IoT機器の安全管理｜防犯カメラ・設備の確認と公開管理画面の診断

オフィスの防犯カメラを誰が管理しているのか分からない、設置時の設定を業者へ任せたままになっている、と不安を感じることはありませんか？

防犯カメラや工場設備など、インターネットにつながるIoT機器は業務を便利にする一方、管理者や相談先が曖昧なままでは、異常が起きたときに判断が遅れます。

この記事では、経営者が確認したいIoT機器の管理状況と、機器本体・公開管理画面それぞれの相談先をご紹介します。

セキュリティー診断さん

うちの会社の防犯カメラもIoTデバイスなの？ インターネットにつながってるだけで危ないってこと…？

IoT機器で起こる代表的な被害

「IoT」とは、インターネットにつながり、離れた場所から操作したりデータを送受信したりできる機器のことです。

会社では、防犯カメラ、スマートロック、工場設備、倉庫の温度センサーなどが該当します。

攻撃方法の名前よりも、会社で何が起こるのかを把握することが大切です。

ネットワークカメラでは映像や音声を見られる

ネットワークカメラが乗っ取られると、オフィス内の映像や会議内容を第三者に見られたり、カメラの向きや設定を遠隔から変更されたりするおそれがあります。

弱いパスワードや初期設定の認証情報、使っていないアカウントが残っている場合は注意が必要です。

乗っ取られた機器が、別のWebサイトやシステムへの攻撃に悪用されることもあります。

DDoS攻撃などへ悪用された場合の影響は、DDoS攻撃の仕組みと対策で確認できます。

工場設備では生産や業務が止まる

工場設備や制御システムの管理機能へ不正アクセスされると、設備を停止させられる可能性があります。

生産や業務が止まれば、会社の事業そのものへ影響が及びかねません。

スマートロックでは施設への侵入につながる

スマートロックの遠隔操作機能などを悪用されると、離れた場所から解錠され、施設への不正侵入につながる可能性があります。

防犯カメラや設備が乗っ取られれば、自社が被害を受けるだけでなく、他社への攻撃に機器を利用されるおそれもあります。

経営者がまず確認したいIoT機器の管理状況

経営者が細かな設定を自分で変更する必要はありません。

まずは、管理責任と相談先が決まっているかを確認します。

型番や更新日を細かく記録する前に、管理者が分からない機器をなくすことを優先してください。

機器の一覧を見ても管理者が分からず、不安に感じる場合は、設置時の契約書や請求書から設置業者を確認します。

担当者が退職している場合も、個人の記憶だけに頼らず、現在の責任者を改めて決めておくことが大切です。

保守が続いているか分からない機器は、メーカー名と製品名をもとに、更新や修理を相談できる窓口を確認します。

サポートが終わっている場合は、すぐ交換できるか、交換までどのように使うかを保守会社と相談しましょう。

メーカーや管理会社へ確認する項目

初期パスワードが残っていないか、退職者や設置業者の不要なアカウントがないか、メーカーの更新を適用できているかを確認してもらいます。

遠隔操作やクラウド連携、管理画面の外部公開が業務上必要か、利用者や接続元を制限しているかも確認項目です。

ネットワークカメラでは、映像・音声を見られる人、公開リンク、クラウド保存、録画データの扱いについても管理会社へ確認しましょう。

「設定画面を見ても意味が分からない」と悩む必要はありません。

経営者が確認するのは、設定項目の技術的な意味ではなく、誰が安全性を確認し、問題があったときに誰が対応するかです。

管理会社へは、初期設定が残っていないか、現在使っている人だけがログインできるか、更新を適用できているかを尋ねます。

回答内容と確認日を残しておけば、次に担当者や業者が変わったときも状況を引き継ぎやすくなります。

セキュリティー診断さん

うわ、うちのデバイス、パスワードが初期設定のままかもしれない！ 今すぐ確認しないと！

設定変更や停止は独断で行わない

初期設定や不要な機能が見つかっても、工場設備や入退室管理など、停止すると業務や安全へ影響する機器を独断で止めてはいけません。

必要か判断できない通信や遠隔操作は、メーカー、設置業者、保守会社へ確認し、事業への影響と作業手順を確かめてから対応します。

たとえば、防犯カメラの遠隔閲覧を止めると警備会社が映像を確認できなくなる場合があります。

工場設備の通信を止めると、生産状況の監視や保守ができなくなる場合もあります。

このため、問題がありそうに見えても、利用部門と担当会社へ影響を確認してから判断します。

更新できない機器やサポートが終了した機器も、すぐ設定を変えるのではなく、交換までの管理方法を担当会社と相談してください。

異常が疑われるときも責任者へ連絡する

身に覚えのないログインや設定変更、操作していないカメラの向き、映像・録画データの欠落、普段とは違う通信が見つかった場合は、侵害の可能性があります。

異常を見つけても、すぐ初期化すると調査に必要な情報まで消えるおそれがあります。

まず発見時刻、管理画面、表示された内容などの記録を残し、それ以上の操作を控えて、決めておいた責任者へ連絡してください。

責任者からメーカーや保守会社、必要に応じてセキュリティの専門家へ相談します。

慌てて設定を次々に変えると、何が原因だったのか分からなくなることがあります。

心配なときほど、発見した人が一人で抱え込まず、決められた連絡先へ早く伝えることが大切です。

通信遮断や認証情報の変更も、誰でも行う固定手順にはせず、業務や安全への影響を判断できる担当者が進めます。

IoT機器本体と公開管理画面では確認先が違う

IoT機器に関する確認は、対象によって相談先が異なります。

『セキュリティー診断さん』が確認するのは、外部からアクセスできるWebサイトやWebアプリなどです。

IoT機器本体や社内LANの点検は、メーカーや保守会社へ相談します。

この違いを先に整理すると、IoT機器全体を一つの診断へ任せるのではなく、問題のある場所に合った専門家を選べます。

機器の更新方法や社内ネットワークの分け方は、機器と設置環境を把握している会社へ確認します。

公開管理画面については、インターネット側からアクセスできるWebシステムとして、外部から悪用される弱点がないかを確認します。

確認先を分けることで、「どこへ相談すればよいか分からない」という迷いを減らし、それぞれの担当会社へ具体的に依頼できます。

公開管理画面をWeb診断したいケース

次のような場合は、IoT機器につながる公開管理画面や管理Webシステムの脆弱性診断を検討できます。

• 管理画面へ社外からログインできる
• 映像や設備情報をWeb画面で確認している
• 複数拠点の機器をクラウド上の管理画面で操作している
• 制作会社や開発会社が独自の管理Webシステムを構築した
• 管理画面や外部公開APIを改修した
• 誰が公開範囲を確認しているか分からない

公開管理画面に弱点があると、映像閲覧や不正操作の入口になる可能性があります。

診断を依頼する前には、社外から使っている管理画面のURL、ログインの有無、映像閲覧や設備操作などの重要な機能を整理します。

技術的な診断方法を経営者が選ぶ必要はありません。

会社の業務にとって重要な画面と、最近変更した機能を伝えることが大切です。

診断で問題が見つかった場合は、結果を社内だけで抱えず、管理Webシステムを担当する制作会社や開発会社へ共有します。

経営者は技術的な修正方法を書くのではなく、誰が修正し、修正後に確認できたかを把握します。

『セキュリティー診断さん』で公開管理画面や管理Webシステムを確認し、結果を制作会社・開発会社へ渡せば、修正すべき画面や機能を相談しやすくなります。

IoT環境が変わったら管理状況も見直す

以前に確認していても、機器や管理方法が変われば、その結果だけでは現在の状態を判断できません。

機器を追加したとき、設置・保守会社が変わったとき、管理画面を改修したとき、遠隔操作の方法を追加・変更したときは、管理者、保守状況、外部接続を改めて確認します。

公開管理画面を改修した場合は、『セキュリティー診断さん』で外部から悪用される弱点がないか再確認できます。

セキュリティー診断さん

一回チェックしただけじゃダメなんだな…。 新しい病気が流行るみたいに、攻撃の方法も変わっていくもんね。 定期的に見てもらうのが一番安心か。

まとめ：機器本体と公開管理画面を分けて確認する

IoT機器本体やファームウェア、社内LANは、メーカー、設置業者、保守会社と管理します。

経営者は、機器ごとの管理者、保守状況、外部接続、異常時の連絡先を決めておきましょう。

一方、社外から利用できる公開管理画面や管理Webシステムは、Web診断で外部から悪用される弱点がないか確認できます。

診断結果は制作会社・開発会社へ渡し、修正相談と対応状況の確認に活用してください。

セキュリティー診断さん

ヨシ！ 社外から使っている管理画面に弱点がないか、専門的に確認してもらおう！ 結果を制作会社へ渡せば、修正の相談もしやすいね(๑•̀ㅂ•́)و✧