ITシステムの保護と基本は同じでも、とるべき方法は異なる
IoTデバイスをサイバー攻撃から守る IoT向けゼロトラストの“3つのアプローチ”
NICT（国立研究開発法人 情報通信研究機構）が2026年2月に発表した「NICTER観測レポート 2025」によると、IoT機器を狙うサイバー攻撃は高度化／多様化しています。同レポートでは、従来主流だったIoTボット（Mirai）とは異なる新たなボットの登場や、感染後の不正動作を見えにくくする仕組み（プロセス隠蔽）を備えたボットの登場といった、最新の動向が報告されています。
IoTボット感染ホスト数の推移（世界／日本）（出典：NICT「NICTER観測レポート 2025」）
IoTデバイスを狙う攻撃者たちの主な目的は、そのデバイスを乗っ取って「攻撃の踏み台」に悪用することです。攻撃者が企業の内部へ深く侵入するための“侵入口”として利用することも、攻撃者がリモートから操れる“ボット”としてDDoS攻撃を実行させることもあります。
つまり、IoT機器を開発して提供したり、導入して運用したりすることで、“攻撃インフラの提供者”という加害者側に回ってしまうリスクもあるのです。
ゼロトラストセキュリティの考え方がなぜ有効なのか
以前の記事でも取り上げましたが、IoTデバイスは「インターネットからアクセスできるネットワークに設置される」「パスワードや機器設定が導入時（初期設定）のまま運用される」「監視やメンテナンスが行き届かないまま放置される」といった、一般的なITデバイスよりもセキュリティリスクの高い状況下で利用されるケースの多い製品です。
言い換えると、これまでのIoTデバイスは「低価格、低機能のデバイスなのでサイバー攻撃の標的にはならない」「パスワードで保護されているから不正アクセスはできない」「動いている限りはメンテナンスをしなくても大丈夫」といった“暗黙の信頼”の上に成り立っていたとも言えます。もっとも、その考えが“まったくの誤り”であることは、冒頭で触れたNICTのレポートが実証しています。
ここで求められるのが「ゼロトラストセキュリティ」という考え方です。ITセキュリティの分野では徐々に浸透しつつありますが、これをIoTセキュリティ領域にも広げることで、IoTデバイスをターゲットとし、悪用するようなサイバー攻撃の被害を減らせるはずです。
もっとも、IoTデバイスの場合は搭載CPUやメモリ、消費電力などの制約が大きく、ITデバイスやITシステムのような高度なセキュリティ機能（たとえば厳密な認証／認可機能）が持たせられないケースが多いのが現実です。7つの“ゼロトラストの基本原則”をふまえつつ、足りない部分はデバイス外の機能（たとえば接続するネットワークやクラウド側のシステム）で補うなどして、保護を強化することになります。
NISTによるゼロトラストの基本原則 7項目（出典：IPA「ゼロトラスト導入指南書」）
IoT＋ゼロトラストで考えるべき「3つのアプローチ」
ゼロトラストの原則は抽象的かつ広範な概念なので、ここでは対象をIoTデバイスに絞り、デバイスを「乗っ取らせない」「悪用させない」「異常を検知して止める」アプローチで、具体的な手法の例を説明します。
●IoTデバイスを「乗っ取らせない」アプローチ
デバイスを攻撃者に乗っ取らせないための方法の1つが、「インターネット側からの通信（インバウンド通信）を一切受け付けない」「インターネットへの露出をやめる」といったものです。
前者は、インターネット通信は必ずデバイス側から始めるという仕組みです。インターネット上からのアクセスを受け付ける必要がある場合は、少し複雑にはなりますが、クラウド上のシステムで高度な認証／認可処理を行ったうえで、デバイスへのアクセスを許可する仕組みをとることができます。
ちなみにこのとき、クラウドサービス側でもゼロトラスト、つまり正規のデバイスを自称するIoTデバイスを「信頼しない」で認証する仕組みが必要です。IoTデバイスが持つ電子証明書やSIMの固有識別子を使えば、デバイス側のリソース消費を抑えながら実現できます。
後者は、クラウドやサーバーとの接続に、インターネットではなく閉域網を使うことが考えられます。最近では、モバイル回線を使った閉域網サービス、閉域網専用SIMなども登場しており、手軽に導入できます。通信の暗号化処理も不要になるため、デバイスのリソース消費を軽減できるメリットもあります。
●IoTデバイスを「悪用させない」アプローチ
万が一、攻撃者にIoTデバイスを乗っ取られても、「攻撃に悪用させない」ガードレールを敷いておけば、被害の拡大や加害への加担は防げます。ゼロトラストセキュリティでは、たとえ認証を受けたユーザーであっても、必要最小限のことしか実行を許可しない「最小権限」という考え方がありますが、これに近い仕組みを備えればよいでしょう。
具体的に言うと、IoTデバイスが通信できる相手先やプロトコルを、必要最小限のものだけに絞り込む方法があります。たとえ攻撃者がこのデバイスを乗っ取っても、企業内のほかのシステムやDDoS攻撃などには使えず、攻撃インフラとして機能しないわけです。
●IoTデバイスを「異常を検知して止める」アプローチ
ゼロトラストには「一度検証をして終わりではなく、継続的に検証し続ける」という考え方もあります。したがって、IoTデバイスの状態（特に通信状態）を継続的に監視し、異常があれば止めるというアプローチも有効です。
一般的なITシステムとは異なり、IoTデバイスは用途が特定されており、通信パターンの変化が少ないので、異常は検知しやすいと言えます。たとえば「通信の頻度やトラフィック量が急増する」「ふだんとは異なる通信先に接続しようとする」「通信の時間帯がおかしい」といった兆候を検知するロジックを、クラウドシステム側に組み込むような方法が考えられます。
「止める」の方法は、まずは通信を遮断です。IoTデバイスの場合、攻撃プロセスが動き続けていても、外部との通信をシャットダウンさえできれば、大半の被害の拡大は防げます。
＊ ＊ ＊
上述した具体的な対策方法は、あくまでも一例です。IoTデバイスの種類や目的によっては、こうした方法がとれないこともあるでしょう。それでも、ゼロトラストというセキュリティの考え方自体は有効であり、そのほかの方法で実現できないか、考えていく必要があります。
本記事はアフィリエイトプログラムによる収益を得ている場合があります