工場のセンサーや監視カメラ、オフィスのルーターやスマートロックといったIoT機器の運用管理を任され、脆弱性の状況を調べ始めていませんか。2016年のMirai事件のような大規模DDoSに続き、2023年にはセイコーソリューションズ製の通信機器が改ざんされる事案が国内で発生し、IoT機器の脆弱性は「加害者側にもなり得る」経営リスクとして再認識されています。
PCやサーバーであればWSUSやEDRなどの定石が確立していますが、IoT機器はセキュリティソフトが載らず、ファームウェア更新の運用も機器ごとにばらついています。「脆弱性」と言われても、どの穴を、どの順番でふさぐべきかがつかみにくいのが実務担当者の実感ではないでしょうか。
本記事では、IoT機器で狙われる代表的な脆弱性6タイプと、Mirai・国内自治体の監視カメラ改ざん・医療機関のマルウェア感染などの実被害事例を整理します。
あわせて、自社機器の危険度を確認する段階手順、即対応から長期対応までの優先順位、IoTセキュリティガイドライン・NOTICE・JC-STARといった制度の位置づけ、脆弱性診断サービスの選択肢まで一連の判断材料をお届けします。社内共有や検討の下敷きとしてご活用ください。
目次
一括ダウンロードする
IoT機器の脆弱性とは
IoT機器の脆弱性とは、ルーター・ネットワークカメラ・産業用ゲートウェイ・スマートロック・工場の制御機器といった、ネットワークに接続する組み込み機器が抱える、攻撃者に悪用され得る弱さのことです。
PCやサーバーで語られるWebアプリケーションやOSの脆弱性と地続きの部分もあります。ただし、物理機器で工場出荷後10年以上動く前提、画面や管理者が常駐しない前提、セキュリティソフトが動かない前提の3点が重なるため、IoT機器特有の弱さとして扱う必要があります。
総務省・経済産業省・IoT推進コンソーシアムが策定した「IoTセキュリティガイドライン ver 1.0」は、IoTの「特有の性質」として6項目を挙げており、そのうち以下の2点は本記事以降で扱う原因・対策の理解に直結します。
（性質２）IoT機器のライフサイクルが長いこと
自動車の平均使用年数は12〜13年程度と言われていたり、工場の制御機器等の物理的安定使用期間は10年〜20年程度のものが多く存在するなど、IoT機器として想定されるモノには10年以上の長期にわたって使用されるものも多く、構築・接続時に適用したセキュリティ対策が時間の経過とともに危殆化することによって、セキュリティ対策が不十分になった機器がネットワークに接続されつづけることが想定される。（性質３）IoT機器に対する監視が行き届きにくいこと
出典：IoTセキュリティガイドライン ver 1.0（平成28年7月）｜IoT推進コンソーシアム／総務省／経済産業省
IoT機器の多くは、パソコンやスマートフォン等のような画面がないことなどから、人目による監視が行き届きにくいことが想定される。こうした場合、利用者にはIoT機器に問題が発生していることがわかりづらく、管理されていないモノが勝手にネットワークにつながり、マルウェアに感染することなども想定される。
この2つの性質が、後述する「初期パスワードの放置」「ファームウェア更新の欠如」「資産管理から漏れる休眠機器」といった脆弱性の温床につながります。まずは、実際にどのような穴が狙われているのかを、タイプ別に俯瞰します。
IoT機器で狙われる代表的な脆弱性6タイプ
IoT機器の脆弱性は、機器の種類やベンダーを問わず似た構造で発生します。OWASP Foundationが2018年に整理した「OWASP IoT Top 10」（10項目）や、Fortinetが公開する「IoTデバイスの脆弱性とは？」を土台に、実務担当者が「自社機器のどこを見るか」で分類し直すと、次の6タイプに集約できます。
| 具体の穴 | 攻撃で何が起きるか | 代表的な事例 | |
|---|---|---|---|
| パスワード系 | 工場出荷時の初期ID・パスワードのまま運用／推測可能な弱いパスワード／ファームウェアにハードコードされた資格情報（機器出荷時に開発者が埋め込んだままの、利用者が変更できないID・パスワード） | 遠隔から管理画面に侵入され、機器が乗っ取られる／DDoSボットネットに組み込まれる | Mirai（2016年、初期ID／パスワード62種で総当たり）／国内自治体の監視カメラ不正アクセス（2018年、初期パスワードのまま） |
| ファームウェア系 | 更新機構が存在しない、または利用者が更新できない／既知CVEが公表された古いバージョンのまま稼働 | 既知の脆弱性を突かれ、任意コード実行・情報窃取・機器の恒久的な改ざんが発生 | 米Beth Israel医療機関の胎児モニタ感染（2009年、Conficker） |
| 通信・プロトコル系 | 管理通信が暗号化されず平文で流れる／古いプロトコル（Telnet等）を使用／中間者攻撃対策の欠如 | 通信内容の盗聴・改ざん、管理コマンドのなりすまし | 米自動車工場13拠点のワーム感染（2005年、IT／OT境界を越えたワーム） |
| 認証・認可系 | 認証をバイパスして管理画面や設定APIに到達できる／権限昇格が可能／設計上必要な認証が実装されていない | 認証なしで設定変更・データ取得・他機器への横展開が可能に | セイコーソリューションズ製ルーターの改ざん（2023年、CVE-2023-22441＝重要な機能に対する認証の欠如） |
| 管理系 | SSH・Telnet・Web管理画面など不要なポートがインターネット側に開放／リフレクション攻撃（小さな問い合わせに大きな応答を返すサービスを踏み台にした増幅型DDoS）に使えるサービスが有効 | 外部スキャナから発見され、リフレクション攻撃の踏み台や侵入経路として悪用 | Mirai／NOTICE観測対象「リフレクション攻撃の踏み台にされうるIoT機器」 |
| 物理系 | UART・JTAG（組み込み機器の基板上に残るシリアル通信・デバッグ用ポート）などのデバッグポートが露出／筐体を開ければ内部ストレージからファームウェア・鍵を吸い出せる | 分解・持ち帰りにより鍵材料や設定情報が抜き取られ、他の機器の攻撃に利用 | 該当する代表事例なし（セキュリティ研究者による破壊検査で組み込み機器の鍵抜き出し事例が学術的に報告されるレベル） |
※上記は各タイプにおける代表的な穴と攻撃結果の傾向です。個別機器の脆弱性の有無はJVN・NVD等での型番検索により確認してください。
特にパスワード系とファームウェア系は、Mirai以降の主要インシデントで繰り返し登場する組み合わせであり、後述する「自社機器の危険度確認」でも先に優先して塞ぐべき対象になります。土台となった一次分類は次の資料で確認できます。
出典・参考資料（2件）
なぜIoT機器はPC・サーバーより脆弱になりがちなのか
同じ「ネットワークにつながる装置」でも、IoT機器はPCやサーバーと比べて脆弱性が残りやすい構造上の理由があります。実務で「PCの延長として管理しているだけだと危ない」と感じる背景を、4点に整理します。
1. セキュリティソフトを載せられない
IoT機器の多くは、限られたCPU・メモリ・組み込みOSで動作するように設計されています。PC向けのアンチウイルスやEDRといったエージェント型対策は、CPUリソース・メモリ容量・OSの制約から搭載できないケースが大半です。結果として、機器そのものが感染しても検知する仕組みが機器側に存在しない状態になりがちです。
2. 更新の仕組みが弱く、EOL後も稼働する
IoTセキュリティガイドラインが「性質2」で述べているとおり、工場の制御機器や車載機器は10〜20年の使用期間を前提に設計されます。運用開始時点のセキュリティ対策は、時間の経過とともに危殆化しますが、機器そのものが動作している限り現場では動かし続けざるを得ません。メーカー保守終了（EOL）を過ぎた機器にはファームウェア更新が提供されず、既知CVEが公表されても対策が入らないまま残ります。
3. 資産管理から漏れる、監視の目が届かない
「性質3」で示されているように、IoT機器は画面がないもの、電源を入れっぱなしで運用されるものが多く、利用者・管理者から日常的に監視されにくい状態にあります。台帳から漏れた「野良IoT機器」や、部門ごとに独自に導入されて情シスに把握されていない機器が、自社ネットワークに紛れ込むケースも珍しくありません。
SHODANやCensysといった公開デバイス検索エンジンには、世界中でインターネットに露出しているIoT機器が実物として並んでおり、自社機器が意図せず公開されている可能性は決して低くありません。
4. 初期設定・工場出荷時の設定がそのまま運用に持ち込まれやすい
ルーター・複合機・ネットワークカメラなどは、工場出荷時の初期ID・パスワードのまま設置されたり、管理画面がインターネット側にも公開されたまま運用されたりする例がたびたび発生しています。総務省のNOTICEプロジェクトも、観測対象の1つに「容易に推測可能なID・パスワードであるIoT機器」を挙げており、初期パスワード放置が今もなお現実の観測対象になっている実情がうかがえます。
特にこの4点目の「初期パスワード放置」については、企業ネットワークを内部から診断している事業者からも、同種の指摘が繰り返し挙がっています。
工場出荷時の初期パスワードのまま使われているお客様がほとんどでして、大手メーカーの初期IDパスワードはインターネットで検索すればすぐ出てきてしまいます。そのままにしておくと、万が一ウイルスが内部に入り込んだ際に、簡単に遠隔操作で乗っ取られてしまうリスクがあります。
出典・参考資料（2件）
IoT機器を狙った実被害事例
IoT機器の脆弱性が現実にどんな被害を引き起こしたのかを、加害者側・被害者側の両面で押さえます。経営説明の材料としては、Miraiだけで語り切らず、直近の国内事例・医療領域・製造業への波及まで含めて示すことが有効です。
Mirai（2016年、620Gbps DDoS、約38万台のIoT機器）
2016年9月20日、セキュリティジャーナリストBrian Krebs氏のブログに対する大規模DDoS攻撃が発生しました。US-CERTのアラートによると、通信量は620Gbps以上に達し、動員されたIoT機器は38万台超と報告されています。
攻撃を主導したマルウェア「Mirai」は、ネットワークカメラやDVRなどのIoT機器に対し、62種類の初期ID・パスワードで総当たりを行い、成功したデバイスをボットに組み込む仕組みでした。
なお、620Gbps・38万台の数字はこのKrebs攻撃（9月20日）の値で、同年10月21日のDNSサービスDynへの攻撃は別のMirai系ボットネットによるもの（Flashpointが「hundreds of thousands」のIoT機器と報告）と切り分けて把握されています。
On September 20, 2016, Brian Krebs’ security blog…was targeted by a massive DDoS attack…exceeding 620 gigabits per second (Gbps).
出典：US-CERT Alert TA16-288A “Heightened DDoS Threat Posed by Mirai and Other Botnets”（2016年10月14日）
over 380,000 IoT devices
The Mirai bot uses a short list of 62 common default usernames and passwords to scan for vulnerable devices
Miraiのケースは、IoT機器そのものが攻撃を受けたわけではなく、初期パスワードが放置された世界中のIoT機器が「加害者側」として攻撃に利用された点に特徴があります。本記事の脆弱性6タイプ表では「パスワード系」と「管理系」（踏み台化）の代表事例として挙げた事案です。
セイコーソリューションズ製ルーターの改ざん（2023年、報道された約1,500台）
2023年8月28日ごろ、日本国内に設置されたセイコーソリューションズ製の通信機器「SkyBridge MB-A100/A110/A200/A130」および「SkySpider MB-R210」のログイン画面が改ざんされる事案が発生しました。
改ざん後のログイン画面は黒地に赤文字の攻撃者主張文が表示されるもので、サイバーセキュリティ研究者のまとめ（piyolog）によれば約1,500台が影響を受けたと報じられています（IPA・セイコーソリューションズ公式アラート本体には台数の明示はありません）。
2023年8月28日、日本国内に設置されている通信機器（ルーター）のログイン画面が改ざんされたみられる事案が発生しました。
出典：1500台被害と報じられた国内通信機器の改ざんについてまとめてみた｜piyolog
黒地の背景に変更され、赤文字で攻撃者による主張文とみられる文字列が埋め込まれたものが確認されている
技術的な脆弱性の一次情報として、JVN#40604023では対象製品に14件のCVEが関連付けられており、たとえばCVE-2023-22441は「重要な機能に対する認証の欠如」に分類されるものです。CVE-2022-36559はCVSSスコア9.8で「リモートから管理者権限で任意のOSコマンド実行」が可能な深刻度に位置づけられています。
IPAは同事案に関する注意喚起を2023年8月30日に公表しています。本記事の脆弱性6タイプ表では、CVE-2023-22441を「認証・認可系」の代表として位置づけています。
出典・参考資料（2件）
国内自治体の監視カメラ不正アクセス（2018年）
2018年4月から5月にかけて、国内の自治体が運用する河川監視カメラ等が不正アクセスを受け、映像に本来入らない「I’m Hacked. bye2」というメッセージが表示される事案が続きました。
piyologが同時期に整理した公表情報によると、千葉県八千代市が4月25日に「八千代1号幹線水位監視カメラ」への不正アクセスを公表し、埼玉県上尾市が4月27日に「芝川都市下水路鎌倉橋河川監視カメラ」への不正アクセスを公表しています。
八千代1号幹線水位監視カメラへの不正アクセスを確認しました
出典：監視カメラへの不正アクセスについて調べてみた｜piyolog（2018年4月28日）
芝川都市下水路鎌倉橋河川監視カメラへの不正アクセスを確認しました
使用していたパスワードは初期設定されたものであった
いずれのケースも、原因として「使用していたパスワードが初期設定のままだった」ことが公表されています。本記事の脆弱性6タイプ表では、「パスワード系」の代表として挙げた事案で、屋外に設置された自治体の物理設備であっても現実に悪用されることを示しています。
米国医療機関の胎児モニタ感染（Beth Israel Deaconess・2009年）
米国のBeth Israel Deaconess Medical Center（マサチューセッツ州ボストン）では、高リスク妊娠に用いる胎児モニタ装置がマルウェアに感染し、動作が遅くなる問題が発生しました。
感染事案はConfickerワームが流行した2009年頃の出来事で、同院のCIO（当時）であるJohn Halamka氏の後年の証言としてMIT Technology Reviewが2012年に報じたものです。
患者への直接的な被害は報告されていませんが、命に関わる医療機器がIoT機器と同様に「PC向けマルウェアで動作不安定に陥り得る」ことを示す象徴的なケースです。本記事の脆弱性6タイプ表では、更新パッチが行き渡らない機器が既知マルウェアに感染するという意味で「ファームウェア系」の代表として位置づけています。
出典・参考資料（2件）
米国自動車工場13拠点のワーム感染（2005年、1,400万ドル）
2005年には、米国の自動車工場13拠点がワームに感染し、約1時間の操業停止と1,400万ドルの被害が発生した事例も報告されています。OT領域と情報系ネットワークが接続され始めていた時期の代表的な事案で、IoT・OT分野の議論では現在も引き合いに出されます。
2005年に米国の自動車工場13拠点がワームに感染し、1時間近くオフライン化して操業ができなくなった事例では1,400万ドルにも及ぶ被害が生じた。
出典：なぜ、IoT機器に脆弱性が生じるのか？｜ESETセキュリティ情報局（キヤノンマーケティングジャパン）
被害者側・加害者側の両側でリスクを負う
IoT機器の脆弱性を経営に説明する際に外せないのが、「被害者にも加害者にもなり得る」という論点です。監視カメラや胎児モニタのケースは、IoT機器が直接被害を受ける側です。一方でMiraiは、IoT機器の所有者が意識しないうちに、機器がDDoSの踏み台として第三者への攻撃に加担する構造でした。
加害者側のリスクは、DDoS踏み台化のほかに、不正アクセスの中継拠点として使われる、暗号資産マイニングに転用される、社内の他システムへの侵入経路になる、といったパターンがあります。
刑事責任は攻撃者本人に帰属するとしても、自社機器が加害の道具になった場合、事実関係の調査、取引先・利用者への説明、レピュテーション対応、業務停止といった負担が発生します。
総務省・NICTが運営するNOTICEでは、こうしたリスクのあるIoT機器を全国的に観測し、ISP経由で利用者へ注意喚起を送る仕組みを2019年から運用しています（観測対象4区分の逐語と法的建付けは後述の「IoTセキュリティに関わる法制度・ガイドライン」節で扱います）。
自社のIoT機器の危険度を確認する手順
「うちの機器は大丈夫か」を判断するには、まず何がどれだけあり、どこに露出しているかを把握するところから始めます。以下の6段階で棚卸しから診断依頼判断まで進めれば、社内リソースで着手できます。
Step 1. 資産棚卸しリストの作成
最初に、社内に存在するIoT機器の一覧を作ります。機器名・メーカー・型番・シリアル番号・ファームウェアバージョン・設置場所・所有部門・接続先ネットワーク・インターネット側公開の有無をカラムに置き、部門ごとに分担して埋めます。
対象はルーター・スイッチ・無線AP・ネットワークカメラ・複合機・入退室リーダー・スマートロック・産業用ゲートウェイ・センサー・工場の制御機器（PLC・HMI）などです。
目視で見つからない機器はネットワークスキャンで補完します（社内LAN側はnmap／arp-scan／既存の資産管理製品によるスイープ、外部からの見え方はSHODAN／Censysで自社IPを検索、が典型的な手段）。担当は情シスと現場部門で分担し、外部からの見え方の確認はセキュリティ担当が引き受けるのが実務的です。
Step 2. 型番でJVN・NVD・MITRE CVEを検索する
棚卸しリストの型番・ファームウェアバージョンを、脆弱性データベースで検索します。日本の実務担当者にとっては、まずJVNとその横断検索データベースJVN iPediaが入口になります（本節末の参考資料リストに一次URLをまとめています）。
国際的なCVE番号を採番するMITREのCVE Programページと、詳細な分析情報を付すNIST NVDでは、いずれも同じCVE番号を辿れます。
検索キーワードには、シリーズ名（例：SkyBridge MB-A100）とファームウェアバージョン、あるいはメーカー名＋機器種別（例：セイコーソリューションズ ルーター）で当てるのが実務的です。
たとえばセイコーソリューションズ製ルーターの事案であれば「JVN#40604023」で該当ページに直接到達でき、CVE-2023-22441などの個別ページもNVDのCVE番号検索から確認できます。
Step 3. 初期パスワード変更状況の確認
棚卸しした各機器で、工場出荷時のID・パスワードから実際に変更されているかを一台ずつ確認します。管理画面へのログインが記録に残る機器では、直近のログイン履歴と担当者を突き合わせます。パスワード管理台帳が存在しない場合は、この確認と同時に管理台帳の運用を開始するのが実務的です。
担当変更や導入時のドキュメントが残っておらず初期パスワードが引き継がれていない機器は、メーカーのサポート窓口に手順を確認するか、工場出荷リセットで再セットアップして新しいパスワードを設定します。前述の自治体監視カメラの事案は、いずれも初期パスワードのままだったことが公表されており、Step 3を通すだけで一定の攻撃面は塞がります。
Step 4. ファームウェアバージョンの確認と更新方針の策定
棚卸しリストのファームウェアバージョンを、メーカーの最新版と突き合わせます。差分がある機器は、更新の可否・作業時間・停止影響・ロールバック手段を確認したうえで更新計画を作ります。ネットワーク機器や複合機はメーカーのサポートポータルで最新版とリリースノートを確認し、CVE対応の有無を優先度の判定材料にします。
EOLでファームウェア提供が終了している機器は、脆弱性CVEの深刻度と業務影響を天秤にかけ、置き換え・ネットワーク分離・監視強化のいずれかの方針を決めます。
Step 5. 不要ポート・不要サービスの棚卸し
各機器で有効になっているサービス（SSH・Telnet・HTTP管理画面・SNMP・UPnPなど）と、外部に公開されているポートを確認します。社内LAN側はnmapでの内部ポートスキャン、外部からの見え方はSHODAN／Censysで自社の公開IPアドレスを検索して確認するのが手早い進め方です。
運用に不要なサービスは停止し、管理画面は社内LAN側のみからアクセス可能に絞ります。インターネット側からのアクセスが必要な場合は、送信元IP制限・VPN経由の限定に切り替えます。
Step 6. 脆弱性診断サービスへの依頼判断
Step 1〜5を実施しても、UART／JTAGなどのハードウェアレベルの脆弱性、独自プロトコルの実装バグ、認証バイパスに繋がる論理欠陥は、外形的なスキャンだけでは検出しきれません。
工場設備・医療機器・組み込み機器の多い環境や、監査・調達対応で第三者評価が求められる場面では、後述の「IoT脆弱性診断・監視サービス」節の2類型を参照し、資産管理・監視型か専門家手動診断型かを検討する段階に入ります。
また、総務省・NICTのNOTICEでは、ISP経由で「あなたのネットワーク内に脆弱性のあるIoT機器が観測された」旨の注意喚起が送付されます。届いた場合は、通知に記載された機器種別・IPアドレス・時刻をもとに、上記のStep 1〜5を再点検してください。
出典・参考資料（4件）
IoT脆弱性対策の優先順位（即やる／中期／長期）
棚卸しと確認が済んだら、対策を時系列で並べます。すべての対策を同時に着手すると社内リソースがもたずに滞留するため、「即やる」「中期」「長期」の3段に分けて優先順位を付けるのが実務向きです。以下は経営会議に持ち込む「初期プラン」の下敷きとして使える整理です。
| 主な内容 | 参照する制度・裏づけ | |
|---|---|---|
| 即やる（数日〜数週間） | 初期パスワードの一括変更／不要サービス・不要ポートの停止／管理画面のインターネット公開停止／休眠機器・不要機器の電源OFF・撤去 | 電気通信事業法の技術基準（初期パスワード変更を促す機能等。※機器メーカー側の要件で、利用者への直接の義務ではないが、選定・運用の目安として使える）／NOTICEの観測対象（推測可能なID・パスワード） |
| 中期（1〜6か月） | IoT機器の資産棚卸し完了と台帳の運用開始／ファームウェア更新の運用フロー確立／EOL機器の入替計画策定／JVN・NVD等の脆弱性情報の定期チェック体制 | IoTセキュリティガイドライン ver 1.0（管理方針）／NOTICEの観測結果通知の受信体制 |
| 長期（半年〜数年） | 脆弱性診断サービスの継続契約／IoT対応の資産管理・監視ソリューションの導入／IoTセキュリティガイドライン準拠のポリシー整備／JC-STAR認証機器の調達方針への反映 | JC-STAR（IoT製品のセキュリティ要件適合評価）／IEC 62443（産業制御領域） |
※上記は一般的な優先順位の目安です。実際の順序は自社の業種・機器構成・監査要件により調整してください。
「即やる」段の初期パスワード変更・不要サービス停止は、電気通信事業法の端末設備等規則で定められた技術基準（機器メーカー側への要件。詳細は後述の「法制度・ガイドライン」節）の観点からも実質的に必要な対応です。
「中期」段のファームウェア更新運用は、IoTセキュリティガイドラインが求める「セキュリティ対策が時間経過とともに危殆化する」ことへの備えそのものであり、更新できない機器の入替計画までを含めて設計するのが実践的です。「長期」段では、診断サービスの継続契約に加え、後述するJC-STARの認証取得機器を調達要件に組み込む方針づくりも視野に入ります。
出典・参考資料（2件）
IoTセキュリティに関わる法制度・ガイドライン
IoT機器のセキュリティ対策を経営に説明する際は、根拠となる制度・ガイドラインの位置づけを義務・推奨・任意の区分で整理しておくと、監査・調達で問われた場面にも耐える形になります。
区分の割り当ては、義務＝電気通信事業法の技術基準（対象機器のメーカー側に課される要件）、推奨＝IoTセキュリティガイドライン・NOTICE、任意＝JC-STARの3階層で整理できます。以下、実務でよく参照される4つの制度を制定・施行順に扱います。
IoTセキュリティガイドライン（総務省・経済産業省・2016年）
総務省・経済産業省・IoT推進コンソーシアムが2016年7月に策定したガイドラインで、IoT機器・システムの提供者と利用者が取り組むべきセキュリティ対策を体系化しています。方針・分析・設計・構築・接続・運用・保守の各段階で求められる対応を整理しており、法的な強制力はありませんが、政府調達要件やベンダー間の契約要件で引かれるケースが多く、業界共通の基準として参照される場面が多い文書です。
本記事で繰り返し引いた「性質2（ライフサイクルの長さ）」「性質3（監視が行き届きにくい）」に加え、脅威の影響範囲、機器の機能・性能の制約、想定外の接続といったIoT特有の性質を6項目で整理している点も、社内資料の背景説明に活用できます。
NOTICE（NICT・総務省の観測プロジェクトとISP経由の注意喚起）
NOTICE（National Operation Towards IoT Clean Environment）は、総務省・NICT・ICT-ISAC・参加ISP・IoT機器メーカーが連携して運営するIoTセキュリティ対策プロジェクトで、2019年2月20日から運用が開始されました。NICTがインターネット側から脆弱なIoT機器を観測し、該当機器の利用者へISP経由で注意喚起を送る仕組みです。
IoT機器のセキュリティ対策向上を推進することにより、サイバー攻撃の発生や、その被害を未然に防ぐためのプロジェクト
出典：NOTICEプロジェクト｜総務省・NICT・ICT-ISAC・ISPs
（2019年2月20日より実施）
観測対象は「容易に推測可能なID・パスワードであるIoT機器」「ファームウェアに高リスク脆弱性を有するIoT機器」「マルウェア感染IoT機器」「リフレクション攻撃の踏み台にされうるIoT機器」の4区分で、対象機器の中心はインターネットに接続されたルーターとネットワークカメラです。
プロジェクトは電気通信事業法・NICT法・不正アクセス禁止法を根拠に、通信の秘密を遵守した観測手法で運用されます。ISP経由で注意喚起の連絡が届いた場合は、対象機器の再棚卸しと設定見直しに直結する情報として扱います。
JC-STAR（IPA・2025年3月開始のIoT製品セキュリティ適合性評価制度）
IPAは2025年3月25日、IoT製品向けのセキュリティラベリング制度「JC-STAR」（セキュリティ要件適合評価及びラベリング制度、英名Labeling Scheme based on Japan Cyber-Security Technical Assessment Requirements）の運用開始を公表しました。
IoT製品ベンダーが「共通して求められる最低限のセキュリティ要件」への適合を評価・表示できるようにする制度で、政府調達や事業者間取引での要件参照が想定されています。
ここで押さえておくべきポイントは2点あります。第1に、2025年3月に運用が開始しているのは「★1」（ベンダーによる自己宣言型）のみで、第三者評価型の★2以降は2026年1月以降の受付開始が予定されている段階です。
第2に、JC-STARは任意の適合評価制度であり、現時点で個別事業者に対する法的な取得義務はありません。政府調達要件や業界固有の要求で参照される可能性はありますが、「JC-STAR未取得なら違法」という位置づけではない点は、社内説明で正しく共有する必要があります。
出典・参考資料（2件）
電気通信事業法・IEC 62443の位置づけ
電気通信事業法上、ルーターやネットワークカメラのように電気通信回線設備に接続される「端末機器」は、端末設備等規則第34条の10（平成31年総務省令第12号による改正、2020年4月1日施行）に定める技術基準への適合が求められます。同基準では、初期パスワードの変更を促す機能、ファームウェア更新機能、電源OFF後もID・パスワードやファームウェアが初期状態に戻らないこと等が要件として整理されています。
不正な設定変更を防ぐアクセス制御機能が搭載されている
出典：ルーター／ネットワークカメラに関する制度・基準（端末設備等規則第34条の10）｜NOTICE
初期設定からID・パスワードの変更を促す機能、または、IoT機器ごとに異なるID・パスワードが搭載されている
IoT機器のファームウェアを更新できるようになっている
電源がオフになっても、ID・パスワードやファームウェアが初期設定に戻らないようになっている
この技術基準は、電気通信回線設備に接続される端末機器を対象としており、社内LAN専用の一部センサー等には直接適用されない場合があります。自社機器が対象範囲に入るかは、機器の種類と設置環境に応じて確認してください。
工場・プラントの制御システム領域（OT）については、IEC 62443シリーズが国際的な標準として参照されます。産業自動化・制御システム（IACS）向けの規格で、General・Policies&Procedures・System・Componentの4カテゴリで構成されており、家庭・オフィスのIoT機器（ルーター・ネットワークカメラ等）に直接適用されるものではありません。
IoT／OTのうち、産業制御領域はIEC 62443、コンシューマ・企業ネットワーク領域はJC-STAR／電気通信事業法の技術基準、と役割を分けて捉えると整理しやすくなります。
PLC・SCADA・HMIといった制御機器を対象とした脆弱性診断は、稼働を止めずに診るためのパッシブ観測の押さえどころ、IT系ベンダーとOT特化ベンダーの分担、費用や期間の目安まで個別の論点があります。工場・制御領域が診断対象の中心になる方は、以下の記事で個別に整理しています。
工場・制御システムの脆弱性診断とは？稼働を止めずにOT・IoTを診る方法とベンダーの選び方
工場の設備や制御システムがネットワークにつながり、リモート保守も当たり前になったいま、「うちの工場や制御システムに脆弱性はないのか」という不安を持つ担当者が増えています。同業のランサムウェア被害が報じられたり、本社のセキュリティ部門や取引先…
一括ダウンロードする
IoT脆弱性診断・監視サービスの選び方と主要な選択肢
ここまで整理した対策のうち、長期段の「脆弱性診断サービスの契約」「IoT対応の資産管理・監視ソリューションの導入」は、社内リソースだけでは踏み込みきれない領域です。ここでは、IoT機器を診断・保護対象として明確に掲げているサービスを、2類型に分けて紹介します。
診断サービスの2類型（IoT対応の資産管理・監視型／専門家による手動診断）
IoT脆弱性診断の選択肢は、対象範囲と実施形態で大きく2つに分かれます。1つは、ネットワーク側からの継続的な観測・分析でIoT／OT機器を含むアセットを把握する「資産管理・監視型」。もう1つは、対象機器を個別に深掘りして検査し、報告書として問題点と対策を提示する「専門家による手動診断型」です。
資産管理・監視型は、機器の追加・撤去や通信の変化を継続的に捉えたい場合や、既存の境界防御・EDRを補完して内部リスクを可視化したい場合に向きます。専門家による手動診断型は、特定製品のファームウェア解析・破壊／非破壊検査・ペネトレーションテストまで踏み込みたい場合や、監査・調達で第三者評価の報告書が求められる場合に向きます。
費用感の目安として、専門家による手動診断は1台あたり数十万〜100万円超のオーダーとなるケースが多く、資産管理・監視型は継続契約でパケット量やノード数に応じた課金となる例が中心です。
スポット比較表（IoT対応の主要6サービス）
以下はご紹介する脆弱性・セキュリティ診断サービスの比較表です。対象範囲・診断方式・料金形態を並べて確認できます。
| サービス名 | セキュア・レントゲン | KATABAMI | NRIセキュア | MBSD | NTTセキュリティ・ジャパン | SQAT® for IoT |
|---|---|---|---|---|---|---|
| 提供元 | 株式会社クワッドマイナージャパン | 株式会社SYNCHRO | NRIセキュアテクノロジーズ株式会社 | 三井物産セキュアディレクション株式会社 | エヌ・ティ・ティ・セキュリティ・ジャパン株式会社 | 株式会社ブロードバンドセキュリティ |
| 診断方式 | 継続監視型 （NDR／フルパケット） | 継続監視型 （月次診断／年12回） | 専門家による手動診断 （ハイブリッド・手動主体） | 専門家による手動診断 （＋補助ツール併用） | ハイブリッド （ツール＋専門家手動） | ハイブリッド （手動＋独自自動） |
| IoT対応 | IT／OT両環境のネットワーク観測 （IoT機器を含む網羅監視） | セキュアIoT認定Gold （2023年2月・ソフト＋Box） | IoT／OT診断メニューあり （OTネットワーク・アセスメント／デバイス・セキュリティ診断） | IoT診断・OT診断メニューあり （自動車・ビル・工場等の組込機器） | IoTプロダクトセキュリティ （ドローン・カメラ・自律制御ロボット・工場制御） | SQAT® for IoT （機器単位の不正操作・情報窃取・踏み台化の可否検証） |
| 対象領域 | ネットワーク全体 （IT／OT） | ネットワーク内部 （複合機・NW機器・サーバ・PC） | OTネットワーク＋個別デバイス （Web・API・クラウド等も対応） | 組込デバイス・OT （Web・NW・スマホ・AD・AI等も対応） | IoT機器＋工場制御 （Webアプリ・プラットフォームも対応） | IoT機器 （Web・API・NW・スマホ・クラウド等も対応） |
| 料金目安 | 要問い合わせ （診断期間最短1か月・分析手法／トラフィック量／設置台数で変動） | 1台1,250円／月〜 （100ノード以下は年額90〜150万円） | 要問い合わせ （ペネトレーションテスト800万円〜・税別） | 要問い合わせ （診断範囲・対象に応じた個別見積） | 要問い合わせ （公式非公開・個別見積） | 要問い合わせ （診断後3か月まで再診断可・サイバー保険付帯） |
| 詳細情報 | 公式資料を見る | オンライン相談を予約 | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る |
※料金目安の見方: 「要問い合わせ」表記の5サービスは、専門家手動診断型で1台あたり数十万〜100万円超のオーダーが相場、資産管理・監視型はパケット量／ノード数に応じた継続課金が中心（本節の導入部で解説）。KATABAMIのみ「デバイス単価型（1台1,250円／月〜）」と「100ノード以下は年額90〜150万円」の二段の相場を公式に明示。
ここで挙げた6サービスはIoT／OTを診断対象として明確に掲げているものに絞っています。Webアプリケーション・API・クラウド・スマートフォンアプリまで含めた脆弱性・セキュリティ診断サービス全体の選び方や費用相場、無料ツールとの使い分けは、以下の記事でカテゴリ全体をまとめて解説しています。診断対象を広げて検討したい方は、あわせてご参照ください。
脆弱性診断サービスおすすめ比較｜診断方法・費用相場・選び方を解説【無料ツールあり】
Webサービスや社内システムの脆弱性診断を検討する際、「専門家による手動診断とツールによる自動診断のどちらが自社に必要なのか」「費用が数十万円から数百万円までと幅が広く、妥当な予算が読めない」といった壁に突き当たる担当者は少なくありません。…
IoT対応の資産管理・監視型（2サービス）
1. セキュア・レントゲン（株式会社クワッドマイナージャパン）
NDR（Network Detection and Response）製品「Network Blackbox」のフルパケットキャプチャ技術を活用したネットワークリスク診断サービスです。実際にネットワーク上を流れているトラフィックを100％キャプチャして専門アナリストが分析し、外部脅威だけでなく内部に潜伏している脅威や脆弱性まで洗い出します。
IoT機器の観点で特徴的なのは、IT環境とOT環境の双方に対応し、OTプロトコルを含めて工場ネットワークの通信を観測できる点です。ミラーリング方式で接続するため、稼働中の生産ラインや業務系ネットワークに障害影響を与えずに診断を進められます。
診断中に緊急度の高いリスクが見つかった場合の速報連絡や、総合サマリ・システム環境分析・検出脅威一覧・検出脅威詳細・シナリオベースリスク分析の5構成からなるレポートも用意されています。
診断期間は最短1か月で、料金は分析手法（オンライン／持ち帰り／オンサイト）・トラフィック量・設置台数に応じた変動制です。既存の境界防御やEDRを固めた金融機関・製造業・自治体が、内部リスクの客観的な棚卸しの手段として採用するケースが増えています。本記事6タイプで言えば、通信・プロトコル系と管理系のリスクをネットワーク観測で網羅的に洗い出す用途に強みがあります。
IT／OT双方をネットワーク側から観測する発想の発端について、提供元は次のように説明しています。
もともとは製造業のお客様とお話しすることが多く、ITからOT（制御技術）領域へ脅威が横展開されてしまう懸念に対して、その間にネットワークの視点を置いてリスクを洗い出しましょう、というご提案をしていた経緯があります。
2. KATABAMI サイバーセキュリティ対策パッケージ（株式会社SYNCHRO）
特殊なIPv6アドレスと暗号化技術で「見えない専用線（ステルス回線）」を構築する国産技術「KATABAMI」を基盤に、予防（脆弱性診断）・復旧（隔離バックアップ）・補償（サイバー保険）の3本柱を1つのパッケージで提供するサービスです。IoT機器そのものへの組み込み実績もあり、セキュアIoT認定Gold（2023年2月、ソフトウェアとBoxハードウェアの双方で取得）を保有しています。
脆弱性診断コンポーネント「KATABAMI VDP」は、ネットワーク内部から月次（年12回）で診断を実施し、A〜Eの5段階評価と改善策レポートを提示します。従来の訪問型内部診断のように専門家が現場に常駐する必要がなく、KATABAMIの通信経路を使って外部からリモートで内部ネットワークを検査できるため、継続的な定点観測に向いた設計です。
「KATABAMI CRA」では、隔離された通信経路でNASにバックアップを取り、ランサムウェア攻撃時にもバックアップ経路自体が攻撃者から見えない構成にできます。あいおいニッセイ同和損保のサイバー保険を自動付帯した「KATABAMI VDP/CRA安心安全パッケージ1」も2024年8月8日から提供されており、賠償損害1億円・費用損害3,000万円（免責金額なし）の補償が付きます。
料金は1台1,250円／月からのデバイス単位課金で、100ノード以下は年額90万〜150万円のレンジに設定されています。複合機・ネットワーク機器の初期パスワード放置や管理者権限の甘さを診断で洗い出し、対策方法までアドバイスするアプローチで、専任セキュリティ人材がいない中堅・中小企業でも運用しやすい構成です。本記事6タイプで言えば、パスワード系と管理系のリスクを内部から継続点検する用途に向きます。
専門家による手動診断（4サービス）
3. セキュリティ診断（脆弱性診断・ペネトレーションテスト）／NRIセキュアテクノロジーズ
野村総合研究所（NRI）の単一株主による専業セキュリティ会社が提供する、専門家手動主体のセキュリティ診断・ペネトレーションテストサービス群です。Webアプリケーション・プラットフォーム・スマートフォンアプリ・API・クラウド・ソースコード・ブロックチェーンなど幅広い診断対象を持ちますが、IoT／OTも独立したメニューとして扱われている点が特徴です。
IoT／OT領域では、OTネットワーク・アセスメントサービスとデバイス・セキュリティ診断の2つのサブメニューが公式に位置づけられており、産業制御ネットワーク側と個別デバイス側の双方から対象を検査できます。診断員はSANS Instituteの専門トレーニング修了者や、CISSP・OSCP・OSEP・GIACなどの国際資格保有者で構成されており、ツール任せではなく手動診断を軸に据えた実施体制です。
料金体系は、多くのメニューが個別見積りで、ペネトレーションテストサービスは800万円〜（税別）が公式に明示されています。攻撃者視点でシナリオを組み立てるレッドチームオペレーションや、短期間の「Fast Pentest」も提供されており、監査・調達対応で第三者評価の報告書が必要なエンタープライズに向いた選択肢です。
本記事6タイプで言えば、認証・認可系とファームウェア系のリスクを個別デバイス側で深掘り検査する用途に強みがあります。
4. 脆弱性診断サービス（MBSD／三井物産セキュアディレクション株式会社）
三井物産100%出資のサイバーセキュリティ専門企業が2001年から提供する診断サービスです。Webアプリケーション診断・ネットワーク診断の開始が2001年と業界内でも早く、専門家による手動診断を主体としながら独自の補助ツール・商用ツールを組み合わせる「手動＋ツール併用」型で運用されています。
IoT／OT領域は診断メニューの中に「IoT診断・OT診断」として位置づけられており、自動車・ビル・工場等の組み込み機器を対象に、通信・ハードウェアの手動調査を実施します。マルウェア解析の専門研究チームを社内に持ち、CVE／JVNに累計200件以上の新規脆弱性（0day）を報告してきた実績があるため、既知CVEに現れる前の未知脆弱性の検出力にも訴求ポイントを置いています。
診断メニューはIoT／OTのほか、Webアプリケーション・ネットワーク・スマートフォンアプリ・ペネトレーションテスト・TLPT・Active Directory・AIシステム・DevSecOps対応診断・ゲームセキュリティ診断まで多岐にわたります。
料金は診断範囲・対象に応じた個別見積りで、認証はJIS Q 27001:2023（ISO/IEC 27001:2022）およびISO 9001:2015を取得しています。本記事6タイプで言えば、ファームウェア系と物理系のリスクを未知脆弱性含めて掘り下げる用途で選ばれています。
5. セキュリティ診断・評価・調査（エヌ・ティ・ティ・セキュリティ・ジャパン株式会社）
NTTセキュリティホールディングス株式会社の100%子会社が提供する、経験豊富な専門家によるハイブリッド診断サービスです。IoT機器を対象とした独立メニューとして「IoTプロダクトセキュリティ」を持ち、脅威分析・脆弱性診断・ペネトレーションテスト・通信解析（プロトコル／トラフィック解析、パケットキャプチャ）まで一連の作業を提供しています。
公式に対象例として挙げられているのは、ドローン、カメラ、自律制御ロボット、Webアプリケーション、工場向け制御システムです。監視カメラや工場の制御機器といった、本記事で扱ってきた実被害領域の機器がそのまま診断対象として明記されている点は、IoT／OT側のリスクを掘り下げたい担当者にとって選択肢を絞り込みやすい特徴です。
診断方式は、ツール自動診断と専門家によるマニュアル診断を組み合わせるハイブリッド型のほか、Qualys／Tenable等のツール・環境を提供して顧客側で継続実施する「セルフ診断」も用意されています。攻撃者視点で人・プロセス・テクノロジー横断の耐性を評価する「RedTeam／TLPT」も、同じセキュリティ診断カテゴリで提供されています。
料金は公式に非公開の個別見積制で、大企業・エンタープライズを中心とした利用が想定されています。本記事6タイプで言えば、通信・プロトコル系と認証・認可系のリスクをドローン・カメラ・工場制御の実機で検査する用途に向きます。
6. SQAT® for IoT（株式会社ブロードバンドセキュリティ）
2000年創業のセキュリティ専業ベンダーが提供するSQAT®（エスキュート）シリーズのうち、IoT機器に特化したメニューが「SQAT® for IoT」です。同社の全脆弱性診断メニューにサイバー保険が付帯される点も特徴で、IoT診断もその対象に含まれます。
SQAT® for IoTでは、攻撃者による不正操作・情報窃取・踏み台化の可否を検証するとともに、OS・ミドルウェアの既知脆弱性の有無を確認します。本記事で6タイプに整理した脆弱性のうち、認証・認可系、管理系、パスワード系のリスクを機器単位で洗い出す用途に直接対応します。
ソースコード診断（SQAT® Core）や、ソースコード診断とWebアプリ診断を組み合わせるハイブリッド診断（SQAT® GlassBox）といった隣接メニューも提供されており、開発・保守フェーズと連携させた継続的なセキュリティ強化にも接続できます。
診断方式は、精度の高い手動診断と独自開発の自動診断を組み合わせるハイブリッド型です。診断後3か月までの再診断が可能で、再診断期間内の相談も受け付けます。料金は個別見積りが基本で、ソースコード診断はライン数に応じた見積りです。PCI DSSの認証監査機関「QSAC」認定を持つベンダーであり、決済・金融領域の要件と接続しやすい体制も整っています。
まとめ
本記事では、IoT機器の脆弱性を6タイプで俯瞰し、Mirai・監視カメラ・医療機関・自動車工場などの実被害事例を整理しました。
あわせて、資産棚卸しからJVN・NVDでのCVE検索・診断依頼判断までの6段階フローと、即対応から長期対応までの優先順位を示しました。
制度面ではIoTセキュリティガイドライン・NOTICE・JC-STAR・電気通信事業法の位置づけを、サービス面ではIoT対応の資産管理・監視型と専門家手動診断型の2類型・6サービスをまとめています。
経営会議で「うちのIoT機器は大丈夫か」と問われたときの答え方は、被害者としても加害者としてもリスクを負い得る前提のうえで、3段の初期プランに落ちます。具体的な行動リストにすると次の通りです。
Mirai事件で動員された38万台のIoT機器、620Gbps級のDDoS通信量、セイコーソリューションズ製ルーター改ざんで報じられた約1,500台という数字は、初期パスワード放置と更新機構の弱さが積み上がったときに顕在化する規模感の目安として、経営説明で押さえておきたい実データです。診断サービスの資料請求や、より広範な脆弱性診断サービスの比較検討は、下記からご活用ください。
一括ダウンロードする
よくある質問（FAQ）
Q. IoT機器の脆弱性とは何ですか？
A. IoT機器の脆弱性とは、ルーター・ネットワークカメラ・産業用ゲートウェイ・スマートロック・工場の制御機器といった、ネットワークに接続する組み込み機器が抱える、攻撃者に悪用され得る弱さのことです。
本記事では、実務担当者が「自社機器のどこを見るか」の観点から、脆弱性を6タイプに整理しました。
具体的にはパスワード系（初期ID・パスワードの放置／ハードコード）、ファームウェア系（更新機構欠如／既知CVE放置）、通信プロトコル系（平文通信／古いプロトコル）、認証認可系（認証バイパス／権限昇格）、管理系（不要ポート開放）、物理系（デバッグポート露出）の6分類です。
PC・サーバーと比べ、セキュリティソフトが載らない・工場出荷後10年以上動く前提で更新機構が弱い・画面がなく監視の目が届きにくい、という3点の構造的な違いが、IoT機器特有の弱さとして扱う必要がある理由です。
Q. 自社のIoT機器に脆弱性があるかどうやって確認すればよいですか？
A. 自社機器の脆弱性を把握するには、まず資産棚卸しで機器一覧（機器名・メーカー・型番・ファームウェアバージョン・設置場所・接続先ネットワーク）を作ります。次に、型番とバージョンをJVN・JVN iPedia・NIST NVD・MITRE CVEで検索することで、公表済みの脆弱性の多くをつかめます。
本記事の「自社のIoT機器の危険度を確認する手順」では、6段階のフローを示しました。
①資産棚卸し→②JVN・NVD等でのCVE検索→③初期パスワード変更状況の確認→④ファームウェアバージョンの確認→⑤不要ポート・不要サービスの棚卸し→⑥診断サービス依頼判断、を上から順に進めるのが実務向きです。
UART・JTAGなどのハードウェアレベルの脆弱性や独自プロトコルの実装バグは外形スキャンでは検出できないため、その領域は⑥の脆弱性診断サービスに委ねる判断になります。
Q. IoT機器の脆弱性を放置すると具体的にどんな被害・責任が発生しますか？
A. IoT機器の脆弱性放置は、機器そのものが乗っ取られる被害者側リスクと、DDoS踏み台・不正アクセス中継・暗号資産マイニング転用など加害者側として第三者への攻撃に加担するリスクの、両方を同時に負う構造になります。
加害者側になった場合、刑事責任は攻撃者本人に帰属するとしても、自社機器が加害の道具になった事実関係の調査、取引先・利用者への説明、レピュテーション対応、業務停止といった実務的負担は自社が負います。
Mirai事件（2016年、620Gbps・約38万台）は、初期パスワードが放置されたIoT機器の所有者が意識しないうちに大規模DDoSに加担した典型例です。経営説明の際は「被害者にも加害者にもなり得る」という論点を外さないことが重要です。
Q. NOTICEから注意喚起が届いた場合、何をすればよいですか？
A. NOTICE経由でISPから注意喚起が届いた場合は、通知に記載された機器種別・IPアドレス・観測時刻をもとに、該当機器の再棚卸しと設定見直し（初期パスワード変更・不要サービス停止・ファームウェア更新・管理画面の公開停止）を実施するのが基本対応です。
NOTICEの観測対象は「容易に推測可能なID・パスワードであるIoT機器」「ファームウェアに高リスク脆弱性を有するIoT機器」「マルウェア感染IoT機器」「リフレクション攻撃の踏み台にされうるIoT機器」の4区分です。通知が届いた時点で自社機器がいずれかに該当していると推定できます。
本記事の「自社のIoT機器の危険度を確認する手順」のStep 1〜5を対象機器に絞って再点検してください。
Q. ファームウェア更新の提供が終了したEOL機器はどう扱えばよいですか？
A. EOL機器は、公表済みCVEの深刻度と業務影響を天秤にかけたうえで、置き換え・ネットワーク分離・監視強化のいずれかの方針を決めるのが実務的です。
ファームウェア更新が提供されないまま稼働を続けると、既知CVEが公表されても対策が入らず、時間の経過とともにリスクが積み上がります。
稼働継続が避けられない場合は、当該機器を業務ネットワークから分離した専用セグメントに閉じ込めます。そのうえで外部からの直接アクセスを遮断し、通信の異常を継続監視する構成に切り替えるのが現実解です。
IoTセキュリティガイドライン（総務省・経産省・2016年）が指摘するとおり、工場の制御機器等は10〜20年の使用期間を前提に設計されます。EOL機器の扱いは中期の入替計画とセットで運用フローに組み込む必要があります。
Q. IoT脆弱性診断サービスは必須ですか？社内の資産管理ソフトやセルフスキャンで代替できませんか？
A. IoT脆弱性診断サービスは法的な必須要件ではなく、初期パスワード変更・ファームウェア更新・不要ポート停止・JVN／NVDでの型番検索といった社内対応で塞げる範囲もあります。
ただし、UART・JTAGなどのハードウェアレベルの脆弱性、独自プロトコルの実装バグ、認証バイパスに繋がる論理欠陥は、外形的なスキャンや資産管理ソフトのCVE照合だけでは検出しきれません。
工場設備・医療機器・組み込み機器の多い環境や、監査・調達対応で第三者評価の報告書が求められる場面、独自開発のIoT機器を扱う場合は個別の判断が必要です。
具体的には、専門家による手動診断（1台あたり数十万〜100万円超のオーダー）や、ネットワーク側からの継続観測型の資産管理・監視サービスの利用を検討する段階に入ります。
Q. JC-STARに未対応のIoT機器を使うと法令違反になりますか？
A. JC-STARは任意の適合評価制度であり、現時点で個別事業者に対する法的な取得義務はないため、JC-STAR未対応の機器を使用しても違法にはなりません。
制度の位置づけ・運用開始レベルの詳細は「法制度・ガイドライン」節のJC-STAR項をご参照ください。
あわせて押さえておきたいのが電気通信事業法との役割分担です。電気通信回線設備に接続されるルーター・ネットワークカメラ等の「端末機器」については、端末設備等規則第34条の10（2020年4月施行）が初期パスワード変更を促す機能・ファームウェア更新機能等の技術基準を定めており、こちらは対象機器のメーカー側に適合が求められる別枠の制度です。
JC-STARの任意性と、電気通信事業法上のメーカー要件は別レイヤーの話として整理してください。
脆弱性・セキュリティ診断サービスの料金・手数料を一括チェック
MCB FinTechカタログでは、脆弱性・セキュリティ診断サービスの最新資料を無料で一括ダウンロードできます。IoT／OT対応の可否、診断方式（手動診断・ハイブリッド・継続監視型）、料金体系、報告書の粒度など、比較検討に必要な情報を素早く把握できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
