エンタープライズIoTの中心には、静かなパラドックスがあります。最も重要なシステムほど、最も古く、最もセキュリティが脆弱なデバイスに依存しているのです。

ヘルスケア、産業制御、金融、製造業などでは、レガシーIoTデバイスが今も稼働しています。これらは業務プロセスに不可欠であり、置き換えには高いコストと混乱を伴うか、あるいは現実的に不可能な場合もあります。たとえば、Windows XPで動作するMRI装置、クローズドネットワーク向けに設計された工場センサー、10年以上ファームウェア更新が行われていないスマートメーターなどが該当します。

これらのレガシーデバイスが稼働し続けるほど、リスクは増大します。そして、最新のIT資産とは異なり、エージェントをインストールしたりパッチを適用したりするだけでは簡単に保護できません。

では、簡単にモダナイズできないものを、どう守ればよいのでしょうか。

継続稼働の隠れたコスト

レガシーIoTデバイスは多くの場合、運用監視の網をすり抜け、定期的な脆弱性スキャンやエンドポイント保護の対象外になっています。WindowsノートPCやモバイルデバイスとは異なり、これらのシステムにはアンチウイルスソフトを導入できず、TLS 1.3や相互認証といった最新プロトコルをサポートしない場合もあります。

長年、こうしたシステムはネットワークのセグメンテーションや分離によって保護されていると想定されてきました。しかし、セグメンテーションだけでは、ラテラルムーブメント（横方向の侵入）や設定ドリフト、デバイスの挙動変化を考慮できません。脆弱なIoTデバイスが一度侵害されると、攻撃者の目立たない侵入拠点となり得ます。

さらに、数千から数万台のデバイスが環境全体に分散している状況を考えれば、適切なツールがなければ、可視性の確保や制御の維持が極めて困難になることは容易に想像できます。

エンドポイントセキュリティが限界を迎える理由

従来のセキュリティツールは、エージェントをインストールしたりソフトウェア更新を適用したりできることを前提としています。しかし、レガシーIoTデバイスは設計上の制約を抱えています。CPU性能の低さ、メモリの少なさ、古いファームウェア、独自プロトコルなどです。

これらは現代のサイバーセキュリティを前提に作られておらず、後付けで保護機能を実装することも容易ではありません。そのため、組織は外部コントロールに目を向け、可視性、セグメンテーション、そして最も重要な「デバイスID」に重点を置く必要があります。

PKIでレガシーデバイスを保護の枠内に取り込む

強力なデジタル証明書に裏付けられたデバイス認証は、サポートが終了したデバイスに対しても有効な手段となります。証明書は暗号学的なパスポートのようなもので、エンドポイントソフトウェアのインストールを必要とせず、デバイスのIDを検証し、アクセスを制限し、時間や動作に基づくポリシーを適用できます。

Public Key Infrastructure（PKI）は、小型センサーやバッジリーダーにとって過剰と思われるかもしれませんが、医療機器から産業制御システムまで、重要システムを保護する実績あるモデルです。強力でスケーラブルなデバイスIDを提供できるため、従来のエンドポイント保護が適用できないIoT環境において特に有効です。

PKIを導入すれば、組織はデバイスの正当性を検証し、通信データを暗号化し、アクセス制御を適用できます。これは、エージェントを実行できない、または最新のOS機能をサポートしないデバイスに対しても有効です。証明書ベースのIDにより、次のことが可能になります。

• 認可されたデバイスのみが重要システムに接続できるようにする。

• データ交換前に認証を必須化する。

• デバイス間の通信を監査証跡として記録する（旧型システムではこの機能が標準で備わっていないことが多い）。

DigiCert® ONEのようなプラットフォームを活用すれば、組織は証明書ライフサイクル管理を自動化し、Network Access Control（NAC）やZero Trustポリシーと統合し、デバイスに直接触れることなくIoT認証情報のライフサイクルを管理できます。

ポリシー運用の混乱を解消

レガシーIoTデバイスの大きな課題のひとつは、それらを管理するための運用負荷です。ネットワークのセグメンテーションには詳細なポリシールールの設定が必要であり、「どのデバイスが」「どのように」「いつ」通信できるかを定義する必要があります。これらのルールは脆く、デバイスの機能や設置場所が変わるだけで設定ミスを引き起こしたり、攻撃者が悪用できる隙を生み出したりします。

しかし、証明書ベースのIDを導入すれば、手動で設定するネットワークポリシーへの依存を減らせます。アクセスの可否は、静的なIPやゾーンではなく、検証済みのIDと状態に基づいて判断されます。これにより、ポリシーのスプロール（肥大化）からアダプティブトラスト（適応的な信頼モデル）へと移行し、管理の効率化とレジリエンスの向上を同時に実現します。

規制が追いつく前に行動を

規制の動きは急速に進んでいます。EU Cyber Resilience Act、米国の大統領令、ioXt Allianceのような業界主導の取り組みにより、デバイスレベルのセキュリティ基準が引き上げられています。これにはレガシー資産も含まれます。今後、企業はデバイスの新旧や更新可能性に関係なく、すべての接続デバイスを保護することが求められるようになります。

法的義務が施行されるのを待っていては、後手に回るリスクがあります。今のうちに柔軟でID主導のセキュリティを実装しておくことで、将来のコンプライアンス要件への対応だけでなく、インシデントの未然防止にもつながります。

よりスマートなPKIで、より強固な成果を

レガシーシステムは単にセキュリティリスクをもたらすだけではなく、時間、予算、リソースをも浪費します。先進的な企業は、DigiCert ONEを活用して証明書管理の混乱を解消し、効率的で安全な運用を実現することで競争優位を獲得しています。

Forrester社のTotal Economic Impact™（総経済効果）レポートをぜひご覧ください。IoTリスクへの先回り対応がもたらすROIをご確認いただけます。