ファジングツールbeSTORM

各国のIoT製品セキュリティ確保のための取り組み：欧州

2022年9月、欧州委員会はサイバーレジリエンス法（Cyber Resilience Act: CRA）を法案として提出し、2025年中の適用を目指して審議が行われています。この法律は、サイバーセキュリティ規則を強化し、より安全なデジタル製品が市場に流通されることを目的としています。

連載｜fTPMで考える、IoTデバイスを長く守るためのセキュリティ基盤設計 第4回 ライフサイクル管理とSEC-TPM Service

3つの課題の最後が「ライフサイクル全体を網羅する運用設計の困難さ」です。セキュリティ対策の対象は、設計による技術実装だけでなく、製造・運用・廃棄といった人が介在するプロセスも考慮が必要です。

連載｜fTPMで考える、IoTデバイスを長く守るためのセキュリティ基盤設計 第3回 TCG TPM 2.0仕様への準拠

3つの課題のうち、2つ目が「適切なプロトコル実装の困難さ」です。暗号処理や鍵管理を独自に実装すると、予期しない脆弱性が混入するリスクがあります。

連載｜fTPMで考える、IoTデバイスを長く守るためのセキュリティ基盤設計 第2回 ハードウェアによるドメイン分離

セキュリティを担保するための3つの課題のうち、最も根本的な課題である「ハードウェア的な隔離の欠如」について取り上げます。

連載｜fTPMで考える、IoTデバイスを長く守るためのセキュリティ基盤設計 第1回 SEC-TPMとは何か

ユーザーが安心して製品を利用できるよう、デバイスメーカーは製品企画・開発の段階からセキュリティを基本品質として担保することが求められます。これは、欧州サイバーレジリエンス法（CRA）などの法規制や各種セキュリティ標準からの要請でもあります。

「機械指令➡機械規則」時代の製造業が直面する変化と対応ポイント

機械類が遵守すべき健康・安全の要件を定めた「機械指令（2006/42/EC）」は、2027年1月20日には「機械規則（EU 2023/1230）」 によって全面的に置き換えられます。

連載｜4ステップで実現するIoTデバイスセキュリティ 第5回 サードパーティコードの評価

IoT開発では、外部委託やオープンソース、商用ソフトウェアの利用が増加しています。しかし、品質やセキュリティが不明なコードを組み込むことは重大なリスクです。最終回では、サードパーティコードの評価手法と、静的解析・バイナリ解析の活用方法を紹介します。

連載｜4ステップで実現するIoTデバイスセキュリティ 第4回 セキュリティ向上のための自動化ソフトウェア開発ツール

IoTデバイスのセキュリティを確保するには、開発ライフサイクル全体での効率的な対応が求められます。その鍵となるのが、自動化ソフトウェア開発ツールの活用です。今回は、ALM、DAST、SASTといった主要ツールの特徴と、セキュリティ・ファースト設計における役割を解説します。

日本の製造業者に求められるグローバル対応 ―JC-STARと英国PSTI法の相互承認がもたらすセキュリティ強化のチャンス

2025年11月、日本のJC-STAR制度と英国のPSTI法が技術要件の同等性を認め、JC-STARとPSTIの相互承認に合意しました。この制度連携により、JC-STARラベルを取得すれば英国市場でもセキュリティ基準を満たしていると認められるようになります。

連載｜4ステップで実現するIoTデバイスセキュリティ 第3回 脅威分析とアセスメント

IoTデバイスは複雑な接続環境に置かれ、攻撃対象となる領域も広がっています。セキュリティ・ファースト設計を実現するためには、脅威分析とアセスメントを通じて潜在的なリスクを把握し、優先順位を付けることが不可欠です。今回は、その具体的な手法と評価基準を紹介します。

連載｜4ステップで実現するIoTデバイスセキュリティ 第2回 セキュリティ・ファースト設計

ネットワーク接続が必須となった現代のIoTデバイスでは、開発ライフサイクルの初期段階からセキュリティを組み込むことが不可欠です。今回は、「セキュリティ・ファースト」設計思想をソフトウェア開発プロセスにどのように適用するかを詳しく解説します。

連載｜4ステップで実現するIoTデバイスセキュリティ 第1回 IoTデバイスのセキュリティを向上させる4ステップとは

IoTの進化は、私たちの生活や産業に革新をもたらす一方で、セキュリティの課題を急拡大させており、従来の開発手法だけでは安全性を確保することが困難です。本連載では、IoTデバイスのセキュリティを強化するための実践的なアプローチを、複数回にわたり解説します。今回は、現状の課題と、それを克服するための4つの基本ステップを紹介します。

物流と産業の安全性を守る：ファジングという選択肢

物流や産業の分野では、デジタルピッキング、AGV（無人搬送車）、自動倉庫、配送管理システムなど、ソフトウェアによる制御が当たり前になりました。しかし、こうしたシステムが「想定外の入力」や「異常な通信」に直面したとき、どれだけ安全かつ安定して動作できるでしょうか？ この問いに対する一つの答えが「ファジング」です。

静的解析による並行性エラーの検出

数十年にわたる微細化技術の進歩により向上してきたプロセッサ性能は限界に達し、並列処理による性能向上が主流に。難解な並行プログラミングの落とし穴と、静的解析ツール CodeSonar によるエラー検出手法を解説。

産業用ロボット安全規格の進化とセキュリティ：​ISO 10218シリーズ改訂の本質を読み解く

2025年2月、産業用ロボットの安全規格の改訂版「ISO 10218-1:2025」および「ISO 10218-2:2025」がリリースされました。これば、産業用ロボット製造業者にとっても極めて重要な転換点となっています。

静的解析の活用で汚染データから組込みアプリケーションを保護

組込みシステムへの攻撃は増加しており、敵対的ユーザーが入力データを通じて脆弱性を悪用します。これを防ぐには入力の妥当性を検証する必要がありますが、手作業での確認は困難です。本稿では、危険なデータの流れを特定する静的解析手法「テイント解析」について解説します。

RED-DAとは？2025年8月に何が義務化される？

RED-DAは、欧州において無線機器のセキュリティを強化と消費者のプライバシーと個人情報を保護するために導入された、RED（Radio Equipment Directive：無線機器指令）のサイバーセキュリティ要件を実行するための委任法令です。

印刷環境のセキュリティ強化：複合機（MFP）の脆弱性とその対策

MFP（Multifunction Printer）は、その便利さの背後には深刻なセキュリティリスクが潜んでいます。サイバー攻撃者は、MFPの脆弱性を利用してオフィスのネットワーク全体を危険にさらします。本コラムでは、MFPの具体的な脆弱性と対策、セキュリティリスクについて説明します。

各国のIoT製品セキュリティ確保のための取り組み：米国 ―U.S. Cyber Trust Mark―

2023年8月、FCC（米連邦通信委員会）は、IoT製品のサイバーセキュリティラベリングプログラム「U.S. Cyber Trust Mark」を2024年後半に運用開始すると公表しました。これは、米国連邦政府の支援と大手小売業者の参入による市場競争を通じて、IoT製品のセキュリティ水準を向上させるための取り組みです。

各国のIoT製品セキュリティ確保のための取り組み：シンガポール ―サイバーセキュリティラベリングスキーム（CLS）

シンガポールでは、シンガポールサイバーセキュリティ庁（CSA）がアジア太平洋地域で他国に先駆けてIoT製品のセキュリティレベル向上に取り組み、2020年にサイバーセキュリティラベリングスキーム（CLS）を導入しました。

太陽光発電と蓄電池システムの脆弱性：安全なエネルギーのためのセキュリティ対策

各国のIoT製品セキュリティ確保のための取り組み：日本

現代社会において、サイバーセキュリティは個人のプライバシー保護から国家の安全保障にいたるまで、幅広い分野で重要な課題となっています。このセキュリティ関連コラムでは、これまで米国、欧州、英国の取り組みについて紹介してきましたが、今回は、日本の状況について紹介します。

もう待てない、サイバーレジリエンス法対策

サイバーレジリエンス法（CRA：Cyber Resilience Act）は、2022年9月に欧州委員会にて草案が提出され、当初は2023年後半の発行、2025年後半の適用を目指していましたが、2024年8月現在、施行に至っていません。この法律に違反した企業は多額のペナルティを課されるなどで、大きな反響がありました。

各国のIoT製品セキュリティ確保のための取り組み： 英国

PSTI法とは、英国におけるIoT製品のセキュリティ制度で、2023年9月14日に法律として成立し、2024年4月29日に発行が予定されている、製品のセキュリティと通信インフラを強化するための法案です。対象製品のサプライチェーン内の企業は本法案への準拠が求められます。

ソフトウェアテストの新常識：ファジング入門

IoT機器の開発現場では、セキュリティ脆弱性をゼロにはできないという認識に基づいて、実際のサイバー攻撃を想定したテストが不可欠であり、そのニーズに応え得るものとしてファジングが注目されています。またファジングは、各種ガイドラインや規格の要件の一つとして明記されることも増えています。

JIS T 81001-5-1に準拠した医療機器のセキュリティ対策

2023年4月1日、厚生労働省告示第67号が通知され、医療機器の基本要件基準に「サイバーセキュリティを確保するための要件」が追加されました。2024年3月31日までの1年間を移行期間としていますが、移行期間終了後に機器の承認を申請する場合、機器メーカーは新規制への適合性を証明する必要があります。

サプライチェーン攻撃と脆弱性テスト

近年、急増するサイバー攻撃によって政府機関や医療機関などのさまざまな分野で被害が拡大しており、特にIoT機器はその主要な攻撃対象になっています。また、信頼関係を悪用するサプライチェーン攻撃も増加しており、その対策には広範なアプローチが必要です。

セキュリティ規格について

セキュリティ規格・ガイドラインは膨大な数に上り、 ファジングが含まれるものだけを抜き出しても相当数になります。事業や情報資産を守るべく整備されているガイドラインも、加速する環境の変化に応じて改訂され続けているため、ただでさえ膨大な数の規格・ガイドラインに加え、それぞれのアップデートに追随する必要があります。

ファジングとは？

実績のあるIoT機器のセキュリティ対策として知られているファジング（Fuzzing）ですが、そもそもファジングとは何かご存知ですか？

脆弱性検証―何をどこまで実施すれば良い？

IoT機器に十分なセキュリティ対策が必要であることは常識となりつつあるものの、「IoTセキュリティ検証をどこまでやればよいのか分からない」という現場の声も多く聞かれます。IoT機器のセキュリティ検証どこから手を付けるべきか、そしてどこまでやるべきかについて、技術面と運用面に分けて考えてみます。

HEMS機器の脆弱性検証

HEMS機器の通信に使用されるECHONET Lite規格は、センサー類、白物家電、設備系機器など省リソースの機器を IoT 化し、エネルギーマネジメントやリモートメンテナンスなどのサービスを実現するための通信仕様です。家庭内だけでなく、中小ビルや店舗向けの業務用機器にまで拡がってきています。

ファジングの限界

ファジングは、ブルートフォース攻撃（総当たり攻撃）を主とする検査手法です。大変重要、かつ有効な検査手法である一方、個々のテストケースの作成とそれらの実施には、多大な時間と労力が必要とされます。このため、非常に短い期間での開発を要求される昨今のプロジェクトでは、できる限り効率的なアプローチが求められます。