24」では、ありとあらゆるモノを対象に、脆弱性の存在と今後の改善の必要性を呼び掛けるセッションが繰り広げられた。Things(IoT)」の世界。このトレンドはユーザーの生活をより豊かに、また便利にするものとして期待されているが、同時に懸念されるのがセキュリティ問題の深刻化だ。24」で繰り広げられた複数のセッションでは、思い付く限りのありとあらゆるモノ——自宅にある身近なモノから、重要インフラや生産現場を支えるモノに至るまで——がハッキングの対象として取り上げられ、今後の改善の必要性が呼び掛けられた。Kaminsky氏が登場し、今セキュリティ研究者が抱える課題の1つとしてIoTのセキュリティがあると指摘した。同氏は「IoTは、登場当初からセキュリティの問題にさらされている初の技術だ」と述べ、利便性だけでなく、ユーザーの期待を損なわないようなセキュリティモデルをシステムデザインの中に組み入れていく必要があるとした。Health)のように、脆弱性を狙う攻撃手法とそれを保護する方法、セキュアなプログラミングについて研究し、情報を共有できる組織が必要だ」と呼び掛けた。Briefingsに合わせて開催されたイベント「Codenomicon」では、医療機器のセキュリティをテーマとしたパネルディスカッションが行われた。医療の世界では、2016年に米国で発生した医療機器のランサムウェア感染事件が衝撃を持って受け止められた。医療機器は患者の生命を預かっている以上、その可用性が脅かされれば、人命に関わる深刻な問題となる。結局この病院は、やむを得ない判断として攻撃者に金銭を支払ったと報道されている。Codenomiconでは、「医療機器のセキュリティ」をテーマに、セキュリティ専門家と医療機器メーカーの担当者らを招いてのパネルディスカッションが行われたランサムウェア感染の一因が、医療機器に存在する脆弱性だ。医療の現場で用いられているさまざまな機器についても、ITシステム同様、さまざまな脆弱性が指摘されている。「問題は、こうした機器は日々の医療行為に欠かせないものであり、OSを走らせ続けなければいけない点にある。Suarez氏は説明した。問題も避けては通れない。医療機器はとりわけ高価であり、脆弱性が見つかったからといってそう簡単に入れ替えることはできない。XPのようなサポートの終了したOSをベースとした機器を運用している環境もある。McNeil氏は実情を明かした。一方で、業界全体として前進の兆しも見られる。Administration、以下FDA)をはじめとする政府機関と協調し、何らかの“サイバー・サーベイランス・プログラム”を実現していくべきだ」と述べた。Corman氏は、2016年1月にFDAが立ち上げた脆弱性情報公開プログラムについて紹介した。FDAは医療機器のセキュリティ問題を重視しており、このプログラムでは、「脆弱性に関する情報をどのように収集し、どのように対応するか、そして収集した情報をどのように整理し、適切に公開するかを定めている。ジョンソン&ジョンソンなどがこの取り組みの下、脆弱性情報を公開している」(Corman氏)という。その上で同氏は、セキュリティ研究者との連携を通じ、脆弱性情報に関する透明性を向上させていくべきだとした。McNeil氏はさらに、「患者の生命を救うためにも、自組織だけでなく、エコシステム全体を見る視野が必要だ。重要インフラ分野と同様、政府による法規制といった事柄も含めて検討していく必要がある」とし、業界全体の取り組みが必要だと協調した。Rios氏は、「ランサムウェアによる被害が拡大したことの一因に、パッチに関する情報共有が欠けていたことが挙げられる。業界全体で、脆弱性や脅威の兆候に関する情報を共有していくことが大切だ」と述べた。Rios氏は、「脆弱性はどうしてもゼロにはならない。それを踏まえた上で、持続できるようなマネジメントを検討すべきだ。機器の製造段階のセキュリティだけでなく、ランサムウェアをはじめとする脅威がやってきたときに備え、運用段階でのセキュリティも必要だ」とも訴えた。メールマガジンをご購読ください。申し込みページへITmediaはアイティメディア株式会社の登録商標です。