認証が甘い作りになっていたり、デフォルトパスワードのまま運用されていたりするWebカメラがあるという実情を突いて、“無防備なWebカメラ”に関する情報を集約したWebサイトが登場しました。実はそれ以前からも、のぞき見される危険性があることは再三指摘されていましたが、“脇の甘いWebカメラ”を簡単に検索できるという仕組みがメディアなどで大きく取り上げられたため、「Webカメラは怖い！」という印象を世間に与えてしまいました。

　現在、Webカメラのようにインターネットに接続して、何らかの価値を提供するデバイスをざっくりと「IoT（Internet of Things）」と呼ぶことがあります。先のWebカメラの事例を“IoT機器を対象とした出来事”と捉えると、大量生産された製品に万が一セキュリティ的な問題が残っていると大変な事態になりかねない、簡単に修正とはいかない、という教訓を得ることができます。

どこに原因があった？

　これがもう少し高性能なもの――「PC」など――であれば、対策は簡単です。なぜなら、「アップデート」の仕組みを使えばいいからです。これが、定期的にWindowsアップデートの通知が来る理由でもあります。Windowsを提供するマイクロソフトは、セキュリティ上のリスクなどが見つかり次第、その対策を施した更新プログラムを配信してくれます。ユーザーとしては、このWindowsアップデートを当てることも立派なセキュリティ対策の1つだといえます。

　しかし、IoT機器の場合はPCほど簡単ではありません。例えば、Webカメラのような製品にアップデートの仕組みを入れるとなると、コストが掛かり過ぎてしまう可能性があるからです。また、IoTの末端側の小さなデバイスまで「常に最新アップデートを当てた状態にする」という努力を、ユーザー側に強いること自体もあまり現実的とはいえません（Windowsアップデートですら面倒だというのに……）。

　もちろん、だからといって「弱点を放置していい」というわけではありません。先のWebカメラの事例は、デフォルトのパスワードが簡単過ぎたこと、デフォルトのパスワードを変えさせないこと、そもそもデフォルトのパスワードが全製品で共通だったことが原因です。

　現在は、Webカメラだけでなく、ルーターやNAS、HDDレコーダーをはじめとする多数のIoT機器を狙い、攻撃の一端を担わせるマルウェアも登場しています。このマルウェアには、あらかじめ「多数の機器が使っているデフォルトパスワード」が埋め込まれており、「admin／admin」といったID／パスワードのまま運用している機器を狙い撃ちします。さらには、マニュアルに記載されておらず、“開発者しか知らないログインの手法”も悪意のある第三者は活用してきます。

　こうしたIoTデバイスの弱点、つまり“脆弱（ぜいじゃく）性”を、製品が出荷された後にふさぐことは現実的ではありません（大変なコストが掛かります）。さらに、ユーザーに対して「アップデートをしてください」「新バージョンの製品を買ってください」とアピールしたとしても、製品が一度世の中に出てしまった以上、うまくいく保証はありません。

教訓から学ぶ「設計」とは

　先日、IoT機器を狙ったマルウェア「Mirai」が話題となりました。Miraiに関する挙動については割愛する（後日、解説記事を公開予定）として、その挙動から「どうすればよかったのか？」ということが明らかになりつつあります。例えば、ネットワークサービスプロバイダーであり、セキュリティソリューションも提供するインターネットイニシアティブ（以下、IIJ）のレポートでは、IoTエンジニアが考えるべきポイントを以下のようにまとめています。

図1　Mirai Botnetの検知と対策（Internet Infrastructure Review［IIR］ Vol.33より）　※出典：IIJ

　ここでは「バックドアカウントを作成しないこと」や、「パスワードをハードコーディングしないこと」などが挙げられています。実は、これらの実装方法はそこまで難しいものではありません。ただし、製品をリリースする前、“開発段階であれば”の話ですが――。

　そう、こういった弱点を作り込まないためには、「システム開発の早い段階からセキュリティを考慮する」必要があるのです。

　セキュリティ対策をあらかじめデザインし、設計の中に組み込むことは重要なことです。それを実現するための手引きや資料が“無料”で読める時代になりました。例えば、情報処理推進機構（以下、IPA）が提供する「IoT開発におけるセキュリティ設計の手引き」は大変分かりやすい言葉で、「コネクテッドカー」や「ヘルスケア機器とクラウドサービス」といった具体的な事例なども紹介しており、新入社員の教材としても大変有益です。

　さらに、世界中のセキュリティ専門家が作る組織「OWASP（Open Web Application Security Project）」では、開発プロジェクトがどのようなことを考えるべきかをまとめた資料「OWASP Proactive Controls 2016」がリリースされています。こちらは有志による日本語版も提供されております。Webアプリケーションが関係するプロジェクトにとって、大きな手助けになるはずです。

図2　OWASP Proactive Controls 2016で提示されている、開発において重要なポイント10　※出典：OWASP Japan

特にIoTにおいては、セキュリティ対策の時期を“シフト”せよ

　IoT機器だけでなく、特に製造業全般では“安定稼働”の観点から、一度運用を開始したものはなるべく手を加えたくない（加えられない）という特性があります。そして残念ながら、そういった機器が狙われているというのが現状です。なかなかアップデートできないことが分かっているのであれば、作る側は「弱点になり得る要因を極力排除したもの」を作る必要があります。

　そうした対策は非常に難しそうに思われますが、最低限やらなくてはならないことは上記のような資料にまとめられていますし、対策を施すことで結果としてコストを抑えることが可能です。そのためには、「製品が完成した後にセキュリティを付け加える」のではなく、「設計段階からセキュリティを組み込む」こと、そして「早期に、繰り返しセキュリティを検証する」ことが必要です。

　OWASP Japan Chapter Leaderの岡田良太郎氏は、「運用時ではなく設計、構築時にセキュリティコストを掛けよ」「時間軸上で開発の“左側”のタイミングに『シフトレフト』せよ」と述べています。こうした考え方の転換こそが、IoT機器の未来を作るのだと筆者も感じています。そんなことを、ぜひあなたの職場にやってくるニューカマーにも教えてあげてください。

図3　OWASP Japan Chapter Leaderの岡田良太郎氏が唱える「シフトレフト」について　※出典：＠ITセキュリティセミナー レポートより

著者紹介：

宮田健（みやた たけし）

元＠ITの編集者としてセキュリティ分野を担当。現在はフリーライターとして、ITやエンターテインメント情報を追い掛けている。自分の生活を変える新しいデジタルガジェットを求め、趣味と仕事を公私混同しつつ日々試行錯誤中。現在、ITmediaエンタープライズにて、もはや誰もが人ごとではないITの課題や話題を紹介する「半径300メートルのIT」を連載中。また、それをまとめた書籍「デジタルの作法～1億総スマホ時代のセキュリティ講座」も発売中。

筆者より：TechFactoryでの本連載では、ITセキュリティの「あるべき論」「正論」だけでなく、モノづくりに携わる方たちに「気楽に」「楽しく」セキュリティを考えていただけるように、さまざまな話題を取り上げたいと思います。「セキュリティっていわれてもねえ……」と思わず考えてしまった皆さまに覚えていただけるようなコラムにしたいと思います。お楽しみに！

併せて読みたいお薦めホワイトペーパー：

• 「つながる工場」実施済みは36.5％、「コスト」「標準」「セキュリティ」が課題
• 調査結果から見えてきた、製造業におけるIoT／M2Mの活用状況と課題
• 回答者の92.8％が経験済みの品質問題、設計部門がこれから取るべき対策とは？
• 産業用ネットワークの基礎「EtherCAT 入門編」