IoT セキュリティを実現するには？

「IoT セキュリティ」を撞着語法だと捉える人たちがいますが、それはあながち間違っているとも言えません。多くの企業や家庭で基本的なセキュリティ保護策を欠いた IoT デバイスが使用されている現状において、IoT とセキュリティとは相反する事象のようにも思えます。この現状は明らかに理想的ではありません。

免責事項：このポストは、モノのインターネット（IoT）への攻撃ではありません。設計段階からセキュリティが考慮された便利なデバイスやアプリケーションもあります。このポストを IoT への攻撃と考える人は、以降を読むことを控えてください。

Synopsys のセキュリティ・ソリューション・マネージャー、アダム・ブラウン氏は次のように述べています。「IoTデバイスのセキュリティは、デバイス上のデータやコントロールのセキュリティ、近隣のネットワーク上のデータやコントロールのセキュリティ、そしてインターネット自体のセキュリティにとって本質的です。」

大げさ過ぎるでしょうか？誇張して恐怖心を起こさせようとしているだけだと思うかもしれませんが、注目を集めたいくつかのハッキングの例はそうではないことの十分な証拠になります。

 IoTベースのハッキングは些細な事という誤解

トースターをハッキングしても、トースターの機能が打撃を受けてせいぜいトーストがこげる程度の被害があるだけだというよくある誤解について考えてみましょう。IoT攻撃の脅威は、そんな程度でしょうか？

「空調制御システムのセキュリティは、リスクが低いように見えるかもしれません。最初に思い浮かぶことは、“だから何？空調のコントロールを手にしたハッカーは部屋を寒くしたり暑くしたりできるだけでしょう？” という思いでしょうか？残念ながら、それは間違っています。2013年のターゲット社の顧客データ流出事件では、侵入された空調制御システムを通じて4,100万ものクレジットカード情報が盗まれました。この顧客データ流出事件でターゲット社が支払うことになった金額は 1,850万ドルに及びました。」と、ブラウン氏は話します。ブラウン氏は、さらに、2016年には、Webカメラとインターネットのルーターが、協調型DDoS攻撃で、Twitter、PayPal、Spotifyなどのサービスを停止させるのに使われたとも付け加えました。これらのセキュリティ違反はすべて、セキュリティに問題があるIoTデバイスのせいで引き起こされました。

Webカメラとルーターは典型的なITハードウェアですが、では子供のおもちゃのIoTは大丈夫でしょうか？

「…”My Friend Cayla” 人形は、IoTとして接続されるおもちゃです。子供が人形に質問をし、それをテキストに変換するアプリに送信します。テキストは、その後、オンラインで回答を得るために使用され、人形に答えを返します。Caylaはその答えを子供に音声で返します。キュートでかわいいですね。しかし、ドイツの規制当局はそのようには受け取りませんでした。”My Friend Cayla” をむしろ “My Spy Cayla” とみなし、監視デバイスであるという理由で人形を禁止しました。」と、ITコンプライアンスと認証の会社である Schellman & Company の執行副社長、アバニ・デサイ氏は話します。

Bluetooth対応のスマートフォンを使用して人形が簡単にハッキングされる可能性があるので、この禁止令には正当性があると言えます。

デサイ氏は、IoTが優れたテクノロジーになり得ると指摘しています。ウェアラブルなどのIoT製品はすでに生命を救うために役立っていると次の例を挙げました。「ルルドの聖母医療センターのある患者は、心臓に不整脈がありました。医師たちには2つの治療オプションがありましたが、どちらも不整脈がどのくらい長く続くかに依存して治療内容が変わります。医師たちは、患者の許可を得て彼のFitbitにアクセスし、生命を救うための治療に必要な事実を確かめることができました。」

「テクノロジーを最大限に活かすためには、テクノロジーがその仕事を行うために最適化されているとともに、情報を公開しないようにする必要があります。」とデサイ氏は付け加えました。

ここが重要ポイントです。データ・セキュリティは、ネットワークに接続されているすべてのデバイスの優先事項でなければなりません。

「Fitbitの情報で命が助かった患者のケースでは、患者の妻が医師たちに装置によって作成された情報を使用することへの同意を与えました。しかし、IoTでは、誰でもデータにアクセスできてしまうということがないようにする必要があります。モノのインターネットのデバイスは、膨大な量の個人データを生成します。また、一般に、名前、住所、パスワード、位置情報などの個人識別可能情報（PII）も扱います。」とデサイ氏は話します。

したがって、IoT セキュリティは必須です。これ以上の議論の余地はありません。

IT部門ではネットワークをサポートする必要がありますが、ネットワークにしっかりしたセキュリティがない有線・無線のIoTデバイスが含まれている場合、何かできることはあるでしょうか？

IoT デバイスへのセキュリティ追加

IoT セキュリティの必要性には言及しましたが、ソフトウェアレベルでそれを効果的に保護することはできるでしょうか？

「すべてのデバイスはソフトウェアレベルでセキュリティを追加することができますが、コンピューティング能力が非常に限られているデバイスには、最先端のセキュリティ保護を適用することが困難です。」と話すのは、NCP Engineering のシステムエンジニアリング部門責任者であり、公認情報システムセキュリティ専門家であるジュリアン・ワインバーガー氏です。

IoT センサーはどうでしょうか?

「センサーとインターネット接続だけを持つデバイスには、セキュリティを確保するために高度なセキュリティ手法を使用できない場合があります。その場合は、デバイスの周辺に高度なセキュリティ層を構築する必要があります。非常に小さなデバイスを高いレベルのセキュリティで保護することは間違いなく大変困難ではありますが、究極的には可能です。」 とワインバーガー氏は述べています。

IoT セキュリティに関して深く追究するため、ワインバーガー氏にいくつかの質問をしました。以下に記載する氏の答えは、この問題に関心がある人には有益だと思います。

IoTセキュリティを確保するのに理想的なプロセスを教えていただけませんか？たとえば、最初のステップとして「設計上安全でない」デバイスは破棄した方がいいですか？

IoTデバイスまたはソリューションを取得する際には、常に設計上安全であることを確認する必要があります。

ですが、費用がかかることや古い製品であることがネックになり、あるいはどのように保護されているか、そもそも保護されているのかさえわからないことがあり、それが現実的ではない場合が多々あります。

自社製品のセキュリティ・アプローチに関する詳細な情報を提供できないようなプロバイダーについては、再検討が必要でしょう。すでにデバイスが設置済みの場合は、デバイスの周辺にセキュリティを構築できます。古い製品を使用する環境では、このアプローチがよくとられます。

また、製造元に対して、デバイスをアップデートする方法を持っているか、デバイスの寿命中にアップデートとパッチの情報を提供する用意があるかを確認することも重要です。ほとんどのセキュリティ上の脆弱性は、製品が既に市場に出回った後に明らかになるからです。IoTデバイスの寿命は、従来のITデバイスよりも長い可能性があり、10年から20年のスパンで考えるべきでしょう。製造元は、その期間のアップデートとパッチを提供できる必要があります。 

IoTデバイスを保護するための条件は何ですか？

IoTメーカーの上層部がセキュリティに対して十分な警戒感を持っていない場合、安全なデバイスを提供することは非常に困難です。特に、IoT のスタートアップ会社では、セキュリティを度外視しても早く市場に進出すること重要視しがちです。あるいは、単にコスト削減のためにセキュリティへの配慮を怠ることさえあり得ます。製造元が設計段階からセキュリティに十分配慮するアプローチをとっていなければ、ほとんどの場合、製品は安全ではありません。

企業は常にメーカーのセキュリティ・アプローチを把握する必要があります。メーカーのセキュリティ・アプローチが明らかでなかったり、企業の要求レベルに達しないものであったりする場合は、デバイスの周辺にセキュリティを組み込むことができます。しかし、IoTデバイスの周辺にセキュリティを構築したり、別のセキュリティ層を追加することはあくまで例外であり、一般的な慣行とするべきではありません。

ソフトウェアレベルでセキュリティを確保するにはどうすればいいですか？OTA（over the air）または手作業のアップデート？

ほとんどのIoTデバイスは所有者による管理が行われていないため、製造元がアップデートをプッシュする必要があります。所有者によってアップデートされていなかったデバイスに起因するデータ侵害がいくつも発生しています。これは、特に消費者市場における大きな問題です。デバイスがインターネットにアクセスできない制限されたエリアにあって、手作業でのアップデートが必要な場合もあります。セキュリティを維持するために必要なアップデートがあれば、その日のうちにデバイスがアップデートを受信することが重要です。

設計上安全でないデバイス/センサーを何らかの理由で使用する必要があって、デバイスのアップデートが不可能な場合に生じるリスクを削減/排除するにはどうすればいいですか？

デバイスやセンサーにセキュリティ保護が施されていない場合、それらはネットワークの他の部分から分離されるべきです。最初のステップは、そのデバイスのネットワークを他のデバイスから分離することです。そうすることで、デバイスから送信されることになっているトラフィックだけが許可されます。可能なら、送信元IPと宛先IPも制限するべきです。ネットワークアクセスの分離と制限に加えて、ネットワークトラフィックを監視することもできます。通常の動作を分析し、トラフィックの異常を検出する複数のツールがあります。厳格な制限と監視が重要なポイントです。

IoT のセキュリティを確保するためにセキュリティ部門が解決すべき問題とその解決方法は何ですか？

現時点では、IoT環境に関する公式のコンプライアンスやガイドラインはありません。PCI DSSがクレジットカード情報のセキュリティ基準を提供し、医療情報についてのコンプライアンスをHIPAAが提供するのと同じように、IoTデバイスのためのコンプライアンスが必要です。

ガイドラインがないため、接続されたデバイスの数が増えればそれだけ、ハッキングのリスクも増大します。

「ボットネットは以前はPCやサーバーに限られていましたが、接続デバイスが飛躍的に増加したことで、過去のボットネットに比べて、より強力で制御するのが極めて困難な巨大ボットネットの出現も危惧される事態になっています。」とワインバーガー氏は話します。

すべての製造業者が設計段階から、そして製品ライフサイクル全体にわたって、安全なデバイスを製造するためには、速やかにコンプライアンス基準を規定する必要があります。

「IoTソフトウェアも、他のソフトウェア同様、設計段階からソフトウェアを安全にするために開発サイクルの一環としてソフトウェア・セキュリティ・イニシアチブを必要とします。今でもハードウェアにソフトウェアが追加されることを十分考慮に入れる必要がありますが、将来はIoTデバイスも認定を受けることになるのは確かでしょう。」とブラウン氏は述べています。

セキュリティ部門は、接続されているすべてのIoTデバイスのインベントリを保持し、そうすることが適切な場合は IoT をメインネットワークから分離し、「設計段階での安全」が確保されていない場合は互いのネットワークを分離する必要があります。そうでないと、食堂のトースター、スマートな冷蔵庫、ランダムなセンサーなどがネットワークを脅かす原因となり、ハッカーが高価なエンドポイントソリューションを簡単にバイパスしてデータを取得できてしまいます。IoT環境がセキュリティ保護されていることを、再確認してください。