IoTでは、企業と個人のどちらもデータの保存場所や行く先をあまり制御できなくなる。コンシューマライゼーションが企業を襲ったとき、データと接続性に対する権力と制御はIT部門からユーザーに移った。IT部門は今もなおその衝撃への対応に追われている。そして今、もう1つ別の変化が起きようとしている。

　米ThreatTrack Securityでエンジニアリング／製品担当部長を務めるディプト・チャクラバティ氏は次のように話す。「権力はユーザーからコンピュータに移ろうとしている。権力がコンピュータに移ると、接続性とセキュリティは反比例の様相を呈する。適切にバリアを張ることができない限り、接続性が高まるほどセキュリティは弱くなる」

簡単に確保できないIoTのセキュリティ

　IoTの「モノ」をコントロールするのは非常にやっかいな作業だ。セキュリティを確保するためにはコンピューティング能力が必要になる。だが、ほとんどのモノにはその能力が最小限にしか備わっていない。

　「このようなエンドポイントデバイスの大半はあまり大きくない。特にセキュリティに関するコンピューティング能力はそれほど高くない。例えばIPアドレスを割り当てられる電球はあるが、セキュリティのために残されている処理能力は多くない」とハートマン氏はいう。

　また、所持品をIP接続するとOSも必要になる。だが、OSには修正プログラムを適用しなくてはならない。適用しなければハッカーに脆弱性を悪用され、ゾンビ化した数百万台もの機器やその他のモノが、ボットネットの新しいメンバーになりかねない。

　IoTは全て相互に通信し、相互に影響する。

　米ニューヨークを拠点とする451 Researchで主任アナリストを務めるエリック・ハンゼルマン氏は興味深い問いを投げ掛けている。「例えば牛の監視システムがハッキングされたらどの程度の問題が発生するだろうか」。ハッキングされるのは単なる受動的なデータなので大したことはない。だが、牛の健康状態に関するデータが農場にある別のモノに渡され、そのモノがデータを処理して新しいデータを生み出す可能性がある。そして、そのデータがIPネットワークを介してどこか別の場所に運ばれる可能性もある。

　「このような経路は適切に保護されていない場合が多い。エンドポイントそのものよりも、データ経路が新たな攻撃プラットフォームを作り出しているという事実の方が問題だ」とハンゼルマン氏は指摘する。

　ThreatTrack Securityのチャクラバティ氏は次のように話している。「電子レンジが誰かに乗っ取られ、冷蔵庫の電源を切るよう指令を出し続けたらどうなるだろうか。誰も電子レンジに何かが起こっているとは思いも寄らないだろう。ゆっくりとした変化ではあるが、ユーザーが主体ではなくなってきている。例えばスマートフォン（多機能な携帯電話）を持ち歩いていると思うかもしれないが、それは単なる電話ではない。ネットワーク上でルータが行うのと同様に情報を通信できる伝達装置であり受信機なのだ」

IoTのセキュリティを確保するには

　ネットワークを監視すれば問題を解決できるというエンジニアもいる。

　Cisco Systemsのハートマン氏は次のような見解を示している。「ネットワークファブリックを活用して、全ての機器のトラフィックを監視し、何らかの不正や攻撃の可能性が見られる場所ではそれを制限することが重要だ。例えば、工業制御システムでは管理コンソールを使ってロボットの設定を変更している。だが2台のロボットアームが相互に再プログラミングすることは望まないだろう。つまり、関連するトラフィックを確認して、そのようなことが起こらないようにすることは可能だ。ロボットアーム間のトラフィックは制御して制限できる」

　米コネチカット州のスタンフォードを拠点とするGartnerで研究担当部長を務めるアール・パーキンス氏によると、IoTのセキュリティを確保するには暗号キー管理インフラストラクチャとID管理システムが必要になり、その規模は数十億ドルに上るという。

　「データが存在するのがIoTのモノでも中間の場所でも、そのような環境にあるデータを保護する方法を見つけ出さなければならない。そのため、暗号キー管理とID管理に対する見方を変えざるを得ないだろう。各ユーザーが個人的なクラウドネットワークを形成するため、ID管理と資産管理の能力を結合する必要がある。身に着けたり自宅で使用したりするIoTにより、私たちはさまざまな機器に囲まれているようなものだ。自分にもアイデンティティー（ID）があり、モノにもIDがある。だが、自分とモノのIDの関係を維持するにはどうすればよいだろうか」（パーキンス氏）

　IoTには、洗練されたリスクマネジメントに対するアプローチも必要だ。IoTの機器は全てが新しいわけではない。データを抽出するために古い機器やシステムをIP接続する組織もある。このような古いシステムには、最初からIPエンドポイントとして設計されたものよりも高いリスクが伴う。

　「そのような古いデータソースがもたらすリスクに対処できるインテリジェンスを追加する必要がある」と451 Researchのハンゼルマン氏は述べている。

IoTのセキュリティ問題に関する責任の所在

　IoTのセキュリティを確保するには多くの作業が必要になるのは明白だが、この問題に取り組む前に、責任の所在について考える必要がある。数十億台もの新しい機器がデータを収集して共有しようとしている。また、さまざまな企業がそれを実現しつつある今、問題の責任はどこに問われるのだろうか。

　ハンゼルマン氏によると、現時点では、この問題はまだはっきりしていないという。IoTのセキュリティ侵害による被害について誰が責任を負わなければならないのかすら明確には定められていない。現在米国で施行されている法律でも、プライバシーの喪失がどのくらい重大だと認められるのかという基準は確立されていない。

　またモノのハッキングによる人身傷害や物的損害についての法律責任はさらに曖昧だという。例えば、自動車のブレーキシステムがハッキングされた結果、損傷／損害／死亡などの事象が発生した場合の責任については法律で明確に定められていない。自動車メーカーがセキュリティ侵害の責任を負うのだろうか。「今後、このような責任の所在を定める判例法が作られるだろうが、現時点では法的に曖昧な状態だ」とハンゼルマン氏は語る。

　ほとんどの場合、IoTのモノの製造元はセキュリティの責任を負わないだろう。責任を負うのはアプリケーションや接続サービスを提供する企業だ。

　Gartnerのパーキンス氏は次のように話している。「機器のセキュリティを確実に確保することは、恐らく機器を通じてサービスを提供する側に求められるだろう。それはアプリケーションやサービス自体を提供する企業の場合もあれば、ネットワークを提供するサービスプロバイダーの場合もあるだろう。あるいはその両方かもしれない。このような機器が不正な行為を行ったときの法的責任や法的意味という大きな課題が、私たちの前に立ちはだかっている」