IoT時代、500億台の組み込み機器をどう守るか：IoT時代の組み込みセキュリティ（2/2 ページ）

[渡邊宏，MONOist]

――それはつまり、機器の設計段階からセキュリティに注意を払うべきという意味なのでしょうか。また、考え方としてはホワイトリスト型でよいのでしょうか。

ムーア氏：　残念なことではありますが、「攻撃される」ことを前提に設計（デザイン）していく必要はあるでしょう。組み込み機器であってもITシステムと同様、設計の段階からアクセス制限をするとか、ファイアウォールを設けるなどの準備が必要となるでしょう。

　その中で、機器ベンダーがセキュリティベンダーとパートナーシップを結んで対処していくという取り組みも大切になると思います。機器ベンダーがセキュリティベンダーになる必要はありませんし、マカフィーがFA機械を作ることはありませんからね（笑）。

　組み込み機器のセキュリティに対するアプローチとして、あらかじめ想定した挙動しか許さないホワイトリスト型の考え方はいまでも十分に有効だと思います。マカフィーとシーメンスの例では、エンドポイントデバイスにホワイトリスト型のセキュリティを設け、ブラックリスト型の技術とアンチウイルスも加えています。

――IoTが本格的に普及すると、ネットワークにつながるデバイスの数は爆発的に増加すると予想されます。そうした爆発的に増えたデバイスを防御するためにはどのような手法が有効なのでしょうか。また、スマートグラスのような超小型デバイスまでもマカフィーとしては防御の対象と考えているのでしょうか。

ムーア氏：　基本的に、デバイスそれぞれを見合った形で防御していくという考え方に変わりはないと思います。ただ、数百億というデバイスがネットワークにつながる時代になると、「このデバイスは本当につながっていいのか、成り済ましの危険はないのか」など、ネットワーク側にインテリジェンスが求められることになるでしょう。

　マカフィーとしては全ての製品を安全な状態に保つのが理想ですが、現実問題として全てのデバイスをすぐに防御することはできないので、優先順位をつけることになるでしょう。まずはデバイス個々ではなく、ゲートウェイとネットワークの安全性維持が優先課題として認識しています。

――組み込み機器はソフトとハードが密接に関連づけられており、ソフトウェアアップデートでの対処ができない機器もあります。IoTが本格化して、「出荷後に手がつけられない製品が多数ネットワークにつながる」状況が生まれつつある中、どのような対処をしていくべきとお考えでしょう。

ムーア氏：　ネットワークにつながる以上、そのデバイスの種類が何であっても「信頼できるかどうか」を認識できるかが、セキュリティの確保にとって大切であると考えます。それをネットワークのインテリジェンス化、ゲートウェイのインテリジェンス化によって実現していきます。

　必ずしも全てのIoTデバイス（ウェアラブル機器などのIoT端末）にセキュリティ対策を施していくのではなく、ネットワーク（ゲートウェイ）側からの対処である程度の安全性は確保できるのではないかというのが私の考えです。