エンタープライズ IoT デバイス数は爆発的に増加していますが、ほとんどのデバイスはセキュリティ設計が脆弱です。本記事は実践的な IoT セキュリティ管理フレームワークを提供し、組織が効果的にリスクを低減できるよう支援します。
Gartner の予測によると、2025 年に世界のコネクテッド IoT デバイス数は 300 億台を超えました。企業は急速に拡大する IoT デバイス導入の課題に直面しています：工場のセンサーと PLC、病院の医療機器、オフィスの IP カメラとスマートアクセス制御システム、小売の POS 端末とデジタルサイネージ — すべてが前例のないペースで企業ネットワークに接続されています。
IoT デバイスのセキュリティ設計は IT デバイスよりもはるかに遅れていることが多いのが問題です。多くのベンダーは市場投入時間とコスト削減を優先し、セキュリティは後回しです。これにより逆説が生まれます：最も保護が困難なデバイスが、最も直接的な物理的アクセス（カメラ、アクセス制御）や最も機密性の高いデータ（医療モニター、産業センサー）を持つことが多いのです。
2021 年の Oldsmar 水処理場へのサイバー攻撃と、2023 年の台湾半導体メーカーのサプライヤーへの IoT 侵入は、IoT セキュリティが任意ではなく企業セキュリティの重要な構成要素であることを明確に示しています。
大量の IoT デバイスが同一のデフォルト認証情報（admin/admin や root/1234 など）で出荷されますが、IT 部門はこれらのデバイスをパスワード管理ポリシーに含めないことが多いです。Shodan 検索エンジンを使えば、インターネット上に露出してデフォルト認証情報を使い続けている台湾企業のデバイスが数万台も簡単に見つかります。
多くの IoT デバイスは更新メカニズムの設計が不十分であり、ベンダーがセキュリティパッチの提供を停止している（サポート終了）場合もあります。脆弱性が発見されると、これらのデバイスは交換されるまでリスクにさらされ続けます。予算制約のある中小企業環境では、交換サイクルが 5〜10 年に及ぶことも多いです。
一部の IoT デバイスは依然として Telnet、HTTP、FTP などの平文プロトコルで管理やデータ転送を行い、または既知の弱いアルゴリズム（MD5 や RC4 など）を使用しています。攻撃者はネットワーク上でパケットキャプチャを行うだけで、完全な管理認証情報とビジネスデータを取得できます。
IoT セキュリティ管理の最初のステップは、ネットワーク上に何があるかを把握することです。これは単純に聞こえますが、実際には最大の課題であることが多いです。シャドー IT は IoT 領域で特に深刻で、部門長が IT に通知せずにスマートデバイスを購入して接続することが頻繁にあります。
効果的な資産インベントリの方法：
資産インベントリには以下を含める必要があります：デバイス名とモデル、ファームウェアバージョン、管理インターフェースの場所、ビジネス機能、リスクレベル、および担当オーナー。このインベントリは、その後のすべての IoT セキュリティ作業の基盤となります。
ネットワーク分離は IoT セキュリティにおいて最も効果的な技術的制御の一つです。コア原則：IoT デバイスが侵害されても、エンタープライズコアネットワークへの横移動ができないようにする。
カメラ、センサー、プリンター、HVAC — 必要な管理トラフィックのみ許可、横方向通信は禁止。
サーバー、ワークステーション、ERP、AD — IoT ゾーンからのトラフィックは厳格に制限。
ゲスト WiFi および委託業者デバイス、すべての内部ネットワークから完全に分離。
NGFW で各ゾーンに厳格なアクセス制御ポリシー（ACL）を定義し、「デフォルト拒否」ルールを設定します：明示的に必要なトラフィックのみ許可し、他のすべての通信はブロックします。
医療 IoT セキュリティ（IoMT、モノのインターネット・メディカルとも呼ばれる）は、一般的なエンタープライズ環境よりもさらに深刻な課題に直面しています：
Hexion は医療機関に「デバイスマイクロセグメンテーション」アプローチの採用を推奨します：高リスク医療機器ごとに個別の仮想ファイアウォールルールを確立し、デバイスが対応する病院情報システム（HIS）とのみ通信できるようにし、他のデバイスやインターネットへの直接接続を完全に禁止します。
優れた分離とアクセス制御が整っていても、IoT デバイスは攻撃の踏み台として使用される可能性があります。異常行動検出は、すでに侵害されたデバイスを特定するための重要なメカニズムです。
IoT デバイスの動作は通常非常に予測可能です：IP カメラは NVR（ネットワークビデオレコーダー）とのみ通信すべきで、温湿度センサーは固定の収集サーバーにのみデータを送信すべきです。この「正常行動ベースライン」から逸脱する活動はアラートを発すべきです。例えば：
現代の NGFW の行動ベースライン機能は、各 IoT デバイスの正常な通信パターンを自動的に学習し、異常が検出されるとケースごとに手動でルールを定義することなく、即座にアラートと隔離を行います。