土木・建設現場のIoTセキュリティ｜機器が狙われる経路と選定・設置・運用の対策

河川や道路、トンネル、造成の現場でも、定点カメラや水位・変位・気象センサー、入退場の管理機器といったIoT機器を使う場面が増えました。遠隔から現場の状況を把握できる一方で、「この機器は外から攻撃されないのか」「本社のネットワークとつないで大丈夫なのか」と不安を感じる担当者は少なくありません。

IoT機器は、パソコンやサーバーと違い、管理が行き届きにくく、ウイルス対策ソフトも入れにくいという弱点を抱えています。現場に置いた機器も、インターネットにつながれば攻撃の標的になり、例外ではありません。

この記事では、土木・建設現場のIoT機器がどこで・どう狙われるのか、狙われたら現場で何が起きるのかを具体的に整理し、機器を選ぶ・置く・運用する各場面でやるべき対策を、公的ガイドラインの指針に沿って解説します。あわせて、自社だけでは判断しきれない機器やネットワークの点検・監視を、外部にどう頼めるかもまとめます。

土木現場のIoT機器は、どこで・どう狙われるのか

現場で使うIoT機器は、大きく分けて「現場カメラ」「水位・変位・気象などの計測センサー」「それらをクラウドへ送る通信機器（SIMルーター・LPWA・ローカル5Gなど）」の3種類があります。これらが狙われる経路は、主に次の5つに集約できます。各経路と、それを塞ぐ場面別の対策（後述）の対応は次のとおりです。

• 初期パスワードの放置: 出荷時のパスワードのまま使い、誰でも機器を操作できる状態。→【選定時】パスワードの変更で塞ぐ。
• ファームウェアの未更新: 発見された脆弱性が放置され、既知の穴を突かれる。→【選定・運用時】更新手段の確認と適用で塞ぐ。
• 不要な機能・ポートの開放: 使わないサーバ機能や通信ポートが攻撃の入口になる。→【設置時】不要なポート・機能を閉じて塞ぐ。
• 通信の傍受: 暗号化されていない通信を途中で読まれ、改ざん・なりすましを受ける。→【設置時】通信の暗号化・閉域運用で塞ぐ。
• 既設の業務ネットワーク経由: 現場機器を踏み台に本社・業務システムへ侵入される。→【設置時】ネットワークの分離で塞ぐ。

そもそもIoT機器が狙われやすいのには、機器そのものの性質に理由があります。総務省の情報通信白書は、次のように整理しています。

社会基盤としてのIoT化が進展する一方で、IoT機器については、管理が行き届きにくい、ウイルス駆除ソフトのインストールなどの対策が困難、利用者等においてインターネットにつながっている意識が低いなどの理由から、サイバー攻撃の脅威にさらされることが多く、その対策強化の必要性が指摘されている。

出典：令和元年版 情報通信白書 第4章第5節｜総務省（総務省）

同白書によると、情報通信研究機構（NICT）のサイバー攻撃観測網が2018年に観測した2,121億パケットのうち、約半数がIoT機器を狙ったものでした。現場の機器も、インターネットにつながった瞬間からこうした無差別の探索にさらされます。

現場カメラは「探し出されて」操作される

インターネットにつながった現場カメラは、攻撃者が一台ずつ探すまでもなく、専用の検索サイトから見つけ出されます。IPA（情報処理推進機構）は、ネットワークカメラが不正アクセスを受ける仕組みを次のように説明しています。

インターネットからアクセス可能なカメラは、検索サイトを使って探し出すことが可能です。その検索結果から脆弱性のあるカメラを自動で洗い出すツールも確認されています。（中略）このパスワードが初期値のままになっていると、製品マニュアルの情報を参照できるすべての人が IP カメラを不正に操作できます。

出典：そのカメラ、正しく設定できていますか？｜IPA（IPA）

IPAは、初期パスワードの放置に加えて、普段使わないサーバ機能を動かしたままにしているとマルウェア感染の踏み台に悪用される点、利用者が停止できない「バックドア」と呼ばれる侵入口が残っている場合がある点も挙げています。現場に置いたカメラは設置したまま長期間放置されやすく、これらの弱点が見逃されがちです。

計測センサーは「機器単体で守りきれない」

水位計・変位計・気象観測装置・ガス検知といった計測センサーは、処理能力やメモリが小さく、機器そのものに十分なセキュリティ機能を持たせにくいという事情があります。

国の「IoTセキュリティガイドライン」も、機器の機能・性能の制限によって単体では必要な対策を実現できない場合があることを前提に、後述するゲートウェイ経由の接続などを求めています。センサーが送る通信を途中で傍受されたり、なりすましで偽のデータを送り込まれたりするリスクは、機器が非力なほど高まります。

通信機器・ゲートウェイは「踏み台」にされる

SIMルーターやLPWA・ローカル5Gのゲートウェイは、現場の機器をまとめてインターネットへつなぐ出入口です。ここで不要なポートが開いていたり、管理画面のパスワードが初期値のままだったりすると、攻撃者に乗っ取られ、そこを足がかりに現場内のほかの機器や、つながっている本社ネットワークへ侵入されるおそれがあります。出入口を一つ破られると被害が面で広がるため、通信機器は特に守りを固めたい箇所です。

狙われたら現場で何が起きるのか

ここからは、現場のIoT機器が実際に攻撃を受けたとき、どんな被害が起きるのかを具体的に見ていきます。

カメラ映像や位置情報の盗み見

不正アクセスされた現場カメラは、映像をのぞき見られます。工事の進捗や資機材の配置、作業員の動き、場合によっては周辺の住宅や通行人まで、第三者に筒抜けになりかねません。GPS付きの機器であれば、設置場所や車両の位置情報が漏れることもあります。

機器の乗っ取りと、DDoS攻撃の踏み台化

乗っ取られたIoT機器は、本人が気づかないまま他社への攻撃に加担させられます。実際に、マルウェアに感染した大量のIoT機器が踏み台となって大規模なサービス妨害（DDoS）攻撃を引き起こした事例が報告されています。

実際に、米国では、2016年（平成28年）10月、マルウェアに感染したIoT機器が踏み台となり、大規模なDDoS攻撃が発生し、一部サイトにアクセスできなくなる等の障害が発生した。

出典：令和元年版 情報通信白書 第4章第5節（図表4-5-2-2「Mirai」による大規模サイバー攻撃）｜総務省（総務省）

自社の機器が加害者側に回れば、通信事業者からの契約停止や、攻撃先からの責任追及といった二次的な問題にも発展します。

現場データの改ざん・漏えい

通信経路に割り込まれると、センサーが送るデータを書き換えられるおそれがあります。水位や変位、ガス濃度といった数値は、工程の判断や現場の安全管理に使われることがあるため、改ざんされれば誤った判断を招きかねません。こうした土木特有の被害は、公開された実例として確認できるものではありませんが、センサーの値を信じて現場を動かしている以上、起こりうるリスクとして備えておく必要があります。

本社ネットワークへの侵入（社内への侵入の足がかり）

最も避けたいのが、現場の機器を入口にして本社や業務システムのネットワークへ侵入されるケースです。現場のゲートウェイが業務ネットワークに直結していると、そこを突破された攻撃者が社内の基幹システムや顧客情報へ到達する経路ができてしまいます。現場1台の油断が、会社全体のインシデントにつながるという構図です。

土木・建設に限らず、IoT機器全般でどんな脆弱性が狙われ、国内外で実際にどんな被害が起きているのかは、別の記事で脆弱性の代表的なタイプや実被害事例、自社で今すぐ確認すべき対策の優先順位とあわせて整理しています。

土木・建設現場“ならでは”の守りにくさ

ここまでの攻撃経路や被害は、IoT機器に共通するものです。ただし土木・建設の現場には、一般的なオフィスとは違う「守りにくさ」があり、通常のIoT対策をそのまま当てはめられないことがあります。対策の優先順位を考える前に、現場特有の前提を押さえておきます。

• 屋外にむき出しで置く: 機器に物理的に触れられやすく、ケーブルやポートへの細工、持ち去りのリスクがある。
• 工期の間だけの一時設置・撤収: 短期間で設置・撤収を繰り返すため、設定の確認や撤収時のデータ消去が後回しになりやすい。
• 専任の管理者がいない: 現場にITの担当者が常駐せず、機器が「置いたまま」になりやすい。
• 多数の出入り: 自社の作業員だけでなく、協力会社や来訪者も出入りし、機器へ近づける人が特定しにくい。
• 既設の業務ネットワーク・OT（制御技術）機器との接続: 通信費を抑えるために業務ネットワークに相乗りさせると、現場機器のリスクが社内へ波及する。

特に最後の「どのネットワークにつなぐか」は、セキュリティを大きく左右します。日本建設業連合会の「土木工事現場のIoT活用ガイド」は、IoT機器のネットワーク接続を3つの方式に分けて整理しており、要点をまとめると次のようになります。

機器ごとに通信機器を付けて既存のネットワークと完全に切り離す「個別接続」と、業務用とは別のネットワークを用意する「独立ネットワーク接続」は、いずれも現場内のネットワークと完全に分離でき、「情報セキュリティリスクを最小限に減らせる」とされています。

一方、いま業務で使っているネットワークに直接つなぐ「業務ネットワーク接続」は、既存ネットワークを活用できる手軽さがある反面、「業務ネットワークレベルの情報セキュリティーの確保が必要」とされています。

出典・参考資料（1件）

• 出典：土木工事現場のIoT活用ガイド（第1版・2017年）3.2 IoT機器のネットワーク｜日本建設業連合会（日本建設業連合会）

業務ネットワークに直接つなぐ方式は手軽ですが、現場機器が破られたときに社内まで被害が及ぶため、相応のセキュリティ確保が前提になります。このガイド自体は2017年のもので、ネットワークの分け方という設計論は今も有効ですが、具体的な攻撃手口や暗号化・マルウェア対策までは扱っていません。そうした新しい脅威への対策は、後述の国のガイドラインやIPAの資料で補う必要があります。

加えて、工期限りの一時設置という条件は、撤収後の機器の扱いにも注意が要ります。国のIoTセキュリティガイドラインは、使わなくなった機器をネットワークにつないだまま放置すると不正利用の恐れがあるとして、電源を切ることや、機器を手放す際のデータ消去を求めています。現場で「置きっぱなし」にしないことが、そのまま対策になります。

現場のIoT機器をどう守るか——機器選定・設置・運用の場面別対策

守り方は、機器を「選ぶ」「置く」「運用する」の3つの場面に分けて考えると整理しやすくなります。それぞれの対策が、先に挙げた攻撃経路のどれを塞ぐのかを意識しながら進めてください。拠りどころになるのは、IoT推進コンソーシアム・総務省・経済産業省がまとめた「IoTセキュリティガイドライン」です。

専任のセキュリティ担当を置けない場合は、まず初期パスワードの変更・ネットワークの分離・機器の棚卸しの3点から始めると、少ない手間で大きな穴を塞げます。そのうえで、次に挙げる各場面の対策を順に押さえていくと取り組みやすくなります。

【機器選定時】やるべき対策

機器を選び、使い始める段階での設定が、その後の安全性を大きく左右します。IoTセキュリティガイドラインは、使い始めの設定について次のように求めています。

（要点15）初期設定に留意する／外部から容易に攻撃可能であるような脆弱なシステム・サービスとならないよう、IoTシステム・サービスの構築時・利用開始時にセキュリティに留意した初期設定を行う。

出典：IoTセキュリティガイドライン ver1.0 概要（平成28年7月）｜IoT推進コンソーシアム・総務省・経済産業省（総務省）

具体的には、次の4点を機器の選定・導入時に確かめることが重要です。

• 初期パスワードを必ず変更する: 初期値のまま使うと、マニュアルを見られる誰もが機器を操作できてしまう。カメラ・ルーター・管理画面すべてで変更し、使い回しも避ける。これは初期パスワード放置の経路を塞ぐ、最も基本的な対策。
• 認証の仕組みがあるかを確認する: ガイドラインの要点16は「不正なユーザ等によるなりすましや盗聴等が行われないよう、認証や暗号化等の仕組みを導入する」と求めている。なりすましや盗聴の経路を塞ぐため、認証機能を持つ機器を選ぶ。
• ファームウェア更新とサポート継続性を確認する: 要点17は、出荷後に脆弱性が見つかった際に「ソフトウェアをIoT機器へ配布・アップデートする手段が必要」としている。更新が提供され続ける機器かを購入前に確かめ、脆弱性を直せる状態にしておくことで、ファームウェア未更新の経路を塞ぐ。
• 不要な機能は最初からオフにする: 使わないサーバ機能やポートが動いていると、そこを悪用される。必要な機能だけを有効にして導入する。

初期パスワード対策は、もはや任意の心がけではありません。総務省の情報通信白書によれば、パスワード設定の不備でサイバー攻撃に悪用されないようにする対策として、IoT機器の技術基準に関わる端末設備等規則が改正され、2020年4月に施行されています。社内稟議や経営層への説明では、こうした制度の動きも判断材料になります。

【設置時】やるべき対策

機器を現場に置くときは、「どのネットワークに、どうつなぐか」が対策の中心になります。

ネットワークを分ける（IoT用を業務・本社ネットから分離）

現場のIoT機器は、本社や業務のネットワークから切り離して運用するのが基本です。前掲の日本建設業連合会ガイドが示すとおり、業務ネットワークとは別の経路（個別接続・独立ネットワーク接続）にすれば、情報セキュリティリスクを最小限に抑えられます。

万一現場の機器が破られても、社内まで被害が広がる経路を断てます。IoTセキュリティガイドラインも、機器の性能の制限で単体では守りきれない場合の対応を次のように示しています。

（要点14）機能及び用途に応じて適切にネットワーク接続する／（中略）機能・性能の制限によりIoT機器単体で必要なセキュリティ対策を実現できない場合は、セキュアなゲートウェイを経由してネットワーク接続するなどのセキュリティ対策を検討する。

出典：IoTセキュリティガイドライン ver1.0 概要（平成28年7月）｜IoT推進コンソーシアム・総務省・経済産業省（総務省）

非力なセンサーをそのままインターネットへ出すのではなく、守りを固めたゲートウェイを間にはさんで束ねる、という考え方です。すべての機器を個別の回線に分けると通信費がかさむため、重要な機器から優先的に分ける、あるいはゲートウェイで束ねて業務ネットワークと切り離す、といった現実的な落とし所もあります。

通信を暗号化し、閉域で運ぶ

ネットワークを分けたうえで、通信そのものの暗号化も欠かせません。要点16が認証と暗号化を並べて求めているとおり、通信が暗号化されていれば、途中で傍受されても中身を読まれにくく、データの改ざんやなりすましも防ぎやすくなります。

閉域網やVPNで経路を限定することも有効です。ただし、閉域やローカル5Gで経路を守っても、機器自体のパスワードやファームウェア、不要機能の対策まで免除されるわけではありません。通信路の安全と機器単体の安全は別物として、両方に手を打つ必要があります。

不要なポート・機能を閉じる

設置時には、その機器で使わない通信ポートやサーバ機能を閉じておくことが重要です。IPAがネットワークカメラについて「Web以外の不要なサーバ機能は停止する」と注意喚起しているとおり、開いたままの機能は攻撃の入口になります。使う機能だけに絞ることで、踏み台にされる経路を減らせます。

機器そのものに触れられないようにする

通信面の対策に加えて、屋外にむき出しで置く現場では、機器に直接触れられること自体が弱点になります。前述のとおり、現場のIoT機器はケーブルやポートへの細工、持ち去りのリスクにさらされています。

施錠できる収納ボックスや架台に収める、容易に取り外せないように固定する、設定に使うLANポートやUSBポートを塞ぐ・物理的に隠すといった工夫が有効です。こうした物理的な備えがあれば、誰でも近づける可能性のある現場でも、機器の直接操作や持ち去りの難度を上げられます。屋外にむき出しで置く現場ほど、物理的な接触への備えの優先度は上がります。

【運用時】やるべき対策

機器を置いたあとも、守りは続きます。専任の管理者がいない現場でも回せるよう、次の点を仕組みにしておきます。

• どの現場にどの機器があるかを棚卸しする: 把握していない機器は守れない。機器の一覧と設置場所・担当を記録し、更新漏れや放置を防ぐ。
• ファームウェアを更新し続ける: 選定時に更新手段を確認した機器は、運用中も実際に適用する。脆弱性を放置しないことが、乗っ取りや踏み台化を防ぐ。
• 通信を監視し、脆弱性を定期的に点検する: ふだんと違う通信や、外部との不審なやり取りに早く気づけるようにする。自前での点検が難しければ、外部の診断・監視サービスを使う方法もある（次章で解説）。
• 撤収時はデータを消し、電源を切る: 工期が終わった機器を放置しない。IoTセキュリティガイドラインも、使わなくなった機器は電源を切り、手放す際は事前に情報を削除するよう求めている。

これらの点検・監視を自社だけで回しきれないときは、外部の診断・監視サービスに頼る選択肢があります。次章で用途ごとに紹介します。

自社だけで判断しきれない部分を、誰に・何で確認・監視するか

ここまでの対策を進めても、「本当に穴が残っていないか」「いま不審な通信が起きていないか」を自社だけで見極めるのは簡単ではありません。国のIoTセキュリティガイドライン（要点21）も、脆弱性を持つ機器がネットワーク上にないかを「把握する手段を整備もしくは利用する」ことを求めており、自前での整備が難しければ外部サービスの利用も認められると読めます。

ここからは、機器やネットワークの点検・監視を外部に頼むときの選択肢を、用途ごとに紹介します。自社の状況に近いものから検討してみてください。

掲載しているサービスの料金・仕様は記事作成時点の各社公表情報にもとづくため、導入検討の際は最新の内容を各社へご確認ください。

※各サービスは診断・監視の対象や提供形式が異なるため、金額だけでなく役割とあわせてご覧ください。「要問い合わせ」は公式が料金を公開していないものです（2026年11月時点）。

1. GMOサイバーセキュリティ byイエラエ（GMOサイバーセキュリティ byイエラエ株式会社）

機器そのものに穴がないかを突き止めたいなら、ホワイトハッカーによる手動診断を強みとするGMOサイバーセキュリティ byイエラエの「IoTデバイス ペネトレーションテスト」が選択肢になります。

IoT機器やIoTシステムに対して、基板上のデバッグインタフェースを調べるハードウェア解析、ファームウェアを逆アセンブルして評価するソフトウェア解析、通信路のパケットを取得する動的解析を組み合わせ、擬似的な攻撃で弱点を洗い出します。

評価する観点は、通信（TLSやWi-Fi・Bluetoothなど）、認証やアップデートの署名検証、OS・セキュアブート、ファームウェアの抽出、プライバシー情報の漏えいなど多岐にわたります。

対応実績としてネットワーク機器・カメラ・ドローン・スマートロックなどが挙げられており、現場で使う機器も診断の対象に含まれます。経済産業省の情報セキュリティサービス基準に適合するサービスとして、情報セキュリティサービス台帳にも登録されています。料金は診断対象や範囲に応じた個別見積もりです。

2. セキュア・レントゲン（株式会社クワッドマイナージャパン）

クワッドマイナージャパンの「セキュア・レントゲン」は、個々の機器ではなく現場や社内のネットワーク全体を対象に、どんなリスクが潜んでいるかを一度棚卸ししたいときに向く診断です。ネットワークに流れている通信をフルパケットキャプチャで収集し、専門のアナリストが分析することで、外部からの攻撃の痕跡や内部の不審な通信、潜在的な脆弱性を洗い出します。同社はこれを「ネットワークの人間ドック」と表現しています。

ITの情報系ネットワークだけでなく、OTのプロトコルにも対応しており、工場や現場の制御系を含めて診断できる点が特徴です。顧客側の作業は通信を複製するミラーリングの設定のみで、機器を2週間ほど設置して通信を取得し、その後に分析・報告します。

準備から報告まで最短1カ月のスポット型診断で、現状分析と対策案をまとめたレポートと報告会までが成果物です。料金は分析手法や設置台数に応じた見積もりになります。

本記事で触れてきた、現場のIoT機器から業務ネットワークやOT領域へ脅威が広がる経路について、同社営業部の白垣氏は、こうした領域に取り組んできた経緯を次のように説明しています。

3. Network Blackbox（株式会社クワッドマイナージャパン）

一度の診断で終わらせず、通信を継続的に記録・監視し続けたいなら、同じくクワッドマイナージャパンのNDR（Network Detection and Response）製品「Network Blackbox」があります。

先のセキュア・レントゲンがこの技術を使ったスポット診断であるのに対し、Network Blackboxはネットワークを流れる全パケットを常時収集・保存し、不審な通信をリアルタイムに検知する製品です。

保存したパケットを後から検索・再構成できるため、インシデントが起きた際に「いつ・どこへ・何が送られたか」を遡って調べる事後調査にも使えます。

ウイルス対策ソフトを入れられない制御機器のように、エンドポイント側で守りを置けない機器も、ネットワーク側から見張れるのが利点です。本社の情報システム部門を持つ中堅以上の企業が、継続監視の基盤として導入するのに向いています。料金は構成に応じた問い合わせベースです。

4. KATABAMI サイバーセキュリティ対策パッケージ（株式会社SYNCHRO）

専任のセキュリティ担当を置きにくい中小の建設会社が、診断から復旧・補償までをまとめて任せたい場合に向くのが、国産技術をベースにしたSYNCHROの「KATABAMI サイバーセキュリティ対策パッケージ」です。予防（脆弱性診断）・復旧（バックアップ）・補償（サイバー保険）を一体で提供します。

診断の対象は現場機器そのものというより、本記事で挙げた「現場の機器を入口にした本社ネットワークへの侵入」を受け止める側にあたる、社内のサーバー・ネットワーク機器・複合機・PCなどです。

中核となる脆弱性診断「KATABAMI VDP」は、専用の通信経路を使って外部からネットワークの内側を月次で点検します。サーバーやネットワーク機器、複合機のように全端末とつながる機器が初期パスワードのままになっていないか、管理者権限に簡単に入れてしまわないかを調べます。こうした内部起点の弱点を洗い出し、対策の進め方まで伴走します。

あわせて、攻撃者から見えない隔離経路へ自動でバックアップを取り、万一の際の復旧に備えます。料金は1台あたり月額1,250円からで、工場のOT機器がインターネットにつながる流れも見据えたサービスです。

機器を選ぶ段階で初期パスワードの変更が欠かせないことは先に触れたとおりですが、どの会社にもある複合機やコピー機、ネットワーク機器が実際の現場でどう使われているのか、同社取締役CMOの北口氏は、診断で見つかりやすい例として次のように話しています。

ここで取り上げたのは、現場のIoT機器やネットワークを点検・監視するサービスです。社内の情報を守る仕組みには、このほかにも守る対象ごとにさまざまなタイプがあります。全体像から選び方を確かめたい場合は、以下の記事もあわせてご覧ください。

まとめ

土木・建設現場のIoT機器は、初期パスワードの放置やファームウェアの未更新、不要な機能の開放、通信の傍受、既設ネットワーク経由といった経路で狙われ、乗っ取りや踏み台化、データの改ざん、本社ネットワークへの侵入といった被害につながります。屋外・一時設置・管理者不在という現場特有の条件が、守りをさらに難しくします。

対策は、機器を選ぶ段階で初期設定・認証・更新・不要機能を押さえ、置く段階でネットワークを分けて通信を暗号化し、運用段階で棚卸し・監視・撤収時のデータ消去を続ける、という流れで整理できます。

そのうえで、自社だけで判断しきれない機器やネットワークの点検・監視は、脆弱性診断・ネットワークリスク診断・通信監視といった外部サービスに頼る選択肢があります。確かめたい対象が機器本体か、ネットワーク全体か、通信の継続監視かで選ぶサービスが変わるため、自社の現場の規模や体制に合うものから、資料で比べてみてください。

よくある質問（FAQ）

Q. 土木・建設現場のIoTセキュリティとは何ですか？

A. 土木・建設現場のIoTセキュリティとは、現場カメラ・計測センサー・通信機器などのIoT機器を、サイバー攻撃や不正アクセス・情報漏えいから守る取り組みです。

IoT機器は、パソコンやサーバーに比べて管理が行き届きにくく、ウイルス対策ソフトを入れにくいといった理由で攻撃の標的になりやすい機器です。加えて土木・建設の現場には、屋外にむき出しで置く・工期の間だけ一時設置する・専任の管理者がいないといった守りにくさがあり、機器を「選ぶ」「置く」「運用する」の各場面で対策を積み重ねることが基本になります。

出典・参考資料（1件）

• 出典：令和元年版 情報通信白書 第4章第5節｜総務省（総務省）

Q. 中小の建設会社は、IoTセキュリティ対策を何から始めればよいですか？

A. 中小の建設会社がまず取り組むべきは、機器の初期パスワードの変更、IoT機器を本社・業務ネットワークから分けること、そして現場にどの機器があるかの棚卸しの3点です。

初期パスワードを初期値のまま使うと、マニュアルを参照できる誰もが機器を操作できてしまいます。IoT機器のパスワード設定不備への対策は、2020年4月施行の端末設備等規則の改正で機器の技術基準にも盛り込まれており、任意の心がけにとどまりません。専任のセキュリティ担当を置きにくい場合は、この3点を仕組みにしたうえで、点検・監視を外部サービスに委ねる方法もあります。

出典・参考資料（1件）

• 出典：令和元年版 情報通信白書 第4章第5節｜総務省（総務省）

Q. 現場のIoT機器は、カメラ1台だけでも狙われますか？

A. 現場のIoT機器は、カメラが1台でも、インターネットにつながっていれば狙われます。

インターネットからアクセスできるカメラは、攻撃者が一台ずつ探すまでもなく専用の検索サイトで見つけ出され、脆弱性のあるものを自動で洗い出すツールも確認されています。初期パスワードのまま使っていると、第三者に映像をのぞき見られたり、機器を操作されたりします。台数の多少にかかわらず、1台ごとにパスワードの変更・不要な機能の停止・ファームウェアの更新を行う必要があります。

出典・参考資料（1件）

• 出典：そのカメラ、正しく設定できていますか？｜IPA（IPA）

Q. ローカル5Gや閉域SIMを使えば、現場のIoT機器は安全ですか？

A. ローカル5Gや閉域SIMで通信路を守っても、それだけで現場のIoT機器が安全になるわけではありません。

閉域網やローカル5Gは通信の傍受を防ぐうえで有効ですが、国のIoTセキュリティガイドライン（要点14）は、機器の性能の制限で単体では対策を実現できない場合にセキュアなゲートウェイ経由の接続などを求めており、通信路の安全と機器単体の安全を分けて考えています。機器自体の初期パスワードの変更・ファームウェアの更新・不要な機能の停止といった対策は、通信方式にかかわらず別途必要です。

出典・参考資料（1件）

• 出典：IoTセキュリティガイドライン ver1.0 概要（平成28年7月）｜IoT推進コンソーシアム・総務省・経済産業省（総務省）

Q. 工期の間だけ一時設置するIoT機器でも、セキュリティ対策は必要ですか？

A. 工期限りの一時設置でも、インターネットにつなぐ以上はセキュリティ対策が必要で、特に撤収時の機器の扱いに注意が要ります。

短期間で設置・撤収を繰り返す現場では、設定確認や撤収作業が後回しになりやすく、使わなくなった機器をつないだまま放置すると不正利用の恐れがあります。国のIoTセキュリティガイドラインは、使わなくなった機器は電源を切ること、機器を手放す際は事前にデータを消すことを求めています。現場で「置きっぱなし」にしないことが、そのまま対策になります。

出典・参考資料（1件）

• 出典：IoTセキュリティガイドライン ver1.0 概要（平成28年7月）｜IoT推進コンソーシアム・総務省・経済産業省（総務省）

Q. IoT機器やネットワークの点検を自社だけで行いきれない場合、どうすればよいですか？

A. 自社だけで点検しきれない場合は、機器の脆弱性診断やネットワークのリスク診断・通信監視を、外部の専門サービスに頼ることができます。

国のIoTセキュリティガイドライン（要点21）は、脆弱性を持つ機器がネットワーク上にないかを「把握する手段を整備もしくは利用する」ことを求めており、自前での整備が難しければ外部サービスの利用も認められると読めます。

IoT機器本体の診断、IT・OTにまたがるネットワークのリスク診断、通信の継続監視など、確かめたい対象に応じて選べます。本記事で紹介したサービスの資料から、自社の現場の規模や体制に合うものを比べてみてください。

出典・参考資料（1件）

• 出典：IoTセキュリティガイドライン ver1.0 概要（平成28年7月）｜IoT推進コンソーシアム・総務省・経済産業省（総務省）

社内セキュリティソリューションの料金・資料を一括チェック

MCB FinTechカタログでは、IoT機器の脆弱性診断・ネットワークリスク診断・通信監視など、現場のセキュリティを支えるサービスの最新資料を無料で一括請求できます。診断の対象範囲・提供形態・サポート体制を見比べて、自社の現場に合うサービスを探せます。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。