IoTセキュリティに対する日本政府の姿勢から学ぶ

IoT (モノのインターネット)デバイスの大幅な増加に伴い、IoTデバイスのセキュリティ脆弱性を狙ったサイバー攻撃も増加しています。IoTはデジタル トランスフォーメーションの重要な柱ですが、セキュリティを考慮した設計ではありません。弊社の脅威インテリジェンス チームUnit 42 による IoT 脅威レポートで120万台のIoTデバイスを分析した結果、IoTデバイスの57%に危険な脆弱性が存在し、サイバー攻撃の41%がIoTデバイスの脆弱性を悪用していることが明らかになっています。

コネクテッド デバイスへの依存度が高まっていることを踏まえてこの数字を見ると、この問題の重大さがよく分かります。日本政府は、2020年東京オリンピック・パラリンピック競技大会の準備段階ですでにコネクテッドデバイスに関連した問題を認識していました。開催準備を進める中で、オリンピック・パラリンピックの妨害にIoT関連攻撃が利用される恐れから、総務省(MIAC)はセキュリティ強化に向け取り組むべき「緊急提言」の発表など積極的な活動を行いました。

IoTデバイスのセキュリティ調査の実施 

2019年初頭、日本政府はIoTデバイスのセキュリティに関する前例のない取り組みを行いました。NICT (情報通信研究機構)による調査を可能にする法律を制定した上で、国内のIPアドレスをスキャンしてIoTデバイスの問題の有無を調査したのです。

NOTICE (National Operation Towards IoT Clean Environment)という名前が付けられたこのプロジェクトは、インターネット上で容易に推測でき検出可能なパスワードを使用しているデバイスの検査を可能にするものです。この検査の目的は、サイバー攻撃に悪用される恐れのあるIoTデバイスを特定し、ISP (インターネット サービス プロバイダ)を通じてデバイスの利用者に注意喚起を行うことにあります。

2020年5月に公開された調査結果によると、100,000台のデバイスがID・パスワードの入力が可能な状態でした。また、特定のID・パスワードでログインが可能だったデバイスは2,259台存在しました。その後2022年5月度の発表では、その数は2019年からの累積で39,226件に達しました。一見すると多いと思えないかもしれませんが、NICTが使用した手法は、IoTデバイスへの攻撃にサイバー犯罪者が用いるさまざまな手法の1つにすぎないことを考慮する必要があります。弊社の調査でも、脆弱なIoTデバイスを狙った攻撃には多様な手法が使用されています。

この試みから学べること

この試みの主な目的は、市販されている脆弱なIoTデバイスがもたらす隠れた脅威について広く注意喚起を行うことにありました。ユーザーに依存した弱いセキュリティコントロールによって、 IoTデバイスは攻撃者がネットワークに侵入してダメージを与える上での踏み台として簡単に悪用できてしまいます。また、企業のネットワークにも同じことが言えます。あらゆる業界でネットワークに接続されたデバイスが普及しており、攻撃対象領域の拡大と脆弱なセキュリティ態勢が生じているのです。

NOTICEでは、注意喚起が目的となっているため、実施した調査は脆弱なIoTデバイスの特定とユーザーへの通知までとなっています。しかし現実には、脆弱なIoTデバイスがもたらすリスクに対して本当の意味での保護を実現するため、啓発と注意喚起を行った上でさらに踏み込んだ対策が必要です。 

IoTセキュリティへの包括的なアプローチには以下が必須になります。

• IoTデバイスの完全な可視化
• IoTデバイスの正確な脆弱性評価とリスク評価
• リスク削減ポリシーの適用
• 既知・未知の脅威に対するプロアクティブな防御

パロアルトネットワークスの IoTセキュリティは業界で最もスマートなIoTセキュリティ ソリューションであり、機械学習を活用した可視化、防御、およびゼロ トラストの適用を単一のプラットフォームで実現します。

脆弱なIoTデバイスへの攻撃から日本国内のネットワークを保護するための弊社の取り組み

パロアルトネットワークスは新たにIoT セキュリティのクラウドホスティング拠点を日本に開設しました。クラウド提供型IoT セキュリティへのローカルアクセスを提供することで、日本を拠点とするお客様が保有するデータの国内での保管ニーズにお応えします。パロアルトネットワークスのリージョナルクラウドの所在はこちらをご覧ください。

ローカルクラウドインフラへの投資は、データの保管場所に関係なく、お客様のセキュリティ確保を支援する施策の1つにすぎません。お客様のプライバシーを優先するのに加えて、パロアルトネットワークスのソリューションはいずれもアプリケーション、システム、ネットワーク、物理セキュリティなどの安全性と機密性に関する業界標準のベストプラクティスに従って開発されています。 

詳細はIoTセキュリティ のプライバシーデータシートをご覧ください。

パロアルトネットワークスのIoTセキュリティを利用することで、日本国内のお客様はネットワーク上の全てのデバイスを保護できます。また、合わせて以下のメリットも得られます。

• コンテキストベースでのIoTデバイスのセグメンテーションを実装し、ネットワーク上での脅威の水平移動を制限 
• 最小特権ポリシーの自動推奨を通じて、IoTデバイスにゼロトラストベースのアクセス制御を適用
• 把握できていないIoTデバイスをなくし、適切なデバイス管理の徹底と、IoTデバイスの正確なインベントリの確保を実現
• 接続されているIoT、OT、IoMTデバイスのリスクを継続的に評価して、リスクの優先度付けを行いコンプライアンス評価を自動化

パロアルトネットワークスのNGFWでクラウド提供型IoTセキュリティをアクティベートすることで、以下のような効果が得られます。

• 48時間でIoTデバイスの9割を検出 
• 既存のNGFWでIoTセキュリティをアクティベートするだけで、セキュリティの有効性を70倍向上
• IoTデバイスのセキュリティ確保に新たなインフラ構築が不要になるため、導入時間を15分の1に削減
• IoTセキュリティの自動ポリシー作成機能により、作業時間を20分の1に削減 
• 脆弱性の検出時間を3週間以上から数時間に短縮(物理的スキャンや計画は不要)
• 正確な資産インベントリにより、デバイスの新規購入を10%削減

eブック「IoTセキュリティに関するエンタープライズバイヤーズガイド」では、IoTセキュリティのベストプラクティスを実装してデジタル トランスフォーメーションのメリットを安全に享受する方法を解説しています。ぜひ、ご覧ください。