【ここに注目！IoT先進企業訪問記（4）】

制御用IoTの肝はセキュリティ対策－NTTコミュニケーションズのセキュアIoT Platform

　工場やプラント、自動車や医療機器などの制御用IoTでは、高い安全性が求められます。制御権を乗っ取られると人命にかかわる、経済活動に支障をきたすなど深刻な影響を受けるので、強力なサイバーセキュリティ対策が不可欠なのです。このための基本的な考え方は、戦国の世の防御策と似ています。「居住地や防衛拠点の周りをぐるりと壁や堀などで囲み、身元が確認できる者しか通さない」「壁や堀は常に点検し、問題があれば改修する」「内部にいる者の挙動を監視し、怪しい場合は取り押さえ詳細に調べる」などです。防御策の中には「偽情報を発出し、人々の挙動を観察する」などの方策もあります。

　ファイヤウォールでマルウェアなどを検知するのは「居住地や防衛拠点の周りをぐるりと壁や堀などで囲み、身元が確認できる者しか通さない」ことに似ています。常に最新の不正対策プログラムをインストールすること、ソフトウェアにパッチを当てることなどは「壁や堀は常に点検し、問題があれば改修する」に相当します。動作ログを収集し、サイバー攻撃や操作ミスなどを検知することは「内部にいる者の挙動を監視し、怪しい場合は取り押さえ詳細に調べる」こと、ハニーポットの利用は、「偽情報を発出し、人々の挙動を観察する」ことです。

　NTTコミュニケーションズの取材時に印象に残ったのは、IoTの特性を踏まえた、基本に忠実できっちりとしたセキュリティ対策です。そのコアは閉域網の利用です。大半のIoTシステムでは、システムを構成するデバイス・機器やソフトウェアが特定可能であり、閉域網で囲い込めるのです。一方、多くのデバイスは十分な情報処理能力がなく、自分で自分の身を守ることが難しいのが実態です。まさに「居住地や防衛拠点の周りをぐるりと壁や堀などで囲み、身元が確認できる者しか通さない」ことで守ってくれる閉域網が必要なのです。

１．閉域網の利用を容易化したネットワークコストの大幅低減

　閉域網の利用は高価という思い込みがあります。確かに昔はそうでした。通信自由化直後の1987年における東京・大阪間の64kbpsのNTTデジタル専用線の価格は110万円/月（注１）。それが現在、NTTコミュニケーションズのVPN（Virtual Private Network：仮想専用網）では、15,300円/月からとなっています（注２）。モバイルアクセスの場合はもっと安くなります。電気通信事業への競争導入でも価格が下がりましたが、仮想ネットワークの構築・動的制御をソフトウェアで可能とするSDN（Software Defined Network）技術の発展で、閉域網の価格が劇的に低下したのです。

　NTTコミュニケーションズのIoT PlatformのFactoryパッケージやVehicle Managerなどは、クラウド内のサーバに閉域網であるIP-VPNでアクセスするプライベートクラウドの利用が基本です。プライベートクラウドは、企業の基幹業務システムや金融機関向け、地方自治体向けのシステムで多数使用されてきた技術です。インターネットとの接点がないため、インターネット経由のサイバー攻撃にさらされる危険性が極めて少なく、しかも今まで多数使用され、実績がある技術です。

　閉域網の安全性が高いのは、閉域網の中と外を区別することが可能だからです。閉域網の中で接続されるデバイス・機器、使われるソフトウェアを特定・管理し、怪しい動きをするものを検査、隔離することが容易なのです。ネットの向こうに何が接続されているか分からず、かつ、使用されるソフトウェアの管理が困難、そのためにハッカーの活動が容易で、安全性確保が難しい一般のインターネットの世界とは違うのです。

注１：64kbps高速デジタル伝送サービスの月額基本料金。テレコムデータブック2005（電気通信事業者協会編）より
注２：NTTコミュニケーションズのArcstar Universal One　ベストエフォートプランのVPNで、NTT東日本のフレッツ光ネクストをアクセス回線に使う場合の料金。NTTコミュニケーションズHPのArcstarの料金表より

２．IoT Platformの安全性をさらに高める実証実験も実施中

　NTTコミュニケーションズは、IoT Platformの安全性をさらに高める仕組みを実証実験中です。その中で優先テーマとなっているのは、つながるデバイス・機器を認識し監視すること、不正な通信を自動検知することです。

　閉域網であっても、接続されるデバイス・機器が完全にコントロールされている訳ではありません。従業員が不用意にマルウェアの入ったデバイスやUSBメモリー等を使う、一部の機器がインターネットに接続され、閉域網に穴が開いていた、などの事態が起こり得ます。閉域網の利用で「居住地や防衛拠点の周りをぐるりと壁や堀などで囲み、身元が確認できる者しか通さない」対策をとっていても、壊れた壁から怪しい者が紛れこんでしまう可能性があるのです。

　このような場合に必要なのは「内部にいる者の挙動を監視し、怪しい場合は取り押さえ詳細に調べる」取り組みです。このため、接続されるデバイス・機器や利用するソフトウェアをホワイトリスト方式（注３）で管理し、ホワイトリストにないものを検出する、さらには制御システムの動作ログを収集し、機械学習やAIなどを活用しサイバー攻撃や操作ミス、設定ミスを自動検知する仕組みなどを開発・実証しています。また、総合セキュリティ分析官をオペレーションセンターに置いて、異常の原因解析、対処法の提案、現状復帰をサポートしています。（注４）

　サイバーセキュリティ対策に完全ということはありません。問題が起こることを前提に、対応する仕組みを作ることが不可欠です。基本に忠実できっちりとした対策に加え、問題に応じて柔軟に対応する仕組みが不可欠なのです。この方向に沿って、制御用IoTの一丁目一番地とも言えるサイバーセキュリティ対策を重視し、キャリアならではの発想で安全性確保に継続的に取り組むこと、これが同社のIoT Platformのさらなる成長につながると確信しています。

注３：ホワイトリストとは、注意・警戒が不要な対象を列挙したリスト。逆に、注意・警戒が必要である対象を列挙した一覧はブラックリストと呼ばれます。ファイヤウォールでは、ブラックリストに基づく安全確認を行っているので、新規のマルウェアなどブラックリストにない場合はアクセスを認めてしまい、侵入を許してしまうことがあります。

注４：インタビュー時の説明及び配布資料（産業ネットワークとセキュアなプライベートクラウドとの相互接続による予防保全の取り組み～実証実験から見えてきたIoTの効果と課題）より