IoTセキュリティ対策とは？ 重要性やガイドラインを解説
サイバー攻撃が年々高度化・巧妙化している中、パソコンやスマートフォンだけでなく、インターネットに接続されたプリンターや監視カメラといったIoT機器も、サイバー攻撃の対象となっています。実際に、企業の保有するIoT機器がウイルスに感染し、他社への攻撃に利用されるといった被害も報告されています。では、IoT機器にどのようなセキュリティ対策を施すべきなのでしょうか。
本記事では、IoTセキュリティの重要性や、想定されるサイバー攻撃の種類、必要なセキュリティ対策のほか、総務省と経済産業省が発表しているIoTセキュリティのガイドラインについて解説します。
IoTセキュリティの重要性
モノとインターネットを接続するIoT機器は、高い利便性によって幅広い分野に普及していますが、それと同時にサイバー攻撃を受ける事例も確認されるなど、IoTセキュリティの重要性が高まっています。特に、企業で利用されるIoT機器には機密情報などの重要な情報が含まれるケースもあるため、適切に対策しなければなりません。
総務省が公表した「令和6年版情報通信白書」内の「世界のIoTデバイス数の推移及び予測」によれば、世界で利用されているIoTデバイスの数は、2019年に約230.7億台となっていたのが2023年には378億台と1.6倍以上に増加していました。今後も増加が見込まれる中、IoT機器を狙った攻撃は無視できない脅威です。
IoT機器がサイバー攻撃を受けると、インターネットを介して不正な操作をされたり、外部への攻撃の踏み台として利用されたりする可能性があります。また、内部に保存された情報の流出や、ネットワークを経由した他のシステムへの感染拡大など、甚大な被害が発生する可能性も否定できません。
実際に、2016年にはIoT機器を標的としたマルウェア「Mirai」が猛威を振るい、世界中の約18万台以上のIoT機器が大規模なDDoS攻撃に悪用されました。2016年以降もMiraiの亜種が作成され、様々な被害が発生しています。
IoT機器が受ける可能性のあるサイバー攻撃の種類
IoT機器はインターネットを介して常に外部から接続できる状態にあることから、様々なサイバー攻撃の対象になる可能性があります。IoT機器を対象としたサイバー攻撃の種類としては、主に下記の3種類が想定されます。
ランサムウェア
IoT機器は、ランサムウェアによる攻撃を受ける可能性があります。ランサムウェアとは、システムや機器に不正に侵入してデータを暗号化した上で、復元するための代償として身代金を要求するマルウェアです。企業のIoT機器がランサムウェアに感染すると、業務用の機器が操作不能となり、業務への支障が生じかねません。
さらに、ランサムウェアへの感染によってIoT機器に保存されている設定情報や通信ログが漏洩し、機密情報の流出に発展することもあります。ランサムウェアの標的となるのはパソコンやサーバーだけでなく、IoT機器も対象になり得るため、対策が不可欠です。
- 併せて読みたい
アカウントの乗っ取り
IoT機器に対するサイバー攻撃によって、アカウントの乗っ取りの被害が発生することもあり得ます。IoT機器の管理は、専用のWebインターフェースや管理ツールを通じて行われることがあるため、そこにアクセスする際のアカウント情報が狙われるケースがあるのです。IDやパスワードが漏洩すると、攻撃者が正規ユーザーになりすまして、機器を勝手に操作したり、設定を変更したりする可能性があります。
こうした乗っ取りは、データの改ざんや情報漏洩のリスクだけでなく、最終的にランサムウェアなどの感染を招いて二次被害に発展するおそれもあります。
他のサイバー攻撃への悪用
IoT機器がサイバー攻撃を受けると、自社だけでなく、他の組織などへのサイバー攻撃の踏み台として悪用される可能性もあります。実際に、IoT機器がDDoS攻撃に利用され、攻撃者の指示で一斉に特定のWebサイトやサーバーへ大量のリクエストを送信した事例がありました。
また、IoT機器がスパムメールやフィッシング詐欺メールの送信元として利用されることもあり得ます。知らぬ間に被害が発生したとしても、自社の機器が詐欺行為の一端を担ったという事実が信用の失墜や法的リスクにつながるおそれもあるため、注意が必要です。
攻撃者は、IoT機器をウイルスに感染させ、機器を不正に操作して他のサイバー攻撃に悪用します。ウイルスに感染したIoT機器は、企業のネットワーク内の他のデバイスへの感染拡大にもつながりかねません。セキュリティ対策が施されていないIoT機器があると、被害者になる可能性があるのと同時に、攻撃の加害者にもなり得ることを意識して、適切な対策を講じることが不可欠です。
効果的なIoTセキュリティ対策
IoT機器を安全に運用するためには、適切なセキュリティ対策が欠かせません。代表的な対策としては、下記の3つの方法が考えられます。
パスワード管理と初期設定の見直し
IoT機器のセキュリティ対策として、パスワードの管理を強化しつつ初期設定を見直すことが重要です。IoT機器は一般的に、出荷時には初期パスワードなどが設定されています。初期設定された管理者のアカウント情報では、第三者が簡単に推測できる文字列が使用されているケースも少なくないため、変更せずに使い続けるとアカウント乗っ取りのリスクを増大させます。
IoT機器を導入した場合はすぐに初期設定を見直し、強固なパスワードに変更することが必要です。他のサービスのパスワードの使い回しも避けましょう。場合によってはパスワード管理ツールなども活用して、IoT機器やサービスごとに複雑かつ推測されにくいパスワードを設定する管理が求められます。
また、IoT機器にはSNS連携や外部との通信機能が搭載されていることがあります。意図しない通信や情報漏洩につながる可能性もあるため、これらの機能が不要であれば、無効化しておくのがお勧めです。IoT機器は初期設定のまま運用するのではなく、必要な機能を確認しながら設定を見直して、運用を開始してください。
通信の遮断・暗号化
IoT機器は常に外部ネットワークと通信しているため、不要な通信経路の遮断や通信の暗号化によって安全性を確保することも重要な対策です。ファイアウォールなどのセキュリティ機器を活用して、不要なポートや不正な通信を遮断することで、攻撃の侵入口を減らすことができます。
また、通信内容を第三者に傍受されるリスクを避けるために、通信の暗号化も導入するのがお勧めです。送受信するデータを自動的に暗号化するVPN（仮想プライベートネットワーク）などを用いて安全な通信経路を確保すれば、通信中のデータが傍受されるリスクを低減できます。特に外部のクラウドサービスと連携する場合には、通信の暗号化は重要です。
- 併せて読みたい
ファームウェアの定期的なアップデート
IoT機器のセキュリティ対策では、ファームウェアを定期的にアップデートすることも重要です。IoT機器へのサイバー攻撃では、ファームウェアの脆弱性を突かれるようなケースも想定されます。メーカーからセキュリティパッチが提供されているにもかかわらず更新を怠ると、攻撃に対して無防備になりかねません。
そのため、IoT機器のファームウェアの更新状況を定期的に確認し、常に最新の状態に保つことが必要になります。自動更新機能が備わっている機器を選ぶことや、定期的にアップデートの有無を確認する仕組みを社内で整えることなど、適切な管理体制を構築しなければなりません。
業界別IoTセキュリティ対策のポイント
IoT機器の用途やリスクは業界によって異なるため、それぞれの業界に応じたセキュリティ対策が必要です。下記では、IoT機器の活用が進んでいる製造分野と医療分野について、対策のポイントを解説します。
製造分野
製造業では、IoT技術を活用した生産ラインの自動化や設備管理の効率化が幅広く進められているため、セキュリティ対策が不十分だと生産活動に深刻な影響を与えるリスクがあります。
製造業のIoTセキュリティ対策として有効なのは、工場ごとにネットワークを分離することです。これにより、一部の機器がサイバー攻撃を受けても他の工場への被害拡大を防げます。
また、製造業では様々な機器でIoT技術を活用しているため、ファームウェアの更新作業が煩雑になりがちです。適切にファームウェアを更新できるよう、管理部門で定期的にアップデート状況を確認する仕組みを整備し、確実に最新のセキュリティパッチが適用されるようにする対策が必要になります。
医療分野
医療分野では、患者のバイタル情報の取得や医療機器の管理にIoT機器が活用されています。IoT機器で扱う情報は、病歴や診断結果といった特に厳重な管理が求められる個人情報であるため、他の業種以上に高度なセキュリティ対策が必要です。
重要な情報を扱う医療分野のセキュリティ対策で重要なのは、関係者間でセキュリティ意識を共有することです。医療従事者はセキュリティの重要性を意識していても、システム管理者や運用スタッフなどの関係者に十分な意識が浸透していない可能性もあります。人的ミスによる情報漏洩などを発生させないためには、関係者全員に対策の重要性を理解してもらわなければなりません。
また、医療機関内のネットワークを外部から隔離したり、IoT機器の通信を暗号化したりするなど、できる限りの対策を導入しましょう。患者の安全とプライバシーを守るためには、万全のセキュリティ体制が不可欠です。
IoTセキュリティのガイドライン
IoTセキュリティ対策を進める際は、国が公表しているガイドラインを参考にするのが有効です。総務省と経済産業省は共同で「IoTセキュリティガイドライン ver 1.0」を発表しており、IoT機器のサービスを提供する事業者やIoT機器を利用する企業がとるべき基本的な対策を、下記の5つの指針として提示しました。
1.方針
ガイドラインには、IoT機器のセキュリティを強化するために、最初に企業としての基本方針を定める必要があると記載されています。IoTは、パソコンやサーバーといったIT機器とは異なり、機器の不具合がユーザーの身体や財産への被害につながる可能性があるため、他のIT機器とは異なるセキュリティポリシーが求められます。IoTの特性を踏まえた上で、「何を守るべきか」「どのように管理するのか」といった観点から、自社独自の基本方針を策定する必要があります。
2.分析
基本方針を定めたら、IoT機器に関連するセキュリティリスクを洗い出すことが必要とされています。例えば、機器が接続されているネットワークを特定し、やりとりしているデータを把握した上で、IoT機器が攻撃を受けた際に発生する被害を可視化します。この分析により、攻撃対象となりそうなポイントや、優先して施すべき対策を明確にできます。
3.設計
IoT機器のセキュリティリスクを分析したら、セキュリティを考慮したIoT機器のシステム設計を行いましょう。IoT機器がサイバー攻撃を受けた場合でも被害が拡大しないよう、ネットワークへの接続をすぐに切断できる構成にするなど、セーフティーネットを組み込んだ設計が必要です。外部と通信する機器であれば、通信の相手先を制限する機能を活用するのも有効です。
4.構築・接続
IoT機器のシステム設計を行ったら、安全なネットワークの構築と接続方法の検討を行います。IoT機器単体では十分な対策が難しい場合には、安全性が確保されたサーバーを介して通信を行う構成にしたり、信頼できるクラウド環境と連携させたりするなどの工夫が求められます。また、必要最小限の通信のみを許可するように設定を行い、アクセス制御を徹底するのも重要です。
- 併せて読みたい
5.運用・保守
適切なセキュリティ環境を構築したら、運用と保守を通じて継続的にセキュリティレベルを維持することが不可欠です。ファームウェアの更新やパスワード管理、ログの監視といった日常的な運用に加え、社内への情報共有や従業員教育の実施も重要となります。セキュリティリスクは技術の進化と共に変化するため、定期的な情報のアップデートと対策の見直しを怠らないようにしなければなりません。
IoT機器を導入している場合は、適切な対策でサイバー攻撃の被害を防ごう
パソコンなどと異なりIoT機器のセキュリティ対策は見落とされがちですが、現実にはIoT機器を狙ったサイバー攻撃が発生しているため、適切な対策が必要です。国が公表するガイドラインも参照しながら、組織的に対策を進めましょう。
IoT機器のセキュリティ対策では、社内にどのようなIoT機器が存在するのかを正確に把握し、それぞれの情報を一括管理できる体制を整えることが第一歩となります。このような管理体制を実現するためには、IT資産管理ツールの導入が有効です。
例えば、インターコムの「MaLion」シリーズは、パソコンだけでなくネットワーク上に存在するプリンターなどのIoT機器についても、IPアドレスやMACアドレスといった情報を自動収集できます。導入から廃却までのライフサイクルを一元管理できるため、IoT機器のセキュリティ対策と管理体制の構築に役立てることが可能です。
セキュリティリスクを未然に防ぎ、安全なIoT機器の運用を実現するためにも、自社のIoT機器の環境を「見える化」するところから始めてみてはいかがでしょうか。
