大手監視カメラベンダーがCISAの製品セキュリティ誓約に署名

監視カメラメーカーのAxis Communicationsは火曜日、同社がサイバーセキュリティ・インフラセキュリティ庁（CISA）の「Secure by Design」誓約に署名したと発表しました。この誓約は、同社が1年以内に製品のデジタル耐性を向上させることを約束するものです。

スウェーデン・ルンドに本拠を置くAxisは、世界最大級の監視カメラベンダーであり、中国以外に拠点を置く数少ない大手ベンダーの一つです。同社は、すでに多くの誓約事項を脆弱性の開示およびパッチ適用プロセス、多要素認証の利用、デフォルトパスワードの排除などを通じて実施していると述べました。

「この誓約を行うことで、私たちはお客様がサイバーセキュリティのベストプラクティスに従い、物理的セキュリティ業界におけるより高い説明責任を推進するための継続的な取り組みを表明します」と、Axisの最高技術責任者ヨハン・ポールソン氏は声明で述べました。サイバーセキュリティはすでに「私たちが提供するものの中核部分です」とポールソン氏は述べています。

AxisがCISAの「Secure by Design」運動に参加したのは、OTセキュリティ企業Clarotyの研究者がAxisカメラに存在する4つの脆弱性を公開してから4か月後のことです。これらの脆弱性により、ハッカーが企業の監視インフラに侵入できる可能性がありました。当時、ClarotyはAxisの「迅速な対応」と「タイムリーな」パッチ適用プロセスを称賛していました。

このニュースはまた、CISAの「Secure by Design」イニシアチブにも弾みをつけています。同イニシアチブは、主要な推進者が4月に同庁を去った後、下火になっていました。

主要な脅威ベクター

セキュリティカメラは、ハッカーにとって被害者の環境を鮮明に映し出す窓を提供すること、そしてしばしば見落とされがちなランサムウェア攻撃の経路となることから、最も狙われるターゲットの一つです。多くの欧米政府や企業は、重大な脆弱性を含む中国製の比較的安価なカメラを使用しており、研究者たちは何万台もの脆弱なカメラがインターネット上に存在することを発見しています。

CISAは2023年に「Secure by Design」キャンペーンを開始し、テクノロジーベンダーに対し、ハッカーの格好の標的となる基本的な欠陥を修正するよう圧力をかけました。米国には接続機器に関する国家的なサイバーセキュリティ規制はありませんが、連邦請負業者にはいくつかの基本的なセキュリティ要件が課されています。CISAの担当者は、「Secure by Design」を規制スキームの自主的な代替手段と位置付けており、評判向上の可能性を利用して、企業がより安全な製品設計・構成を行うよう促しています。

2024年5月の開始以来、数百社が「Secure by Design」誓約に署名していますが、Axisはこの誓約を行った初の大手監視カメラメーカーです。