IoTセキュリティとは、ネットワークにつながるカメラや複合機、センサーなど、パソコン以外の機器を乗っ取りや情報漏えいから守る対策のことです。社内で最初に問題になるのは、高度な攻撃より、誰が管理しているのか分からない機器です。
今日やることは、社内と工場を歩いて、ネットワークにつながる機器を表に書き出すことです。項目は設置場所、型番、管理する人、サポート期限の4つで足ります。分からない欄は空けたままで構いません。空欄こそが次の点検の対象です。
この記事は機器の点検に絞っています。工場の設備全体の考え方は工場と制御システムのセキュリティの一覧と、OTセキュリティの基本を見てください。
なぜIoT機器が危ないと言われる？
パソコンと違って画面を見る機会が少なく、更新も設定変更も忘れられがちだからです。
総務省の2026年9月の資料によると、NICTが行う調査「NOTICE」の令和8年4月の結果は次のとおりでした。
| 調査の内容（令和8年4月） |
件数 |
| IDとパスワードが容易に推測できる機器 |
月12,636件 |
| 高リスクの脆弱性がある機器 |
月2,502件 |
| マルウェアに感染した機器の検知 |
最大95件／日 |
同じ資料によると、観測した機器の総数は月1.18億件です。全体から見れば一部ですが、外から確かめて見つかるものだけでも、これだけの数があります。
機器が乗っ取られたときの被害は、自社の中だけで終わるとは限りません。IPAの2025年度の注意喚起は、インターネットにつながる機器を悪用された場合の被害として、情報の漏えいや改ざんに加えて、不正な通信の中継点にされることを挙げています。知らないうちに他社への攻撃の経路にされるおそれがあるということです。
社内で見落としやすい機器はどれ？
台帳を作るとき、抜けやすいのは次の機器です。
| 機器 |
見落とす理由 |
確かめる点 |
| ネットワークカメラ |
防犯の担当や工事業者が設置した |
映像を社外から見られる設定か |
| 複合機 |
リース会社に任せている |
スキャンの保存先、管理画面のパスワード |
| NAS |
部署で買って棚に置いてある |
共有範囲、社外からの接続の有無 |
| ルーター、VPN機器 |
通信業者が置いて以来触っていない |
更新の状況、管理者のパスワード |
| 稼働監視のセンサー |
工場の改善活動で後付けした |
通信の出口、管理している会社 |
JPCERT/CCの2016年の注意喚起は、認証やネットワークの設定に不備があると、カメラの映像などが第三者に見られるおそれがあるとしています。10年前の資料ですが、確かめるべき点は変わっていません。IPAの情報セキュリティ6か条の解説編（2026年9月）でも、複合機などの設定を間違えて無関係な人に情報を見られるトラブルが増えていると書かれています。
工場で気をつけたい後付けの機器
たとえば、古いプレス機の稼働状況を見るために、センサーと通信機器を後付けした場合を考えます。データをクラウドへ送るために携帯回線を使う構成なら、会社のルーターを通りません。
このとき事務所のネットワーク図には、その出口が載りません。導入した現場も機器の販売会社も「設定は相手が見ている」と考えていると、管理者のいない機器が残ります。台帳に「管理する人」の欄を設けるのは、この状態を見つけるためです。
現場で機器を探すときは、次のことを聞くと見つかりやすくなります。
- 工事や改善活動で、この数年に取り付けた通信機器はあるか
- 請求書に、通信回線や監視サービスの費用はないか
- 設備メーカーが遠隔で状態を見ている装置はないか
点検は何を確かめる？
機器が書き出せたら、次の5点を1台ずつ確かめます。NOTICEの安全な管理方法と、前述の6か条の解説編をもとに、社内で使いやすい形に並べ直しました。
1. 初期パスワードのままではないか
初期の管理用パスワードは、マニュアルやインターネットに載っていることがあります。NOTICEは、10桁以上で、英大文字と小文字、数字、記号を含む推測されにくいものを案内しています。同じパスワードの使い回しも避けます。機器ごとに異なる複雑なパスワードが最初から設定されている製品は、変更しなくてよい場合があります。
2. ファームウェアは最新か
ファームウェアは機器を動かす内蔵のプログラムです。メーカーのサイトで最新版を確かめ、自動更新の機能があるなら有効にできるか確認します。リース機や保守契約の対象の機器は、誰が更新するのかを契約先に聞きます。
3. 使わない機能が動いていないか
遠隔操作の機能や、使っていない接続方式が有効のままになっていないかを見ます。NOTICEは、使用しない機能や設定を無効にするよう案内しています。業者が保守に使っている機能もあるので、止める前に確認してください。
4. 見られる人の範囲は適切か
複合機、カメラ、NASの共有範囲を、必要な人に限ります。6か条の解説編は、従業員の異動や退職のときに設定を速やかに変更することも挙げています。退職者のアカウントが残っていないかは、この機会に合わせて確かめます。
5. サポートが終わっていないか
メーカーのサポートが終わった機器には新しいファームウェアが提供されず、弱点が見つかっても直せません。NOTICEは買い替えの検討を案内しています。すぐに替えられない場合は、外部から接続できないようにするなど、当面の扱いを決めて台帳に書いておきます。期限切れの機器を「知らないまま使う」状態をなくすのが、この項目の目的です。
点検を続けるコツ
- 担当は機器ごとに1人決める。不明なら総務が仮で持つ
- 半年に1回など、確かめる時期を決めて予定表に入れる
- 新しい機器を買うときに台帳へ足すことを、購買の手順に入れる
外から見えているかはどう確かめる？
社内を歩いて作る台帳だけでは、インターネットから見える機器の抜けに気づけないことがあります。IPAの注意喚起は、機器を把握・管理するための指針として経産省の「ASM導入ガイダンス」（2023年5月）を紹介しています。ASMは、外部から見える自社の機器やサービスを洗い出して管理する取り組みです。
台数や拠点が多く、手作業では追いきれないなら、ASM（外部公開資産の管理）の製品比較で進め方の違いを見ておくと、外部の診断を頼むときにも話が早くなります。
契約している通信事業者からNOTICEの注意喚起が届いたときは、迷惑メールと決めつけず、まず管理者へ回してください。対処の手順はNOTICEの安全な管理方法の案内にあります。不審な連絡と区別するため、メールのリンクからではなく、公式サイトから手順を開くようにします。
買うときは何を見ればいい？
点検を楽にするいちばんの方法は、管理しやすい機器を買うことです。IoT推進コンソーシアムと総務省、経産省のIoTセキュリティガイドライン（2016年）は、問い合わせ窓口やサポートがない機器の購入や利用を控えるよう、利用者向けのルールの1番目に挙げています。
新しい目印としては、経産省とIPAが進めるJC-STARがあります。IoT製品のセキュリティ水準を星の数で示す制度で、2025年3月に運用が始まりました。見積もりを取るときは次の点を確かめます。
- ★1と★2は、ベンダーの自己評価に基づく自己適合宣言の方式
- ★3と★4は、独立した第三者が評価して示すもの。重要なシステムでの利用を想定している
- ラベルは最低限の水準に達していることの確認で、完全な安全を示すものではない
IPAは、ラベルの交付前に取得済みや取得見込みと誤認させる表示についても注意を呼びかけています。「対応」や「申請中」と書かれていたら、取得製品の確認方法を使って確かめてください。
工場の設備も同じ点検でいい？
同じではありません。カメラや複合機は設定や更新を比較的自由に変えられますが、生産設備につながる機器は、更新や再起動がラインの停止につながることがあります。更新しづらい機器は、PLCとSCADAを分離と監視で守る方法の考え方で扱います。
機器の数が増えてきて、台帳の手作業に限界を感じたら、IoTセキュリティ製品の比較や、工場向けのOTセキュリティ製品の比較で、機器の洗い出しをどこまで自動にできるかを見ておきます。社内のどこから予算をつけるかは、製造業の対策を事務所と工場に分ける手順で整理しました。
