、エンドツーエンドのすぐに使用できるセキュリティソリューションがないため、セキュリティソリューションが複雑になります。

ただし、エンドツーエンドのソリューションが開発される際に、プロバイダーや企業が暫定的に実行できる手順があります。

そのようなステップの1つは、ITネットワークをセグメント化して、機器を制御するものがすべて、会社の他のITインフラストラクチャとは別のネットワークで維持されるようにすることです。

サービスプロバイダーが実行できる2番目のステップは、「基本」を確保することです。数回の試行後のクレデンシャルロックアウトや、アクティブ化時に変更する必要のあるデフォルトのクレデンシャルなどの基本構造は、Webインターフェイスでの安全なアクセスに役立ちます。同様に、強力なパスワードルールと2要素認証を義務付けることで、不正アクセスを制限できます。

ITレベルでは、サービスがバッファオーバーフローに対して脆弱ではなく、使用されていないときにポートが閉じられていることを確認すると、侵入の手段も遮断されます。パスワード、ロックアウト、およびデフォルトのパスワードルールについて、同じ予防措置をモバイルデバイスインターフェイスに組み込むことができます。そしてもちろん、ファームウェアアップグレードの作成と展開におけるより良い規律は、システムの劣化を減らすのに役立ちます。

おそらく、セキュリティの懸念に先んじるために着手できる最大のステップは、業界が業界標準とプロトコルの開発において自主規制に向けて協力することでしょう。上記の問題の多くの基本アーキテクチャを定義し、それらを含めることを標準化および義務化することにより、サービスプロバイダーとそのプログラミングチームは、小さなセキュリティの懸念から解放され、進化するにつれて、より大きく、より集中的なセキュリティ問題に集中することができます。

基本的な基準を設定すると、すべてのシステムに最小限のセキュリティ「フロア」が設定され、セキュリティシステムが不十分または弱い企業にシステムを導入する際に、サービスを購入する企業とプロバイダーの両方が保護されます。

セキュリティの課題はIoTとともに成長し続ける

産業用IoTサービスプロバイダーとそのクライアント企業が直面しているセキュリティの課題は増大しています。多くの人は方程式のセキュリティ面を強く強調していませんが、そうしないことによって機会を逃しています。多くの幹部は、セキュリティソリューションがパッケージの一部である場合、IoTデバイスとサービスにもっとお金を払っても構わないと言っています。しかし、業界が成長し続けるにつれて、プラットフォームの一部としてのセキュリティや、サードパーティのセキュリティプロバイダーとの強力なパートナーシップなどの新しいサービスが、市場でより強力な基盤を築くでしょう。