セキュリティ課題を抱えたまま、IoTを受け入れる準備は本当にできているのか?

IoT(Internet of Things)は導入から長い年月が経過しているにもかかわらず、この分野では大きな進展が見られず、一時期は「Internet of Nothing(無のインターネット)」と揶揄されることもありました。しかし昨年、事態は劇的に変化します。「Miraiボットネット」と呼ばれるマルウェアが数多くのIoTデバイスを容易に乗っ取り、世界中に衝撃を与えたのです。この出来事をきっかけに、世界はIoTの脆弱性を痛感し、セキュリティへの関心が一気に高まりました。

もはや無視できないのは、インターネットがほぼすべての技術革新に浸透しているという事実です。かつてはノートPCやデスクトップPCなど据え置き型デバイスに限られていたネットワーク接続が、今では最も小さなポータブルデバイスにまで及んでいます。巨大なネットワークに接続されるということは、同時に攻撃の脅威にさらされることを意味するのです。

IoTはセキュリティ面で持ちこたえられるのか?

結論から言えば、現状では困難です。IoTを従来の標準的なシステムと比べると、その違いは歴然としています。具体的に見ていきましょう。

まず考慮すべきは、PCやノートパソコンとは異なり、IoTデバイスには十分な処理能力やメモリが搭載されていないという点です。これはすなわち、セキュリティ侵害からデバイスを守るためのセキュリティソリューションや暗号化プロトコルが不足していることを意味します。デバイス本体だけでなく、それらを接続するプロトコルやネットワーク自体も保護されておらず、常に攻撃の危険にさらされています。さらにIoTには、多くの場合アップグレードができないという問題もあります。つまり、より高度なバージョンが頻繁に提供されることがないのです。

MiraiによるDoS攻撃が成功した背景には、IoTデバイスに出荷時のデフォルトパスワードが設定されていたことがあります。こうした認証情報はインターネット上で簡単に入手でき、ハッカーはそれを悪用して攻撃を仕掛けることができます。

また、世界中に接続されたデバイスそのものが最大の問題というより、そこから生成されるデータこそが深刻な問題です。数百万ものデバイスから生み出されたデータがネットワーク上に自由に流れており、ハッキングされやすい状態に置かれています。

これらは、IoTをめぐって私たちが現在直面している主な課題です。では、プロトコルについてはどうでしょうか?誰がそれを決めるのでしょうか?残念ながら、ルールを策定するために名乗りを上げた機関は存在しません。とはいえ、これらのデバイスの仕組みや動作を完全に理解していない人間に、安易にルール作りを任せるわけにはいきません。

システムのセキュリティを改善するための提案は数多くありますが、そのほとんどはまだテスト段階にあり、実用に耐えるかどうかは未知数です。

AIは救世主となるのか?

その可能性は十分にあります。しばしば議論の対象となりますが、機械学習とAIは一般的なパターンを学習・識別し、異常を検知した際に管理者へ通知することができます。さらに、IoTデバイスは機能が限定的であるため、異常検知の作業はむしろ容易になると考えられます。

しかし、その実現はまだ先の話です。セキュリティ分野への機械学習の活用が始まったばかりであり、現時点でそのような高度なシステムを開発することは困難だからです。当分の間は、デバイスを守るための人間による介入が不可欠といえるでしょう。

私たちは何を期待すべきか?

手持ちの知識をすべて結集してシステムを守ることは可能かもしれません。しかし、対象となるデバイスは数百万規模に上り、どれほど努力しても防ぎきれない可能性があります。だからといって、すべてを開発者やセキュリティ専門家に任せきりにすることはできません。

現実的に考えて、ネットワーク上のすべてのデバイスを完全に保護することは不可能です。攻撃者にとっては、ネットワークへの侵入にたった一度成功すれば攻撃を仕掛けられることを考えれば、私たちがIoT時代の本格到来に備えられていないことは明らかです。準備が整っていようといまいと、IoTの時代は確実にやってくるのです。

あなたの意見を、ぜひ下のコメント欄でお聞かせください!