IoT時代のセキュリティー ――東京五輪をサイバー攻撃からどう守るか

IoTの普及で私たちの生活は驚くほど便利になり、産業の生産性も向上した。しかし、家電やスマホ、自動車、ロボット、健康機具など身の回りのあらゆる機器がインターネットにつながることで、サイバー攻撃を受けるリスクが従来になく高まっている。
今、日本を襲うサイバー攻撃の数は1日最大約7億。それはネット上の最もセキュリティーが弱い所から入り込み、社会全体に深刻な被害をもたらす恐れがある。
長年、この問題に関わってきた国立研究開発法人情報通信研究機構(NICT)理事長の徳田英幸氏は、こうしたサイバー攻撃を避けるためには「企業が製品の設計から運用、廃棄に至るまで、予めセキュリティーをビルトインする『セキュリティー・バイ・デザイン』の思想が必要だ」と提唱する。
東京2020オリンピック・パラリンピックは、世界中のハッカーからサイバー攻撃の格好の標的にされる懸念がある。守る日本にとっては、情報技術の総力を挙げて阻止しなければならない正念場だ。そこで、徳田理事長に、IoT時代のサイバー危機管理の現状や見通しについて伺った。

IoTがもたらす利便性

――IoTがもたらす利便性とセキュリティー・リスクという、現代社会が抱えるジレンマについて、私たちはどう受け止めればよいのでしょうか。

徳田 IoT(Internet of things)はよく「物のインターネット」と言われますが、研究者はInternet of connected thingsという言い方をします。物だけでなく人、生き物、ビジネスデータ、プロセスなどすべてのモノがつながり、その情報をシェアし流通させることで、新しい価値を創出できる環境のことです。CPS(Cyber-Physical System=サイバー空間と実世界の融合)という言葉も、つながったモノたちを制御しているシステムに対してよく使います。
今の社会は、人・モノ・データ・プロセスを接続することによって、さまざまな新産業が創出されています。下記の写真は、グーグルが買収したNestの家庭用機器、自分の飼いネコだけを識別してエサをやる装置、ウシのしっぽにセンサーを付けて体調を監視するシステム、毎日の薬の摂取をチェックする装置などつながったデバイスの例です。

New Smart Enablers

New Smart Enablers (資料提供:徳田英幸理事長)

私たちは2005年、モノの動きや光、温度を検出して無線で送信する小さなセンサーを利用し、さまざまなコネクテッドサービスを実証しました。1円玉くらいのサイズのセンサーです。これを使ってイノベーションを起こそうと、秋葉原の携帯ショップに並ぶ商品サンプルにこのセンサーを貼り付け、リアル空間での消費者の行動をモニタリングできるシステムを構築しました。するとセンサーのデータによって、お客さんがどの商品を一番多く手に取って見たか、つまり実際の売れ行き(pos端末のデータ)とは別に、どれが一番手にとられた商品なのか、どれとどれが比較されたかなどを解析することができ、当時、画期的な試みだと話題を呼びました。それからわずか12年。センサー類は格段に進歩し、身の周りの幅広い分野で使われています。

徳田理事長

被害者が、知らぬ間に加害者となってサイバー攻撃をしてしまう怖さ

――便利になった一方で、どのようなリスクが高まってきたのでしょうか。

徳田 この表を見てください。横軸は右に行くほど機器の管理度合いが低く、縦軸は上が固定機器、下は移動機器で、右に行くほど、設置後に放置されていることを示しています。この右端にある光回線を使ったホームゲートウェイ、家庭での電気やガスの使用量をチェックできるHEMS(Home Energy Management System)端末、スマート家電、健康機器などは、攻撃者たちから知らない間に乗っ取られ、攻撃用パケットを大量発信する踏み台に悪用されやすい機器です。特にネットに接続されたカメラやスマートテレビは太い回線を持っているので狙われやすい。使われ出してきている家庭用ロボットやトイロボットも、大学生レベルの知識があれば盗聴用ロボットにしてしまえる可能性があります。

IoT環境で対象とするシステム

IoT環境で対象とするシステム(資料提供: 徳田英幸理事長)

これらの機器の多くは元々ネット接続を考えずに設計されました。「遠隔操作ができたら後々便利だろう」というので、メンテナンス用にTelnet(ネットワークに接続された機器を遠隔操作するためのシステム)のポート23が後付けされています。そのパスワードがマニュアルに公然と書かれ、変更されずに使われているケースが多々あります。そうしたセキュリティーが脆弱なポートがまず乗っ取られ、その機器を踏み台にして、サイバー攻撃が仕掛けられます。
被害者は「自分の機器が攻撃された」と思っていますが、実際は攻撃の踏み台に使われて、何百万件というサイバー攻撃に加担している。ところが、当人はその事実に全く気付いていないケースが多々あります。

NICTの調査では、私たちがNORA(野良)IoT機器と呼ぶ、こうした無数のIoT機器を踏み台に、Telnetを介して行われるDDoS攻撃は、1日で最大7億件に達しています。かつては6000万件で大騒ぎしていたのに、IoTの普及に伴って異常な増え方をしています。

セキュリティーの穴のリストが世界の闇市場に出回る

――表の左側(機器の管理度合いが高い側)には、スマートメーターとかATMがありますが、これらは安全と言えるのでしょうか。

徳田 それも実は今、大きな問題になっています。従来からセキュリティーに携わってきた人たちの中には、「秘密の鍵さえあれば、セキュリティーが破られることはない」と信じていたエンジニアがいますが、特別な保守会社しか知らないはずの秘密の鍵が、ネット上のブラックマーケットで流通していることもあります。

シンガポールやマレーシアでは、ATMの保守用ポート(USBメモリーの入口)から違法な制御プログラムを流し込み、出金させて大金を奪う犯罪が起きています。これまでの秘密の鍵方式を、公開鍵暗号方式などの仕組みに変えない限り、同じような犯罪が今後も起きてしまうでしょう。

日本でも、ネットにつながっているコピー機や監視用のWEBカメラなどにセキュリティーの穴があり、そのリストがネットで世界中に出回っている状況です。これについては、設置しているユーザーはもちろんですが、機器を製造している業界にも注意を促して改善を急ぐことが必要です。

もう1つはあまり日本では知られていませんが、イスラエルの研究者が2016年、光の強さや色をコントロールできるスマート電球(Philips製 Hue Lights)を使って、ある実験をしました。ネット経由ではなく、ドローンで空から近づき、セキュリティーが脆弱なプロトコルを書き換え、電球のオンオフや色を勝手に操作して見せたのです。ネットワークでつながった町中のスマート電球に連鎖反応を起こすことや、異常をリセットできないようポートをつぶすことも可能だと証明して見せたのです。

徳田理事長

自動車の内部ネットワークに入って運転を操作

――自動車もコネクテッドカーとか自動運転、電気自動車の普及などでセキュリティーが気になります。

徳田 車は「動く」「止まる」「曲がる」を中心に設計されてきました。しかし、今はコネクテッドサービス化され、運転サポートや駐車アシスト、シートベルト、ドアなどをコントロールする各チップは、すべてCAN(内部ネットワーク)につながっています。

車の設計者は「CANは安全だ」と思っていましたが、ハッカーたちは実際に車をリバース・エンジニアリングして脆弱性を見つけ、外部からCANにコマンドを送って勝手に操作できることを路上走行の実験で示しました。ハッカーはメーカーに欠陥を通告して直させた上で、BlackHat2015(セキュリティーに関する会議)で公表しました。また、国内の研究者が停車している車に対してハッキングの実験をし、走行距離メーターを勝手にどんどん回し、新車を一夜にして中古車にしてしまうこともできることを検証しました。

ハッキングを阻止するには攻撃側の技術を知らなければなりません。ですから、もし今お話したようなハッカーによる実験が違法扱いされると、対応が遅れることになります。そこで米政府は「デジタルミレニアム著作権法」を2016年11月に改正し、「自分の車やテレビであれば合法的にハッキングできる」と、2年間の試行措置として規制を緩和しました。

攻撃側と守備側の非対称性を変えるゲームチェンジが必要

――サイバー攻撃の脅威は、私たち一般の国民が思っている以上に深刻な事態になっているのですね。

徳田 今、セキュリティー業界で問題になっているのは、攻撃側と守備側の「非対称性」です。すなわちコストは攻撃側が守備側より圧倒的に安い。人数も攻撃側が圧倒的に多い。スピードも攻撃側が圧倒的に速いのです。「ここに穴が開いている」と分かると、ネットのつながりで一斉に攻撃を仕掛けてきます。

徳田理事長

攻撃側はそれがビジネスであり、生活の糧となっているのです。例えば健康機器メーカーが「商品を攻撃されたくなければ何千万円払え」と脅迫される事態だって起きかねません。ネット上には「こういう攻撃をしてくれたら謝礼はいくら」といった闇サイトがあります。投稿は1日ぐらいで消えるので、追跡は容易ではありません。こうした問題に、守備側が1つひとつ後追いで水漏れを防いでいたのでは、もはや対応不可能です。なんとしてもゲームチェンジをして、非対称性を変えることが必要です。

――しかし一体どのようにすれば、ゲームチェンジができるのでしょうか。

徳田 IoTのデバイスやサービスを作る企画・設計段階から生産・流通・運用・保守・廃棄に至るまで、商品のライフサイクル全体にわたり、最初からセキュリティーやプライバシーを考えてビルトインする「セキュリティー・バイ・デザイン」と「プライバシー・バイ・デザイン」という2つを実践する必要があると思います。

産官学が連携するIoT推進コンソーシアムは2016年、IoTセキュリティー ガイドラインを作りました。セキュリティー・バイ・デザインに則った製品やサービスであれば、より安全だと言えるので、エコマークのような「セキュリティーマーク」を付与する計画を検討しています。1年後ぐらいには実現できることを期待しています。消費者もマークを見て買うようにすれば、自分のスマート血圧計やスマート冷蔵庫が、踏み台にされ攻撃用パケットを大量発信する時限爆弾に使われるような、まさかの事態は防げるようになるでしょう。

業界団体も動いています。飲食店などのレジにあるPOSはタブレットで処理していますが、今はセキュリティーを検証する手順を定めています。金融業界や、自動車業界も動いていますが、やはり企業カルチャーを土台から変えないといけない時期に来ています。そのためには、企業が積極的なセキュリティー投資をすれば減税するような制度があってもいいかなと思います。

どの国も「自国だけでは守れない」と共同研究を模索

――日本の経営者は欧米に比べてセキュリティー意識が甘いと言われます。徳田理事長は、以前から「セキュリティー対策は企業価値を左右するのだから、経営者はリーダーシップを発揮すべきだ」と述べておられます。

徳田 東日本大震災の後、地震などの災害に備えるBCP(事業継続計画)の必要性が叫ばれましたが、セキュリティーも同じです。経営者側の意識も少しずつ進化しており、経営者向けにトレーニングプログラムを提供する会社も出てきました。現在実施されている多くのサイバーセキュリティー・トレーニングプログラムは、セキュリティーエンジニア向けで、例えば4人でチームを作り、攻撃側と守備側に分かれて擬似的な社内ネットワークを対象として、守備/攻撃の訓練をしてリスクマネジメントを演習するものです。実際の活動を擬似的な社内で実践してみるという点では、防災訓練で基本動作を習得するのと同じです。企業カルチャーを変えるにはリーダーシップが不可欠です。米国ではセキュリティー専門の弁護士やコンサルタント会社が活躍し、依頼先の会社の脆弱性をいろいろと調べてアドバイスするとともに、演習までも提供している会社があります。

――国境を越えて国際レベルでの危機管理も必要になると思いますが、現状はいかがですか。

徳田 技術者レベルでは世界共通でセキュリティーを考えますが、国家レベルになると、政治体制や価値観が違うために対立が生じます。ただ、どの国も「自国だけでは守れない」という共通認識を持っています。他国と協力すれば、自国の観測網だけでは分からないことをいち早く知ることができます。日本の場合は、米国のほか、EUや英国、イスラエルなどと、さまざまな共同研究が進められています。

各国にはそれぞれ強みがあります。米国は、総合的なノウハウを待っており、脆弱性をチェックするための攻撃をシステマティックに生成する機器なども製造しています。イスラエルは原子力発電所がサイバー攻撃を受けた経験があり、石油プラントなどにもノウハウを持っています。日本では、重要インフラ等におけるサイバーセキュリティーの確保に向けたSIPプログラムが走っており、英国では、Ph.D. in Cybersecurityを出せる人材育成拠点を形成しています。英政府は14の大学にPh.D.プログラムを設け、外国人研究者も招いて、Ph.D. in Cybersecurityを持つ研究者を年間90~100人ぐらい輩出しようとしています。 トップノッチを育成していく際の重要な資質の1つは、クリエイティビティー(創造力)だと言われています。未知の事態が起きた時に、その原因を分析・理解し、柔軟かつ迅速に対応できる能力が必要です。

徳田理事長

東京五輪はセキュリティー能力を世界に示すチャンス

――徳田理事長は「東京2020オリンピック・パラリンピックはサイバー攻撃の格好の標的になりうる」と指摘されています。日本のセキュリティーレベルが試されるわけですが、対策はいかがでしょうか。

徳田 東京2020オリンピック・パラリンピックは開催日が決まっているので、関係者は誰もが「大規模なサイバー攻撃が必ず起きる」と予想しています。それに備えてしっかり態勢を整えないといけません。
日本の高い技術力やチーム力を駆使して効果的なセキュリティー技術を開発し、東京2020オリンピック・パラリンピックで良い結果を見せることができたら、「ポスト2020」で海外に技術を売るチャンスになります。日本は、品質や安全に関するブランド力があるので、あらためてその強みをセキュリティー技術においてもアピールする絶好のチャンスです。

一方、人的リソースに関しては、現状では全く足りません。一般企業も加えると数十万人ぐらい不足しています。NICTはこの4月から国の施策として「ナショナル・サイバー・トレーニング・センター」をスタートさせ、人材育成のための3つのプログラムを始めました。
1つは公務員の方を対象に年間3000人規模でサイバーセキュリティーの演習を受けてもらう(名称はCYDER)。2つ目は東京五輪に向けて年間約200人のエンジニアに中級レベルのトレーニングをする(同サイバーコロッセオ)。3つ目は25歳以下(U25)の若者を対象にホワイトハッカー、つまりセキュリティースペシャリストを育成するトレーニングプログラム(同SecHack365)。これは約40人を1年間をかけて教育するプログラムで、最年少は10歳、その上は14歳といった非常に若い人も含まれており、今後のトレーニングプログラムの内容が注目されています。こうしたいろいろなレベルでの人材育成プログラムを積み上げていきます。

TEXT:木代泰之

【関連記事】

とくだ・ひでゆき 徳田英幸 国立研究開発法人情報通信研究機構(NICT)理事長/慶應義塾大学客員教授。

1952年、東京生まれ。1975年慶應義塾大学工学部卒。同大学院工学研究科修士。ウォータールー大学計算機科学科博士 (Ph.D. in Computer Science)。米国カーネギーメロン大学計算機科学科研究准教授を経て、1990年慶應義塾大学環境情報学部教授。慶應義塾常任理事、環境情報学部長、大学院政策・メディア研究科委員長を経て、2017年4月から国立研究開発法人 情報通信研究機構 (NICT) 理事長に就任。専門は、ユビキタスコンピューティングシステム、OS、Cyber-Physical Systems、IoT等。情報処理学会フェロー、日本ソフトウェア学会フェロー。現在、日本学術会議会員、日本学術会議情報学委員会委員長、 重要生活機器連携セキュリティー協議会会長、スマートIoT推進フォーラム座長、ASP・SaaS・クラウド普及促進協議会会長などを務める。研究教育業績に関してMotorola Foundation Award、IBM Faculty Award、総務大臣賞、経済産業大臣賞、情報処理学会功績賞、情報セキュリティー文化賞、慶應義塾福澤賞、文部科学大臣表彰科学技術賞などを受賞。日本IBM有識者会議「天城会議」のメンバー。