CLOSE UP コラム | IoTにおけるセキュリティの課題
CLOSE UP コラム | IoTにおけるセキュリティの課題
2016年07月13日
オープンソース活用研究所 所長 寺田雄一
2020年までに13.8兆円に達すると予測されている国内IoT市場。同年までにIoT機器が530億個にまで膨れ上がると予測されている巨大市場だ。急速に拡大するIoTは、裏腹にセキュリティの課題も抱えている。
IoTの利用範囲は多岐にわたる。身近なところでは、スマートハウスや家電、車など、小売業、流通業であればPOS端末やATM、製造業ならば流通管理や生産管理といった領域で、効率化やコスト削減、新サービスの創出を後押しするものとして、日々利用が拡大している。さらに、医療システムや交通制御システムなど、専門性の高い分野も含め、ありとあらゆる分野への適用が始まっているのだ。
IoTは、端末と、それらをつなぐネットワーク、そして制御を行うサーバーやクラウドサービスといった要素で構成されている。既存のITシステムにも似た構成である。要するに、IoTを構成するソフトウェアの脆弱性や認証の欠如、通信経路のセキュリティ不備、設定の不備といったリスクは、ITシステムと同様に存在するのである。そして、このリスクは、デバイスに汎用OSが搭載され、IoT機器をつなぐネットワークが専用網からオープンなインターネットになったことによって、より高まっているといえる。
すでに監視カメラや家庭用ルーターなどを狙った深刻な攻撃も報告されているのが実情だ。
構成が似ているのであれば、ITシステム同様、「ソフトウェアの脆弱性を検査し、修正する」「不要なサービスは使わず、デフォルト設定のうち不適切なものは変更する」「強固な認証を行う」「通信経路やデータを暗号化する」といった、これまでのセキュリティ上のセオリーを生かしたいところだが、IoTはその“特有の事情"から、ITの世界のベストプラクティスをそのまま適用できない側面もある。むしろITシステムに比べてサイバー攻撃や脆弱性が発見された場合の対策がまだ未整理であることが、IoTの抱えるセキュリティ上の最大の課題といえる。
IoT“特有の事情"とは、たとえば、次のような点である。
・デバイスのリソースが少ない。
一般的にコストパフォーマンスや省電力、省スペースを求められるIoTのデバイスは、CPUやメモリなどのリソースが少なく、セキュリティ機能の搭載が難しい。
―長く使われる一方でアップデートが困難である。
IoT端末の平均運用期間は長くなる傾向にある。寿命が長くなればなるほど、当初の設計では想定されていなかった脆弱性が見つかる可能性は高くなる。
さらにIoTユーザーの裾野が広がれば広がるほど、「アップデートして修正をする」というリテラシーをIoTユーザーにも周知させるための啓蒙活動が必要になってくる。
―利用者が多岐にわたり、取り扱いデータが膨大なため、被害は連携サービスにまで拡大する。
IoT利用者は多岐にわたる。だからこそ開発時には想定していなかったサービスやアプリケーションがIoT端末とつながる可能性があり、思わぬリスクにさらされる危険性がある。仮にIoT端末ではセキュリティ対策を講じていても、連携サービスやアプリに脆弱性があれば、そこが突破口となって、情報漏えいなどのリスクにつながる可能性がある。
さらにIoTが収集するデータは膨大なものになるため、そのデータはいったい誰のものになるのか、どのように扱うべきか、プライバシー保護の観点に踏み込んで議論していく必要がある。
米Symantec社のマーク・ショウ氏は、IoTのセキュリティで考慮するべきこととして、次の4項目を掲げる。
IoTの端末には家電から企業用工業製品まで多種多様であり、場合によってはセキュリティ機能を組み込むことが難しい端末も存在する。そのような場合には、デバイスとサーバー間のやりとりの際にデータと相手先が本物かどうかを確認する対策が急務となる。
１９９３年、株式会社野村総合研究所（ＮＲＩ）入社。 インフラ系エンジニア、ＩＴアーキテクトとして、証券会社基幹系システム、証券オンライントレードシステム、損保代理店システム、大手流通業基幹系システムなど、大規模システムのアーキテクチャ設計、基盤構築に従事。 ２００３年、ＮＲＩ社内に、オープンソースの専門組織の設立を企画、１０月に日本初となるオープンソース・ソリューションセンター設立。 ２００６年、社内ベンチャー制度にて、オープンソース・ワンストップサービス 「ＯｐｅｎＳｔａｎｄｉａ（オープンスタンディア）」事業を開始。オープンソースを活用した、企業情報ポータル、情報分析、シングルサインオン、統合ＩＤ管理、ドキュメント管理、統合業務システム（ＥＲＰ）などの事業を次々と展開。 オープンソースビジネス推進協議会（ＯＢＣI），ＯｐｅｎＡＭコンソーシアムなどの業界団体も設立。同会の理事、会長や、ＮＰＯ法人日本ＡＤｅｍｐｉｅｒｅの理事などを歴任。 ２０１３年、ＮＲＩを退社し、株式会社オープンソース活用研究所を設立。
2022-07-28（木）15:00 - 16:00 「【サービス事業者向け】中小企業が狙われた、サプライチェーン攻撃の手口を解説 ～サイバー攻撃の被害に遭う中小企業の3つの共通点と、その対策～」 と題したウェビナーが開催されました。 皆様のご参加、誠にありがとうございました。 当日の資料は以下から無料でご覧いただけます。 ご興味のある企業さま、ぜひご覧ください。
「MapReduce（マップリデュース）」とは、大規模なデータを分散処理するためのプログラミングモデル。 分割されたデータの断片に加工を施し必要な情報を抽出するMap処理と、Mapで抽出した情報を束ねて処理結果を得るReduce処理の2段階に分けてデータ処理を行う。
「テキストマイニング」とは、自然言語解析などの手法を用いて、大量のテキストデータから付加価値の高い「知見」を探し出す技術である。人間が使用する一般的な文章データについて、文章を単語レベルに分割し解析することで「有益な情報」や「傾向」を取り出すことを目的とする。
2021/03/04 セキュリティDAYS Keyspider資料
本資料を見るには次の画面でアンケートに回答していただく必要があります。
Analytics News ACCESS RANKING
