セキュリティ企業Vectra Networksの最高戦略責任者（CSO）、ガンター・オールマン氏は、「2017年のいずれかのタイミングで、自動的に増殖する『IoTワーム』がインターネットに拡散するだろう」と警告する。IoTワームは、小さくて継続的に悪意あるペイロードをインストールし、脆弱（ぜいじゃく）なIoTデバイスへと次々に感染して増殖を続ける不正プログラムだ。さらに、デバイスのリモート管理に必要となる全てのパスワードを勝手に変更する。こうして締め出されたデバイスの所有者は、IoTワームの背後にいるサイバー犯罪者から、新しいパスワードと引き換えに身代金を支払うよう要求される。IoTデバイスは、ランサムウェアにとって新たな標的というわけだ。こうしたIoTワームやその亜種による新たな攻撃を防ぐためには、デバイスのデフォルトのパスワードをあらかじめ変更したり、デバイスのカーネルソフトウェアのパッチレベルを管理し、新たな脆弱性を突かれたりしないよう備える必要がある。

　セキュリティ企業Palo Alto NetworksのCSOを務めるリック・ハワード氏によれば、セキュリティ研究者は、長年セキュリティの問題に警鐘を鳴らしてきた。だが、私たちはこの問題をもっと大きく捉える必要があるという。

　「実際のところ、ネットワークセキュリティのコミュニティーでは、インターネットに存在する攻撃手法の約99％の防御方法を知っている。IoTデバイスを使った2016年のDDoS攻撃も含めてだ。だがこれまで私たちのコミュニティーは、入念に対策を講じてきたといえない」とハワード氏は語る。そのため、2017年のネットワークセキュリティのコミュニティーは、IoTデバイスを利用した大規模攻撃を阻止すべく、各種のサイバー攻撃対策の導入を進め、防御体制の強化を図ることになるという。

　ただしIoTのセキュリティは、暗号化や強力な認証といった実証済みの基本的なセキュリティ対策の他に、新しいソリューションが必要だ。リモート接続サービスLogMeInでIoT戦略担当ディレクターを務めるライアン・レスター氏はそう指摘する。

　「IoTは全く新しいタイプのセキュリティの問題をもたらす。現行のセキュリティソリューションを改良し、従来のルールに従っているだけでは、こうした問題は解決できない。企業は1対複数の関係を管理する方法について、徹底的に検討すべきだ。一般的である1対1の関係とは事情が異なる」とレスター氏は語る。

　セキュリティ企業E8 Securityのセキュリティ戦略責任者、マット・ロジャーズ氏も同じ意見だ。あらゆるモノがインターネットでつながる世界に従来のツールは通用しない、と同氏は指摘する。

　「2017年、従来のツールを使ってIoT環境を管理するというのは、コスト的にも技術的にも選択肢の1つではなくなるだろう」とロジャーズ氏は語る。膨大な量のデバイスが多くのことを実行するようになる中、攻撃者はデバイスが発する膨大なデータから、個人を特定できる情報を探し出すことになる。そのため、今後は攻撃の量が増え、攻撃1件当たりのコストが減るというのが、同氏の見方だ。

　ソフトウェアベンダーMicro Focusの戦略担当副社長ジェフ・ウェッブ氏によれば、Miraiの脅威はまだ序の口であり、次はもっとはるかにひどい事態に陥るかもしれないという。そこで必要となるのが、法規制による対策だ。

　IoTデバイスの数はいずれ数十億台に達するとみられている。緻密な計画の下でIoTを活用した攻撃を仕掛ければ、その潜在的な規模からして、国の重要インフラやオンラインバンキング、救急サービス、商取引全般などにとって、真の脅威になりかねない。「IoTのセキュリティは近いうちに国家安全保障の議題の1つになっていくと思われる。政府はインターネット接続デバイスの安全基準や法規制について検討することになるだろう」とウェッブ氏は語る。

　セキュリティ企業WhiteHat Securityのセキュリティストラテジスト、ジーニー・ワーナー氏も同じ考えだ。「今後はセキュリティからセーフティへと重点が移行し、より厳しいIoTセキュリティテストが法律で義務付けられることになるだろう」と同氏は語る。同氏によれば、恐らく国立標準技術研究所（NIST）が発行するセキュリティ関連文書シリーズ「SP 800」か、同様の団体が、動的なアプリケーションスキャン技術と厳密なデバイス制御テストとを組み合わせた、包括的なセキュリティ保証のためのガイドラインを策定することになりそうだ。理想的なのは、新しいガイドラインの策定によって、より多くのアプリケーションセキュリティベンダーがデバイス制御テストラボと提携し、開発早期の段階から製造をサポートできるようになることだという。そうなれば革新的企業は、開発早期の段階で脆弱性を特定することでリスクを管理できる他、攻撃に対する耐性をテストで確認し、より安全な製品をリリースできる。