IoT・複合機・監視カメラ — 「忘れられたデバイス」の外向き通信を見落とさない

社内ネットワークのセキュリティというと、PCとサーバの対策が中心になりがちです。しかしオフィスのネットワークには、それ以外にも多くの機器がつながっています。複合機、監視カメラ、入退室管理システム、空調コントローラ、デジタルサイネージ——。これらは導入時に設置されたきり、誰も通信を見ていないことが珍しくありません。この記事では、こうした「忘れられたデバイス」の外向き通信をどう扱うかを整理します。

オフィスは「誰も管理していない通信主体」だらけ

一度、自社のネットワークにつながっている機器を思い浮かべてみてください。

• 複合機・プリンタ — スキャンしたデータを扱い、クラウド連携機能を持つものも多い
• 監視カメラ・レコーダー — 映像という機微なデータを扱い、遠隔閲覧のためのクラウド接続機能を持つ
• 入退室管理・勤怠端末 — 従業員の行動記録を扱う
• 空調・照明のコントローラ、サイネージ、会議室予約パネル — 存在自体が忘れられがち

これらはすべて、ネットワーク上の独立した通信主体です。多くはインターネットへの経路を持ち、実際に外部と通信しています。問題は、その通信の中身ではなく、「何がどこへ繋いでいるか」を誰も把握していないという状態そのものです。

なぜ盲点になるのか

PCやサーバと比べて、これらのデバイスには構造的な弱点があります。

1. 端末対策ソフトを入れられない — EDRやウイルス対策はPC・サーバ向けであり、組込み機器にはインストールできません。ホスト側の防御層が最初から存在しないのです
2. 更新されない — ファームウェアの更新は手間がかかり、メーカーのサポートが終了していることもあります。既知の脆弱性が放置されやすい領域です
3. 設置したまま忘れられる — 導入の主管が情シスではなく総務や設備部門であることも多く、資産管理台帳に載っていない機器すらあります

実際、放置されたネットワーク機器やカメラが侵入の足がかりや踏み台として悪用される事例は繰り返し報告されています。ホスト側で守れないのであれば、残された防御層はネットワーク側です。

これらのデバイスは本来「行き先が固定」のはず

ここで発想を変えると、忘れられたデバイスには防御側に有利な性質があります。PCと違って人間が自由にWebを閲覧するわけではないため、正常時の接続先はごく少数で安定しているはずなのです。メーカーのクラウドサービス、ファームウェア更新サーバ、NTPサーバ——その程度です。

接続先が安定したホストは、許可リスト型の制御（許可した宛先以外は通さない）と相性が良い——これはAIエージェント専用ホストの egress 制御とまったく同じ考え方です（AIエージェントの egress 制御入門）。正常な接続先を許可リストに載せてしまえば、それ以外への接続試行は「乗っ取り・踏み台化・想定外の機能」のいずれかを示す強いシグナルになります。

いきなり絞らない — まず観測から

ただし、いきなり遮断から始めるのは危険です。複合機のクラウド印刷やカメラの遠隔閲覧など、業務が依存している通信を知らずに止めてしまうリスクがあるからです。

現実的な手順は棚卸しからです。まず観測モードで「どの機器が・どこへ・どれくらい」通信しているかを記録し、機器ごとの正常な接続先の一覧を作ります。次に「遮断するならこの通信が止まる」という would-block レビューを挟んでから、段階的に制御へ移行します（いきなり遮断しない段階的導入）。この棚卸しの過程で「台帳に載っていない機器」「想定外のクラウドへ繋いでいる機器」が見つかること自体が、最初の成果になります。

正直な限界

• デバイス自体の脆弱性は、通信制御では直りません。ファームウェア更新・サポート切れ機器の交換・初期パスワードの変更といった機器側の管理は別途必要です
• 許可済みの正規宛先（メーカーのクラウド等）が悪用された場合、宛先の制御では捕捉できません
• ネットワーク側の制御は、機器の資産管理・ログの保全と組み合わせてはじめて機能します。「置けばすべての不審通信が見つかる」類のものではありません

まとめ

• オフィスには複合機・カメラ・入退室管理など、誰も通信を管理していないデバイスが多数つながっている
• 端末対策ソフトを入れられず、更新されず、忘れられる——ホスト側の防御層が構造的に欠けている
• 一方で正常時の接続先は固定的なはず——許可リスト型の制御と相性が良い
• いきなり遮断せず、観測による棚卸し→would-block レビュー→段階的な制御の順で進める
• デバイス自体の脆弱性は通信制御では直らない。資産管理・機器側の管理との併用が前提

Tate（盾）は、既存のネットワーク構成を変えずに回線へ挟むだけで、こうしたデバイスの外向き通信の観測と制御を追加するアプライアンスです。まずは観測から始める導入手順は導入の流れをご覧ください。