IoTセキュリティ：不可避の問題と最善の対策
今日の時代、我々の周りにあるもののほとんど全てがインターネットとつながりを持つようになってきました。このような「もののインターネット（Internet of Things: IoT）」は、生活を便利にする一方で、様々なセキュリティリスクをもたらします。
本記事では、IoTを構築する際に必要なセキュリティとその対策について解説します。これを読むことで、「IoTセキュリティ」について理解を深めることができ、実際の対策を行う際の指針を得ることができます。
コンテンツ（目次）
IoTのセキュリティとは
IoTセキュリティの基本的な概念
IoTセキュリティとは、IoTデバイスやそれらが使用するネットワークを保護する様々な対策のことを指します。その主な目的は、ユーザーのプライバシーとデータの機密性を維持し、デバイスとその他の関連インフラのセキュリティを確保し、IoTエコシステムをスムーズに機能させることです。
IoTは広範な分野であり、特定の機能を持つ「もの」やデバイスにインターネット接続を追加することを含みます。応用範囲は広大で常に拡大されるため、その結果、接続された各デバイスは攻撃面を広げ、サイバー攻撃の機会を増やします。
ハッキングの影響で工場の生産が停止したり、オフィスや家の鍵を開閉するための情報が書き換え入室できなくなるなど、IoTは豊富なデータを持ち、必要な機能に依存する上、重要な産業で実装されているため、サイバー犯罪者にとって魅力的な目標となり得ます。
IoTデバイスが直面するセキュリティ課題
IoTデバイスが直面するセキュリティ課題は多岐にわたります。それらの一部は以下の通りです。
不適切な設定：
多くのIoTデバイスは、デフォルトの設定が不適切で、セキュリティリスクを増加させます。デフォルトのパスワードやユーザー名を変更しないこと、不要なポートを開放すること、不適切なユーザー権限の設定などが該当します。
不十分な更新とパッチ：
デバイスのソフトウェアやファームウェアの更新が不十分な場合、それは既知の脆弱性を持ち続け、攻撃者に悪用される可能性があります。
データの不適切な保護：
デバイスから送信されるデータが不適切に保護されていると、それは傍受や改ざんのリスクにさらされます。データの暗号化や適切な保存方法が必要です。
物理的なアクセス：
IoTデバイスが物理的にアクセス可能である場合、それは不正な利用や損傷のリスクにさらされます。
ネットワークセキュリティ：
IoTデバイスが不安全なネットワークに接続されていると、それは不正なアクセスや攻撃のリスクにさらされます。
供給元ベンダーのセキュリティ：
IoTデバイスの供給元ベンダーがセキュリティに対して不十分な配慮をしていると、それはデバイス自体のセキュリティに影響を及ぼします。
オープンソースコードの脆弱性：
IoTデバイス用に開発されたファームウェアはしばしばオープンソースソフトウェアを含みます。これらはその脆弱性を狙うサイバー攻撃の対象となる場合もあるため、機能開発やバグや脆弱性対策に優れたものを選定する必要があります。
不十分なテスト：
セキュリティを優先せず、IoTシステム開発時のテストが不十分な場合、脆弱性の特定が遅れインシデントの原因となる可能性があります。
脆弱なAPI：
APIはしばしば、SQLインジェクション、分散型サービス拒否（DDoS）、中間者攻撃（MITM）、ネットワーク侵入などの攻撃を開始するためのエントリーポイントとして使用されます。
脆弱なパスワード：
IoTデバイスは一般的にデフォルトのパスワードで出荷されます。多くのユーザーは、これを変更しないあるいは第三者が推測可能な弱いパスワードを設定し使用を続けることで、サイバー犯罪者が簡単にアクセスできる状況となる場合があります。
IoTセキュリティの対策
ここで述べる対策は、IoTデバイスとネットワークのセキュリティを強化するための一般的なベストプラクティスを示しています。
設定の改善：
すべてのIoTデバイスのデフォルト設定は変更する必要があります。これには、デバイス名、パスワード、ネットワーク設定などが含まれます。
アップデートとパッチ：
これは、セキュリティ問題を修正するための最も効果的な手段です。デバイスのソフトウェアは定期的に更新され、パッチが適用される必要があります。
ネットワークセキュリティ：
IoTデバイスを保護する最も重要な方法の1つは、それらが接続するネットワークを保護することです。これには、不正なアクセスから保護するための強力なパスワードと暗号化、不正なトラフィックを防ぐためのファイアウォール、ネットワーク内の異常な行動を検出するための侵入検知システム（IDS）や侵入防止システム（IPS）などが含まれます。
データセキュリティ：
IoTデバイスから送信されたデータは暗号化する必要があります。また、データが保存される場所は安全であるべきです。
リスク評価と対策：
リスク評価はIoTデバイスが脅威にさらされる可能性を理解し、それに対する適切な対策を講じるために必要です。
アクセス管理：
誰がIoTデバイスにアクセスできるかを制限することは、そのセキュリティを保証する重要な要素です。
フィジカルセキュリティ：
IoTデバイスのフィジカルセキュリティも重要です。それらは、不正な利用から保護するために適切に保管される必要があります。
規制遵守：
IoTデバイスは、データ保護規制、プライバシー規制、他の関連規制に遵守する必要があります。それらの遵守は、セキュリティのための一部であり、それらを無視することは、法的および財政的なリスクをもたらす可能性があります。
ベンダーのセキュリティ：
IoTデバイスの供給元ベンダーのセキュリティは、そのデバイスのセキュリティに大きな影響を与えます。そのため、セキュリティーが適切に考慮され、維持されていることを確認することは重要です。
IoTセキュリティに関する最新の研究結果やガイドラインについての情報
NISTのIoTに対する理解と取り組み：
NIST（National Institute of Standards and Technology）は、IoTの重要性とそれが私たちの日常生活に大きな影響を与える方法を示唆しています。
IoTは、データ、システム、お互いへのオンデマンドアクセスを可能にする完全に接続された世界を実現することで、経済を革新する可能性があります。しかし、このレベルの接続性には、特に世界中の多くのデバイス間で、プライバシー、セキュリティ、信頼性のリスクが伴います。これらのデバイスとそれをサポートする高度なネットワークを構築し安全に維持する必要があります。
サイバーセキュリティとIoT：
2021年5月12日に発行された大統領令「Improving the Nation’s Cybersecurity (14028)」は、NISTを含む複数の機関に対して、ソフトウェア供給チェーンのセキュリティと完全性に関連するイニシアチブを通じてサイバーセキュリティを強化するよう指示しました。この大統領令は、ソフトウェア供給チェーンのセキュリティを強化するための実践を特定するガイダンスをNISTに公表させ、IoTとソフトウェアに関連する2つのラベリングプログラムを開始させることを指示しました。
IoTのセキュリティに関する最新のプロジェクトとプログラム：
NISTは、ニューロモーフィックデバイスの測定、信頼性のあるネットワークの構築、USGv6プログラムなど、IoTのセキュリティに関する最新のプロジェクトとプログラムを進めています。
IoTセキュリティの課題：
テクノロジーは私たちを助けるためのものですが、時として一歩進んで二歩下がるような感じがします。多くの人々と同様に、我が家も何人かのIoTデバイスを抱えています。これらを取得した動機は、生活を効率化するためです。しかし、これらのデバイスのセキュリティについては、常に注意が必要です。
過去のセキュリティー課題の事例をいくつかご紹介します。
スマートホームのセキュリティ事例:
スマートホームデバイスがハッキングの対象となり、不正アクセスによりデバイスが制御される事例があります。これにより、ユーザーのプライバシーが侵害され、また、物理的な危険にさらされる可能性もあります。
デバイスのセキュリティ設定を適切に行い、不正アクセスを防ぐためのパスワード管理、ファイアウォールの設定、セキュリティ更新の定期的な実施などが重要です。
医療機器のセキュリティ事例:
IoTが医療分野で広く利用されていますが、これらのデバイスがハッキングの対象となると、患者の健康情報が漏洩したり、機器の操作が不正に変更される可能性があります。
医療機器のセキュリティは、機器の設計段階から考慮する必要があります。また、機器の使用者や管理者がセキュリティリスクを理解し、適切な対策を講じることも重要です。
自動車のセキュリティ事例:
自動車の多くは、ナビゲーションシステムやエンジン制御システムなど、多数のIoTデバイスを内蔵しています。これらのシステムがハッキングされると、車両の制御が奪われ、重大な事故につながる可能性があります。
自動車メーカーは、車両のセキュリティを強化するために、ソフトウェアのセキュリティ更新を定期的に行うこと、また、車両のシステムが不正アクセスに対して耐性を持つように設計することが求められます。
まとめ
IoTのセキュリティは、その成長と拡大に伴い、ますます重要になっています。IoTデバイスの保護は、それらの設定、ネットワークとデータのセキュリティ、物理的な保護、アクセス管理、供給元ベンダーのセキュリティーなど、多くの要素を含む複雑な問題です。この問題を解決するためには、標準化、教育、そしてテクノロジーの進化が必要となります。
参考文献
- ・IoT For All. (2020). IoT Security: The Essential Guide for 2020.
- ・CSO Online. (2020). Internet of Things (IoT) Security: 11 Things Every Home User/Consumer and Business Leader Should Know in 2020.
- ・NIST. (2019). Considerations for Managing Internet of Things (IoT) Cybersecurity and Privacy Risks.
- ・SANS Institute. (2017). Securing the Internet of Things Survey.
