すべてのメーカーが知っておくべきIoTの脆弱性とは?7つのリスクとセキュリティ対策を徹底解説

IoTデバイスは、ごく短い期間で多くの消費者に選ばれる存在となりました。最先端技術であるIoTは、家庭用品から最新ガジェット、自動車まで、さまざまな機器をつなぐことを可能にしています。Ciscoは「2020年までに500億台のコネクテッド/IoTデバイスが存在する」と予測しており、IoTという技術がどれほど拡大していくかは想像に難くありません。また、フィンランドのサイバーセキュリティ企業が引用したGartnerの調査によれば、1世帯あたりのIoTデバイス数は2022年までに9台から500台へと増加するといわれています。必要かどうかにかかわらず、ほぼすべてのデバイスがIoT接続機能を備える時代が到来するでしょう。

F-SecureのチーフリサーチオフィサーであるMikko Hypponen氏によると、IoT接続機能を持たないデバイスは、メーカーが活用できる消費者情報を含まないため、むしろ高価になるとのことです。IoTデバイスが企業にもたらす消費者データこそが、この技術をメーカーにとって魅力的なものにしています。しかし、こうしたデータ取引には無視できないリスクや課題が伴います。メーカーは近い将来、これらの問題を克服しなければなりません。

世界経済フォーラムは毎年、最大級のグローバルリスクを列挙した報告書を発表しています。同報告書は世界中の意思決定者や専門家によって作成されるため、高い信頼性を誇ります。そして同コミュニティは、報告書の中でIoTに際立った位置づけを与えているのです。さらに、IoT技術に不完全さや脆弱性があれば、その技術に関連するビジネス全体が影響を受けることになります。

IoTには確かにセキュリティ上の脆弱性が存在します。以下に、メーカーが対処すべき主な不完全な点をまとめました。

知っておくべきIoTの脆弱性

本記事では、すべてのメーカーが認識しておくべき主要なIoT脆弱性を7つ紹介します。ぜひ最後までお読みください。

1. インターネットの分断(ウォールド・オフ・インターネット)

世界経済フォーラムによれば、国境を越えるサイバー攻撃が続けば、政府当局はインターネットを国家単位または地域単位の「ウォールドガーデン(囲い込み)」に分割せざるを得なくなるといいます。この決定は、規制の乖離や経済保護主義など、さまざまな要因によってもたらされるものです。データ流通の流れが阻害されるため、IoT技術の活用は妨げられるでしょう。さらに同報告書は、この決定によって限定的なハイパーグローバル化されたオンライン世界が生まれると指摘しています。一部にはこの動きを歓迎する声もあるかもしれませんが、技術開発の成長を損なうものとして、大多数は抵抗するはずです。

2. クラウドへの攻撃

国境を越えるサイバー攻撃は、IoTデバイスが収集したデータを保管するクラウドプロバイダーを標的とします。政府・民間を問わず多くの組織がこうしたクラウド攻撃を認識しているものの、サイバーセキュリティは依然として、潜在的な脅威に対処できる準備が十分とはいえません。世界経済フォーラムの分析によれば、クラウドの乗っ取りが1回発生するだけで、最大1,200億ドルの損失が生じる可能性があるとされています。甚大な損失です。

参考までに、サイバー犯罪による損失は約1兆ドルと評価されている一方、自然災害による損失は約3,000億ドルにとどまります。

3. AIによって構築されるセキュリティ問題

ランサムウェア攻撃の激化がここ数年で著しく増えたと感じているなら、それはまだ始まりにすぎません。米SunnyvaleのセキュリティストラテジストDerek Manky氏によれば、今後数年で状況は悪化する一方だといいます。同氏はさらに、クラウドプロバイダーは「的」となるため、今後ますます激しく攻撃されると付け加えています。他の商用サービスもサイバー犯罪者の標的になるでしょう。

近いうちに、政府機関、医療組織、重要インフラ、さまざまなビジネスは、人工知能(AI)によって完全に設計されたマルウェア攻撃に直面することになります。攻撃は複雑なデータ分析と自動化された脆弱性検出に基づいて行われるでしょう。さらに、量子コンピュータの登場により、サイバー攻撃の進化は新たな段階へと達します。

ポリモーフィックマルウェア自体は新しいものではありませんが、AIを利用して複雑なコードを生成し、機械学習の手法によって高度な検出方法すら回避できるようになっています。

4. ボットネットの問題

IoTデバイスは他のデバイスに比べて処理能力が低く単純な作りであるため、ハッカーにとって格好の標的となりがちです。さらに、IoT接続デバイスは、攻撃者が容易に利益を得られる広範な攻撃対象領域を提供してしまいます。

DDoS(Distributed Denial-Of-Service)攻撃は、防御が不十分な接続デバイスを標的にして利用します。その結果、ハッカーは高度に連携したDDoS攻撃によって公共インフラを攻撃することが可能になります。

ハッカーに操られたIoTデバイスは、散水コントローラーやサーモスタットなど、複数の接続センサーを制御できてしまいます。その結果、重要インフラ資源の利用制限、ウォーターハンマー攻撃、広範囲での電力サージが引き起こされかねません。ただし、誤ったセンサーデータと緊急時のセンサーデータを区別できるスマートなソフトウェアを導入すれば、こうした攻撃は防げます。それにより、機械がさまざまなデータ信号にどう反応すべきかを判断できるようになるのです。

5. AIの限界

現在のAIソリューションには大きな限界があるのは事実です。AIに関連するビッグデータと機械学習は、大量のデータを効率的に検出・活用するうえで役立ちます。しかし残念ながら、人間の介入が非常に少ないため、望ましい結果が生まれにくいのが実情です。その結果、AIの力が十分に発揮されず、現状および将来のIoT脆弱性を修復できる可能性を秘めた、より賢いソフトウェアやデバイスが生まれにくくなっています。

ビッグデータ、AI、IoTは相互に密接に関連しています。IoTデバイスが収集した大量のデータがAI搭載ソフトウェアによって処理されることで、より価値のあるデータが生成されます。しかし、人間の介入が乏しければ、システムの実際の予測効果は低下します。その結果、防御が不十分な接続デバイスが量産されることになりかねません。

セキュリティ専門家によれば、AIとIoTデバイスの連携により、デバイスとデータがつながり、最適化されるといいます。AIベースのセキュリティは、強化された状況認識とデータ暗号化によるセキュリティ向上をもたらす期待されています。

6. 信頼の欠如

アムステルダムのサイバーセキュリティ企業Gemaltoは、IoTの発展におけるセキュリティの役割について調査を実施しました。その結果、顧客の90%がIoTデバイスのセキュリティを信頼していないことが判明しました。さらに、大多数の組織と消費者は、政府がセキュリティ関連の問題に関与し、セキュリティ基準を設定することを望んでいます。報告によれば、消費者の90%、企業の96%がIoTセキュリティ規制の導入を支持しています。別の調査では、54%のユーザーがIoTデバイス(少なくとも4台)を所有しているにもかかわらず、自身は接続デバイスのセキュリティに精通していると考える人はわずか14%にとどまることが示されています。また、60%の顧客は自分のデータが漏洩する可能性があると感じており、65%は自分の接続デバイスがハッカーに操作される可能性があると認めています。

GemaltoのCTOであるJason Hart氏は次のように述べています。
「消費者と企業の双方がIoTセキュリティについて深刻な懸念を抱いており、IoTサービスプロバイダーやデバイスメーカーがIoTデバイス、そして何よりもこれらのデバイスによって作成、保存、送信されるデータの完全性を保護できるという信頼はほとんどありません。企業と消費者がIoTに信頼を持つようになるまで、主流の採用は進まないでしょう。」

7. IoTへの理解不足

2018年になった今でも、メーカーは変革をもたらし、消費者がIoTを最大限に活用できるようその意義を明確に伝える方法を模索し続けています。実際のところ、IoTの発展スピードは、人間がその技術を理解する能力をすでに追い越してしまっているのです。

セキュリティ改善のための3つのステップ

#1: 責任を持つ

IoTデバイスを開発する企業の多くは、必ずしもテクノロジー企業ではありません。そのため、デバイスの設計段階でセキュリティを考慮することを忘れてしまいがちです。中には、強固に保護されたIoT製品を作るための業界のベストプラクティスを知らない企業もあります。

IoT製品を提供したいメーカーは、IoTデバイスが本質的に脆弱であることをまず理解しなければなりません。さらに、インターネット経由で相互に接続すると、ハッカーに攻撃されるリスクが高まります。この現実を理解できない企業は、ビジネスにおいて失敗することになるでしょう。顧客とインターネットの両方を危険にさらすことになるからです。

#2: 自動アップデートに対応する

自動アップデートに対応していないIoTデバイスは、ハッカーにとって格好の標的となります。Miraiボットネットが多数のIoTデバイスを支配した攻撃からは、大きな教訓を得られます。影響を受けたデバイスをアップデートして脆弱性を修正する手段がなかったため、ユーザーは新しいデバイスを購入せざるを得ず、企業の評判を落とし、ビジネスに支障をきたしました。

Microsoft Windows XPのような製品例からも学べます。Microsoftは顧客にセキュリティ修正プログラムを提供してセキュリティホールを修復しました。さらに、カスタマーサポート担当者とセキュリティエンジニアを配置し、製品ユーザーを支援する体制を整えました。

Nestのようなメーカーは月額10ドルのメンテナンス料金を設定しています。この仕組みにより、Nestは市場で最高水準のIoTデバイスメーカーのひとつとして評価されているのです。

#3: 脆弱性開示を受け入れる

倫理的なハッカー(ホワイトハットハッカー)は、製品のセキュリティホールを修復するうえで重要な役割を果たします。IoTデバイスメーカーは、デバイスの脆弱性についてホワイトハットハッカーが気軽に連絡できる体制を整えるべきです。Webフォームを設置したり、公式サイトにバグやエラーを報告するためのメールアドレスを掲載したりしましょう。また、ソフトウェアやデバイスの脆弱性を発見するために、バグ報奨金(バグバウンティ)プログラムを導入することも有効です。

IoTはまだ発展途上の段階にあり、製品は日々賢く直感的になっています。データを顧客インサイトへと変換し、さらに収益化することを学びつつあります。メーカーはデータ可視化テンプレートやAIベースのアルゴリズムを活用して、新しいユースケースを学び、創出できます。企業は、どんなデバイスや技術もバグに対して完全に免疫があるわけではないことを心に留めるべきです。しかしながら、その普及範囲の広さゆえに、IoT製品は攻撃に対してより脆弱になっています。したがって、ユーザーデータを保護する対策を強化し、IoTデバイスをサイバー攻撃から守ることは、企業の重要な責務なのです。