Kaspersky Security Analyst Summit

「IoTデバイスは信頼できるか」南海の楽園で語られたIoTセキュリティの「いま」と「対策」（1/2 ページ）

「デバイスは信用できるか？コードは信頼できるか？」「産業用制御システムセキュリティの3本柱とは何か？」――カスペルスキーがカリブ海のリゾート地で開催したイベントの中から、セキュリティポリシーと産業用制御システムを取り上げた2つを紹介する。

公開 2017年05月12日 09時46分

更新 2017年12月14日 15時01分

著者

小山安博

[TechFactory]

印刷する連載新着通知を受け取る

　Kaspersky Labsが開催しているセキュリティ関連イベント「Security Analyst Summit（SAS）」が2017年も開催された。最高経営責任者（CEO）ユージン・カスペルスキー氏の意向で、毎回世界のリゾート地が開催地として選ばれており、2017年はカリブ海に浮かぶセント・マーチン島のリゾートホテルを会場に、2日間にわたって多くのセッションが用意された。

カリブ海に浮かぶセント・マーチン島は航空機ファンにとっても有名なリゾート

　そのセッションの中で、「セキュリティポリシーとセキュリティプログラムの重要性」を取り上げた2つのセッションをご紹介する。

◎編集部イチ押し関連記事

製造業での「情報セキュリティ対策」

&raquo 狙われる国内製造業――事例から学ぶIoT時代の「工場セキュリティ」　
&raquo 標的型ランサムウェアが日本企業を襲う!?　IIoTシステムを狙った攻撃にも注意　
 &raquo そもそも「脆弱性」って何？　
&raquo もしも「サイバー攻撃」の被害に遭ったら？　
&raquo 国内情報セキュリティの現状と課題　
 &raquo 紙からの情報漏えいをどう防ぐ？

⇒「情報セキュリティ対策」関連の新着記事をチェックする

コードを信用するな！

　まず、KasperskyのAndrey Nikishin氏の講演では、「Trustとは何か」と問いかける。言葉としての定義はいくつかあるが、その中で「信頼とは、他人がすることや今後の状況が予測可能なこと。もし私たちが信頼する人々に囲まれていたら、現在の安全とより良い将来を作り出せる」という定義を示す。

KasperskyのAndrey Nikishin氏

　それに続くNikishin氏の問いかけは「デバイスは信頼できるのか？」というものだ。特に「通信機器やIoTデバイスは信頼できるのか？」とNikishin氏は問いかける。過去には、例えばJETPLOW、HEADWATER、STUCCOMONTANAといったさまざまなルーター向けのマルウェアが発見されており、この数カ月の間だけでもホームルーターの脆弱（ぜいじゃく）性が7つも発見されている。

2017年春の数カ月でも、ルーターにさまざまな脆弱性が発見されている

　こうした状況に対して、Nikishin氏は「とある若いソフトウェアエンジニアの話」を例に説明し、脆弱性を利用してクラッシュさせる様子を実際にデモしてみせた。こうした問題を回避するため、コードをコンパイルしたら、セキュリティ専門家を呼ぶ、I/Oパラメーターをチェックするツールを使って、問題のあるコールをブロックするといった対策を示しつつ、セキュリティポリシーの重要性も訴える。

　セキュリティポリシーは重要で、アプリケーションの機能とは独立して開発されなければならない、とNikishin氏は強調する。「全ての脆弱性を修正することは不可能で、問題は毎日コードが開発されていることだ」とNikishin氏は言う。

　「コードを信用するな」とNikishin氏。しかし、「適切に設計されたセキュリティポリシーは適切にシステムを動作させる」とも付け加える。さらにNikishin氏は「アイデアとして、ソフトウェアの動作を規定するルールの設定」を挙げる。これはソフトウェア（もしくはセキュリティ）デベロップメントライフサイクルが不要と言うことではなく、追加のアイデア、追加を考慮すべき方法だと説明する。

　Nikishin氏は「私たちは脆弱性や問題のあるコードが（存在したとしても）大きな問題にならない環境を作り出せる」と語り、問題をなくすのではなく、被害を最小限にする取り組みの重要性を訴える。

　こうした開発が行われれば、「私たちは自分のデバイスを信頼できる」とNikishin氏。自分の周囲にあるデバイス、すなわち自分たちの環境がより安全になると話して講演を締めくくった。

次ページへ産業用制御システムセキュリティの3本柱