建設・建築IoTのセキュリティリスクと対策｜現場・ビル管理システムの被害事例と守り方

建設現場やビルにセンサー・ネットワークカメラ・ビル管理システム（BAS）・遠隔監視機器といったIoT機器を導入する動きが広がっています。省人化や遠隔管理の効果は大きい一方で、ネットにつながる機器を現場やビルに数多く設置することは、乗っ取り・情報漏えい・他者攻撃の踏み台化といったセキュリティのリスクを同時に持ち込むことでもあります。

この記事では、便利さやメリットの話ではなく、建設・建築のIoTで「実際に何が起きるのか」「なぜ狙われやすいのか」「どう守ればよいのか」を、実際の被害事例と公的ガイドラインにもとづいて整理します。現場カメラの乗っ取りやBASへの攻撃といった具体的なリスクから、現場で使える対策チェックリスト、自社だけで対応しきれないときの診断・監視サービスまでを順にたどれる構成です。

読み終えたときには、自社の現場・建物でつながっている機器のどこに弱点があり、何から点検すればよいかを判断できる状態を目指します。上司や経営層に「なぜ対策が必要か」を説明する材料としても使える内容です。

建設・建築IoTで実際に起きるセキュリティ被害・リスク

ここからは、建設現場や建物のIoT機器で実際に起こりうる被害を、具体的な事例とともに見ていきます。「リスクがあります」という一般論ではなく、どの機器が狙われ、何が起きるのかを押さえることが、自社の弱点を見立てる出発点になります。

現場ネットワークカメラの乗っ取り・盗撮

建設現場の進捗確認や防犯のために設置されるネットワークカメラは、インターネット経由で映像を確認できる反面、設定の甘さを突かれると第三者に乗っ取られ、映像を盗み見られたり、カメラを停止させられたりする危険があります。公的機関でも実際に被害が起きています。

国土交通省は、全国の河川監視カメラの一部で不正アクセスの疑いがある痕跡を確認し、337台のカメラの配信を停止しました。復旧にあたっては機器の交換に加え、通信ポートの閉塞とパスワードの再設定を実施しています。

今回、停止をしている簡易型河川監視カメラを回収し、通信記録などの調査を行ったところ不正アクセスの疑いがある痕跡が確認されましたので、下記の対策を実施するものとしました。【実施する対策】・機器交換 ・通信ポートの閉塞とパスワードの再設定

出典：配信を停止している簡易型河川監視カメラの再開について｜国土交通省（https://www.mlit.go.jp/report/press/content/001598899.pdf）

これは河川監視という土木寄りの事例ですが、設定の甘いネットワークカメラがインターネット経由で乗っ取られるという構図は、建設現場や建物に置くカメラにもそのまま当てはまります。乗っ取られたカメラは、映像の漏えいだけでなく、後述する「踏み台化」の入口にもなります。

BAS・ビル管理システムの乗っ取り／不正操作（空調・入退室・監視）

BAS（ビル管理システム）は、空調・照明・入退室・監視カメラといった建物設備を統合して制御する仕組みです。ここが乗っ取られると、空調や入退室の制御を外部から操作される、設備を止められるといった、建物の運用そのものに関わる被害につながります。

侵入経路としては、インターネットに直接公開された制御機器、保守用のリモート接続、空調や入退室を操作する管理端末などが入口になります。Business Insider Japanの報道によれば、海外ではホテルの客室カードキー発行システムがランサムウェアに感染し、客室扉の施錠・開錠ができなくなって宿泊客が締め出される事態が起きています。

国内でビル管理システムの中枢が乗っ取られた公表事例は確認が難しいものの、経済産業省はビルシステム向けのセキュリティガイドラインを公表しています。建物設備がネットワークにつながるほど、こうした攻撃の対象になりうると考えておくべきです。

出典・参考資料（1件）

• 参考資料：三井不動産、イスラエル国防軍出身者ベンチャーとタッグ、ビルのハッキング対策に各社本腰｜Business Insider Japan（https://www.businessinsider.jp/article/187966/）

センサー網・遠隔監視機器への不正アクセス

温湿度・振動・位置などを計測するセンサーや、遠隔で現場を監視する機器も攻撃の対象です。これらは数が多く、設置したまま管理の手が回りにくいため、1台の脆弱な機器が侵入口になると、そこを起点にネットワーク全体へ影響が広がる恐れがあります。

公的なガイドラインも、対策レベルの低い機器がつながることで全体のリスクが上がると指摘しています。IoTでは、機器やシステムの一部に問題が起きると、つながりを通じて影響が広い範囲へ伝わることが想定されます。

対策のレベルが異なる IoT 機器・システムがつながることで全体的な対策のレベルが低下することも想定される。対策のレベルが低い IoT 機器・システムの脆弱性が攻撃の入口になったり、欠陥や誤設定が IoT 全体に影響を与える可能性もある。

出典：IoTセキュリティガイドライン ver1.0｜IoT推進コンソーシアム・総務省・経済産業省（https://www.soumu.go.jp/main_content/000428393.pdf）

情報漏えい（施工図面・個人情報・施設情報）

IoT機器やそれがつながるネットワークを経由して、施工図面・工程情報・入居者や従業員の個人情報・施設の構造情報といった機密が外部に漏れる可能性があります。建物の図面や設備情報は、物理的な侵入やさらなる攻撃の足がかりにもなり得るため、映像や制御と並んで守るべき対象です。

漏えいの経路はさまざまで、代表的には次のような形が考えられます。

• 乗っ取られたネットワークカメラやレコーダー（NVR）からの映像流出
• 施工管理アプリや共有クラウドの権限設定の不備による図面・工程表の露出
• 保守用の端末や持ち出しデバイス経由でのデータ持ち出し

まず「自社のどの機器・システムに、どの情報が置かれ、どことつながっているか」を把握しておくことが、漏えい対策の前提になります。

踏み台化・ランサムウェアによる業務停止

乗っ取られたIoT機器は、他者を攻撃するための「踏み台」として悪用されることがあります。公的なガイドラインは、この構図を明確に言語化しています。

IoT では機器やシステムに故障が発生したり、ウイルスに感染したりした場合に、つながりを通じて影響が広範囲に伝播することが懸念される。機能停止すれば連携する機器やシステムに影響を与えるし、ウイルス感染で踏み台にされれば被害者から加害者に転じることとなる。

出典：IoTセキュリティガイドライン ver1.0｜IoT推進コンソーシアム・総務省・経済産業省（https://www.soumu.go.jp/main_content/000428393.pdf）

ルータや監視カメラなどのIoT機器が大量に乗っ取られ、巨大な攻撃に悪用された代表例が、ウイルス「Mirai」に感染した機器で構成されたボットネットです。情報処理推進機構（IPA）の資料によれば、14万5,000台以上のIoT機器から約620Gbpsという大規模なDDoS攻撃が行われました。

感染の理由としては、telnetが動作していたことや、ユーザー名・パスワードが初期値のままだったことが挙げられています。現場のカメラやルータが、知らないうちにこうした攻撃の一部に組み込まれる可能性があるということです。

また、サイバー攻撃で基幹業務そのものが止まることもあります。製造業では、取引先のシステム障害をきっかけに、自動車メーカーが国内全14工場の稼働を停止した事例が報じられました。これは建設・建物の事例ではありませんが、ネットワークでつながった一部の弱点が、事業全体の停止につながりうることを示す事例として参考になります。

出典・参考資料（2件）

• 参考資料：Mirai の出現と対策（IPA資料）｜情報処理推進機構（https://www.ipa.go.jp/archive/files/000070073.pdf）
• 参考資料：トヨタ自動車が国内全14工場の稼働を停止、仕入れ先のサイバー攻撃で｜MONOist（https://monoist.itmedia.co.jp/mn/articles/2203/01/news065.html）

なぜ建設現場・建物のIoTは特に狙われやすいのか

ここからは、建設現場や建物のIoTが狙われやすい理由を、現場・建物という環境の特性に紐づけて整理します。主な要因は次のとおりで、自社の環境にいくつ当てはまるかを数えると、危険度の見立てに役立ちます。

• 初期パスワードのまま長期間運用される機器が多い
• 現場や屋外に物理的に露出・放置される機器がある
• 複数の現場・建物に機器が分散し、管理の目が届きにくい
• 設備を動かす制御系（OT）とIT系が融合し、守りの勘所が異なる

初期パスワードのまま長期運用される機器

カメラやセンサーは、設置時の初期パスワードのまま何年も使われがちです。初期パスワードは機種ごとに推測されやすく、前述のMiraiのように「初期値のまま」の機器がまとめて乗っ取られる典型的な入口になります。建設・建物のIoTは一度設置すると長期間使われるため、設定を見直す機会がないまま放置されやすい点が、リスクを高めます。

現場に物理的に露出・放置される機器／多拠点で管理の目が届かない

建設現場や屋外に設置される機器は、物理的に手を触れられる場所にあることが少なくありません。公的なガイドラインも、管理者のいない場所に置かれた機器への物理的な攻撃リスクを指摘しています。

駐車場や庭、公共空間に設置された機器が第三者によって物理的に攻撃される危険性がある。

出典：IoTセキュリティガイドライン ver1.0（要点6）｜IoT推進コンソーシアム・総務省・経済産業省（https://www.soumu.go.jp/main_content/000428393.pdf）

加えて、建設会社やビル管理会社は複数の現場・建物を抱えることが多く、機器が各拠点に分散します。拠点が増えるほど管理の目は届きにくくなり、どこに何台つながっているかの把握自体が難しくなります。見えていない機器は守れないため、拠点分散はそれ自体がリスク要因です。

ITとOT（建物制御系）の違いと、OTならではの脅威

ここからは、対策の前提として押さえておきたい「ITとOTの違い」を整理します。建物の設備を動かす制御系はOT（Operational Technology：制御・運用技術）と呼ばれ、オフィスのパソコンやサーバーといったIT系とは、守り方の勘所が異なります。

ITとOT（建物制御系）の違い（可用性優先で止められない・パッチや再起動が難しい）

IT系では、情報を守ること（機密性）が重視され、問題があればアップデートのために再起動する運用も比較的取りやすいものです。一方、空調や入退室のような建物制御系（OT）は、止めずに動かし続けること（可用性）が最優先されます。設備を安易に止められないため、修正プログラム（パッチ）の適用や再起動のタイミングが取りにくく、脆弱性が残ったまま運用が続きやすいという特性があります。

建物制御系のセキュリティについては、経済産業省が「ビルシステムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」を公表しており、報道によれば第2版ではインシデント発生時の対応策なども追加されたとされています。IT系とは別の観点で対策を考える必要があることの表れといえます。

パッチ困難なレガシー機器／BASが建物設備（空調・入退室・監視）を握る

建物のIoT機器やセンサーには、計算資源に制約があるものや、10年以上の長期にわたって使われるものが含まれます。公的なガイドラインも、IoTが多様な性質の機器で構成され、長期利用されるものがある点を前提に挙げています。こうしたレガシーな機器は、最新の対策を後から入れにくく、サポートが切れても使い続けられがちです。

とりわけBAS（ビル管理システム）は、空調・入退室・監視といった建物の基幹設備を一手に握っています。ここに古い機器や守りの弱い機器が混ざっていると、建物全体の安全が1点の弱さに引きずられます。どの設備がBASにつながっているかを把握し、弱い部分を見つけておくことが重要です。

設備系（OT）とIT部門の責任分界の曖昧さ

建物設備（OT）は施設・設備の部門が、オフィスのITは情報システム部門が、というように管轄が分かれている企業は少なくありません。IoTによって両者がネットワークでつながると、「誰がそのセキュリティを見るのか」が曖昧になり、どちらの部門も手を付けない空白地帯が生まれます。

対策を進める前に、現場・設備側とIT側のどちらが何を守るのかを整理し、責任の所在を決めておくことが、抜け漏れを防ぐ土台になります。外部の診断サービスを使う場合も、この分担が決まっていると、指摘された対策を誰が実行するかがスムーズに進みます。

建設・建物IoTのセキュリティ対策【リスク→対策対応表＋現場チェックリスト】

ここからは、これまで見てきたリスクに対して、何をすればよいかを対応表とチェックリストで整理します。優先順位をつけて、できるところから現場の点検に落とし込むための粒度でまとめました。

リスク→対策 対応表

冒頭で挙げたリスク区分ごとに、効果の大きい対策を対応づけました。いずれの対策も、公的なIoTセキュリティガイドラインが挙げる要点に沿ったものです。

リスク	主な対策	対応するガイドラインの要点
カメラ・機器の乗っ取り	初期パスワードの変更、機器ごとに異なる強固なパスワード設定、未使用機能・ポートの停止	要点15 初期設定に留意する
センサー網・BASへの不正アクセス	用途に応じたネットワーク分離（閉域網・セグメント分離）、機器認証による接続機器の限定	要点14 適切なネットワーク接続／要点16 認証機能を導入する
踏み台化・業務停止	ファームウェア・ソフトウェアの更新、サポート期間の確認、通信の可視化・監視	要点17 出荷・リリース後も安全安心な状態を維持する／要点13 状態の把握・記録
情報漏えい	通信の暗号化、アクセス権限の最小化、実通信の監視による持ち出し検知	要点13 状態の把握・記録
物理的な持ち去り・改ざん	機器の施錠・設置場所の管理、中古・廃棄時の情報消去	要点6 物理的なリスクを認識する

現場で使える対策チェックリスト

現場や建物でつながっている機器を点検するときの確認項目です。公的なガイドラインが一般利用者向けに示すルールも、機器の初期設定について次のように注意を促しています。

機器を初めて使う際には、ID、パスワードの設定を行いましょう。パスワードの設定では、機器購入時のパスワードのままとしない、他の人とパスワードを共有しない、他のパスワードを使い回さない、生年月日等他の人が推測しやすいものは使わない等の点に気をつけましょう。

出典：IoTセキュリティガイドライン ver1.0（一般利用者のためのルール）｜IoT推進コンソーシアム・総務省・経済産業省（https://www.soumu.go.jp/main_content/000428393.pdf）

• 機器ごとに初期パスワードを変更し、使い回さず、推測されにくいものに設定しているか
• ファームウェア・ソフトウェアを最新に保ち、購入前にメーカーのサポート期間・アップデート体制を確認しているか
• IoT機器を業務ネットワークと分け、閉域網やセグメント分離で接続範囲を絞っているか
• 機器やデータにアクセスできる権限を、必要な人・機器に限定しているか
• 接続を許可する機器を機器認証で限定し、不要な機能・ポートを停止しているか
• 通信の状態を可視化・監視し、不審な動きに気づける仕組みがあるか

対策の裏づけ：参照すべき公的ガイドライン・基準

これまで示した対策は、いずれも公的機関が公表するガイドラインに裏づけられています。社内で対策の必要性を説明したり、方針を決めたりする際は、次の一次情報を出所として参照できます。

• IoTセキュリティガイドライン ver1.0（IoT推進コンソーシアム・総務省・経済産業省）：IoT機器全般の対策を「5つの指針・21の要点」として整理した横断的な指針。初期設定・認証・ネットワーク接続・状態把握などの対策の出所になります。
• ビルシステムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン 第2版（経済産業省）：空調・照明などの制御系を含むビルシステムに特化した指針。建物のOTセキュリティを考える際の中心的な根拠です。
• つながる世界の開発指針 第2版（情報処理推進機構／IPA）：IoTの安全・安心を実現するための重要ポイントをまとめた指針で、上記IoTセキュリティガイドラインの土台にもなっています。

出典・参考資料（3件）

• 出典：IoTセキュリティガイドライン ver1.0｜IoT推進コンソーシアム・総務省・経済産業省（https://www.soumu.go.jp/main_content/000428393.pdf）
• 出典：ビルシステムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン 第2版｜経済産業省（https://www.meti.go.jp/policy/netsecurity/wg1/bill_gideline_2.pdf）
• 出典：つながる世界の開発指針 第2版｜情報処理推進機構（IPA）（https://www.ipa.go.jp/archive/publish/secbooks20170630.html）

自社で手に負えないときの相談先・セキュリティサービス

個別機器の堅牢化（パスワード変更・ファームウェア更新など）は、前章のチェックリストに沿って自社で進められます。一方、機器に弱点が残っていないかの網羅的な確認や、ネットワーク全体の継続的な監視には専門の知識と機材が要るため、この部分は外部の診断・監視サービスに任せるのが現実的です。ここからは、課題のタイプ別に向いているサービスの類型を整理します。

• IoT機器・ハードウェアの脆弱性を診断してほしい：Webやアプリに加えてIoT機器などのハードウェアも対象にするセキュリティ診断が向きます。設置予定・稼働中の機器にどんな弱点があるかを洗い出したい場合の選択肢です。
• ネットワーク全体のリスクを一度棚卸ししたい：実際に流れている通信を収集・分析するネットワークリスク診断が向きます。IT環境とOT環境をまたいで、内部に潜む脅威まで含めて現状を把握したいときに有効です。
• 継続的に通信を監視し、不審な動きを検知したい：通信を記録・分析し続けるNDR（Network Detection and Response）型の製品が向きます。エージェントを入れにくい制御系機器も、ネットワーク側から監視できます。
• 専任者がいないので、予防から復旧・補償までまとめて任せたい：脆弱性診断・バックアップ・保険を組み合わせたパッケージ型が向きます。中小企業で手間をかけずに一通りの備えを整えたい場合の選択肢です。

ここに挙げた課題タイプのほかにも、IoT機器のセキュリティに使えるサービスは、守る対象や守り方によって幅があります。自社の環境に合うタイプの選び方や費用の考え方まで含めて、候補を広く見比べたい場合は、守る対象別にサービスを整理した次の記事が参考になります。

いずれの診断・監視サービスも、見つかった弱点への対策を誰が実行するかは、事前に社内の分担を決めておくとスムーズです。次章で、各類型に当てはまる具体的なサービスを紹介します。

主要なセキュリティサービスの紹介

ここからは、前章の課題タイプに対応する具体的なサービスを紹介します。まず、対象範囲や診断スタイルの違いを一覧で確認してから、個別に見ていきます。

●＝対応／△＝一部・限定的に対応／×＝対象外（公式に機能の記載なし）。各社の対応範囲・料金・提供形態は2026年11月時点の各社公式・掲載情報にもとづく目安で、変動するため導入時に各社の最新情報をご確認ください。

1. Hi AUDIT（株式会社TECHFUND）

Hi AUDITは、株式会社TECHFUNDが提供するセキュリティ診断サービスです。Webサービスやアプリケーションの診断、Web3のスマートコントラクト監査を主力としつつ、TECHFUNDの説明によれば、IoT機器や医療機器といったハードウェアに対してもセキュリティ上のリスクを発見する診断に対応するとしています。ネットにつながる現場機器の弱点を、設置前や運用中に調べたい場合の選択肢になります。

特徴は、ツールによる自動診断と専門家によるマニュアル診断を組み合わせる点にあります。発見した脆弱性を「どう直せばよいか」まで助言し、対応が完了するまで並走する方針を掲げており、報告して終わりにしない支援姿勢を強みとしています。料金は診断対象や範囲によって個別見積もりとなるため、具体的な費用は問い合わせが必要です。

診断で弱点を見つけた後、それを誰が直すのかは、本記事でくり返し触れてきた論点です。この点について、TECHFUNDの生田氏は次のように述べています。

2. セキュア・レントゲン（株式会社クワッドマイナージャパン）

セキュア・レントゲンは、NDR製品「Network Blackbox」のフルパケットキャプチャ技術を使い、実際に流れている通信を収集・検査するネットワークリスク診断サービスです。外部からの攻撃だけでなく、内部に侵入・潜伏している脅威まで洗い出せるため、ネットワークに潜むリスクを一度しっかり棚卸ししたい企業に向いています。

ミラーリング方式で接続するため業務ネットワークへの影響を抑えやすく、OTプロトコルにも対応することから、IT環境と工場・設備などのOT環境をまたいだリスクの可視化に適しています。公式は最短1カ月でセキュリティ課題と対策を提案するとしており、期間を区切って現状を把握するスポット型の診断です。

検出後の対策実行は顧客側または既存ベンダーが担う設計のため、「弱点を外部の目で洗い出す」役割として位置づけるのが適切です。

IT環境と制御系（OT）をまたぐリスクをネットワークの側から可視化するという考え方について、提供元のクワッドマイナージャパンは、この診断が生まれた経緯を次のように説明しています。

3. Network Blackbox（株式会社クワッドマイナージャパン）

一度の診断ではなく、通信を継続的に監視して不審な動きを検知したい場合に向くのがNetwork Blackboxです。ネットワークを流れる全パケットを収集し、脅威の可視化・分析・対応を担うNDR製品で、収集・検知・ハンティング・フォレンジック・対応の機能を一つの製品に備えています。

通信そのものを保存してパケット単位で遡れるため、事後の調査や証跡の提示に強いのが特徴です。ミラーリング方式で導入するためエージェントを入れにくい制御系機器もネットワーク側から監視でき、端末に導入する防御ソフト（EPP・EDR）を入れられない機器が残る現場でも、通信の異常から変化をとらえられます。料金は要問い合わせです。

4. KATABAMI サイバーセキュリティ対策パッケージ（株式会社SYNCHRO）

KATABAMIは、株式会社SYNCHROが「予防・復旧・補償」の3本柱を1つにまとめたパッケージ型サービスです。専任のセキュリティ担当者を置けない中小企業が、手間をかけずに備えを一通り整えたいときの選択肢になります。

予防は、ネットワーク内部から毎月（年12回）脆弱性を検出して対策案を報告する「定期検診」です。復旧は、隔離された通信経路を通じてデータを自動バックアップし、有事に前日の状態から戻せる仕組みです。補償は、サイバー保険を自動付帯する点にあります。

月額は1台あたり1,250円からで、公式は最短2週間で利用開始・設置10分と、導入の手軽さを訴求しています。検出した脆弱性への対策実装そのものは原則として利用企業側が担い、希望すれば別料金で委託も可能です。

IoT機器の対策は、社内セキュリティ全体の一部でもあります。端末・ネットワーク・ID・データ・監視運用まで、守る対象ごとにどんなソリューションがあるかを一通り見渡して自社に必要な対策を見極めたい場合は、次の記事で守る対象別に代表的なサービスを比較しています。

まとめ

建設・建築のIoTは、現場カメラの乗っ取り、ビル管理システムへの不正操作、センサー網への侵入、情報漏えい、踏み台化といった具体的なリスクを抱えています。初期パスワードのまま長期運用される機器や、現場に露出・放置される機器、止めにくい制御系（OT）といった環境特性が、これらのリスクを高めます。

まずは自社の現場・建物でつながっている機器を棚卸しし、本記事のチェックリストで初期パスワード・ファーム更新・ネットワーク分離・権限・監視を点検するところから始めましょう。機器の脆弱性診断やネットワーク全体の監視など、自社だけでは難しい部分は、診断・監視サービスの活用が近道です。各サービスの最新資料をまとめて取り寄せ、自社の課題に合うものを比較してみてください。

よくある質問（FAQ）

Q. 建設・建築IoTのセキュリティとは何ですか？

A. 建設・建築IoTのセキュリティとは、建設現場や建物に設置するネットワークカメラ・センサー・ビル管理システム（BAS）・遠隔監視機器などのIoT機器を、乗っ取り・情報漏えい・他者攻撃の踏み台化といった脅威から守るための対策全般を指します。

オフィスのパソコンやサーバーを守るIT系のセキュリティとは異なり、建物の設備を動かす制御系（OT）や、現場に露出・放置されやすい機器、初期パスワードのまま長期運用される機器など、建設・建物ならではの環境特性を踏まえた対策が必要になる点が特徴です。

Q. 建設・建物のIoTセキュリティは何から始めればよいですか？

A. 建設・建物のIoTセキュリティは、まず自社の現場・建物でつながっている機器を棚卸しし、初期パスワードの変更・ファームウェア更新・ネットワーク分離・アクセス権限の見直しを点検するところから始めます。

見えていない機器は守れないため、どこに何台つながっているかを把握することが出発点です。本記事の「現場で使える対策チェックリスト」は、この点検をそのまま進められる確認項目としてまとめています。高度な対策を一気に導入するより、推測されやすい初期パスワードの変更など効果の大きい基本から優先して着手するのが現実的です。

Q. BAS（ビル管理システム）はセキュリティ上、何が危ないのですか？

A. BAS（ビル管理システム）は、空調・照明・入退室・監視カメラといった建物設備を統合して制御するため、乗っ取られると設備を外部から操作・停止され、建物の運用そのものに関わる被害につながる点が危険です。

とりわけBASは、止めずに動かし続けること（可用性）が優先される制御系（OT）で、修正プログラムの適用や再起動がしにくく、古い機器が残りやすい特性があります。弱い機器が1台混ざると建物全体の安全がそこに引きずられるため、経済産業省も「ビルシステムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」を公表して注意を促しています。

Q. 建設・建物のIoT機器は初期パスワードを変えるだけで十分ですか？

A. 初期パスワードの変更は最優先かつ効果の大きい対策ですが、それだけでは不十分で、ファームウェアの更新・ネットワーク分離・アクセス権限の最小化・通信の監視まで組み合わせて初めて守りが成り立ちます。

初期パスワードのまま稼働していた機器がまとめて乗っ取られた「Mirai」のような事例があるため、パスワードの見直しは必ず行うべき基本です。ただし、サポートが切れた古い機器や、外部と通信する経路の問題は、パスワードだけでは防げません。本記事の「リスク→対策 対応表」のように、リスクごとに複数の対策を重ねることが重要です。

Q. 建設・建物のIoTセキュリティは、IT部門と設備部門のどちらが守るべきですか？

A. 建設・建物のIoTセキュリティは、IT部門と設備（OT）部門のどちらか一方ではなく、両者の責任分界をあらかじめ決めたうえで共同で守るべきです。

建物設備は施設・設備の部門が、オフィスのITは情報システム部門が管轄する企業は多く、IoTで両者がつながると「誰が守るのか」が曖昧になり、どちらも手を付けない空白地帯が生まれがちです。対策を進める前に、現場・設備側とIT側のどちらが何を守るのかを整理しておくと、外部の診断で指摘された対策を誰が実行するかもスムーズに決まります。

Q. 自社での点検と外部のセキュリティ診断サービスはどう使い分ければよいですか？

A. 自社での点検と外部診断は、初期パスワードの変更やネットワーク分離など自社で着手できる対策は社内で行い、機器の網羅的な脆弱性診断や通信全体の監視など専門の知識・機材が要る範囲を外部サービスに任せる、という切り分けが現実的です。

機器の弱点を洗い出したいならIoT機器も対象にする脆弱性診断、ネットワーク全体を一度棚卸ししたいなら通信を収集・分析するリスク診断、継続的に監視したいならNDR型の製品、専任者がいないなら予防から復旧・補償までのパッケージ型、というように課題のタイプで向くサービスが変わります。本記事の後半で、各類型に当てはまる具体的なサービスを紹介しています。

Q. 建設・建物のIoTセキュリティ対策で参照すべき公的ガイドラインは何ですか？

A. 建設・建物のIoTセキュリティでは、IoT機器全般を扱う「IoTセキュリティガイドライン ver1.0」（総務省・経済産業省ほか）と、建物制御系に特化した「ビルシステムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン 第2版」（経済産業省）が中心的な参照先になります。

加えて、情報処理推進機構（IPA）の「つながる世界の開発指針 第2版」も、IoTの安全・安心の考え方の土台になります。これらは社内で対策の必要性を説明したり方針を決めたりする際の出所として使えます。

出典・参考資料（2件）

• 出典：IoTセキュリティガイドライン ver1.0｜IoT推進コンソーシアム・総務省・経済産業省（https://www.soumu.go.jp/main_content/000428393.pdf）
• 出典：ビルシステムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン 第2版｜経済産業省（https://www.meti.go.jp/policy/netsecurity/wg1/bill_gideline_2.pdf）

建設・建物IoTのセキュリティ対策サービスの資料を一括チェック

MCB FinTechカタログでは、IoT機器・ネットワークのセキュリティ診断や通信監視サービスの最新資料を無料で一括請求できます。対象範囲・診断スタイル・費用感をまとめて比較できます。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。