IoTを保護する方法
図1：消費者向けIoTセキュリティのための行動規範出典：デジタルカルチャーメディアスポーツ部
IoTは急増しており、現在、組織の約66％がIoTを使用しており、インストールベースは約170億デバイスです。
アナリスト会社Gartnerは、支出は2018年の推定15億ドルから2020年までに30億ドルを超えるまで増加し、2025年までに750億ドルに達すると推定している。
最近まで、IoTデバイスやシステムのサイバーセキュリティに関する標準や規制はほとんどありませんでした。 ISO 27001やNIST Cyber Security Frameworkなどの従来の情報およびサイバーセキュリティアプローチは企業向けに設計されていますが、関連性はありますが、効果的なIoTセキュリティに必要な焦点を絞ったガイダンスを提供していません。
IoTサイバーインシデント
さらなる問題は、IoTデバイスの開発と販売を急ぐ際に、これらの製品の多くが効果的なセキュリティ対策を欠いていたことです。その結果、展開された多数のソリューションは安全ではなく、オープンなセキュリティの脆弱性を抱えています。
Gartner 2018の調査では、過去3年間に約20％の組織が少なくとも1回のIoTベースの攻撃を受けていたことがわかりました。これには、2016年に、CCTVカメラやホームルーターなどの脆弱なデバイスを危険にさらし、いくつかの中核的なインターネットサービスへの攻撃を含む複数の分散サービス拒否攻撃（DDoS）の実行に使用されたミライボットネットが含まれます。ヨーロッパとアメリカのユーザーは利用できません。
別の攻撃では、顧客のデータが、水槽内の安全でないインターネット接続の温度計を介してカジノから盗まれました。
過去2、3年の間に、Brickerbotマルウェアはセキュリティが低いIoTデバイスに感染し、ファームウェアをランダムデータで上書きし、デバイスを使い物にならなくしてきました。
複数の防御
2018年9月、カリフォルニアは、インターネットに直接または間接的に接続する機器の製造業者は、不正アクセスや改ざんを防ぐために設計された「合理的な」セキュリティ機能を装備する必要があるという法律を可決しました。米国の連邦議員は、少なくとも5つのサイバーセキュリティ立法案を進行中です。
EUはベストプラクティスガイダンスとセキュリティ要件を公表し、10月には英国文化・メディア・スポーツ省が消費者向けIoTセキュリティに関する行動規範を公表しました。これにより、適切なIoTセキュリティに関する13のガイドラインが推進されます（図1）。
より広いEUでは、ENISA（欧州連合ネットワーク情報セキュリティ機関）が、特に重要な国内インフラストラクチャに焦点を当てた、IoT用のベースラインセキュリティ勧告を発行しています。業界のイニシアチブには、IoTセキュリティのテストおよび認証の基礎となる、IoTセキュリティ財団の行動規範が含まれています。
これらは素晴らしいスタートですが、問題は、特にEUでは、これらの慣行は必須ではないということです。規制当局は、効果的な基準と慣行を実用的にどのように実施できるかを考える必要があります。 IoTデバイスメーカーの仕事は、製品が「設計上およびデフォルトで安全」であることを確認することです。
歴史的に、産業界はセキュリティ基準を採用するのが遅かったため、規制が必要になりました。このような活発な市場では、ベンダーはセキュリティを費用と雑用から競争上の優位性に変えることができます。自主的にグッドプラクティスを採用しなかった場合、過剰反応を引き起こす可能性があり、制限的で厳格な規制が課されます。 IoTの正式な認定または認証はやや遅れていますが、サプライヤは自社の製品およびサービスを自己認証する必要があります。サプライヤが、証明されていないセキュリティを備えたデバイスやシステムを提供することについての言い訳はありません。
IoTコンシューマはまた、製品から期待されるセキュリティ要件についてより厳しくなり、提供されているものを検証する準備をする必要があります。これにより、プロバイダは設計上およびデフォルトとしてセキュリティを含めるようになります。
図2：IoTにおける信頼とセキュリティの確保
個々の製品のセキュリティが保証または認証されている場合でも、エンドツーエンドのソリューションは必ずしも安全ではありません。 IoTソリューションを統合または使用している組織は、それがセキュリティで保護されていることにまだ満足する必要があります。これには、セキュリティとビジネスのリスクを理解し、エンドツーエンドの安全なアーキテクチャを保証し、データのプライバシー要件をすべて満たすようにテストが実施されていることが含まれます（図2）。
IoTは明確なビジネス上の利点を提供しますが、製造業者、消費者、規制当局はすべて、適切なセキュリティを提供するために今行動を起こす必要があります。
