あらゆるものがネットワークでつながるIoT（Internet of Things）が身近なものとなりつつある中、組み込み機器のセキュリティ対策は重要度を増している。
既にインターネット接続機能を持ったプリンタなど情報家電に脆弱性の発見報告がなされている他（IPA 情報処理推進機構発表。2014年第3四半期で10件）、欧州では電力会社に向けたサイバー攻撃「Operation Dragonfly（オペレーションドラゴンフライ）」といった大規模攻撃も発覚し、“PCやサーバではない、組み込み機器だから危険性は低い”という認識は通用しなくなっている。
IoTが本格的に普及すると目されている2020年には、インターネット接続されるデバイスの数は500億に上るという試算もあり、これまでと同様のセキュリティ対策が通用しない可能性すら浮上する。来日した米マカフィー副社長兼ワールドワイド・エンベデッド・セールス担当のトーマス・ムーア（Thomas Moore）氏に、IoT時代の組み込み機器のセキュリティ対策を聞いた。
——まずは組み込み機器のセキュリティ対策について、マカフィーの取り組みを教えてください。
ムーア氏： 「組み込み機器」としてマカフィーがとらえているのは、PC、サーバ、玩具などのコンシューマ製品以外の全てです。大まかに分ければ、産業用PCやFA（Factory Automation）機器などの「産業機器」、POSやATM、キオスク端末などの「小売市場機器」、入院患者モニタリングシステムや医療用放射線制御システムなどといった「医療機器」の3分野になります。
現在ではこの3分野に加えて、「Intel Intelligent Gateway」（インテル、マカフィー、ウィンドリバーの3社で開発したIoTゲートウェイソリューション）でIoTのセキュリティ対策に取り組んでいます。セキュアなIoTのための、証明されたソリューションを構築したいと考えていています。
IoTはオープンなソフトとハードで構成されているので、開発速度も上げられコストダウンも狙うことができますが、オープンであるがために、脆弱性に対しての危険性も高いとも言えます。オープンアーキテクチャのための安全なソリューションを提供するのが私たちの目的です。
——マカフィー1社での対応ではなく、「Intel Intelligent Gateway」で対応することのメリットはなんでしょうか。
ムーア氏： 基本的にIntel Intelligent Gatewayで提供するセキュリティ機能は、現在、マカフィーがさまざまな形で提供しているものと同じです。ただ、組み込みのセキュリティという意味ではアプローチが異なるといえます。
例としてATMで考えてみましょう。ATMは現金の扱いに特化した機器ですが、ディスプレイがあってプロセッサがあって、メモリがあってと、構造としては汎用機であるPCとさほど変わりません。そこで求められる機能だけが使えるようにロックダウンするなどの手法をとることで、安全性を高めることができます。この安全性を高める手法を私たちは提供します。
そうすることでATMを作るベンダーは、オープンのハードウェアとソフトウェアで機器を構成することで市場投入スピードを速め、コストを下げることができますし、私たちのセキュリティ手法を入れることで、安全性も確保できると考えています。
——実は約1年前に「産業機器システムのセキュリティ」というテーマで話を伺っています。その際には、産業機器のセキュリティ対策は遅れている、ヒューマンエラーやデバイス間通信の整合性にも注意すべきだと指摘されました（関連記事：マカフィーCTOが警鐘鳴らす制御システムの「無垢な無防備」）。「組み込み機器のセキュリティ」という観点では、1年前と比べて状況はどう変化したと感じますか。
ムーア氏： ユーザーレベルでの認識が大きく変わっていると感じています。制御機器メーカーであれば、ほとんどの企業がセキュリティの要素あるいは機能を搭載していますし、危険性に対してさまざまな業界のベンダーが真剣に向かい合っているといえるでしょう。
以前であれば、危険性があっても利用（運用）側で対処していたと思いますが、今では設計段階からセキュリティの要素を内包すべきであるという考えが主流になりつつあります。米マカフィーと独シーメンスの提携がその一例といえるでしょう（関連記事：マカフィー、サイバー攻撃対抗でシーメンスの産業オートメーション事業部と提携）。
Copyright© 2014 ITmedia, Inc. All Rights Reserved.