ビル設備（BAS）のIoT化とサイバーリスク｜空調・照明・入退室管理の注意点
contech「空調や照明がハッキングされる」と聞くと、大げさに感じるかもしれません。
しかし、ビル管理の効率化が進む中で、こうした設備がネットワークにつながることは、もはや珍しいことではなくなっています。
この記事では、BAS（ビルオートメーションシステム）のIoT化によって生じるリスクと、ビル管理者・オーナーが押さえておくべき注意点を解説します。
BAS（ビルオートメーションシステム）とは？
BASとは、空調・照明・入退室管理・エレベーターなど、ビル内のさまざまな設備を一元的に監視・制御するシステムのことです。
かつては建物ごとに独立した機械式・電気式の設備として管理されていましたが、近年は省エネや運用効率の向上を目的に、ネットワークを介して一括管理する形が主流になりつつあります。
- 空調：各フロアの温度・稼働状況を一元管理し、自動で調整する
- 照明：人感センサーと連携し、無人フロアの照明を自動で消灯する
- 入退室管理：社員証・ICカードと連動し、特定エリアへの入退室を制御する
- エレベーター：稼働状況の監視、遠隔での保守対応
便利な仕組みである一方、これらの設備がネットワークにつながっているということは、サイバー攻撃の対象になり得るということでもあります。
ネットワーク化が進むことで生じるリスク
BASがネットワーク化されることで、具体的にどのようなリスクが生じるのでしょうか？
リスク1：「元々つながっていなかった機器」の脆弱性
空調機器やエレベーターの制御盤といった設備は、もともとインターネットに接続されることを想定して作られていないものが多く、パソコンのようなセキュリティ対策（ウイルス対策ソフト、定期的なアップデートなど）が組み込まれていないケースが少なくありません。
「後からネットにつないだ」機器ほど、この傾向が強くなります。
リスク2：入退室管理システムへの不正アクセス
入退室管理システムが乗っ取られると、本来入室が許可されていない人物がドアを開けられてしまう可能性があります。
物理的なセキュリティ（施錠管理）が、サイバーセキュリティの弱点によって崩される、という構図です。
リスク3：業務妨害としての悪用
空調や照明といった設備が不正に操作されると、直接的な情報漏えいがなくても、オフィスやテナントの業務に支障をきたす「妨害行為」として悪用される可能性があります。
真夏に空調を止められる、といった事態を想像すると、その影響の大きさが分かります。
リスク4：他システムへの侵入経路になる
BAS自体を乗っ取ることが目的ではなく、BASを「踏み台」にして、ビル内の他のネットワーク（オフィスのシステムなど）へ侵入するための足がかりとして悪用されるケースもあります。
同じくIoT設備である監視カメラなどの導入に関する注意点などは、こちらで詳しく解説しています。
本当に安全なの？スマートロック・監視カメラの導入前後で見直すべきセキュリティ設定
スマートロック・監視カメラがサイバー攻撃の標的になる理由と、初期パスワード放置や外部公開設定などよくある脆弱性のパターンを解説。導入時・運用中それぞれで確認す…
建設・不動産セキュリティ顧問 外部保守業者のリモートアクセス管理
BASは専門性が高いため、多くの場合、設備業者による外部からの保守・監視（リモートメンテナンス）が行われています。
この仕組み自体は効率的ですが、管理が不十分だと大きなリスクになります。
よくある管理不備
- 保守業者用のアクセスIDが、複数の現場・複数の担当者で共有されている
- アクセスログ（いつ、誰が、何にアクセスしたか）が記録・確認されていない
- 契約が終了した業者のアクセス権限が削除されずに残っている
- リモートアクセスの経路そのものが、常時「開いた」状態になっている
見直しのポイント
- アクセスは必要な時だけ有効化する運用にする（常時オープンにしない）
- 誰が、いつ、何の目的でアクセスしたかのログを残す
- 契約終了時には、アクセス権限を確実に削除する手順を決めておく
設備業者と連携が必要なビル管理に関する注意点などは、こちらで詳しく解説しています。
これは知っておくべき！マンション・ビル管理会社の個人情報管理の落とし穴
マンション・ビル管理会社が扱う個人情報の実態と、共有フォルダの無制限アクセスや退去者情報の放置など、よくある管理不備のパターンを解説。優先度別の対応策と、委託…
セキュリティ診断の進め方
自社だけでBASのセキュリティ状況を評価するのは難しいため、段階的なアプローチをおすすめします。
- 現状把握
どんな設備が、どんなネットワークにつながっているかを洗い出す - アクセス経路の確認
外部からアクセスできる経路(保守業者用など)を特定する - リスクの優先順位付け
入退室管理など、影響の大きい設備から優先的に確認する - 改善策の実施
パスワード変更、アクセス権限の整理、必要に応じたネットワーク分離など - 定期的な再評価
設備の入れ替えや業者の変更があるたびに見直す
いきなり全設備を対象にするのではなく、影響の大きい設備から優先的に着手するのが現実的です。
設備業者との契約で確認すべき点
BASの保守を委託する設備業者との契約においても、確認しておくべき点があります。
- リモートアクセスの範囲
業者がアクセスできる範囲を、必要最小限に限定できているか？ - アクセスログの提供
業者側のアクセス履歴を、こちらから確認できる仕組みがあるか？ - セキュリティインシデント発生時の責任分担
万が一の際、どちらにどこまでの責任があるかの取り決め - 契約終了時のアクセス権限削除の手順
契約終了とともに確実にアクセスを遮断する取り決めがあるか？
こうした条項は、既存の保守契約のひな形には含まれていないことが多いため、契約更新のタイミングで見直すことをおすすめします。
契約書自体の作成・見直しは行政書士業務にあたります。
条文化にあたっては専門家への相談が有効です。
まとめ
空調・照明・入退室管理といったビル設備は、ネットワーク化が進むことで利便性が向上する一方、これまで想定されていなかったサイバーリスクにさらされるようになっています。
特に、外部の保守業者によるリモートアクセスの管理は、見落とされがちながら重要なポイントです。
まずは、自社ビルのBASがどんな設備・どんなネットワーク経路を持っているかを把握するところから始めてみてください。
影響の大きい設備から優先的に対策することで、無理なくリスクを下げることができます。
ビル設備（BAS/IoT）のセキュリティ診断について、無料相談を承っています。
現状把握から、設備業者との契約見直しまで、実務に即した形でサポートします。
初回無料相談をご利用ください03-6903-0534営業時間 10:00-18:00 [ 土・日・祝日除く ]
お問い合わせはこちら
