次世代型 IoT サイバー攻撃への備え

IoTデバイスは増大するセキュリティリスクとなっている

数年前まで、IoTデバイスは主にリスクの低いエンドポイントとして扱われていました。しかし、接続性の拡大に伴い、その前提はもはや成り立たなくなっています。かつては価値の低い標的と考えられていたものが、現在では広範囲にわたる重要なシステムへのアクセス経路となっています。

攻撃者は、もはやクラウドシステムやユーザーエンドポイントだけを標的としているわけではありません。攻撃者はデバイスそのものを標的としており、信頼されたアクセスを足がかりに、さらに大規模なシステムへ侵入しようとしています。 Verizon's 2025 Data Breach Investigations Report によると、脆弱性の悪用は侵害全体の20%を占め、ランサムウェアは44%の事例で確認され、エッジデバイスとVPNは脆弱性悪用の標的の22%を占めていました。これは、攻撃対象領域（アタックサーフェス）の変化が加速し、可視化が難しくなるとともに、攻撃対象がエッジにより近づいていることを示す重要な変化です。[1]

これらの製品のメーカーにとって、これはエンドポイントの役割を変えるものです。スマートメーター、アクセス制御ノード、照明コントローラー、ゲートウェイ、またはワイヤレスセンサーは、一見すると単純なデバイスに見えるかもしれません。しかし、ひとたび侵害されると、攻撃者にとって信頼できる足掛かりとなる可能性があります。もちろん、多くの場合、デバイス自体が最終的な攻撃目標ではありません。その価値は、アクセス可能な対象、なりすませる対象、そして妨害できる運用にあります。

これは、スマートホーム、商業施設、産業環境においてさらに重要になります。こうしたシステムでは、侵害されたデバイスはデータを漏えいさせるだけでなく、業務を中断させ、安全性を低下させ、サービス継続性を損ない、顧客の信頼を失わせる可能性があります。その事業への影響は、デバイス自体のコストを容易に上回る可能性があります。[2]

IoTセキュリティ規制は強化されています。

各国政府および市場規制当局は、IoTセキュリティをもはやベストプラクティスではなく、市場参入の必須要件として位置付けています。

英国では、Product Security and Telecommunications Infrastructure制度が2024年4月に施行され、消費者向けコネクテッド製品に対する必須のベースライン要件が定められました。シンガポールでは、 Cybersecurity Labelling Schemeが、他国の制度との相互承認を含め、消費者向けIoTにおける信頼性を示す仕組みとして拡大を続けています。［3］［4］

欧州では、さらに踏み込んだ取り組みが進められています。これらの取り組みに共通するメッセージは明確です。コネクテッド製品は、安全性を考慮して設計され、更新可能であり、長期間にわたってサポート可能でなければなりません。セキュリティは、もはや単なるエンジニアリング上の課題ではありません。製品の市場参入、製品コンプライアンス、そして製品の信頼性を左右する要素となっています。EUの Radio Equipment Directive（RED）および Cyber Resilience Act（CRA）がその代表例です。

IoTデバイスにおける製品要件としての規制

多くのOEMにとって、欧州がその先頭を走っています。RED委任規則では、2025年8月から、サイバーセキュリティ要件がインターネット接続型無線機器の定義されたカテゴリーに適用されます。対象製品の適合性を製造業者が実証できるよう、対応するEN18031規格も参照規格として示されています。CRAはさらに踏み込み、EU市場で提供されるデジタル要素を備えた製品に対して、調和されたサイバーセキュリティ要件を定めています。従来のフレームワークが主にデバイスの基本的な動作に焦点を当てていたのに対し、CRAは、設計、開発、保守、脆弱性対応を含む製品ライフサイクル全体にサイバーセキュリティ要件を拡張しています。[5][6][7]

これは、セキュリティ対策を実施すべきタイミングが変わることを意味するため、重要です。セキュリティは、製品アーキテクチャがほぼ固まった後で追加するものではなくなりました。製品チームは、設計サイクルのより早い段階で、デバイスID、ソフトウェアの完全性、安全なアップデート、サポート期間、脆弱性開示プロセス、そして長期的な脆弱性対応について検討する必要があります。実際には、セキュリティはリリース前のチェックリストではなく、設計時の前提条件になりつつあります。[7]

簡潔な証明: OEM設計チームにとって重要な理由

プルーフポイント	何を示しているか	OEMへの影響
脅威データ [1]	脆弱性の悪用とランサムウェアは増加しており、エッジデバイスが初期侵入経路となるケースも増えています。	エンドポイントセキュリティを周辺機能ではなく、システム全体のセキュリティの一部として捉えてください。
RED + EN 18031 [5][6]	欧州では現在、対象となる無線機器のサイバーセキュリティ要件に適合するための具体的な適合手段が提供されています。	セキュアなデフォルト設定、制御されたインターフェース、認証済みソフトウェア、および適合性評価に対応するエビデンスを計画してください。
CRA [7]	サイバーセキュリティ要件は、製品の市場投入後も、報告、保守、および脆弱性対応にまで及びます。すべてのデジタル資産を対象とする「Secure by Design（設計段階からのセキュリティ）」の考え方を重視してください。	ライフサイクル全体のセキュリティ、サポート計画、および脆弱性開示プロセスを、製品計画の初期段階から組み込んでください。
"Secure Vault + CPMS + PSIRT + PSA" [8][9][10][11][12]	Silicon Labsは、ハードウェアを基盤としたセキュリティ、セキュアなプロビジョニング、インシデント対応プロセス、および第三者による検証を組み合わせています。	実装負担を軽減するとともに、製品、ファームウェア、およびコンプライアンスの各チームに、より強固な出発点を提供します。

略語: CPMS = Custom Part Manufacturing Services、PSIRT = Product Security Incident Response Team、PSA = Platform Security Architecture

Silicon LabsはOEMのIoT設計の将来性を確保します

規制への将来対応とは、将来制定されるあらゆる法律のすべての条項を予測することではなく、標準、認証、および規制を通じて世界的に共通して求められるセキュリティ機能を基盤として構築することを意味します。

それらの機能は、今ではおなじみのものとなっています。信頼できるデバイスID、認証済みソフトウェア、保護された鍵および証明書、デバッグおよびサービスインターフェースへの制御されたアクセス、高品質な乱数生成、安全なアップデート経路、そして長期にわたる脆弱性対応のための実用的なプロセスがあります。これらは、もはやハイエンド設計だけの特別な機能ではありません。これらは、市場で提供され続け、現場で信頼されるコネクテッド製品にとって、ますます基本要件となっています。

Silicon Labsは、コネクテッドデバイス向けのハードウェアを基盤としたセキュリティプラットフォームである Secure Vault を通じて、これらの要件に対応しています。Secure Vaultは、不変のハードウェアルートオブトラストを中心に構築されておりセキュアブート（RTSL対応）、セキュアアテステーション、セキュアな鍵管理、セキュアデバッグ、真性乱数生成、差動電力解析対策、および対応デバイス向けの改ざん防止機能などを備えています。Silicon Labsは、CPMSを通じてセキュアな工場プロビジョニングもサポートしており、ID、証明書、鍵、セキュアブート設定、および関連するセキュリティ資産を、管理が不十分な環境で後から設定するのではなく、工場で書き込めるようにしています。[8][9]

同様に重要なのは、Silicon Labsのセキュリティに関する取り組みは、ハードウェアの機能一覧だけにとどまらないということです。同社は、PSIRTに基づく脆弱性の受付や、専任のSecure Application Engineeringチームによる協調的な脆弱性開示支援など、ライフサイクル全体のセキュリティも提供内容の一部として位置付けています。CRAを重視する環境では、長期サポートと脆弱性対応は後付けではなく、当初から考慮すべき事項となっており、これはますます重要になっています。

この取り組みは、第三者による検証によってさらに裏付けられています。2025年8月、Silicon Labsは、Series3{1}のSecure Vaultが世界初となるPSA Level 4認証を取得したことを発表しました。これは、業界初となるもう一つの実績に続くものです。Silicon Labsはまた、Secure VaultによりPSA Certified Level3を取得した初のシリコンベンダーでもあります。これらの実績を総合すると、セキュリティ分野における明確なリーダーシップの歩みを示しています。OEMにとっては、サイドチャネル攻撃やフォールトインジェクション攻撃を含む、ますます高度化するソフトウェア攻撃および物理攻撃に対抗するための、より強固な組み込み型の基盤を意味します。また、各製品チームが個別にその保証を構築する必要もありません。[11][12]

その結果、OEMは安心して製品開発に取り組むことができます。

このアプローチの価値は、コンプライアンス対応だけにとどまりません。まず、セキュリティ設計上のリスクを低減できます。製品チームは、プロジェクトごとにIoTデバイスのセキュリティ基盤を一から構築する必要がなくなります。次に、市場投入への準備が進みます。製品アーキテクチャを、RED、CRA、ラベリング制度、および基本的なセキュリティフレームワークで求められる要件により適合させることができるためです。さらに、セキュアなアップデートの提供、デバイスIDの保護、および製品展開後の脆弱性への対応を容易にすることで、長期的な事業リスクの低減にもつながります。

この安心感は関係者ごとに受け止め方は異なりますが、得られるメリットは共通しています。経営層にとっては、規制リスクおよびブランドリスクの低減を意味します。製品チームにとっては、市場参入への道筋がより明確になり、製品寿命の長期化につながります。ファームウェアエンジニアにとっては、より信頼性の高いルートオブトラスト、より強固なソフトウェア完全性、そして機密情報やアップデート経路の保護強化を意味します。設計エンジニアにとっては、セキュリティを後付けするのではなく、プラットフォーム選定の段階から組み込むことを意味します。

セキュアなエンドデバイスがセキュアなエコシステムを実現します。

セキュアなエコシステムは、セキュアなエンドポイントから構築されます。これはスマートホームでも同様であり、1台のデバイスが侵害されるだけで、より広範なネットワークへの侵入口となる可能性があります。商業施設でも同様です。コネクテッドデバイスは、アクセス管理、照明、HVAC、メーター管理、および居住者向けサービスを担うようになっています。また、産業分野でも同様であり、障害による損失は即座に発生し、定量的に測定できるものとなります。

エコシステムの信頼性は、そのエコシステムへの参加、更新、および運用を許可されたデバイスの信頼性によって決まります。そのため、セキュアなデバイスID、セキュアブート、保護された鍵、セキュアなプロビジョニング、およびライフサイクルサポートが非常に重要になります。これらは単にチップを保護するだけではありません。周りのシステムを保護するのに役立ちます。

概要：IoTデバイスのセキュリティは、今や製品要件です

IoTセキュリティは、単なる「あれば望ましい」技術要件の域を大きく超えています。実際の攻撃データは、攻撃者がエッジに存在する脆弱性をこれまで以上に積極的に狙っていることを示しています。一方で、世界各国の政府は、セキュリティ要件を市場参入の必須要件へと変えつつあります。同時に、OEMには、より長期間の製品サポート、より明確なセキュリティ文書の整備、そして数年前よりも体系的な脆弱性対応が求められています。[1][5][7]

そのため、セキュリティは今や製品要件となっています。IoTデバイスメーカーが直面している問題は、IoTセキュリティを設計の一部にすべきかどうかではありません。進化し続ける攻撃、変化する規制、そして高まる信頼性への要求に対応できるだけの強固な基盤の上に製品が構築されているかどうかです。Silicon Labsの答えは、デバイスから始め、セキュリティをハードウェアに根付かせ、OEMがその信頼性を製品ライフサイクル全体、そして製品が利用されるスマートエコシステム全体へと広げられるよう支援することです。[8][9][10][11][12]

IoT セキュリティ・ソリューションの詳細をご覧ください。