総務省は2017年10月、サイバーセキュリティタスクフォースがまとめた「IoTセキュリティ総合対策」を公表しました。その冒頭には、IoT機器に対する課題が下記のように表現されています。

あらゆるものがインターネットなどのネットワークに接続されるIoT／AI時代が到来し、それらに対するサイバーセキュリティの確保は、安心安全な国民生活や、社会経済活動確保の観点から極めて重要な課題です。

　現時点では指針レベルであるものの、インターネットにつながる機器を開発、製造するエンジニアにとって「必読」の内容になっています。特にこの指針においては、2020年の東京オリンピック・パラリンピックを念頭に置いた内容になっており、今後3年間でIoTが急速に普及するとしています。その3年の中で、製造業に関わるエンジニアは、セキュリティに関するマインドを変えなくてはならないかもしれません。

指針の中で触れられている“3つ”のポイント

　今回のIoTセキュリティ総合対策で、注目すべき点は「設計、製造段階」に関して触れられている「セキュリティ・バイ・デザイン」の部分です。

　セキュリティ・バイ・デザインとは、アプリケーションやシステムの企画、設計段階から情報セキュリティの要素を盛り込むということです。ソフトウェア開発においては、これまで多くの場合、「テスト段階」になってはじめてセキュリティをチェックしていたのではないでしょうか。これがどれほど意味のないことであるか理解していながらも、「開発中にそんなヒマはない！」と見て見ぬふりをし、セキュリティは“面倒なもの”と捉えていたのではないかと筆者は想像します。

　しかし、それではセキュリティ対策をしていないのと一緒です。企画、設計段階からセキュリティをデザインしておかないと、正しい安全が確保できません。セキュリティの考えを時間軸のより左側にしようという意味で「シフトレフト」と表現することもあります。実は企画、設計段階からセキュリティを考えておけば、開発、テスト段階で手戻りも少なく、製品をリリリースした後に致命的な問題が発覚するよりもコストが掛かりません。

　この指針では、特に3つのポイントが明記されています。

　例えばID、パスワード設定を「マニュアルにしか書かなければ秘密が保てる」「開発者しか知らないID／パスワードだから誰も見抜けない」などと考えていたとしたら、攻撃者の思うツボです。実際、世間を騒がせたマルウェア「Mirai」では、デフォルトのパスワードが狙われました。また、バックドアになるような開発者向けの秘密のIDやtelnetポートも絶対に作ってはいけません。

　ファームウェアのアップデートも重要です。そもそもファームウェアのアップデートを提供しないということは、影響の大きな脆弱（ぜいじゃく）性が見つかった段階で、ユーザーに「機器の買い換えを強要」することを意味します。万が一、脆弱性を突かれて機器が乗っ取られてしまうと、機器のユーザーは被害者になると同時に、その機器からさらに感染が拡大することで加害者にもなり得ます。そのときの社会的責任を加味すると、製造側の立場として安全なファームウェアアップデートの仕組みがどうしても不可欠です。IoT機器を製造する際は、その「安全なファームウェアアップデート」自体が乗っ取られないような設計が必要です。悪意のあるファームウェアが適用できないようにしましょう。

　そしてインターネットの入り口となる、Wi-Fi設定も重要です。適切な暗号化を施すことにより、盗聴や改ざんを防止する必要があります。また、2017年10月に話題となったWPA2の脆弱性、通称「KRACKs」を見ても分かるように、現在安全とされているプロトコルも、あるタイミングで脆弱性が見つかるとその部分のアップデートが必要になる場合もあります。今回のKRACKsについて、製造業、特にIoT機器に関わるエンジニアは「もし、自社製品に影響があったとして、一体どういう対応がとれるか？」という観点でも注目してほしいと思います。

「認証マーク」の制定まで待つつもり？

　この指針では、セキュリティ・バイ・デザインを基に作られたIoT機器に対して「認証マーク」を作り、“IoT機器を購入するに当たり安全かどうかを一目で分かるようにする”と記載があります。

　しかし、例えば上記で触れた3つのポイント、「ID、パスワード設定」「ファームウェアのアップデート」「Wi-Fi設定」などは、セキュリティを考えるのならば半ば当たり前のこととして、認証マークの制定を待たずに、今すぐ対応を考えておくべき事項でしょう。

　その指針として大変分かりやすくまとまっているのが、このコラムでも頻出の「IoT開発におけるセキュリティ設計の手引き」です。この資料には、他に参照すべきOWASPやOTAなどの資料へのリンクもあり、これを読むだけでもエンジニアの底力がアップするはずです。

　エンジニアの多くは、「何らかのマークがあるから安全」という考え方には同意しかねるのではないでしょうか。そうではなく、エンジニアの“職人魂”として、胸を張って「安全である」といえるような製品を作ることこそ、日本の技術力の見せ所だと筆者は思っています。そして利用者としての私たちに課せられた責任として、安全のためならばコスト増を許容するということも重要なのではないでしょうか。

　これを読んでくれているエンジニアの皆さんの両肩に、3年後に普及しているであろうIoT機器の「安全品質」がかかっています。そのころ、どのような面白いIoT機器が登場するのか期待しつつ、セキュリティ面でも皆さんの努力が実っていることを祈りたいと思います。

＞ 連載バックナンバーへ

⇒「情報セキュリティ対策」関連の新着記事をチェックする

著者紹介：

宮田健（みやた たけし）

元＠ITの編集者としてセキュリティ分野を担当。現在はフリーライターとして、ITやエンターテインメント情報を追い掛けている。自分の生活を変える新しいデジタルガジェットを求め、趣味と仕事を公私混同しつつ日々試行錯誤中。現在、ITmediaエンタープライズにて、もはや誰もが人ごとではないITの課題や話題を紹介する「半径300メートルのIT」を連載中。また、それをまとめた書籍「デジタルの作法～1億総スマホ時代のセキュリティ講座」も発売中。

筆者より：TechFactoryでの本連載では、ITセキュリティの「あるべき論」「正論」だけでなく、モノづくりに携わる方たちに「気楽に」「楽しく」セキュリティを考えていただけるように、さまざまな話題を取り上げたいと思います。「セキュリティっていわれてもねえ……」と思わず考えてしまった皆さまに覚えていただけるようなコラムにしたいと思います。お楽しみに！