IoTのセキュリティ強化--鍵はシステム設計にあり

　IoTのセキュリティは、後付けで強化するものではない。米国立標準技術研究所（NIST）は、IoTプロジェクトの開始時点でシステムのセキュリティを工学的に統合しておくことを提案している。

提供：iStock/BeeBright

　世界中の「すべてのモノ」がインターネットにアクセスするような時代がまもなく到来し、それによってさまざまなメリットが生み出されるはずだ。しかし、過去の教訓に注意を払わなければ、IoTから得られるメリットはあっという間にすべて消え去ってしまうだろう。

　1970年に米国防総省（DoD）のDefense Science Board Task Forceが発表したコンピュータセキュリティに関するレポート「The Ware Report」のことを覚えている人はそう多くない。しかしこのレポートの以下の一節は見事に現状に当てはまる。

　コンピュータシステムに十分なセキュリティ統制をもたらすということはそれ自体、システム設計上の問題だ。包括的なセキュリティには、ハードウェアとソフトウェア、通信、物理、要員、管理手続きといった面での保護手段が必要となる。特に重要なのは、ソフトウェアによる保護手段のみでは十分ではないという点だ。

　技術系メディアによって連日、大規模なデータ漏えい事件や悪質な攻撃のニュースが報じられている状況を見た場合、サイバーセキュリティがシステム設計上の問題だという事実がほとんど忘れられていると結論付けることもできるだろう。

　このため、われわれの日常生活に浸透してきているIoT機器すべてについても熟考する必要がある。こういったIoT機器にもコンピューティング技術が搭載されている以上、同じようなセキュリティ上の脆弱性が存在するのではないだろうか？この疑問に対する答えはイエスとなりそうだ。それは、Popular ScienceにおけるAlexandra Ossola氏の記事「Hacked Medical Devices May Be the Biggest Cybersecurity Threat in 2016」（医療機器へのハッキングは、2016年のサイバーセキュリティにおける最大の脅威となりかねない）を読んでも分かるだろう。

システム設計上の問題としてのサイバーセキュリティ

　NISTが2016年5月に公開したレポート「Systems Security Engineering: Considerations for a Multidisciplinary Approach in the Engineering of Trustworthy Secure Systems」（システムセキュリティ工学：信頼できるセキュアなシステムにおける工学上の多面的アプローチに向けた考察--NIST Special Publication 800-160）のなかで、著者のRon Ross氏とMichael McEvilley氏、Janet Carrier Oren氏はサイバーセキュリティをシステム設計上の問題として考える必要性を繰り返し述べている。その理由の1つとして、セキュアにすべきシステムの複雑さがある。以下はこのレポートで示唆されている、複雑さを呼ぶ要素のいくつかだ。

• システムを構成するコンポーネントの数や種類が増大するとともに、システムの網羅する地理的規模が拡大の一途をたどっている。
• システムを構成する要素間のやり取り、およびそれらの振る舞いや出力が複雑化している。
• 依存性の増加によって、グローバルな運用環境内に存在する混乱や危険、脅威を原因とした、小さな不具合から壊滅的な損失に及ぶさまざまな結果が引き起こされる。