ネットワークカメラやセンサー、工場の制御機器といったIoT機器は、業務の自動化や遠隔監視を支える一方で、パソコンのようにセキュリティソフトを入れて守ることが難しい機器でもあります。総務省の情報通信白書によれば、国のサイバー攻撃観測網が観測した攻撃関連通信のうち、IoT機器を狙ったものが最も多いと報告されており、守り方を具体的に決める段階に入っている企業が増えています。
もっとも、IoT機器のセキュリティは「どこで・どうやって守るか」という方式が製品ごとに異なり、自社の機器に導入できるか・何を守れるかは方式によって変わります。製品名だけを見比べても、どれが同じ土俵の選択肢なのかを見分けるのは簡単ではありません。
本記事では、IoTセキュリティ製品・サービスを「守り方の方式」でタイプ分けし、守る対象・主要機能・料金を横並びで整理します。ソフトを入れられない機器をどう守るか、工場の制御系（OT）がある場合にどこを見るべきか、導入・運用でつまずきやすい点や公的ガイドラインで求められる水準まで、自社に合う製品を選ぶための判断材料をまとめました。
目次
一括ダウンロードする
IoTセキュリティとは？従来のITセキュリティとの違い
IoTセキュリティとは、インターネットやネットワークにつながるIoT機器と、そこでやり取りされるデータを、サイバー攻撃や不正利用から守るための取り組みです。対象になるのは、ネットワークカメラ、各種センサー、複合機、入退室管理の端末、工場やビルの制御機器など、業務の現場で動く幅広い機器です。
パソコンやサーバーであれば、ウイルス対策ソフトやEDR（端末上の不審な挙動を検知・対応する仕組み）を機器の中に入れて守れます。一方でIoT機器は、処理能力やメモリーに限りがあり、メーカー独自の組み込みOSで動くものも多いため、こうしたソフトをあとから入れられない場合がほとんどです。
設置後に長く使われ、ファームウェア（機器を動かす基本ソフト）の更新が後回しになりやすいこと、初期設定のパスワードのまま運用されやすいことも、従来のITセキュリティと異なる難しさです。
そのため、IoTセキュリティでは「機器そのものを強くする」より、機器がつながるネットワークの側で見張る・接続を制御する、という発想が中心になります。この「どこで守るか」の違いが、後述する製品の方式タイプの違いにそのまま表れます。
IoT機器が狙われる主なリスク
IoT機器を入り口にした攻撃は、大きく次の3つの形で被害につながります。いずれもネットワークを通じて起こるため、機器単体ではなく通信の流れを押さえることが対策の軸になります。
- 機器の乗っ取り：推測されやすいパスワードや既知の脆弱性を突かれ、カメラや制御機器を外部から操作される。
- 情報の盗み見・漏えい：通信を盗聴・改ざんされ、映像や計測データ、認証情報が外部に流出する。
- 踏み台化：乗っ取った機器を経由して社内の別のシステムへ侵入されたり、外部への攻撃に悪用されたりする。
これらは想定上のリスクにとどまりません。情報処理推進機構（IPA）の「IoT開発におけるセキュリティ設計の手引き」は、主なセキュリティ対策候補とそれぞれが対応する脅威の例を一覧で示しており、不正アクセス・盗聴・改ざん・情報漏えいといった脅威に、ファイアウォール機能や通信路の暗号化、利用者認証などの対策を対応づけています。
また総務省の情報通信白書によれば、NICTが運用するサイバー攻撃観測網（NICTER）が2022年に観測した攻撃関連通信でも、IoT機器（特に録画装置であるDVR／NVR）を狙ったものが最も多いという結果が示されています。
ここで挙げた乗っ取り・情報漏えい・踏み台化が、実際にどんな脆弱性から起き、国内外でどんな被害につながっているのかを具体的に知りたい場合は、以下の記事が参考になります。IoT機器で狙われやすい脆弱性の種類と実被害事例に加え、自社機器の危険度を確認する手順と対処の優先順位まで整理しています。
IoTセキュリティ製品の守り方の方式タイプ
ここからは、IoTセキュリティ製品を「どこで・どうやって守るか」という守り方の方式で整理します。自社の機器にその製品を導入できるかどうかは、この方式でほぼ決まります。製品ごとに呼び名は異なりますが、守り方の軸でみると次の6つのタイプに分けられます。
ネットワーク監視型（流れる通信を見張って異常を検知する）
ネットワークを流れる通信をミラーリング（複製）で取り込み、通常と異なる通信や脅威の兆候を検知する方式です。NDR（Network Detection and Response）とも呼ばれます。
機器そのものにソフトを入れず、スイッチのミラーポートやネットワークタップから通信を受け取って分析するため、ソフトを導入できないIoT機器や、ネットワーク全体の不審な通信をまとめて見たい場合に向きます。既知の攻撃パターンに加え、通信の振る舞いの変化から未知の脅威をとらえる製品が多く、侵入後の内部移動（ラテラルムーブメント）や情報の持ち出しの検知にも使われます。
ゲートウェイ型（ネットワークの出入口でまとめて防ぐ）
ファイアウォールやUTM（統合脅威管理）、次世代ファイアウォールのように、ネットワークの出入口に置いて通信をまとめて検査・遮断する方式です。外部との境界やセグメント間に設置し、IoT機器を含むネットワーク全体の通信を一括で制御します。IoT機器を識別して通信先や通信内容に応じたポリシーを適用し、不審な通信を止める使い方が中心で、既存の境界防御の延長でIoT機器も守りたい場合に選ばれます。
接続制御型（機器の接続を許可・遮断して制御する）
社内ネットワークに接続される機器を検知し、許可された機器だけを通して、許可していない機器の接続を遮断する方式です。NAC（ネットワークアクセス制御）とも呼ばれます。
許可する機器を台帳で管理し、未登録の機器が接続されたら自動で遮断する仕組みで、エージェント（端末に入れる常駐ソフト）を使わずにセンサーで接続を監視する製品が多いのが特徴です。社内に持ち込まれる不正な機器や、把握できていないIoT機器の洗い出しと、接続可否のコントロールに向きます。
OT・IoT専用監視型（工場の制御系に特化して見張る）
工場やプラント、ビルの制御システム（OT：Operational Technology）や、産業用IoT機器に特化して、ネットワークを受動的に監視する方式です。
制御系で使われる専用の通信プロトコルを理解し、通信を妨げないパッシブ監視で資産の棚卸しと異常検知を行う点が、一般的なネットワーク監視型との違いです。稼働を止められない制御系では、機器に負荷をかけずに見張れることが重視されるため、こうした専用製品が使われます。
統合プラットフォーム型（複数のレイヤーをまとめて監視し、その一部としてIoT・OTも扱う）
エンドポイント・サーバー・メール・クラウド・ネットワークなど複数のレイヤーを単一の基盤で監視し、各レイヤーのデータを相関分析する方式です。XDR（拡張検知・対応）とも呼ばれます。
IoT・OT向けの監視機能を、この統合基盤の一部として扱える製品があり、IoTだけを単独で守るというより、社内のセキュリティ全体を1つのコンソールでまとめて見たい場合に向きます。すでに同系統の製品を使っている環境で、IoT・OTまで監視範囲を広げたいケースが典型です。
機器組み込み型（機器自体に対策を実装する）
IoT機器を開発・製造する側が、機器のソフトウェアやファームウェアに改ざん防止や不正利用対策を組み込む方式です。出荷後に守るのではなく、設計・開発の段階で機器自体に耐性を持たせる考え方で、自社でIoT機器やアプリを開発・提供している企業が検討する領域になります。すでに現場で稼働している機器を守りたい運用部門では、前の5タイプが選択肢の中心になります。
一括ダウンロードする
IoTセキュリティ製品・サービスを守り方の方式タイプ別に比較
ここからは、ソフトを入れられないIoT機器をネットワーク側で守れる主要な製品・サービスを、守り方の方式・守る対象・主要機能・料金で比較します。なかでもネットワーク監視型（NDR）は、流れる通信を分析する方式のため、カメラやセンサーなど機器の種類を選ばず対象にできます。まず全体像を一覧で確認し、続いて各製品の特徴を個別に紹介します。
| サービス名 | Network Blackbox | Darktrace | Vectra AI | L2Blocker | Trend Vision One | Palo Alto Networks IoT Security | Nozomi Networks |
|---|---|---|---|---|---|---|---|
| 提供企業 | 株式会社クワッドマイナージャパン | ダークトレース・ジャパン株式会社 | Vectra AI, Inc. （国内代理店：マクニカ株式会社） | エクスジェン・ネットワークス株式会社 | トレンドマイクロ株式会社 | パロアルトネットワークス株式会社 | Nozomi Networks Inc. （国内代理店：株式会社テリロジー） |
| 守り方の方式 | ネットワーク監視型（NDR） 全パケットをミラーリングで収集・保存 | ネットワーク監視型（NDR） 自己学習型AIによる異常検知 | ネットワーク監視型（NDR） AIによる通信の振る舞い分析 | 接続制御型（NAC） ARPパケット監視で不正接続を検知・遮断 | 統合プラットフォーム型（XDR） 複数レイヤーを単一コンソールで相関分析 | ゲートウェイ型 次世代ファイアウォール連携でIoT/OT機器を識別 | OT・IoT専用監視型 Guardianによる受動監視が中心 |
| 守る対象 | ネットワークにつながる機器全般 （ソフトを入れられない機器も対象） | ネットワークを起点に メール・クラウド・OT・ID・端末を横断 | オンプレ／マルチクラウド／ID／Microsoft 365／IoT・OT | 社内LANの接続機器（PC・サーバー・IoT機器）の把握・接続制御 ※特定機種の個別遮断可否は要確認 | エンドポイント・サーバー・メール・ネットワーク・クラウド （OTも同一基盤で監視可能） | 企業内のIoT機器・医療機器・工場の制御系（OT） | 工場・プラントの制御系（OT/ICS）・産業用IoT・重要インフラ （一般的なIoT機器の対応範囲は要確認） |
| 主要機能 | 全パケットキャプチャ／シグネチャ・行為・コンテンツ分析による検知／脅威ハンティング・フォレンジック／EDR・SIEM連携（Syslog・REST API） | シグネチャに頼らない異常検知／AIによる自動調査・優先度付け／隔離などの自動対処 | Attack Signal Intelligenceによる自動分類・相関・優先度付け／EDR・SIEMと連携 | ホワイトリスト台帳で接続を管理／収集・保留・ブロックの3モードで段階導入／エージェント不要 | 各レイヤーのデータを相関分析し攻撃の全体像を可視化／ネットワーク・OTセキュリティ機能を内包 | 機器の検出・インベントリ／リスク評価・スコアリング／リスクに応じたポリシー推奨／OT向けはセグメンテーション | 資産の可視化・棚卸し／脆弱性管理／異常・脅威検知／Vantage（SaaS）で多拠点を一元管理 |
| 料金 | 要お問い合わせ | 要お問い合わせ （監視デバイス数に応じた個別見積もり） | 要お問い合わせ | センサー14万円〜/セグメント （税区分・時点の記載なし。管理機能は要お問い合わせ） | 要お問い合わせ （クレジットベースのTrendAI Flex） | 要お問い合わせ （Enterprise Device Security サブスクリプション） | 要お問い合わせ （サブスクリプション／センサー数無制限ライセンス） |
| 詳細情報 | 公式資料を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | 公式サイト | 公式サイト |
※上記は各サービスの一般的な特徴の傾向です。実際の対応範囲・機能・料金は各社の公式情報をご確認ください。料金は各社公式サイトに基づき、記載時点のものです。
料金の目安
IoTセキュリティ製品の料金は、監視するネットワークの規模や機器数に応じた個別見積もりが中心で、多くの製品が「要お問い合わせ」です。公式サイトで価格が確認できる例としては、接続制御型のL2Blockerが監視セグメントごとに設置するセンサーで14万円から（対象端末数は問わず、税区分・時点の記載なし）としています。
価格を左右するのは、主に「何を単位に課金するか」です。ネットワーク監視型やOT専用監視型は監視対象のネットワーク規模・デバイス数、接続制御型は監視するセグメント数、統合プラットフォーム型は利用する機能の範囲で費用が変わります。見積もりを早めるには、守りたい機器のおおよその台数・ネットワークのセグメント数・対象拠点数を整理しておくと役立ちます。
多くの製品が無償の検証（PoC）やデモに対応しているため、自社環境の規模を確認したうえで見積もりを取るのが一般的です。具体的な金額は、各製品の資料請求や問い合わせで、自社の構成を伝えたうえで確認してください。
製品本体の料金だけでなく、脆弱性診断や運用監視まで含めてIoTセキュリティに総額どのくらいかかるのかを、費目の種類別に押さえておきたい場合は、以下の記事が費用の内訳と見積もりが変わる理由を整理しています。
Network Blackbox（株式会社クワッドマイナージャパン）
Network Blackboxは、ネットワークを流れる全パケットを収集・保存して脅威を検知・分析するNDR（ネットワーク検知・対応）製品です。ミラーリング方式で導入するため監視対象の機器にソフトを入れる必要がなく、公式が「フルパケットキャプチャベースのトラフィック全数検査」と説明するとおり、通信そのものを保存して後から遡って調べられる点が特徴です。
検知は、既知の攻撃を見つけるシグネチャ方式に加え、利用者の行為を記録して異常を見つける方式、送受信データの内容を復元して分析する方式を組み合わせます。収集・検知・脅威ハンティング・フォレンジック（事後調査）・対応の5つの機能を1製品に備え、EDRやSIEM（各種機器のログを集約・分析する仕組み）とはSyslog・REST APIで連携します。
国内の販売代理店による導入事例では、EPPやEDRを入れられない制御コンソールが存在する製造業のスマート工場化が課題として挙げられており、ソフトを導入できない機器を含む現場をネットワーク側で見張る用途に向きます。
Darktrace（ダークトレース・ジャパン株式会社）
Darktraceは、組織ごとの「正常な通信の状態」を自己学習型のAIが学び、そこからの逸脱で既知・未知の脅威を検知する製品群です。中核となるネットワーク向けのDarktrace/NETWORKは、ネットワークの振る舞い分析（NDR）を起点に、シグネチャに頼らず内部不正やランサムウェアの兆候をとらえます。
プラットフォームはネットワークを起点に、メール・クラウド・エンドポイントに加え、工場などの制御システムを対象とするDarktrace/OTまでを横断してカバーします。検知したアラートはAIが自動で調査・優先度付けし、必要に応じて機器の隔離などの対処を自動で行う構成です。
ダークトレース・ジャパンは2026年2月の記者説明会で国内導入が240社を超えたと説明しています。料金は監視対象のデバイス数に応じた個別見積もりで、要お問い合わせです。
Vectra AI（Vectra AI, Inc.／国内代理店 マクニカ株式会社）
ネットワークの通信の振る舞いをAIで分析し、社内に侵入した脅威を検知・優先順位付けするNDR製品がVectra AIです。国内ではマクニカ株式会社が販売・サポートを担います。シグネチャ照合ではなく攻撃者の振る舞いの学習を主軸とし、オンプレミスのネットワークに加え、マルチクラウドやID基盤、IoT・OTまでを対象範囲に含めます。
検知エンジン「Attack Signal Intelligence」は、正常な活動と悪意ある活動の自動分類、ネットワーク・ID・クラウドをまたいだ相関、緊急度のスコアリングによって、大量のアラートから対処すべき脅威を絞り込みます。
CrowdStrikeなどのEDRや、Splunk・Microsoft SentinelといったSIEMとの連携に対応し、既存のセキュリティ環境に組み込みやすい設計です。マクニカがトライアルの相談にも対応しています。
L2Blocker（エクスジェン・ネットワークス株式会社）
L2Blockerは、社内LANに接続された許可されていない機器を検知し、ネットワーク接続を遮断する接続制御型（NAC）のシステムです。監視したいセグメントごとに専用センサーを設置し、ネットワーク内のARP（機器のネットワーク上の住所を解決する通信）パケットを読み取って不正な端末を検知・遮断します。
クライアント端末へのエージェント導入は不要で、既存のLAN構成を変えずにセンサーを接続するだけで導入できる点が特徴です。
許可する端末をホワイトリストの台帳で管理し、導入時に接続端末を自動で収集できます。動作は、接続機器を把握するだけの収集モードから、保留モード、実際に遮断するブロックモードへと段階的に切り替えられるため、いきなり遮断せずに現状把握から始められます。
機器種別の自動判定の対象にはパソコンやサーバー、ルーター、IP電話などが挙げられていますが、IP電話やカメラといった個別機種を遮断対象にできるかは公式に明示されていないため、導入前に確認するのが確実です。料金はパッケージ版センサーが監視セグメントごとに14万円から（税区分・時点の記載なし）、管理用のL2Bマネージャーは要お問い合わせです。
Trend Vision One（トレンドマイクロ株式会社）
Trend Vision Oneは、トレンドマイクロが提供する統合サイバーセキュリティプラットフォームです。エンドポイント・サーバー・メール・ネットワーク・クラウドなど複数のレイヤーを単一のコンソールで管理し、各レイヤーで集めたデータを相関分析して攻撃の全体像を可視化する点が中心的な機能で、SaaSとして提供されます。
IoTセキュリティの文脈では、ネットワークレイヤーの脅威を検知するネットワークセキュリティ機能や、工場などの制御系を対象とするOTセキュリティ機能を、同じプラットフォーム上で他のレイヤーと一緒に扱える点が特徴です。
エンドポイント保護を主軸とする製品群ですが、ネットワークやOTまで含めて1つのコンソールで監視したい場合の選択肢になります。ライセンスは2026年にクレジットベースの単一ライセンス「TrendAI Flex」へ一本化され、必要な機能にクレジットを割り当てる方式です。料金は要お問い合わせです。
Palo Alto Networks IoT Security（パロアルトネットワークス株式会社）
次世代ファイアウォールで広く知られるパロアルトネットワークスが提供するIoT Securityは、企業内のIoT機器・医療機器から工場の制御系（OT）までを対象に、デバイスの検出・リスク評価・保護を行います。
公式ページでは製品名がEnterprise IoT SecurityとEnterprise Device Securityで併記されており、産業向けにはIndustrial OT Securityが用意されています。
守り方は、機械学習・AIを用いて、次世代ファイアウォールやネットワーク側のトラフィック・ログからIoT機器を識別し、リアルタイムの機器一覧を維持したうえでリスクに応じたポリシーを推奨する方式です。SNMPによるネットワーク検出やDHCPサーバーのログ、ミラートラフィックの取り込みなどから機器を見分けます。
産業向けのIndustrial OT Securityは、公式が「受動的で非侵入の資産検出」と説明し、追加のセンサーを導入せずに利用できるとしています。すでにパロアルトネットワークスの次世代ファイアウォールを使っている環境で、IoT・OT機器の可視化まで広げたい場合に候補となります。
Nozomi Networks（Nozomi Networks Inc.／国内代理店 株式会社テリロジー）
工場やプラント、重要インフラの制御システム（OT）と産業用IoTの保護に特化しているのがNozomi Networksで、OT・IoT専用監視型にあたります。守り方の中心は、ネットワークのミラーポートやタップに接続してトラフィックを受動的に観察・分析するセンサー「Guardian」で、公式は通信を妨げず追加の通信も生成しない方式と説明しています。
受動監視だけでは取りきれない機器情報は、機器のプロトコルに沿って問い合わせる「Smart Polling」で補えます。パッシブ監視とSmart Pollingはエージェント不要で、必要に応じてエンドポイントにインストールするセンサー「Arc」も用意されています。
収集したデータは、オンプレミスの中央管理やSaaSの「Vantage」で複数拠点をまとめて管理でき、資産の可視化・脆弱性管理・異常検知を行います。公式が前面に出す対象はOT・ICS（産業用制御システム）で、オフィスやビル用のIPカメラなど一般的なIoT機器の対応範囲は、国内の提供窓口である代理店に確認するのが確実です。
ここまではIoT機器そのものを守る製品を見てきましたが、IoTセキュリティは社内セキュリティ全体の一領域です。端末・ネットワーク・ID・データ・監視運用など守る対象ごとにどんなソリューションがあるかを俯瞰したうえで、自社の優先順位を決めて導入を検討したい場合は、以下の記事がカテゴリ全体の見取り図になります。
自社のケース別・IoTセキュリティ製品の選び方
どのタイプが自社に合うかは、守りたい機器と現場の事情で決まります。代表的なケースごとに、どの方式を軸に検討するとよいかを整理します。
ソフトを入れられない機器が多い場合
ネットワークカメラやセンサー、複合機のように、セキュリティソフトを入れられない機器が数多くある場合は、機器の外側＝ネットワークの側で守る方式が軸になります。通信の異常を検知したいならネットワーク監視型（NDR）、把握できていない機器の洗い出しと接続可否のコントロールを優先するなら接続制御型（NAC）が候補です。
いずれも機器にソフトを入れないため、対象の機器を選ばずに導入しやすいのが利点です。まずは何がネットワークにつながっているかを可視化し、そのうえで検知・遮断のどちらを重視するかで選ぶとよいでしょう。
同じネットワーク監視型（NDR）の中でも製品の性格は分かれます。通信を丸ごと保存して後からさかのぼって調べることを重視するのか、AIに異常検知を任せて運用の手間を抑えることを重視するのかで向く製品が変わるため、気になる製品は個別紹介でその違いを確認し、2〜3製品に絞って資料請求するとよいでしょう。
本記事で紹介した以外のネットワーク監視型（NDR）製品まで含めて、検知方式・国内サポート・費用で広く見比べたい場合は、以下の記事がNDR製品を横並びで整理しています。
既存のファイアウォール・UTMを活かしたい、または一元管理したい場合
すでにファイアウォールやUTM、次世代ファイアウォールで境界を守っている場合は、その延長でIoT機器も守れるゲートウェイ型が選択肢になります。IoT機器を識別して通信ポリシーを適用でき、新たな監視の仕組みを別に立てずに済むのが利点です。
一方、IoTだけでなく端末・サーバー・クラウドまで含めて社内のセキュリティを1つのコンソールでまとめて見たい場合は、統合プラットフォーム型（XDR）が向きます。すでに同系統の製品を使っているなら、IoT・OTの監視をその基盤に寄せることで運用をまとめられます。
工場・ビルの制御系（OT）がある場合
工場の生産ラインやビルの設備を動かす制御システムがある場合は、稼働を止められない・機器に負荷をかけられないという制約が加わります。この場合は、制御系専用の通信プロトコルを理解し、通信を妨げない受動監視を行うOT・IoT専用監視型が有力な候補になります。
一方で、オフィスのIoT機器と制御系をまとめて見たい場合は、OTも対象に含むネットワーク監視型の製品が選択肢になります。自社の制御系を「IoTセキュリティ製品で足りるのか、OT専用製品を見るべきか」で迷う場合は、次の両者の違いを押さえると判断しやすくなります。
IoTセキュリティとOTセキュリティの違い
IoTセキュリティとOTセキュリティは対象も重視する点も異なります。IoTはネットワークにつながる機器とデータを守り、情報の保護を重視します。OTは工場やインフラの制御システムを守り、設備を止めないこと・安全を保つことを最優先します。両者の違いを整理すると次のとおりです。
| IoTセキュリティとOTセキュリティの違い | IoTセキュリティ | OTセキュリティ |
|---|---|---|
| 主な対象 | ネットワークにつながるIoT機器とそのデータ（カメラ・センサー・複合機など） | 工場・プラント・ビルの制御システム（OT/ICS）と産業用IoT |
| 最優先に守るもの | 情報の機密性・完全性（情報漏えいや改ざんを防ぐ） | 可用性・安全性（設備を止めない・事故を起こさない） |
| 重視される点 | 機器の可視化と通信の保護 | 稼働への影響を抑えた受動的な監視 |
| 現場の制約 | 機器にソフトを入れにくい | システムを停止できない・機器に負荷をかけられない |
オフィスのIoT機器が中心であればIoTセキュリティの製品で対応でき、生産設備や社会インフラの制御系を含むのであれば、安全・稼働を最優先に設計されたOT向けの製品や機能を検討する、という切り分けが基本になります。両方を併せ持つ環境では、OTも対象に含むネットワーク監視型の製品で一体的に見る方法もあります。
自社でIoT機器・サービスを開発している場合
自社でIoT機器やアプリを開発・提供している場合は、出荷後にネットワーク側で守るだけでなく、設計・開発の段階で機器自体に対策を組み込む機器組み込み型の考え方も重要になります。IPAの「IoT開発におけるセキュリティ設計の手引き」のような、開発段階の設計指針を参照しながら、製品のライフサイクル全体で守る視点を持つとよいでしょう。
IoTセキュリティの導入・運用でつまずきやすいポイント
製品を選んだあとも、IoTセキュリティは運用でつまずきやすい領域です。総務省・経済産業省などがまとめた「IoTセキュリティガイドライン」は、IoT機器やシステムの提供にあたって、方針、分析、設計、構築・接続、運用・保守というライフサイクルの各段階で指針を定めています。導入後に特に課題になりやすいのは、次の3点です。
機器の棚卸しと見える化
IoTセキュリティの出発点は、何がネットワークにつながっているかを把握することです。現場で増設されたカメラやセンサー、持ち込まれた機器が台帳に載っておらず、守る対象を把握できていないケースは少なくありません。ネットワーク監視型や接続制御型の製品は、接続されている機器を自動で検出して一覧にできるため、棚卸しと見える化の起点として使えます。
ファームウェア更新とライフサイクル管理
IoT機器は長く使われるうえ、ファームウェアの更新が後回しになりやすく、既知の脆弱性が放置されがちです。更新を仕組みとして回す体制や、サポートが終了した機器の計画的な入れ替えといったライフサイクル管理が欠かせません。機器単体では更新しきれない部分は、ネットワーク側で不審な通信を検知・遮断する仕組みで補う発想が必要です。
ネットワーク分離と他システムとの統合性
IoT機器を業務システムと同じネットワークに置くと、1台が乗っ取られたときに被害が全体へ広がりやすくなります。IoT機器のネットワークを分離し、万一侵入されても影響範囲を抑える設計が有効です。
あわせて、導入する製品が既存のEDRやSIEMと連携できるか、サプライチェーン（調達する機器や部品）のリスクをどう扱うかも、運用を続けるうえで確認しておきたい点です。IPAの手引きは、ファイアウォール機能・通信路の暗号化・利用者認証といった対策候補を、対応する脅威とあわせて一覧で示しているため、自社に必要な対策の抜け漏れチェックに使えます。
出典・参考資料（2件）
IoTセキュリティで公的ガイドライン・規制が求めること
製品選びや運用の判断の裏づけとして、国が示すガイドラインや規制で求められている水準を押さえておくと、自社に必要な対策の範囲を見極めやすくなります。
IoTセキュリティガイドライン（総務省・経済産業省）
IoT推進コンソーシアム・総務省・経済産業省が2016年に公表した「IoTセキュリティガイドライン ver1.0」は、IoT機器・システム・サービスのライフサイクルに沿って、次の5つの指針を定めています。製品選定だけでなく、設計から運用・保守までの各段階で何を考えるべきかの全体像を示す枠組みです。
出典：IoTセキュリティガイドライン ver1.0 概要｜IoT推進コンソーシアム・総務省・経済産業省
- 【方針】指針１ IoTの性質を考慮した基本方針を定める
- 【分析】指針２ IoTのリスクを認識する
- 【設計】指針３ 守るべきものを守る設計を考える
- 【構築・接続】指針４ ネットワーク上での対策を考える
- 【運用・保守】指針５ 安全安心な状態を維持し、情報発信・共有を行う
本記事で見てきた「ネットワーク側で守る」「接続を制御する」といった対策は、主に指針４（構築・接続）の、ネットワーク上での対策にあたります。
NOTICEによる脆弱なIoT機器への注意喚起
規制・施策の面では、国によるIoT機器の調査と注意喚起の取り組みが進んでいます。総務省の情報通信白書は、2018年の情報通信研究機構法（NICT法）の一部改正を踏まえて始まった「NOTICE」という取り組みを、次のように説明しています。
こうした状況を踏まえ、IoT機器に対するサイバーセキュリティ対策を強化するため、2018年（平成30年）に情報通信研究機構法の一部改正を行った上で、総務省及びNICTでは、インターネット・サービス・プロバイダ（ISP）と連携し、2019年（平成31年）2月から「NOTICE（National Operation Towards IoT Clean Environment）」と呼ばれる取組を実施している。現行の取組では、①NICTがインターネット上のIoT機器に対して、例えば「password」や「123456」等の容易に推測されるパスワードを入力することなどにより、サイバー攻撃に悪用されるおそれのある機器を特定し、②特定した機器の情報をNICTからISPに通知し、③通知を受けたISPがその機器の利用者を特定し注意喚起を行う、という一連の取組を行っている。
出典：令和5年版 情報通信白書｜総務省
推測されやすいパスワードのまま運用されているIoT機器が、国の調査で特定され注意喚起の対象になりうるということです。自社の機器の初期設定の見直しや、ネットワーク側での可視化・検知の必要性を裏づける動きといえます。
海外の基準・国際動向
海外でも、IoT機器のセキュリティに関する基準づくりが進んでいます。米国の国立標準技術研究所（NIST）はIoT製品の製造者向けに取り組むべき活動の基礎をまとめた文書（NISTIR 8259 Rev.1）を公開しており、欧州では消費者向けのIoT機器を対象とした基準（ETSI EN 303 645）が整備されています。
これらは主に機器の製造者や消費者向け機器を対象としたものですが、自社で機器を開発する場合や、調達する機器の水準を確認する際の参考になります。
出典・参考資料（2件）
まとめ
IoTセキュリティ製品は、守り方の方式によってネットワーク監視型・ゲートウェイ型・接続制御型・OT専用監視型・統合プラットフォーム型・機器組み込み型に分けられ、自社の機器にその製品を導入できるかは、この方式でほぼ決まります。
ソフトを入れられない機器が多いならネットワーク側で守る方式、工場の制御系があるなら稼働を止めないOT向けの方式、というように、守りたい機器と現場の制約から方式を絞り込み、守る対象・機能・料金を見比べて候補を2〜3社に絞ると、自社に合う製品を選びやすくなります。まずは資料を取り寄せて、対応範囲と見積もりを具体的に確認することをおすすめします。
一括ダウンロードする
よくある質問（FAQ）
Q. IoTセキュリティとは何ですか？
A. IoTセキュリティとは、ネットワークにつながるIoT機器と、そこでやり取りされるデータを、サイバー攻撃や不正利用から守る取り組みです。ネットワークカメラやセンサー、工場の制御機器など、パソコンのようにセキュリティソフトを入れにくい機器が対象になるため、機器そのものを強くするより、機器がつながるネットワークの側で見張る・接続を制御する発想が中心になります。
Q. IoTセキュリティで、ソフトを入れられないIoT機器はどうやって守ればよいですか？
A. IoTセキュリティでは、機器にソフトを入れず、機器がつながるネットワークの側で通信を監視・制御して守るのが基本です。流れる通信を見張って異常を検知するネットワーク監視型（NDR）や、接続される機器を検知して許可・遮断する接続制御型（NAC）であれば、カメラやセンサーのようにエージェント（端末に常駐させるソフト）を入れられない機器も、機器を選ばず守れます。
Q. IoTセキュリティのネットワーク監視型（NDR）と接続制御型（NAC）はどう使い分ければよいですか？
A. IoTセキュリティでは、通信の異常を検知したいならネットワーク監視型（NDR）、つながっている機器の把握と接続可否のコントロールを優先するなら接続制御型（NAC）が向きます。
NDRは流れる通信を分析して乗っ取りや情報の持ち出しの兆候をとらえ、NACは未登録の機器が接続されたら検知・遮断します。守る目的が異なるため、まず何がつながっているかを可視化したうえで、検知と遮断のどちらを重視するかで選ぶとよいでしょう。
Q. すでにファイアウォールやUTMを導入していれば、IoTセキュリティ製品は不要ですか？
A. ファイアウォールやUTMはネットワークの出入口の防御には有効ですが、それだけでは社内に入り込んだ後の不審な通信や、把握できていないIoT機器までは守りきれません。
出入口を抜けた内部の通信を監視するネットワーク監視型（NDR）や、接続機器を管理する接続制御型（NAC）を組み合わせることで、境界の内側のIoT機器も守れます。既存の境界防御を活かしつつIoT機器も守りたい場合は、IoT機器を識別して通信ポリシーを適用できるゲートウェイ型（次世代ファイアウォール）の製品も選択肢になります。
Q. IoTセキュリティとOTセキュリティは何が違い、どちらの製品を見るべきですか？
A. IoTセキュリティはネットワークにつながる機器とデータの保護を重視し、OTセキュリティは工場やインフラの制御システムを止めない・安全を保つことを最優先します。
オフィスのカメラやセンサーが中心ならIoTセキュリティの製品、生産設備や社会インフラの制御系（OT/ICS）を含むなら、稼働への影響を抑えた受動監視を行うOT向けの製品を見るのが基本です。両方が混在する環境では、OTも対象に含むネットワーク監視型の製品で一体的に見る方法もあります。
Q. 工場の制御系（OT）にIoTセキュリティ製品をそのまま導入しても大丈夫ですか？
A. 稼働を止められない制御系では、機器に負荷をかけず通信を妨げない「受動監視（パッシブ監視）」に対応した製品かどうかを必ず確認する必要があります。
制御系は停止や通信の乱れが事故や生産停止につながるため、一般的なIoT向け製品をそのまま導入すると影響が出る場合があります。制御系で使われる専用の通信プロトコルを理解し、受動的に監視するOT・IoT専用監視型の製品や、OTに対応したネットワーク監視型が適しています。
Q. IoTセキュリティ製品の料金の相場はどのくらいですか？
A. IoTセキュリティ製品の料金は、監視するネットワークの規模や機器数に応じた個別見積もりが中心で、多くの製品が「要お問い合わせ」です。
公式サイトで価格が確認できる例としては、接続制御型のL2Blockerが監視セグメントごとに設置するセンサーで14万円から（税区分・時点の記載なし）としています。監視対象の規模で費用が変わるため、まずは無償の検証やデモで自社環境の規模を把握したうえで見積もりを取るのが一般的です。
Q. IoTセキュリティ製品は導入前に自社のネットワークで試せますか？
A. 多くのIoTセキュリティ製品は、無償の検証（PoC）やデモ、トライアルに対応しており、導入前に自社環境で効果を確認できます。
ネットワーク監視型やOT・IoT専用監視型は、スイッチのミラーポートに接続して実際の通信を分析する方式のため、自社のネットワークで何が検知できるかを試してから判断しやすいのが特徴です。資料請求や問い合わせの際に、自社環境で試せるか・どの範囲を見られるかをあわせて確認するとよいでしょう。
Q. IoTセキュリティ対策は法律で義務づけられていますか？
A. IoTセキュリティ対策そのものを一律に義務づける法律はありませんが、国はガイドラインの提示や脆弱な機器への注意喚起で対策を促しています。
総務省・経済産業省などによる「IoTセキュリティガイドライン」が設計から運用・保守までの指針を示しています。また、2018年の情報通信研究機構法（NICT法）の一部改正を踏まえ、2019年からは総務省・NICTがISPと連携し、推測されやすいパスワードのIoT機器を特定して利用者へ注意喚起する「NOTICE」が実施されています。
自社の機器も注意喚起の対象になりうるため、初期設定の見直しやネットワーク側での可視化・検知が実務上求められます。
Q. IoTセキュリティ対策はまず何から始めればよいですか？
A. IoTセキュリティ対策は、何がネットワークにつながっているかを把握する「機器の棚卸し・見える化」から始めるのが基本です。 現場で増設・持ち込まれた機器が台帳に載っていないことが多く、守る対象を把握できなければ対策も立てられません。
ネットワーク監視型や接続制御型の製品は接続機器を自動で検出して一覧化できるため、棚卸しの起点として使えます。そのうえで、IoT機器のネットワーク分離や初期パスワードの見直し、ファームウェア更新の仕組み化へと進めます。
IoTセキュリティの料金・資料を一括チェック
MCB FinTechカタログでは、IoTセキュリティに使える社内セキュリティソリューションの最新資料を無料で一括請求できます。守り方の方式・守る対象・機能・料金を比較して、自社に合う製品を選べます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
