総務省主導の”NOTICE”でセキュリティレベルの低いIoT機器にメスが入る

平成31年2月20日から、総務省とNICT（国立研究開発法人情報通信研究機構）による「NOTICE」という取り組みが始まりました。

日本中の法人・個人を問わず、ネットワークにつながっている機器（約2億台）に総務省がスキャンをかけてセキュリティの安全性をチェック。

もしも、サイバー攻撃などに遭う可能性がある脆弱性が見つかった場合は、対策をするように連絡が来るというものです。

「わざわざチェックしてくれて、連絡もくれるならそれまで待っていよう」

と思われる方もいるかもしれません。

ですが現在、ネットワーク機器のセキュリティ事故は待ったなしの状況です。毎日のように情報漏洩などの事故が起こっています。↓

※セキュリティニュースより抜粋

顧客情報などを電子データで取り扱っている企業にとってベストなのは、「あなたの機器はセキュリティ対策ができてないよ」と指摘されないようにすることです。

では具体的に、NOTICEではどのような機器に対して、どんなチェックをするのか？

サイバー攻撃や情報漏洩事故により、企業活動に支障をきたさないためにはどのような対策が必要か？

この記事で詳しくお伝えしていきます。

「NOTICE」の目的とは？

今回NOTICEが実施される背景には、年々増え続けているIoT機器へのサイバー攻撃があります。

NICT（国立研究開発法人情報通信研究機構）が2018年におこなった調査によると、サイバー攻撃の多くがWEBカメラやルーターなどのIoT機器におこなわれていることが分かります。

※国立研究開発法人情報通信研究機構「NICTER観測レポート2018」より引用

パソコンやスマートフォンなど、もともと「通信機器」と認識しながら使うものについては、セキュリティ対策を講じている人が多いことでしょう。

しかし、例えばIoT機器のひとつであるWEBカメラの場合、メイン機能は「動画の記録」です。

インターネットを介して情報のやりとりもしているものの、メイン機能ではないため、セキュリティ意識がそこまで強くありません。

その穴を突かれて攻撃され、個人情報などを抜き取られるパターンが増えてきているのです。

このような現状があることから、総務省ではサイバー犯罪の防止策を打つこととなりました。

それがこの度実施されている「NOTICE」です。

具体的に何をするのか？

NOTICEでは、法人・個人問わずグローバルIPアドレスを持つ機器に対して、次の3ステップで調査がおこなわれます。

※画像はNOTICE公式サイトより引用

STEP1

インターネット上からアクセスできるIoT機器に対し、「容易に推測されるIDとパスワード」でログインを試みます。

このログイン試行は、NICT（国立研究開発法人情報通信研究機構）の管理する自動プログラムでおこなわれます。

【容易に推測されるIDとパスワードの例】

過去にサイバー攻撃に使われたものや、連続した番号などです。

【IoT機器へのアクセスに使われるIPアドレス】

調査に使われるIPアドレスは公開されており、NOTICEによるものかどうか判断することができます。

STEP2

STEP1の結果、ログインできてしまった（セキュリティ性の低い）IoT機器のデータを、NOTICEに参加するインターネットプロバイダに提供。

インターネットプロバイダが利用者を特定し、メールなどで注意喚起をおこないます。

※参加しているインターネットプロバイダは、NOTICE公式サイトで確認してみてください。

STEP3

セキュリティの問題が発見された機器の利用者は、プロバイダやNOTICEユーザーサポートのアドバイスに従って適切な設定をおこないます。

このような流れで、日本国内にあるIoT機器のセキュリティ性を高めていく計画です。

危険度の高いIoT機器の特徴

NOTICEの調査方法は法律で特例として許されていますが、不正アクセスの主な手段とほぼ同じです。

つまり、危険度の高いIoT機器とは、

• ログインIDとパスワードが初期値のまま変更されていない
• ログインIDとパスワードが推測しやすい簡単なものになっている
• ファームウェア（機器を制御するソフトウェア）の更新がされていない

のどれかに当てはまっている場合が多いと言えます。

※ファームウェアの更新は不具合修正のほかに、セキュリティの穴を埋める意味もありますので最新版にしておくことが大切です。

IoT機器から侵入されれば、気付かないうちにやりたい放題のことをされてしまいます。

例えば、ネットワークでつながっている機器全てにコンピューターウイルスを感染させたり、個人情報などを抜き取って去って行ったり、大量のデータを送り込んで機器を使用不能にしたり・・・といった具合です。

ルーターやWEBカメラなどは、一度取り付けたらあまり触る機会はありません。

ですが、インターネットにつながっている以上、日々進化するサイバー攻撃の脅威にさらされています。

「設置してからIDやパスワードを変更した覚えがない」
「ファームウェアの更新を一度もしたことがない」

などが思い当たる場合は、すぐに確認してみましょう。

セキュリティの不安はIoT機器だけではない

総務省とNICT（国立研究開発法人情報通信研究機構）によるNOTICEの取り組みは、最近増加しつつあるIoT機器へのサイバー攻撃を防ぐ目的のものです。

しかしながら、それはセキュリティ対策のほんの一部であって、IoT機器さえなんとかすれば万事解決！というわけではありません。

電子データで情報を扱うのが一般的になった今。

情報へのアクセス、持ち運び、送信がいとも簡単にできるようになった反面、いたるところにセキュリティ事故のリスクはあります。

例えば・・・

• メールに添付されたウイルス付きファイルやURLを開き、社内ネットワークに侵入された
• 本物そっくりのWEBサイトに重要情報を入力し、情報が漏洩した（フィッシング）
• データを保存していたUSBを紛失し、情報漏洩した
• データを保存していた携帯端末（PCやタブレットなど）の盗難に遭い、情報漏洩した
• ウイルス付きのフリーソフトをダウンロードし、パソコンがハッキングされた
• 通信が暗号化されないWi-Fiに接続したことで、保持しているデータが盗み見られた

など、上げればキリがありません。

セキュリティ事故を未然に防ぎ、企業活動を円滑に進めていくためには、

• IoTを含むすべての通信機器のセキュリティ
• 機器同士をつなぐネットワークのセキュリティ
• 使用するソフトウェアのセキュリティ
• 通信端末の管理体制
• 電子データの管理体制
• 情報セキュリティの意識レベルを上げる教育

のように、全体的に対策をしていくことが重要です。

どこかひとつでも穴があれば、そこからたちまちセキュリティ事故は発生します。

全体を捉えて弱点を塞いでいく意識が必要なのです。

総務省とNICT（国立研究開発法人情報通信研究機構）のNOTICEの取り組みは、日本企業の情報セキュリティレベルを上げる大きなきっかけになります。

ぜひこれを機に、普段何気なく使っている社内の通信環境が「本当に安全か？」を確認してみてください。