IoT社会を支えるデバイスに潜む脆弱性
前回までに紹介した顔認証システムであるが、これだけ便利なのだから手放しで拡大してよいかというと、留意しなければならない点が多々ある。第一は個人情報保護だろう。顔画像は個人情報として、本人の許諾の範囲での取得と利活用に限定する必要がある。この点は他の個人情報管理とともに後に詳述する。
それ以外で最も注意しなければならないのは、一般にはあまり知られていないかもしれないが、デバイスのセキュリティに関する問題である。これはIoT（Internet of Things）の世界で、あらゆるモノがネットワークにつながることで生じる。
最近の家電製品の多くはインターネットに接続され、遠隔で監視や操作などができて便利である。昔ユビキタスと呼ばれたデジタルネットワーク社会が確実に進展しているのだ。
ただ、パソコンやスマートフォンがネットワークに接続されることで、コンピュータウイルスなどサイバー攻撃の脅威にさらされ、防御策が必要になっていることは今や常識だろう。そしてIoTの世界になることで、ネットワークに接続するあらゆるモノが同様の脅威にさらされていることを知らなければならない。
顔認証を支えるデバイスである監視カメラも同様だ。オフラインのものもあるが、ネットワーク接続機種が多く、デバイス自体にシステムが搭載されているので、パソコンと同様の脆弱性対策が必要になる。
もう数年前になるが、世界的にシェアの高かった監視カメラの内部の制御システム（組込みシステムという）に脆弱性が発見され、対策が急がれたことが現実にあった。同様の脆弱性は、ネットワークに接続する複合機にも指摘されたことがある。これらは外部からある命令をネットワーク経由で送ると、監視カメラや複合機に保存されたデータが外部に配信されるような仕組みである。当時、その対象機種のバージョンを新しいものに更新する対応が必要になった。
この種の脆弱性はデバイスが導入された時に発見されることは少なく、導入後にさまざまな攻撃に晒されて発見されることが多い。パソコンであればウイルスパターンの更新を定期的に行い、ソフトのバージョンアップも定期的に行うことでリスク低減されるが、他のネットワークに接続されるデバイスでは同様の対策は困難だ。
理由は簡単である。パソコンの場合は個体数が多く、一つの対策が多くのモノに影響を及ぼすので費用対効果が得られる。しかし、個体数が比較的少なく、システムの標準化もパソコンほどではないネットワーク接続デバイスにおいては個々の対策に労力をかけることが難しく、そう簡単ではないのである。
一方、攻撃を仕掛ける側の労力としては、実はそれほど変わらない。もちろん攻撃成果は対象が多いほど可能性は広がるのだが、脆弱性を突いた攻撃を仕掛けることは同じと考えてよいだろう。そして悪意を持ったバックドアなどを仕掛られても、検出することは容易ではない。
パソコンよりも危険性の高いデバイスの脅威
ネットワークに接続される監視カメラなどのデバイスの脅威はパソコンと同様であり、むしろ危険性は高いと考えるべきだ。
パソコンなどのOSにあらかじめ意図的に脆弱性を仕掛けることはほぼあり得ないだろうが、監視カメラの場合は事情が異なる。陰謀論的に言われる噂レベルで、組込みシステムにバックドアと呼ばれる仕組みを仕込み、ある時期が来れば一斉に外部にデータを漏洩させるなど囁かれたこともある。コトの真相は別として、個々のデバイスに搭載される組込みシステム自体は各メーカーが独自に開発するものであり、悪意があれば、技術的にはバックドアを仕込むことも可能だ。
米国などの輸入規制、エンティティリストに掲載されている中国企業の監視カメラを例に考えると、たとえ企業自身が性善説にもとづく善良な経営をしていたとしても、国防動員法やスパイ防止法などを法制化している施政下においては、政府からの指令があればやらなければ企業としての存続ができない。それゆえの脅威があるのは事実なのである。
仕組みとして論理的にできないなら話は別だが、やろうと思えばやれてしまう環境である以上、米国なども輸入規制をせざるを得ない。経済安全保障の観点でセキュリティを考えれば、当然到着する対応だ。
監視カメラだけでなく、例えばオフィスに必要な複合機も同様だ。現在の複合機はFAXだけでなくメール送信も行うため、ネットワーク接続は不可欠。そして企業のあらゆる情報がそこでコピーされ、スキャンされた画像データとして存在する。企業の機密情報の宝庫であり、これが漏洩してはならない。
もちろん企業内部のネットワークとしてファイアーウォールを構築して守っているのも事実であろうが、先ほどの国防動員法などのリスクを真正面から考えると、内部からトリガーを引くこともリスクとして考慮するべきであり、デバイス自体の脆弱性対策検討の価値は高い。一般的にはあまり意識が高くないかもしれないが、便利に拡充してきているデバイスにセキュリティ上の脅威があることは認識する必要がある。
エンドポイントセキュリティ対策のイロハのイ
では、ネットワークに接続するデバイスの脆弱性対策はどのように考えるべきだろうか。パソコンも同様だが、まずは何がどこにどのようにつながっているかを把握することがイロハのイだ。
パソコンの場合、すべてシステム資産として認識し、それぞれのバージョンや個々に搭載されているソフトなどを把握、その変更を管理して定期的にバージョンアップを行うことで、世に出まわる脆弱性対策を適宜取り入れことができる。それでもコンピュータウイルスやマルウエアによる被害をゼロにはできないが、リスク低減は可能である。
一方、IoTデバイスに関してはどのように考えるべきかといえば、イロハのイはまったく同じだ。接続するデバイスの機種、メーカーや型番、バージョンなどすべてを把握することである。
もちろん、導入時点で脆弱性やリスクが指摘されている情報があれば、慎重に検討が必要であり、安価だからといって飛びつくことは危険である。つまり、導入選定時の判断基準にリスク視点を入れるべきなのだ。
そのうえで、導入後も各デバイスメーカーの発信する脆弱性情報やその他の関連情報を定期的にチェックし、新たな脆弱性の発生有無を情報として把握する。まずはそこまでの対応を本気で検討するべきであろう。
便利だからといって野放図に導入し接続するのではなく、あらゆる接続デバイスを機種・バージョン、その脆弱性情報などをチェックし続けることが必要だ。そう考えれば、米国などが輸入規制をする情報も一つの判断基準になる。たとえ日本の法制度上の規制がなくとも、導入することで被る被害は日本の法制度では守ってもらえない。リスクとして評価し、判断するべきであろう。
導入時の初期コストだけで製品選定、導入判断をする時代ではなく、長い目でセキュリティリスクをコストと考える必要のある時代である。また、そうでなければIoT社会は成立しない。そしてこれらの脅威が顕著になれば、その時は対策サービスとして、パソコンなどと同様のサービスが世に出てくるだろう。
