IoTセキュリティ対策は何をする？初期パスワードと更新の点検手順

IoTセキュリティ対策は、社内の機器を洗い出し、初期パスワード、更新、ネットワークの分離の順に点検することから始めます。製品を買う前に、Excelの台帳と半日の点検でできることがあります。

今日やることは、ルーター、カメラ、複合機、遠隔監視の通信機、センサーの親機を1枚⁠の表に書き出すことです。列は「機種名」「設置場所」「管理者」「外から接続できるか」「ファームウェアの版」「サポート終了日」⁠の6つ⁠で足ります。分からない欄は空のままで構いません。空欄が、次に調べる項目です。

どの機器から点検する？

インターネットから触れる機器が先です。NOTICE（総務省、NICTなどの取り組み）⁠は⁠、管理者を置いて継続的に管理すること、設置時と利用中の点検を行うことを求めています。

工場では、設備に付属していて総務の台帳に載っていない機器が抜けがちです。たとえば、コンプレッサーの遠隔監視用ルーター、見回りカメラ、生産数を集める無線の親機、設備メーカーの保守用回線です。設備担当と一緒に現場を歩くと、図面にない機器が見つかることがあります。

自社で見つけきれない場合に備えて、外から見える資産を調べる方法もあります。ASM（外部から見える資産の管理）⁠の比較がその入り口です。

手順1：管理用パスワードを確かめる

NOTICEの説明では、初期の管理用パスワードはマニュアルに記載され、インターネットで公開されていることもあります。点検する項目は次の3つです。

• 説明書に書かれた共通のパスワードのまま使っていないか
• 複数の機器で同じパスワードを使い回していないか
• 利用者用だけでなく、管理者用のパスワードも確かめたか

変更する場合、NOTICEは英大文字、小文字、数字、記号を含む10桁以上で、推測されにくいものを推奨しています。入力できる文字数が少ない機種は、入れられる最長の桁数にします。

変更したパスワードは、担当者個人のメモでなく、会社の管理の方法で保管します。保守を外部に任せている機器は、変更すると保守の接続が止まることがあるので、先に保守会社へ連絡します。

機器側のルールにも限界があります。総務省の資料は、技術基準の認定を受けた機器でも、NOTICEの調査で脆弱な機器として検知される例があると説明しています。「認定品だから大丈夫」⁠と⁠は言えないので、購入時の認定と別に、現物の設定を見ます。

手順2：ファームウェアとサポート期間を確かめる

台帳の版の欄を埋めて、メーカーのサイトの最新版と見比べます。NOTICEの手順は、サイトで新しい版を確認し、マニュアルの手順に従って更新する流れです。自動更新がある機種は有効にするよう勧めています。

更新の前に、次の2つ⁠を分けて考えます。

設備につながる機器を急いで更新すると、それ自体が止まる原因になりえます。経産省の工場向けガイドラインも、パッチの適用などがシステム障害という別の脅威につながる場合があるとして、影響の把握と、事業への影響を小さくする範囲とスケジュールの考慮を求めています。

サポート期間も調べます。NOTICEのメーカー情報のページには、主なメーカーのサポート情報への案内があります。サポートが終わると、修正版のファームウェアが提供されなくなる場合があるため、NOTICEは買い替えの検討を勧めています。

使っていない機能を止める

同じ機会に、管理画面で使っていない機能を確かめます。NOTICEは、インターネットから設定を変更する機能やSSH、Telnetなどの接続を、使わないなら無効にするよう求めています。必要なら接続元を絞ります。設定に心当たりのない変更があれば、初期化、更新、パスワード変更の順に対応するよう書かれています。

2025年12月⁠の総務省の注意喚起も、ネットワークカメラについて、パスワード認証、十分な長さ、ファームウェア、製品サポートを確かめるよう呼びかけています。

手順3：ネットワークを分ける

パスワードと更新で手当てできない機器は、つなぎ方で守ります。IoTセキュリティガイドラインも、機能や性能が限られた機器は単体での対策が難しいので、システム全体で確保する必要があるとしています。

分ける考え方は、工場向けガイドラインのゾーン⁠が参考になります。業務内容や重要度が同じ範囲を1つ⁠のゾーンとし、ゾーンの間にファイアウォールを置いて、許可した通信だけを通す例が示されています。中小の工場なら、最初は次の3つ⁠の区分から始められます。

1. 事務所のパソコンとサーバ
2. カメラや複合機などの機器
3. 生産設備と、設備につながる機器

区分ごとに「どこへの通信が必要か」⁠を書き出します。カメラが録画装置とだけ通信するなら、それ以外への通信を止められるかを確認します。ファイアウォールの設定を変えるときは、設備メーカーの保守回線を止めないよう、事前に経路を確かめます。

無断で持ち込まれた機器が同じネットワークに入る不安があるなら、接続できる機器を限る方法があります。ネットワーク検疫（NAC）⁠の比較がその方法の入り口です。機器の数が増えて手作業の台帳が追いつかない場合は、IoTセキュリティ製品の比較で、通信を見て機器を分類する型を確かめます。

点検の結果をどう残す？

台帳に、次の表の4つ⁠の判定を足します。半年に1回⁠、同じ表を見直す日を決めます。

社内の点検が終わったら、新しく買う機器の選び方も決めます。NOTICEは、機器ごとに異なるIDやパスワードが割り当てられた製品と、自動更新ができる製品を推奨しています。購入の条件に、JC-STARの適合ラベル⁠の有無を確かめる項目を入れる方法もあります。

手順の背景となる国の資料を読みたい方はIoTセキュリティガイドラインの読み順を、工場全体のリスクを順位づけしたい方は制御システムのリスク分析の手順を、設備の監視を検討する方はOT製品の見方⁠を読んでください。分野全体は工場とIoTのセキュリティ⁠にまとめています。