IoT
「IoT」（Internet of Things、モノのインターネット）という言葉は、数年前からキーワードとして各所で使われるようになりました。家電や自動車がインターネットにつながる時代が到来し、多くの企業がここにビジネスチャンスを見いだしています。それと同時に、ネットワーク経由の脅威に対して家電や自動車は安全なのか、という問題が浮上しているのはご存じのとおりです。
ユージン・カスペルスキーは2014年11月のUSA TODAYのインタビューの中で、IoTを「Internet of Threats」（脅威のインターネット）と表現しました。これは米国の連邦通信委員会（FCC）会長が今年のCESで講演した内容と符合していますし、セキュリティの観点からは逃れることのできない事実です。そして、他のサイバーセキュリティの問題同様に、どうやったらこの問題を解決できるのかについての完全な回答は、誰も用意できずにいます。
確かにIoTは、新しい市場としてその拡大が期待されています。2014年８月のフォーブスの記事によれば、Cisco社は2020年に19兆米ドルの経済価値をもたらすと指摘し「Internet of Everything」と呼んでいます。また、ガートナー社はIoT関連製品やサービスの売り上げ規模が2020年に3000億ドルと予測、IDCはIoTソリューションの世界的な市場規模は2013年の1.9兆ドルから2020年には7.1兆ドル、つまり3.7倍に成長すると見込んでいます。
このところ世界中で流行の兆しのあるウェアラブル型のデバイスのように、個人の生体情報や健康状態、場所移動の記録等に利用されるものも、IoTというカテゴリに入れることができるでしょう。ただ、こうしたデバイスに対するサイバーセキュリティ上のリスク規模については、それほど巨大と言えないでしょう。
なぜなら、これらのデバイスは個人的なものであって、生活インフラや社会インフラを支えるものではないからです。つまり、私がトレーニングを行なう際に、腕時計型のコンピューターやトレーニング情報を管理してくれる便利なクラウド上のサービスを「使わなければ」、個人的なリスク、たとえば生体情報や健康情報の漏洩や、それらのサービスアカウントを用いての間接的なサイバー攻撃のリスクを減らすことができます。
カロリー摂取量や睡眠時間、ランニングの距離などを記録できるフィットネストラッカーが人気です。しかし、これがプライバシーの流出につながると考えたことはありますか？ http://t.co/FpG25FmySg pic.twitter.com/tDUtTdZyGa
— カスペルスキー 公式 (@kaspersky_japan) November 11, 2014
一方で、IoTと呼ばれるものの多くは、従来「M2M」（Machine to Machine）というキーワードで括られていたシステムやサービスです。生活基盤や社会インフラそのものと密接に関連する仕組みやシステムとして組み込まれているか、そうなることを期待されているため、重要インフラ同様にサイバーセキュリティの確保という大きな課題があるのです。
たとえば、スマートグリッドやマイクログリッドと呼ばれる電力網システムをご存知でしょうか。これらは、家庭や地域にある風力や太陽光、ガスによるコジェネレーションシステムが生み出す電力と家庭で消費される電力のバランスを取りながら、地域全体の電力消費を管理する仕組みで、各家庭にはスマートメーターが設置されます。すでに東京電力はスマートメーターの設置を進め、ネットワーク経由で各家庭の電力消費量を検針可能とすべく運用を始めています。これは、将来スマートグリッドやマイクログリッドに転換するための準備といってもいいかもしれません
この仕組みを悪用すると何ができるでしょう。すぐ思いつくのはこのあたりです。
- 検針の値をごまかして電気料金を減らしたり増やしたりする
- スマートメーターのネットワークを経由して電力会社のネットワークに侵入して何かやらかす
ほかにも例を挙げることができます。道路や公共交通機関の交通管制システムや自動車のITSシステムを乗っ取ることができたなら、任意の車両に任意の場所で故意に事故を起こさせることもできるでしょうし、バスや電車などの公共交通機関を麻痺させるなど、市民生活を混乱させ経済活動を停滞させることも可能です。
いままでは、市民生活に欠かせないサービスが麻痺するときの原因といえば、人為的なものであったり、ソフトウェアやシステムの潜在的なバグや故障であったり、自然災害であったりしました。ここに、サイバー攻撃という要素が加わってくるわけです。
そしてIoTの最大の問題は「末端のデバイスは誰でも簡単に手に入れることができ、盗んだり改造したりも容易にできる」ことです。この条件を満たすATMやPOSなどのシステムでは、すでに大きなサイバー犯罪が発生しています。
#IoT とのつきあい方、重要インフラの #サイバーセキュリティ
Tweet
生活・社会インフラとして運用されるIoTに関しては、いままでに発生したインシデントから学び、より安全な運用環境を用意する必要があるでしょう。具体的な話をするなら、これらシステムの開発者や運用者は、サイバーセキュリティに関して以下の点を自分に問いかけてみる必要があります。
- セキュリティよりも使いやすさを優先させていないか？
攻撃者にとっての利便性を低下させ、セキュリティを向上させましょう。ユーザーが使いやすいと感じるものは、攻撃者にとっても同じです。既定の状態で使われていたWebカメラがプライバシーの侵害を呼んでいた事件が教えてくれるのは、デバイスの設計側がセキュリティを意識したもの作りを求められているという事実です。
- システムをリードオンリーにしておけば大丈夫だと信じていないか？
「リードオンリーシステム」は安全、とは言えません。アプリケーションはメモリ内で実行しているので、攻撃者は何かしらの侵入経路を見つけ出します。一般的に、ネットワーク系デバイスはLinux OSで開発されていますが、Linux OSには悪用可能な数々の脆弱性が見つかっています。攻撃者がデバイスの制御を握ってしまえば、IoTシステム全体への玄関を見つけたようなものです。
- ノードがハイジャックされるなんてあり得ないと思っていないか？
どんなデバイスでも、乗っ取られる可能性があります。したがって、システム全体の健全性を把握できるようにし、どのノードに異常が起きているのか検知できる仕組みを盛り込みましょう。いかにも手の届かなそうなイランの核施設がStuxnetによってハッキングされたことを思い起こしてください。
- テストのコストを削減していないか？
ペネトレーションテストは非常に重要です。システムのセキュリティ要件に応じたテスト項目を設定しましょう。通常の開発プロセスの一環として、ペネトレーションテストが組み込まれているべきです。
- セキュリティへの考慮は不要だと思っていないか？
セキュリティに関しては、企画／開発の初期から必ず要件に入れましょう。セキュリティ無くして、安全な生活・社会インフラとしてのIoTはあり得ません。
IoTがIT市場でささやかれ始めた5年前、それは「ビッグデータ」というキーワードとともに使われ、あらゆるデータをビジネスや社会環境のために利用することを目的としていました。しかしこれからは、IoTとインフラの関係をこれまで以上に意識していかねばなりません。「セキュリティ」のキーワードを加えることで、より強固なインフラをIoTとともに構築すること。これを怠れば、たちまち社会が麻痺してしまうことになりかねないのです。
ヒント