― 実機・ファームウェア・物理的リスクまで含めたIoTセキュリティ診断 ―
株式会社SynX（代表取締役：西 潤一郎、本社：東京都千代田区、主要株主：ポールトゥウィンホールディングス株式会社（100％）、東京証券取引所プライム市場上場（証券コード：3657）、以下 SynX）は、JGC Digital株式会社（本社：神奈川県横浜市）が運営する衣類回収サービス「するーぷ」のIoTデバイスを対象としたIoTペネトレーションテストの導入事例を公開しました。
背景：IoTデバイスにはソフトウェア・物理面の双方を考慮した診断が重要
IoTデバイスは、サーバやWebアプリケーションとは異なるリスクを抱えています。ネットワーク経由の攻撃だけでなく、デバイス本体が物理的にアクセスされた場合にどのようなリスクがあるかについても評価することが重要です。
近年ではIoT機器を狙ったサイバー攻撃も増加しており、ソフトウェア面だけでなく物理面も含めたセキュリティ対策への関心が高まっています。
取り組み概要
今回の取り組みでは、「するーぷ」で利用されているIoTデバイスを対象に、実機およびファームウェアの診断を実施しました。
診断対象は、世代や仕様の異なる複数のデバイスで構成されており、それぞれの利用環境に応じてオンサイト診断とリモート診断を組み合わせて実施しています。
対象
衣類回収サービス「するーぷ」IoTデバイス
診断内容
・IoTペネトレーションテスト
・物理的リスク診断
実施形式
・オンサイト診断
・リモート診断
特徴１. 実機・ファームウェアを対象としたIoTペネトレーションテスト
IoTデバイスの実機とファームウェアの双方を対象に診断を実施しました。
世代や仕様の異なる複数のデバイスについて、それぞれの利用環境に応じた診断を行っています。
特徴２. 物理的リスクまで含めた評価を実施
物理的リスクについては、以下の観点から評価を実施しました。
・情報漏えいリスク評価
・デバイス本体を物理的に奪取された場合の攻撃可能性調査
・ポート経由での侵入可能性評価
ソフトウェア面だけでは把握しづらいリスクについても確認し、IoTデバイスにおけるリスクを多角的な観点から評価しました。
特徴３. 利用環境に応じた診断体制
診断対象となるデバイスの利用環境に応じて、オンサイト診断とリモート診断を使い分けました。
運用状況に合わせた診断体制により、対象機器ごとの環境に応じたセキュリティ評価を実施しています。
お客様からの評価
JGC Digital株式会社 ご担当者様
ソフトウェア面だけでなくハードウェア・通信環境など物理面も含めて総合的に診断いただきました。単一の要因にとらわれず、多角的な視点で調査を進めていただいたことで、当初想定していなかった課題や改善ポイントを明確にすることができました。
また、調査結果についても分かりやすく整理・報告いただき、今後の対策検討に役立つ具体的な示唆を得ることができました。技術的な知見と丁寧な対応により、安心してプロジェクトを進めることができたと感じています。
今後の展望
IoT機器の活用が広がる中、利用環境やシステム構成に応じたセキュリティ対策の重要性はますます高まっています。
SynXでは、Webアプリケーションやネットワークだけでなく、IoTデバイスを対象としたペネトレーションテストを通じて、お客様のセキュリティ対策を支援しています。
今後も、お客様の要件や運用状況に応じたセキュリティ診断を提供し、安全なシステム運用に貢献してまいります。
詳細情報
本取り組みの詳細は、当社ホームページの事例ページにてご紹介しています。
URL：https://www.synx.co.jp/case/security_02
SynXについて
SynXは、開発・QA・ITインフラ・セキュリティを統合したサービス「SynX One」を提供し、企業のDX推進と事業成長を支援しています。
サイバーセキュリティ分野では、Webアプリケーション診断、ネットワーク診断、クラウド診断、IoTペネトレーションテストなど、お客様の環境や要件に応じたセキュリティサービスを提供しています。
URL：https://www.synx.co.jp
本件に関するお問い合わせ先
株式会社SynX
広報担当
Email：public.relations_desk@synx.co.jp