IoTデバイスのセキュリティに含まれるもの

IoTの安全性とは、モノのインターネット（IoT）デバイスとアプリケーションのセキュリティや、それらを潜在的な脅威や脆弱性から保護することを指します。IoTデバイスは相互接続されているため、不正アクセスからデータ侵害、さらには物理的な損害に至るまで、さまざまなリスクに晒されやすくなっています。 

• 脆弱な認証：デフォルトのパスワードは推測しやすく、また一般にアクセス可能である場合が多いため、一般的な懸念事項です。さらに、一部のIoTデバイスには適切な認証が完全に欠けているため、ネットワーク全体の侵害やボットネットへの悪用のエントリポイントとして、ハッカーに狙われる可能性があります。したがってメーカーは、複数のステップを要求したり、強力なデフォルトパスワードを設定したりするなど、認証手段を強化する必要があります。

• 低い処理能力：もう1つの課題です。これにより、コスト削減とバッテリー寿命の延長にもかかわらず、OTAアップデートや、ファイアウォールやエンドツーエンドの暗号化などのサイバーセキュリティ機能の実装が妨げられています。この課題に対処するためには、ネットワークにセキュリティ機能を組み込んで、IoTデバイスを効果的に保護する必要があります。 

• レガシーアセットの処理： 必要なセキュリティ強化なしに時代遅れのアプリケーションをIoTエコシステムに統合する行為は、リスクを伴います。古いアセットは新しい暗号化標準と互換性がなく、攻撃に対する脆弱性が高い可能性があります。しかし、レガシーアセットは長年にわたって開発されている場合が多く、複雑で相互接続されているという特性から、その改修は重大な課題をもたらします。メーカーは、そのようなアセットのセキュリティ改善を慎重に評価し、実施する必要があります。

• 共有ネットワークのリスク：IoTデバイスとエンドユーザーの他のデバイスの両方に対してネットワークが1つしか存在しない場合、ネットワーク全体が高いリスクに晒されます。IoTデバイスを標的とするハッカーは、これを利用して、ネットワークや他のデバイス上の機密データにアクセスが可能です。このリスクを回避するには、各IoTアプリケーションは、別々のネットワーク上で動作するか、セキュリティゲートウェイを使用する、またはデバイス自体への潜在的な侵害を分離するセルラーIoTを利用する必要があります。VPNを実装すれば保護レベルを高めることができますが、他のデバイスとの共有接続がリスクをもたらす可能性は依然としてあります。

• 標準化と暗号化の欠如：IoTエコシステム全体にわたるセキュリティ標準の不一致は、デバイスを保護し、安全なM2M通信を実現する上で、ますます大きな課題となっています。業界全体の普遍的な標準がないため、個々の企業やニッチ企業は独自のプロトコルやガイドラインを作成する必要があり、セキュリティ対策が複雑化します。さらに、ネットワーク侵害を回避するため、通常の伝送で暗号化を利用する必要があります。 

• ファームウェアの更新に関する問題： 最も重大なIoTセキュリティリスクの1つは、既存のバグや脆弱性のある現場に展開されたデバイスから発生します。メーカーのコードからであれ、サードパーティのソースからであれ、これらのリスクを排除するには、ファームウェアの更新を発行できることが不可欠です。メーカーがリモート更新を推進するのが理想ですが、それが不可能な場合には、代替手段の検討が必要です。データ伝送速度が遅い場合やメッセージング機能が制限されている場合は、更新のためにデバイスへの物理的なアクセスが必要になる可能性があります。

IoT侵害事例

• 悪意のあるボットネットの乗っ取り（2016）：「ボットネットの乗っ取り」として広く知られている悪名高い事件は、2016年にIoT分野を揺るがしました。サイバー犯罪者はMiraiマルウェアを侵入させ、主にカメラやルーターなどのセキュリティ保護されていないIoTデバイスの脆弱性を悪用しました。その後、この大規模なボットネットを利用して強力なDistributed Denial of Service（DDoS： 分散型サービス不能）攻撃を仕掛け、広範なインターネットの混乱を引き起こすとともに、IoTセキュリティに対する深刻な懸念が生じました。

• コネクテッドカーの脆弱性（2015年）：2015年、セキュリティ研究者が人気のあるコネクテッドカーモデルであるジープチェロキーの重大な欠陥を暴露したことで、IoTの脆弱性の顕著な実例が明らかになりました。ハッカーが車のインフォテインメントシステムの脆弱性を悪用して、ステアリング、ブレーキ、トランスミッションなどの重要な機能を遠隔操作できる状態にありました。 

• ベビーモニターのプライバシー侵害（さまざまな事件）：ハッカーによるベビーモニターへの不正アクセスといった、悲惨な事件が数多く発生しています。ハッカーはセキュリティの抜け穴を利用してデバイスに不正アクセスすると、乳児の盗聴や、何の疑いも抱いていない親との通信さえ可能にしました。 

• スマートトイからのデータ漏洩（2017年）：2017年、有名なスマートトイブランドであるCloudPetsは、数百万人のユーザーに影響を及ぼす重大なデータ漏洩に直面しました。データベースのセキュリティが不十分であったために、この侵害により200万件以上の子どもとその家族の音声記録が流出しました。この事件は、家庭で使用されるIoTデバイス、特に子供が関わるもののプライバシーとセキュリティについての問題提起となりました。

• スマートドアベルのプライバシー問題（2019年）：2019年には、一連の不穏な出来事によって、スマートドアベルカメラに関連するプライバシー問題が注目を集めました。個人がRingのドアベルカメラに不正アクセスし、住宅所有者のプライバシーを侵害した上、嫌がらせをしたという報告が明るみに出たのです。