“回転すし屋”のアプローチが必要なIoTセキュリティ実装（1/3 ページ）

全てのものをインターネットに接続する手段であるIoT（Internet of Things）。第4次産業革命におけるキーテクノロジーの一つであり、企業変革をもたらすキーフレームとしての役割を持つIoTは、既に多くの企業で積極的に活用されていることだろう。ただし、インターネットに接続可能なIoTデバイスだけに、これまでのITと同様、セキュリティに対しては配慮が必要だ。そこで今回は、そんなIoTセキュリティにおける現状と、理解しておきたいセキュリティの考え方について紹介したい。

公開 2019年07月31日 08時00分

更新 2019年08月20日 21時25分

著者

松尾正克

[デロイトトーマツサイバー合同会社]

印刷する連載新着通知を受け取る

アナリストプロフィール

松尾正克（Masakatsu Matsuo）：デロイトトーマツサイバー合同会社　サイバーアドバイザリーシニアマネジャー

IoTセキュリティ分野において、電話、監視カメラ、決済端末、複合機、住宅、車載、医療、家電など、さまざまな機器の基礎研究や開発を15年以上にわたって担当。IoTセキュリティの設計コンサル、教育、講演も多数実施。工場などのセキュリティ対策にも関与。サイバーセキュリティの各種委員を歴任。

IoTセキュリティの今

IoTの広がりとセキュリティリスク

　これまでデジタル処理されていなかったさまざまなフィジカル（物理）情報を、センサーで取得しデジタル情報に変換し、AI（人工知能）や加工、解析することでこれまでにないインテリジェントな活動に役立てていく。そんな第4次産業革命におけるキーテクノロジーの一つであるIoTは、フィジカルとデジタルをつなぎ合わせるキーフレームとして、多くの企業で導入が進められている。これは、デジタルテクノロジーを駆使して、経営の考え方やビジネスプロセスを再構築するデジタルトランスフォーメーション（DX）におけるキーテクノロジーとしても注目されている。

　しかし、デジタルの世界であるIT領域は、悪意のある攻撃者、いわゆるクラッカーなどから常に狙われ続けている。IoTによって物理情報がデジタル化されることで、攻撃者にとってはマネタイズの手法が広がり、攻撃する動機を増やすきっかけを与えてしまうことになる。しかも予算の都合から、フィジカルとデジタルを媒介するIoTデバイスには十分な処理能力を備えたデバイスを準備できず、セキュリティ対策も緩くなってしまいがちだ。結果として、攻撃されやすい状況となってしまう。

IoTセキュリティにおける海外企業とのギャップ

　IoTセキュリティに関する対策は、法整備や規格化など日本よりも欧米の方が進んでいる。なかでも、影響の大きな重要インフラにおける取り組みの差は大きい。もちろん日本でもIoTセキュリティに関する議論は盛んではあるが、ISO（国際標準化機構）やIEC（国際電気標準会議）といった国際標準規格にまとめられている有効な対策方法を“再発明”する議論も散見され、対策方法の検討にとどまっているケースが少なくない。

　欧米に比べて日本の対策が遅れているのは、企業トップの危機意識の差によるところも大きい。

　セキュリティの対策不備によって経営者個人が訴えられる米国では、経営層にセキュリティの専門家を配置することは普通のことであり、セキュリティ投資には積極的な傾向が見られる。また、欧米ではストックオプションを保有する経営者が少なくなく、株価に悪影響を与えるセキュリティリスクに敏感なことも対策が進む要因になっている。任期中の経営成績で判断される日本との違いは当然出てくるだろう。

　クラッカーから狙われるリスクは、海外の方が狙われやすいという点も見逃せない。これも日本で対策が進まない理由の1つである。国際的なクラッカーにとって見れば、政治目的でもない限り、費用対効果を考えれば、わざわざ言語体系の複雑な日本企業を狙うよりは、欧米企業を狙う方が効率的だ。そのため今日まで日本企業は狙われにくく、欧米ほど危機意識が喚起されてこなかった。しかし、昨今は欧米企業の対策が進み、言語の壁を越えてでも日本企業を攻撃したほうが得なケースが増加している。実際、公開されていないものを含めれば、最近は日本でも数多くのIoTデバイスへの攻撃事例が発生している。

日本で進むIoTセキュリティ研究

　欧米に比べて対策が遅れていた日本だがここに来て進展が見られるようになった。その一つが内閣府に設置された「総合科学技術・イノベーション会議」が推進するSIP（戦略的インベーション創造プログラム）だ。2015年からの第一期では「重要インフラなどにおけるサイバーセキュリティの確保」、2019年からの第二期では「IoT社会に対応したサイバー・フィジカル・セキュリティ」をテーマにしたIoTセキュリティの研究開発を進めている。

　ここでは、サプライチェーンを支えている信頼の起点となる「トラストアンカー」がどこにあるのか、そのアンカーをしっかりと可視化したうえで、どう対策するのかという技術検討も行われている。ある電力会社の事例だが、外部から攻撃を受けたことで通信が遮断されたことで現場の状況が本部に伝えられず、結果として大規模停電を起こすことになった。これは、通信事業者が攻撃されたことで電力会社にも連鎖的に影響を受けた事例の一つである。

　しかし、IoT機器は10年以上、場合によっては20年以上利用し続けているものが少なくなく、セキュリティ対策そのものが難しいというケースもある。どれだけ意識が高まったとしても、技術が伴わないというのが現実である。これは日本だけでなく欧米でも同様の課題が存在する。

次ページへ「Security by Design」（セキュリティバイデザイン）とは？