脆弱性としては、よくあるタイプのものかもしれません。しかし、この実証実験が教えてくれるのは「まさか自動車が細工されているわけがない」「まさか診断用ソフトウェアを攻撃されるとは思わない」「まさかインターネット以外から攻撃されるとは思わない」といった、想定していないような方法で攻撃が成立していることにあります。

　対策としてはもちろん、「そんなところから攻撃されるわけがない」といった先入観を捨てることです。とはいえ、想定できないことを想定することは困難ですので、地道に「セキュアプログラミングとは何か」を考え、設計段階からセキュリティを埋め込むことが、私たち製造業であっても必要だということにほかなりません。

　ありがたいことに、もはやセキュリティベンダーも今回のように自動車をはじめとする、IoT機器に対する脆弱性調査が進んでいます。そのため、もしかしたら皆さんが製造しているIoT機器に対しても、あなたの製品に脆弱性が見つかったというレポートが届く可能性があります。その前に、しっかりと体制を整えておく必要があるでしょう。

もはや何も信じられない？ それが“正解”です

　こうなると、もはやインターネットにつながっていなかったとしても、全てのデバイスが攻撃元になり得るのかもしれないと思うかもしれません。実はそれは正しい認識といえるでしょう。ありとあらゆるものを信頼せず、つながるたびに相手を都度、繰り返し認証を行い、正しい相手とだけやり取りするということが必要です。リレーアタックも中継器からの通信であるかどうかを判断しなければなりませんし、診断用ソフトウェアも自動車が何も細工されていないかを判断してからでないと接続すべきではないのです。これこそが、昨今注目を集める「ゼロトラスト」の考え方といえます。

　ゼロトラストはこういったシステム同士の通信だけでなく「製作を外注した部品が信頼できるか」ということや、「外注スタッフを信頼できるか」といったことに対しても適用が可能です。セキュリティも品質の一つとして考えるべき時代、製造業においてもこのような考え方をどうやって適用するか、自分ごととして考えて見ましょう。それがきっと、差別化要因の一つになるはずです。

⇒ 新着ホワイトペーパーをチェックする

著者紹介：

宮田健（みやた たけし）

元＠ITの編集者としてセキュリティ分野を担当。現在はフリーライターとして、ITやエンターテインメント情報を追いかけている。自分の生活を変える新しいデジタルガジェットを求め、趣味と仕事を公私混同しつつ日々試行錯誤中。

2019年2月1日に2冊目の本『Q＆Aで考えるセキュリティ入門「木曜日のフルット」と学ぼう！＜漫画キャラで学ぶ大人のビジネス教養シリーズ＞』（エムディエヌコーポレーション）が発売。スマートフォンやPCにある大切なデータや個人情報を、インターネット上の「悪意ある攻撃」などから守るための基本知識をQ＆Aのクイズ形式で楽しく学べる本です。

筆者より：TechFactoryでの本連載では、ITセキュリティの「あるべき論」「正論」だけでなく、モノづくりに携わる方たちに「気楽に」「楽しく」セキュリティを考えていただけるように、さまざまな話題を取り上げたいと思います。「セキュリティっていわれてもねえ……」と思わず考えてしまった皆さまに覚えていただけるようなコラムにしたいと思います。お楽しみに！