昨今の経済成長において柱の一つとなっているIoTだが、そのセキュリティ対策について危惧する声も多く上がっている。

特定の用途に必要な機能だけを絞り込んだIoT機器にはCPUの処理能力やメモリーに余力がないことが多いため、ウイルス対策ソフトなどの導入が難しい。また、一般的にIoT機器は別途ディスプレイなどの表示装置を用意して状況をモニタリングする風習がないため、利用者が異常に気付くことは困難である。すなわち、IoT機器には攻撃者にとって都合の良い条件がそろっているのだ。

事実、マルウェア「Mirai」による攻撃やWebカメラからの情報漏えいなど、これまでIoT攻撃の被害に遭った事例は多数存在する。IDC Japan 株式会社が発表した「2021 年 国内 IoT/OT セキュリティユーザー調査」によると、IoT/IIoT、OTセキュリティ被害状況に関して、工場やシステムの破壊／破損／故障、生産／製造ラインの停止、制御データやパラメーターの改ざんなど、36.4％の企業が「IoT/IIoT、OTに関わるシステム特有のセキュリティ事件・事故を経験している」（「危険を感じたことがある」を含む）と回答しているのだ。

このような状況を受け、政府は以下のような取り組みを行ってきた。

NOTICE（National Operation Towards IoT Clean Environment）

NOTICEとは、総務省および国立研究開発法人情報通信研究機構（NICT）がインターネットプロバイダーと連携し、ユーザーに注意喚起を行うプロジェクトである。具体的には、初期設定のままのパスワードや他者に容易に推測されるパスワードを設定しているなど、サイバー攻撃の被害に遭う恐れのあるIoT機器を洗い出して通知する取り組みだ。

また、専用の電話センターを設置して適切なセキュリティ対策を案内するなど、サポートも並行して実施している。

NICTERプロジェクト

NICTERプロジェクトは、NICTが実施するマルウェア対策のプロジェクトだ。インターネット上のサイバー攻撃観測・分析システムを用いて、サイバー攻撃の大規模観測を実施する。

ダークネット（通常のインターネット利用では使用しないIPアドレス空間）では、時折サイバー攻撃に起因したパケット（通信）が観測されている。NICTERプロジェクトではこれを監視し、サイバー攻撃の予兆観測や、攻撃が発生した場合の迅速な対応に役立てているのだ。

「技術基準適合認定」の改正

2020年には、電気通信事業法に基づく端末機器の技術基準を定める省令「技術基準適合認定」が大幅に改正された。この改正では、2020年4月以降に販売するIoT機器に対して「パスワードによる認証などのアクセス制御機能」「出荷時の初期パスワードの変更を促す機能」「ソフトウェアの更新機能」といった最低限のセキュリティ対策を義務化している。これはIoT機器がサイバー犯罪者に乗っ取られ、大規模なDDoS攻撃（複数のPCでWebサイトやサーバーに過剰な負荷をかけ、機能に問題を発生させる攻撃）に利用されることを防ぐためだ。

前項では政府の取り組みを挙げたものの、これはあくまでも最低限の対策にすぎない。ここでは、具体的に企業に求められるセキュリティ対策を紹介する。

ポート管理

IoT機器への攻撃では、特定のポート（デバイスを接続するためのPCのインターフェイス）をターゲットに集中してアクセスするケースが多い。企業によってはさまざまなIoT機器と通信するために当該ポートを開放していることもあるが、結果的に不正アクセスに狙われやすい状況を作り出しているとも言える。

そこで、あらかじめIoT機器のファイアウォールなどを適切に設定することが望ましい。また、不正アクセスの機会を未然に防ぐために不要な開放ポートを放置しないことも必要だ。

初期パスワードの変更

マルウェア「Mirai」は、初期パスワードのまま使用されていたデバイスを多く狙っていたことが分かっている。パスワードの変更は一番簡単に実行できる対策ではあるが、できていない場合も非常に多いため、いま一度再確認することをおすすめする。

ファームウェアの更新

古い状態のファームウェアを使い続けると、脆弱性を突いたサイバー攻撃を受けてしまうリスクがある。アップデート機能を持つIoT機器は、常に最新のファームウェアへ更新しておくことで、既に察知されているマルウェアの侵入などを防ぐことが可能だ。

今後ますます発展していくIoT。そのセキュリティを守るためには、以下のように専門的な特長を持ったソリューションの活用も考えたい。

・ゲートウェイセキュリティ
・改ざん検知ソフトウェア
・暗号化ソフトウェア
・脆弱性診断
・特権ID管理

サイバー犯罪者は常に最新の手口を編み出し、付け入る隙を狙っている。この対策には、攻撃を受ける側も最新のソリューションを学び、防御の体制を整えることが重要だ。刻一刻と悪質化する手口からユーザーを守るためにも、適切なソリューションを提案できるようになることが望まれている。