産業用IoTのセキュリティ、基礎的な対策にも課題--Honeywell

　Honeywellは米国時間12月6日、インダストリアルサイバーセキュリティの状況に関するレポートを公開した。それによると、データ漏えいやシステム侵入が頻繁に発生し、その損害への対策に高額な費用を要するにもかかわらず、産業界における大多数の企業は自社の業務を保護できていないという。

　「Putting Industrial Cyber Security at the Top of the CEO Agenda」（インダストリアルサイバーセキュリティ対策をCEOの最優先検討事項に）と題されたこのレポートでは、130社を対象とする詳細な調査の結果が明らかにされている。それによると、回答者の3分の2近くがネットワークアクティビティのリアルタイム監視を実行していないと答えており、45％はサイバーセキュリティの専門家やマネージャーを雇用していないという。

　そしてこれら企業の半数以上（全体の53％）が過去に少なくとも1回のサイバーセキュリティ侵害があったと認めているにもかかわらず、20％は定期的なリスク評価を実施していないという。

　また、攻撃者に悪用される前にネットワークの脆弱性を発見するために実施されるペネトレーションテストに関しては、回答者の25％が実施したことがないと答えており、13％は12カ月間での実施回数が1回未満だとしている。

　産業用IoT（IIoT）は、センサやIoTデバイスのほか、制御コンポーネント内に組み込まれたネットワーク接続機器やデータアナリティクスを用いることで、プロセスを大きく改善できる。

　しかし、ネットワークへの接続が増えれば増えるほど、サイバー攻撃者によるこういったシステムへの侵入機会が増加する。アップグレードサイクルが長い場合が多いことを考え合わせると、企業は自ずとサイバーセキュリティのインシデントに直面する機会を呼び寄せているかもしれない。

　Honeywell Industrial Cyber Securityのバイスプレジデント兼ゼネラルマネージャーであるJeff Zindel氏は、「意思決定者は脅威に関する意識を高めてきており、一部では脅威に対する取り組みを実施しているが、このレポートでは業界における大部分のコミュニティーではサイバーセキュリティの基礎が導入されていないことが裏付けられている」と述べるとともに、「産業分野におけるデジタル変革とIIoTの多大なメリットを生かすうえで、企業はサイバーセキュリティの防御能力を向上させるとともに、増大している脅威の状況に適応しなければならない」と述べている。

　サイバー攻撃を受けるリスクを減らすうえで、企業はセキュリティをより重大なものとして捉える必要があるとHoneywellは述べている。

　このプロセスの一環として、企業は自社の従業員とシステムを横断するかたちでのベストプラクティスの遂行を促す必要がある。つまり、インダストリアルサイバーセキュリティを業務変革の議論に取り込み、製品サイクルのあらゆる段階でセキュリティ文化を浸透させるとともに、セキュリティソリューションと業務運用を同時にもたらす仕組みの構築に注力すべきだ。