ファジング・​ペネトレーション​テストPenzzer

JC-STAR対応の実務

「IoT製品のセキュリティ対策、どう判断すればいい？」という課題を解決する共通の物差し、JC-STAR制度とは？サプライチェーン管理が求められる中、製造業が直面する法的・制度的な要求と、市場参入のために不可欠なセキュリティ適合性評価の最新動向を紐解きます。

各国のIoT製品セキュリティ確保のための取り組み：欧州

2022年9月、欧州委員会はサイバーレジリエンス法（Cyber Resilience Act: CRA）を法案として提出し、2025年中の適用を目指して審議が行われています。この法律は、サイバーセキュリティ規則を強化し、より安全なデジタル製品が市場に流通されることを目的としています。

「機械指令➡機械規則」時代の製造業が直面する変化と対応ポイント

機械類が遵守すべき健康・安全の要件を定めた「機械指令（2006/42/EC）」は、2027年1月20日には「機械規則（EU 2023/1230）」 によって全面的に置き換えられます。

日本の製造業者に求められるグローバル対応 ―JC-STARと英国PSTI法の相互承認がもたらすセキュリティ強化のチャンス

2025年11月、日本のJC-STAR制度と英国のPSTI法が技術要件の同等性を認め、JC-STARとPSTIの相互承認に合意しました。この制度連携により、JC-STARラベルを取得すれば英国市場でもセキュリティ基準を満たしていると認められるようになります。

物流と産業の安全性を守る：ファジングという選択肢

物流や産業の分野では、デジタルピッキング、AGV（無人搬送車）、自動倉庫、配送管理システムなど、ソフトウェアによる制御が当たり前になりました。しかし、こうしたシステムが「想定外の入力」や「異常な通信」に直面したとき、どれだけ安全かつ安定して動作できるでしょうか？ この問いに対する一つの答えが「ファジング」です。

産業用ロボット安全規格の進化とセキュリティ：​ISO 10218シリーズ改訂の本質を読み解く

2025年2月、産業用ロボットの安全規格の改訂版「ISO 10218-1:2025」および「ISO 10218-2:2025」がリリースされました。これば、産業用ロボット製造業者にとっても極めて重要な転換点となっています。

RED-DAとは？2025年8月に何が義務化される？

RED-DAは、欧州において無線機器のセキュリティを強化と消費者のプライバシーと個人情報を保護するために導入された、RED（Radio Equipment Directive：無線機器指令）のサイバーセキュリティ要件を実行するための委任法令です。

印刷環境のセキュリティ強化：複合機（MFP）の脆弱性とその対策

MFP（Multifunction Printer）は、その便利さの背後には深刻なセキュリティリスクが潜んでいます。サイバー攻撃者は、MFPの脆弱性を利用してオフィスのネットワーク全体を危険にさらします。本コラムでは、MFPの具体的な脆弱性と対策、セキュリティリスクについて説明します。

各国のIoT製品セキュリティ確保のための取り組み：米国 ―U.S. Cyber Trust Mark―

2023年8月、FCC（米連邦通信委員会）は、IoT製品のサイバーセキュリティラベリングプログラム「U.S. Cyber Trust Mark」を2024年後半に運用開始すると公表しました。これは、米国連邦政府の支援と大手小売業者の参入による市場競争を通じて、IoT製品のセキュリティ水準を向上させるための取り組みです。

各国のIoT製品セキュリティ確保のための取り組み：シンガポール ―サイバーセキュリティラベリングスキーム（CLS）

シンガポールでは、シンガポールサイバーセキュリティ庁（CSA）がアジア太平洋地域で他国に先駆けてIoT製品のセキュリティレベル向上に取り組み、2020年にサイバーセキュリティラベリングスキーム（CLS）を導入しました。

太陽光発電と蓄電池システムの脆弱性：安全なエネルギーのためのセキュリティ対策

各国のIoT製品セキュリティ確保のための取り組み：日本

現代社会において、サイバーセキュリティは個人のプライバシー保護から国家の安全保障にいたるまで、幅広い分野で重要な課題となっています。このセキュリティ関連コラムでは、これまで米国、欧州、英国の取り組みについて紹介してきましたが、今回は、日本の状況について紹介します。

もう待てない、サイバーレジリエンス法対策

サイバーレジリエンス法（CRA：Cyber Resilience Act）は、2022年9月に欧州委員会にて草案が提出され、当初は2023年後半の発行、2025年後半の適用を目指していましたが、2024年8月現在、施行に至っていません。この法律に違反した企業は多額のペナルティを課されるなどで、大きな反響がありました。

各国のIoT製品セキュリティ確保のための取り組み： 英国

PSTI法とは、英国におけるIoT製品のセキュリティ制度で、2023年9月14日に法律として成立し、2024年4月29日に発行が予定されている、製品のセキュリティと通信インフラを強化するための法案です。対象製品のサプライチェーン内の企業は本法案への準拠が求められます。

ソフトウェアテストの新常識：ファジング入門

IoT機器の開発現場では、セキュリティ脆弱性をゼロにはできないという認識に基づいて、実際のサイバー攻撃を想定したテストが不可欠であり、そのニーズに応え得るものとしてファジングが注目されています。またファジングは、各種ガイドラインや規格の要件の一つとして明記されることも増えています。

JIS T 81001-5-1に準拠した医療機器のセキュリティ対策

2023年4月1日、厚生労働省告示第67号が通知され、医療機器の基本要件基準に「サイバーセキュリティを確保するための要件」が追加されました。2024年3月31日までの1年間を移行期間としていますが、移行期間終了後に機器の承認を申請する場合、機器メーカーは新規制への適合性を証明する必要があります。

サプライチェーン攻撃と脆弱性テスト

近年、急増するサイバー攻撃によって政府機関や医療機関などのさまざまな分野で被害が拡大しており、特にIoT機器はその主要な攻撃対象になっています。また、信頼関係を悪用するサプライチェーン攻撃も増加しており、その対策には広範なアプローチが必要です。

セキュリティ規格について

セキュリティ規格・ガイドラインは膨大な数に上り、 ファジングが含まれるものだけを抜き出しても相当数になります。事業や情報資産を守るべく整備されているガイドラインも、加速する環境の変化に応じて改訂され続けているため、ただでさえ膨大な数の規格・ガイドラインに加え、それぞれのアップデートに追随する必要があります。

ファジングとは？

実績のあるIoT機器のセキュリティ対策として知られているファジング（Fuzzing）ですが、そもそもファジングとは何かご存知ですか？

脆弱性検証―何をどこまで実施すれば良い？

IoT機器に十分なセキュリティ対策が必要であることは常識となりつつあるものの、「IoTセキュリティ検証をどこまでやればよいのか分からない」という現場の声も多く聞かれます。IoT機器のセキュリティ検証どこから手を付けるべきか、そしてどこまでやるべきかについて、技術面と運用面に分けて考えてみます。

HEMS機器の脆弱性検証

HEMS機器の通信に使用されるECHONET Lite規格は、センサー類、白物家電、設備系機器など省リソースの機器を IoT 化し、エネルギーマネジメントやリモートメンテナンスなどのサービスを実現するための通信仕様です。家庭内だけでなく、中小ビルや店舗向けの業務用機器にまで拡がってきています。

ファジングの限界

ファジングは、ブルートフォース攻撃（総当たり攻撃）を主とする検査手法です。大変重要、かつ有効な検査手法である一方、個々のテストケースの作成とそれらの実施には、多大な時間と労力が必要とされます。このため、非常に短い期間での開発を要求される昨今のプロジェクトでは、できる限り効率的なアプローチが求められます。