IoTセキュリティに対する日本政府の姿勢から学ぶ

IoT (モノのインターネット)デバイスの大幅な増加に伴いIoTデバイスのセキュリティ脆弱性を狙ったサイバー攻撃も増加していますIoTはデジタル トランスフォーメーションの重要な柱ですがセキュリティを考慮した設計ではありません。弊社の脅威インテリジェンス チームUnit 42 による IoT 脅威レポート120万台のIoTデバイスを分析した結果IoTデバイスの57%に危険な脆弱性が存在しサイバー攻撃の41%IoTデバイスの脆弱性を悪用していることが明らかになっています

コネクテッド デバイスへの依存度が高まっていることを踏まえてこの数字を見ると、この問題の重大さがよく分かります。日本政府は、2020年東京オリンピック・パラリンピック競技大会の準備段階ですでにコネクテッドデバイスに関連した問題を認識していました。開催準備を進める中でオリンピック・パラリンピックの妨害にIoT関連攻撃が利用される恐れから、総務省(MIAC)はセキュリティ強化に向け取り組むべき「緊急提言」の発表など積極的な活動を行いました

IoTデバイスのセキュリティ調査の実施 

2019年初頭、日本政府IoTデバイスのセキュリティに関する前例のない取り組みを行いましたNICT (情報通信研究機構)による調査を可能にする法律を制定した上で国内のIPアドレスをスキャンしてIoTデバイスの問題の有無を調査したのです

NOTICE (National Operation Towards IoT Clean Environment)という名前が付けられたこのプロジェクトはインターネット上で容易に推測でき検出可能なパスワードを使用しているデバイスの検査を可能にするものです。この検査の目的は、サイバー攻撃に悪用される恐れのあるIoTデバイスを特定しISP (インターネット サービス プロバイダ)を通じてデバイスの利用者に注意喚起を行うことにあります

20205月に公開された調査結果によると100,000台のデバイスがID・パスワードの入力が可能な状態でしたまた、特定のID・パスワードでログインが可能だったデバイスは2,259台存在しました。その後2022年5月度の発表では、その数は2019年からの累積で39,226件に達しました。一見すると多いと思えないかもしれませんがNICTが使用した手法は、IoTデバイスへの攻撃にサイバー犯罪者が用いるさまざまな手法の1つにすぎないことを考慮する必要があります。弊社調査でも、脆弱IoTデバイスを狙った攻撃には多様な手法が使用されています

の試みから学べること

この試みの主な目的は市販されている脆弱なIoTデバイスがもたらす隠れた脅威について広く注意喚起を行うことにありましたユーザーに依存した弱いセキュリティコントロールによって、 IoTデバイスは攻撃者がネットワークに侵入してダメージを与える上での踏み台として簡単に悪用できてしまいますまた、企業のネットワークにも同じことが言えますあらゆる業界でネットワークに接続されたデバイスが普及しており、攻撃対象領域の拡大と脆弱なセキュリティ態勢が生じているのです。

NOTICEでは、注意喚起が目的となっているため、実施した調査は脆弱IoTデバイスの特定とユーザーへの通知までとなっています。しかし現実には、脆弱なIoTデバイスがもたらすリスクに対して本当の意味での保護を実現するため、啓発と注意喚起を行った上でさらに踏み込んだ対策が必要です 

IoTセキュリティへの包括的なアプローチには以下が必須になります。

  • IoTデバイスの完全な可視化
  • IoTデバイスの正確な脆弱性評価とリスク評価
  • リスク削減ポリシーの適用
  • 既知・未知の脅威に対するプロアクティブな防御

パロアルトネットワークスの IoTセキュリティは業界で最もスマートなIoTセキュリティ ソリューションであり、機械学習を活用した可視化、防御、およびゼロ トラストの適用を単一のプラットフォームで実現します

脆弱なIoTデバイスへの攻撃から日本国内のネットワークを保護するための弊社の取り組み

パロアルトネットワークスは新たにIoT セキュリティのクラウドホスティング拠点を日本に開設しましたクラウド提供型IoT セキュリティへのローカルアクセスを提供することで、日本を拠点とするお客様が保有するデータの国内での保管ニーズにお応えしますパロアルトネットワークスのリージョナルクラウドの所在はこちらをご覧ください

ローカルクラウドインフラへの投資はデータの保管場所に関係なく、お客様のセキュリティ確保を支援する施策の1つにすぎません。お客様のプライバシーを優先するのに加えて、パロアルトネットワークスのソリューションはいずれもアプリケーションシステムネットワーク、物理セキュリティなどの安全性と機密性に関する業界標準のベストプラクティスに従って開発されています 

詳細はIoTセキュリティ のプライバシーデータシートをご覧ください

パロアルトネットワークスのIoTセキュリティを利用することで、日本国内のお客様はネットワーク上の全てのデバイスを保護できますまた、合わせて以下のメリットも得られます。

  • コンテキストベースでのIoTデバイスのセグメンテーションを実装しネットワーク上での脅威の水平移動を制限 
  • 最小特権ポリシーの自動推奨を通じてIoTデバイスにゼロトラストベースのアクセス制御を適用
  • 把握できていないIoTデバイスをなくし、適切なデバイス管理の徹底とIoTデバイスの正確なインベントリの確保を実現
  • 接続されているIoT、OT、IoMTデバイスのリスクを継続的に評価してリスクの優先度付けを行いコンプライアンス評価を自動化

パロアルトネットワークスのNGFWでクラウド提供型IoTセキュリティをアクティベートすることで、以下のような効果が得られます。

  • 48時間でIoTデバイスの9割を検出 
  • 既存のNGFWIoTセキュリティをアクティベートするだけでセキュリティの有効性を70倍向上
  • IoTデバイスのセキュリティ確保に新たなインフラ構築が不要になるため、導入時間15分の1に削減
  • IoTセキュリティの自動ポリシー作成機能により、作業時間20分の1に削減 
  • 脆弱性の検出時間を3週間以上から数時間に短縮(物理的スキャンや計画は不要)
  • 正確な資産インベントリによりデバイスの新規購入を10%削減

eブックIoTセキュリティに関するエンタープライズバイヤーズガイドではIoTセキュリティのベストプラクティスを実装してデジタル トランスフォーメーションのメリットを安全に享受する方法を解説していますぜひ、ご覧ください