中小企業のIoTデバイスセキュリティ対策｜スマートオフィス機器の不正接続を情シス1人で防ぐ実践ガイド

中小企業のオフィスで、ネットに接続できる機器は何台ありますか？スマートテレビ、IPカメラ、Webカメラ、デジタルサイネージ、スマートプロジェクター……気づけばPCやスマートフォン以外の「IoT機器」が数十台になっているケースも珍しくありません。

問題は、これらのデバイスが情シスの管理台帳に載っておらず、初期設定のまま放置されていることが多い点です。攻撃者にとってIoT機器は「鍵のかかっていない裏口」と同じです。

この記事では、中小企業の情シス1人体制でも実践できるIoTデバイスのセキュリティ対策を体系的に解説します。棚卸しの進め方から、ネットワーク分離・ファームウェア管理まで、今日から動ける手順をお伝えします。

IoTデバイスとは？中小企業オフィスに潜む盲点を整理する

IoT（Internet of Things）デバイスとは、インターネットに接続してデータの送受信や遠隔操作を行う機器の総称です。家庭向けに目が向きがちですが、中小企業のオフィスにも多数存在しています。

主なオフィス向けIoT機器の例：

・防犯カメラ・IPカメラ：ネットワーク経由で映像を確認・録画できるカメラ。管理画面にWebブラウザでアクセスする仕様が多い
・スマートプロジェクター・デジタルサイネージ：Wi-Fi接続やリモート操作機能を備えた機器。ファームウェア更新が止まっていることがある
・複合機・プリンター：内部に小型OSを持ち、Wi-FiやLANに接続して利用する機器。IoTの文脈でも管理対象に含める
・スマートスピーカー・音声デバイス：会議室に設置されているケースも。常時マイクが有効になっているものも存在する
・UPS（無停電電源装置）：ネットワーク管理ポートを持つ機種はIoT機器として扱われる
・空調・照明のスマート制御機器：省エネ目的でネットに接続されたシステム。BMS（ビル管理システム）経由で外部と通信することがある

これらのデバイスの共通点は、「誰かが意識してセキュリティ設定をしないと、脆弱なまま稼働し続ける」点です。PCやスマートフォンはOSが定期的にアップデートされ、企業向けには管理ツールも充実しています。しかしIoT機器はメーカーのサポート期間が短く、ファームウェアの更新が止まっているものも少なくありません。

攻撃者がIoTデバイスを狙う理由（敵を知る）

IoT機器が攻撃者に好まれる理由は複数ありますが、特に中小企業のオフィス環境では次の特性が問題になります。

1. デフォルトパスワードがそのまま使われている

IPカメラや安価なルーター類は、出荷時に「admin/admin」「admin/1234」のような初期パスワードが設定されています。Shodan（インターネット上の機器を検索できるサービス）のようなツールを使えば、この状態のデバイスを短時間で大量に発見できてしまいます。攻撃者はスクリプトで自動的に認証を試みるため、デフォルトパスワードのままでは数時間で侵入されるリスクがあります。

2. パッチが当たらないまま長期稼働している

IoT機器の多くは、購入後に管理画面へアクセスして手動でファームウェアを更新する必要があります。しかし実際には「動いているから触らない」という運用になりがちです。3年～5年と更新されていないファームウェアには、公開済みの脆弱性が蓄積されています。攻撃者はこうした機器を「確実に侵入できる足がかり」として活用します。

3. 内部ネットワークへの踏み台になる

侵入したIoT機器は、攻撃者にとって「内部ネットワークへの玄関」になります。IoT機器から同じネットワークセグメント上のファイルサーバーや業務システムへのアクセスを試みることで、重要データへ到達できます。IoT機器が業務PCと同じネットワークに接続されていると、1台の侵害が社内全体に広がるリスクが一気に高まります。

4. セキュリティソフトが導入されていない

PCにはウイルス対策ソフトやEDRを導入しているのに、IoT機器には対応するセキュリティソフトが存在しないか、導入できない場合がほとんどです。感染しても検知できず、長期間にわたって情報を外部に送り続けているケースも報告されています。

具体的な防御手順

1. IoTデバイスの棚卸しと台帳化

最初のステップは「何が繋がっているかを把握すること」です。情シス1人体制でよくある失敗は、管理対象がPCとスマートフォンだけになってしまっている点です。

ローカルネットワーク上のデバイスを一覧表示する方法の例：

# nmapでローカルネットワーク上のデバイスを一覧表示する例
# ※自組織のネットワーク管理者権限で実施すること
sudo nmap -sn 192.168.1.0/24

# 結果例（抜粋）
# Nmap scan report for 192.168.1.20
# Host is up (0.0032s latency).
# MAC Address: B4:E6:2D:XX:XX:XX (Hikvision Digital Technology)
# → MACアドレスのベンダー情報からIPカメラと判断できる

発見したデバイスは台帳に記録します。最低限、以下の情報を管理します。

・機器名・型番：後でファームウェア更新情報を調べるのに必要
・IPアドレス・MACアドレス：固定IPが望ましい
・設置場所・担当部門：「誰がいつ持ち込んだか」を把握する
・ファームウェアバージョン・最終更新日：定期点検の基準になる
・デフォルトパスワード変更済みか：チェックボックスで管理

IT資産管理全般については、中小企業のIT資産管理入門｜PCとソフトウェアの棚卸しで脆弱性の見逃しをなくす実践ガイドも参考にしてください。IoT機器も「IT資産」として同じ台帳に含めることを推奨します。

2. デフォルトパスワードの変更と不要機能の無効化

棚卸しが終わったら、次はデバイス単体のセキュリティ設定を見直します。特に重要なのは以下の3点です。

管理者パスワードの変更

初期パスワードは必ず変更します。パスワードは12文字以上、英数字・記号の混在が基本です。デバイスごとに異なるパスワードを設定し、パスワード管理ツールに記録します。「admin/admin」のまま稼働しているIPカメラが侵害の入口になった事例は国内でも複数確認されています。

不要なポート・サービスの無効化

Telnet（TCPポート23）は暗号化されておらず、認証情報が平文で流れます。管理画面でTelnetが有効になっているIPカメラや古いルーターは、必ず無効化してください。同様に、UPnP（ユニバーサルプラグアンドプレイ）も自動でポートを開放する仕組みのため、不要な場合は無効化が推奨です。

外部からの管理アクセスの制限

管理画面への外部からのアクセスは、原則として許可しません。どうしても外部から管理が必要な場合は、VPN経由に限定する設計にします。「インターネットから直接アクセスできる管理画面」は、攻撃者にとって格好の標的です。

3. IoT専用VLANによるネットワーク分離

最も効果的な対策の一つが、IoT機器を業務PCや基幹システムとは別のネットワーク（VLAN）に隔離することです。仮にIoT機器が侵害されても、同じネットワークにいる業務PCへのアクセスを遮断できます。

VLAN分離の基本設計例：

・VLAN 10（業務系）：PC、スマートフォン、業務サーバー
・VLAN 20（IoT系）：IPカメラ、スマートプロジェクター、デジタルサイネージ等
・VLAN 30（ゲスト系）：来客Wi-Fi

VLANの概念と設計については、VLANとは？ネットワークセグメンテーションで内部脅威を封じ込める設計と実践ガイドで詳しく解説しています。

ただし注意点があります。IoT機器の中には、同じネットワーク上にいる機器との通信（mDNS等）を必要とするものがあります。スマートTVやスマートスピーカーはスマートフォンアプリからの制御にローカルネットワーク内の通信を使うため、VLAN分離後に動作しなくなる機能がないか事前に確認が必要です。

企業Wi-Fiのセキュリティ設定と合わせて実施すると効果的です。企業Wi-Fiのセキュリティ対策｜WPA3・802.1X・SSID分離で不正アクセスを防ぐ実践ガイドも参照してください。

4. ファームウェアのアップデート管理

IoT機器の脆弱性対応は、ファームウェアの更新が基本になります。ただし、IoT機器のアップデートはPCのOSアップデートとは性質が異なります。

IoTファームウェア管理の注意点：

・メーカーの更新情報を定期確認：PCのような自動更新機能がない機器も多い。月1回など定期的にメーカーサイトを確認する
・サポート終了（EOL）機器の把握：メーカーがファームウェアの提供を終了した機器は、既知の脆弱性が修正されない。EOLを迎えた機器はリスク評価の上、計画的に更新・撤去する
・更新前の設定バックアップ：ファームウェア更新で設定がリセットされる機器もある。事前に設定内容を記録しておく
・更新後の動作確認：本番環境に影響が出ないよう、可能であれば業務時間外に実施する

パッチ管理の体系的な考え方は、パッチ管理の基礎｜脆弱性対応サイクル・優先度判定・適用手順をわかりやすく解説も参考になります。IoTファームウェアも「ソフトウェアのパッチ」の一種として位置づけ、同じサイクルで管理することを推奨します。

5. トラフィックの監視と異常検知

IoT機器からの異常な通信（大量のデータ送信、見慣れない外部IPへの接続等）を検知する仕組みを整えることで、侵害を早期に発見できます。

中小企業でも導入しやすい監視手段：

・ルーターのトラフィックログ：UTM（統合脅威管理）機能付きのビジネス向けルーターは、接続先やデータ量を記録できる。週1回程度ログを確認する
・NetFlowデータの活用：対応ルーターやスイッチを使っている場合、NetFlowでネットワークフローを可視化できる
・SIEMへの統合：本格的な監視体制を構築する場合、ルーターログをSIEMに集約して相関分析する

「夜間に誰も使っていないはずのIPカメラが外部サーバーへ大量送信している」といった異常を検知できれば、被害を最小限に抑えられます。ルーターのログ確認だけでも定期的に行うことで気づけるケースがあります。

中小企業でも今日からできること

以上の内容を踏まえ、まず着手すべき優先度の高いアクションを整理します。

今週中にできること

・ステップ1：オフィス内でIPアドレスを持つ機器を数える。PCやスマートフォン以外で「ネットに繋がっている機器」を書き出す
・ステップ2：各機器の管理画面にアクセスし、デフォルトパスワードが使われていないか確認する。わからなければ機器の型番で「デフォルトパスワード」を検索する
・ステップ3：Telnetが有効になっている機器がないか確認し、あれば無効化する

1か月以内に整備すること

・IoT台帳の作成：スプレッドシートでよい。「機器名・IPアドレス・ファームウェアバージョン・最終確認日・パスワード変更済みフラグ」を管理する
・VLAN分離の設計：現在のネットワーク構成を確認し、IoT機器を業務系から切り離せるか検討する。UTM付きルーターや管理対応スイッチが必要になる場合がある

3か月以内に整備すること

・ファームウェア点検サイクルの確立：台帳に記録した機器について、四半期に1回メーカーサイトで更新情報を確認するルーティンを作る
・EOL機器のリスト化：サポートが切れた機器を把握し、リプレース計画を立てる

よくある誤解と注意点

【誤解1】「小さい会社は狙われない」

攻撃者は標的を絞って来るとは限りません。Shodanのような検索ツールを使えば、デフォルトパスワードのまま稼働しているIoT機器を自動で発見できます。「うちの規模では関係ない」は、最もリスクの高い思い込みの一つです。

【誤解2】「IoT機器は内向きの通信しかしない」

実際には、多くのIoT機器がクラウドサービスと通信しています。防犯カメラの映像をクラウドに保存するサービス、スマートスピーカーの音声認識サーバーへの送信など、外部との通信は多岐にわたります。「外に何を送っているか」を把握しておくことが重要です。

【誤解3】「VLAN分離すれば完璧」

VLAN分離は非常に効果的ですが、設定ミスがあれば無効になります。VLAN間の通信ポリシー（ACL）が正しく設定されているか、IoT側のVLANから業務側のVLANへのアクセスが本当に遮断されているかを、定期的に確認する必要があります。「100%安全な設定」はないという前提で運用してください。

【誤解4】「古い機器だからファームウェアはない」

ファームウェアの更新が止まっている（EOLに達した）機器でも、過去に公開済みの脆弱性については攻撃ツールが出回っています。新しい更新が提供されないことは「安全」を意味しません。EOL機器はリプレースを優先事項にする必要があります。

本記事のまとめ

中小企業のIoTセキュリティ対策を優先度順に整理します。

IoT機器のセキュリティは、「購入して設置したら終わり」ではありません。台帳管理・設定見直し・定期更新・ネットワーク分離という継続的なサイクルで初めて機能します。情シス1人体制であっても、今日紹介した手順を少しずつ実行することで、攻撃リスクを着実に下げることができます。