自社のIoT機器やIoTシステムに、攻撃の糸口となる弱点が残っていないか——製品を世に出す立場であれば、一度は向き合う問いです。ネットワークにつながる機器が攻撃の入口になる事例は後を絶たず、取引先や海外顧客から規格への適合を求められる場面も増えています。しかし、組込みや制御システムのセキュリティに踏み込める人材を社内に抱える企業は多くありません。
そこで検討されるのが、IoTセキュリティの専門家に脅威分析や脆弱性診断を依頼するコンサルティングサービスです。ただし一口に「IoTセキュリティコンサル」といっても、規格適合の支援を得意とする会社、上流のリスクアセスメントから入る会社、実機を手を動かして診断する会社まで幅があり、自社の課題に合う依頼先を見極めるのは簡単ではありません。
本記事では、IoTセキュリティコンサルティングサービス10社を、支援範囲・診断方式・対象・対応規格・費用の考え方という同じ軸で横断比較します。各社が何をどこまで担うのか、自社の課題はどのタイプの支援に当たるのかを整理し、IoT製品を手がける企業が依頼先を絞り込むための材料としてまとめました。
また、自社の状況に合った支援タイプを手早く確かめられるよう、「IoTセキュリティ支援の選定診断」を用意しています。規格対応が必要か、実機診断まで求めるかなど、いくつかの質問に答えるだけで向いている依頼先の方向性がわかります。
目次
一括ダウンロードする
IoTセキュリティコンサルティングとは｜支援範囲と3つの支援タイプ
IoTセキュリティコンサルティングは、ネットワークにつながる機器やそれを含むシステムのセキュリティ上の弱点を洗い出し、対策を固めるまでを外部の専門家が支援するサービスです。各社のサービス内容を見比べると、支援範囲はおおむね次の4つに整理できます。
- 脅威分析・リスクアセスメント：対象のIoT機器・システムにどんな脅威があり、どこにリスクが集中するかを可視化し、対策の優先順位や方針を整理する
- セキュア設計支援：開発ガイドラインの整備や、鍵・証明書の管理設計、ファームウェアの設定など、設計段階でのセキュリティ作り込みを助ける
- 規格適合・認証取得支援：IEC 62443やETSI EN 303 645、ISO/SAE 21434、JC-STARなどの要件と自社製品の差分を分析し、適合や認証・ラベル取得の申請まで伴走する
- 実機の脆弱性診断・ペネトレーションテスト：実機やファームウェアを手を動かして評価し、攻撃者の視点で弱点を突き止める
どの支援を主軸に置くかは会社によって異なります。本記事では、読者が「自社の課題はどこに当たるか」を見極めやすいよう、依頼先を次の3つの支援タイプに整理しました。
依頼内容を具体化する前に、そもそも自社のIoT機器にはどのような弱点が生じやすいのか、過去の実被害事例や優先して確認すべき対策から押さえておきたい場合は、以下の記事で具体的に解説しています。
規格適合・認証取得支援型は、取引先や規制、海外顧客から求められる規格への適合を主眼に置くタイプです。IEC 62443やETSI EN 303 645、ISO/SAE 21434とUN-R155、国内のJC-STARといった規格・制度について、自社製品と要件の差分を洗い出すギャップ分析を行います。そのうえで、適合評価や申請書類の作成、当局への対応までを支援します。
これから認証やラベルの取得を予定している、あるいは取引条件として規格対応を求められている場合に向いています。規格適合を主眼に置く会社でも、認証・ラベルの取得申請まで伴走する会社と、規格をふまえた設計支援に重点を置く会社があります。
脅威分析・リスクアセスメント型（上流コンサル）は、自社のIoT機器・システムが抱える脅威とリスクを可視化し、対策方針やロードマップを描くところから支援するタイプです。資産の洗い出しやリスクの評価といった机上での分析が中心で、セキュア設計支援や運用体制づくりまで踏み込む会社もあります。「どこから手をつければよいかを整理したい」「全体の投資計画を立てたい」という段階に適しています。
実機の脆弱性診断・ペネトレーションテスト型は、実機やファームウェアを対象に、攻撃者と同じ手法で弱点を突き止めるタイプです。ハードウェアの解析やファームウェアの調査、通信の動的解析などを組み合わせ、開発中や出荷前後の機器に潜む脆弱性を具体的に検出します。「作った機器が実際に攻撃に耐えられるかを確かめたい」という段階に向いています。
自社に合うIoTセキュリティ支援タイプを診断する
ここまでの支援タイプをふまえ、自社の状況に合った依頼先の方向性を確かめられる診断を用意しました。いくつかの質問に答えると、向いている支援タイプと候補サービスが表示されます。
一括ダウンロードする
【比較表】IoTセキュリティコンサルティングサービスの比較
ここからは、IoTセキュリティコンサルティングサービス10社を同じ軸で横断比較します。支援タイプ・支援範囲・診断方式（机上評価が中心か、実機・ファームの診断やペネトレーションテストまで対応するか）・対象レイヤー・対応規格・費用の考え方を1つの表にまとめました。料金は大半の会社が個別見積もりで非公開のため、公表されている前提や考え方を記載しています。
| サービス名 | サイバートラスト | 日立ソリューションズ | NRIセキュア | アイディルート | Hi AUDIT | ラック | MBSD | NTTセキュリティ・ジャパン | GMOサイバーセキュリティ byイエラエ | SQAT |
|---|---|---|---|---|---|---|---|---|---|---|
| 支援タイプ | 規格適合・認証取得支援型 | 規格適合・認証取得支援型 | 脅威分析・リスクアセスメント型 | 脅威分析・リスクアセスメント型 （OT・制御寄り） | 実機の脆弱性診断・ペネトレ型 | 実機の脆弱性診断・ペネトレ型 | 実機の脆弱性診断・ペネトレ型 | 実機の脆弱性診断・ペネトレ型 | 実機の脆弱性診断・ペネトレ型 | 実機の脆弱性診断・ペネトレ型 |
| 支援範囲（主眼） | SBOM・認証局運用設計から規格ギャップ分析・認証取得支援・脆弱性診断まで（9メニュー） | 現状分析・セキュア設計支援・脆弱性対策・ワークショップ | リスク可視化と3年規模の対策ロードマップ策定（上流コンサル）＋実機診断 | 資産調査・脆弱性評価・ポリシー策定から運用（CSIRT/OTSOC）まで一貫 | 実機・ファームの脆弱性診断／ペネトレ（修正完了まで追加料金なしで並走） | 脆弱性診断・ペネトレーションテスト・TLPT（JSOC監視と連携） | 組込み・IoT機器の脆弱性診断＋OTセキュリティ評価 | IoTの脅威分析・脆弱性診断・ペネトレ・通信解析＋OT監視 | IoTデバイスのハードウェア・ソフトウェア・動的解析によるペネトレ | 実機動的解析（本体・制御アプリ・サーバ間API）による脆弱性診断 |
| 診断方式 | 規格ギャップ分析（机上）＋実機診断（ファジング） | 現状分析（机上）中心＋ツールによる脆弱性診断 | ハイブリッド（手動主体） 実機はファジング・ロバストネス検証 | 机上アセスメント（3段階）中心＋Nozomi導入 | IoT・ハードは専門家の手動診断（自動診断はWeb3・スマートコントラクト中心） | ハイブリッド（手動主体） | 実機・ハードは完全手動 | ハイブリッド（手動主体） セルフ診断も選択可 | 手動主体 （ハードウェア解析・逆アセンブル・動的解析） | ハイブリッド（手動＋独自自動診断）、実機動的解析 |
| 対象レイヤー | IoT機器〜IoTサービス全体（Web・ネットワーク・スマホアプリ含む）、車載、半導体製造装置 | IoT機器・IoTシステム、制御システム、車載 | IoT機器〜システム全体、制御機器・組込みデバイス、重要インフラ | OT（産業制御システム）・IoT・IIoT（製造現場中心） | IoT機器・医療機器などハードウェア（Web・スマートコントラクトも） | IoTデバイス、Web・ネットワーク・クラウド・システム全体 | 組込み・IoT機器（本体・通信・ハードウェア）、OT（自動車・ビル・工場） | IoT機器・組込み（ドローン・カメラ・ロボット）、OT（工場制御）、Web・プラットフォーム | IoTデバイス（ハード・ファーム・通信）、ドローン/eVTOL、Web・クラウド等 | IoTデバイス本体・制御スマホアプリ・デバイス〜サーバ間API |
| 対応規格・制度 | IEC 62443-4-2・ETSI EN 303 645（簡易ギャップ分析） JC-STAR★1、ISO 21434・UN-R155（型式認証）、SEMI E187/E188 （EU CRAは準備中） | IEC 62443、NIST SP800-82 UN-R155/156、ISO 21434/24089 | IEC 62443-2-1（CSMS認証基準）、NIST CSF、NISTIR 7628 OWASP IoT、ISO/IEC 27001、IoTセキュリティガイドライン | IEC 62443、NIST、CPSF | 公式に明記なし | 公式に明記なし | IoT診断は明記なし OTセキュリティ評価は経済産業省ガイドライン・IEC 62443等 | 個別規格の明記なし（「業界規格・制度の認定取得支援」を掲示） OTは工場セキュリティガイドライン・IEC 62443を参照 | JC-STAR（取得支援・★1評価内製化支援） IoT診断の準拠規格は明記なし | JC-STAR★1（適合評価の受託） その他IoT固有規格は明記なし |
| 費用 | 個別見積もり | 個別見積もり | 個別見積もり （ペネトレーションテストは800万円〜・税別） | 個別見積もり | 個別見積もり | 個別見積もり （情報システムペネトレは700万〜1,000万円・税抜、TLPTは1,000万円程度〜） | 個別見積もり | 個別見積もり | 個別見積もり | 個別見積もり |
| 是正・修正の伴走／再診断 | 公表なし（見積もり時に要確認） | 公表なし（見積もり時に要確認） | 公表なし（見積もり時に要確認） | 運用（CSIRT/OTSOC）まで支援／再診断は要確認 | 修正完了まで追加料金なしで並走 | 公表なし（見積もり時に要確認） | 公表なし（見積もり時に要確認） | 公表なし（見積もり時に要確認） | 公表なし（見積もり時に要確認） | 再診断は有償オプション |
| 詳細情報 | 公式サイト | 公式サイト | サービス詳細を見る | 公式サイト | 公式資料を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る |
※上記は2026年10月時点の各社公式情報にもとづく整理です。料金は各社とも個別見積もり型で公表額は限られるため、最新の提供範囲・費用は各社の公式情報・資料でご確認ください。表中の規格・制度の対象と要点は後述の「対応すべき主な規格・制度」で解説しています。
IoTセキュリティコンサルティングサービスの選び方
比較表だけでは絞り込みにくい場合に、自社の課題から依頼先を見極める4つの観点を示します。すべてを満たす会社を探すのではなく、自社にとって外せない観点がどれかを決めると候補が絞れます。
対応すべき規格・制度があるか
取引先との契約や出荷先の市場で、特定の規格・制度への適合が条件になっているかをまず確認します。自動車部品ならISO/SAE 21434とUN-R155、EU市場に出す製品ならEU CRA、国内でIoT製品のセキュリティを示したいならJC-STARというように、求められる規格は製品の種類と販売先で決まります。
該当する規格があるなら、そのギャップ分析や認証・申請の実績を持つ会社を選ぶと、適合の手戻りを減らせます。規格対応がまだ具体的でない場合は、この観点より先に次のリスクアセスメントや実機診断で足元の弱点を把握する方が優先度は高くなります。
机上評価で足りるか、実機の脆弱性診断・ペネトレまで必要か
脅威分析やリスクアセスメントといった机上の評価で方針を固めたい段階か、実機やファームウェアを実際に攻撃してみて弱点を確かめたい段階かで、向く会社は変わります。設計段階で作り込みの方向性を決めたいなら上流のコンサルから入る会社が、開発が進んで実物がある、あるいは出荷前に最終確認をしたいなら実機診断・ペネトレーションテストを手がける会社が適しています。
両方を一社で担える会社もあるため、開発ライフサイクルの今いる段階と、この先どこまで依頼したいかを想定して選ぶと、依頼先を乗り換える手間を抑えられます。
なお、脆弱性診断とペネトレーションテストは、弱点を広く洗い出す「発見」の検査か、侵入して被害範囲まで確かめる「実証」の試験かという点で目的が異なり、費用や期間も変わります。両者の違いと自社に合う使い分けをより詳しく知りたい場合は、以下の記事で整理しています。
対象はIoT機器単体か、システム全体か、OT・制御領域か
診断や支援の対象をどこまで広げたいかも重要な観点です。単体のIoT機器やファームウェアを診てほしいのか、機器・通信・クラウドまで含めたIoTシステム全体を見てほしいのか、あるいは工場やプラントの制御システム（OT）が対象なのかで、得意とする会社が分かれます。
特にOT・産業制御は、稼働を止められない・独自プロトコルが多いといった事情から一般的なIT診断とは勘所が異なるため、制御領域の実績がある会社かどうかを確かめます。
IoT機器だけでなく、Webアプリやネットワーク、クラウドまで含めて脆弱性診断サービスを広く比較・検討したい場合は、診断方法・費用相場・選び方を総合的にまとめた以下の記事もご覧ください。
診断後の是正・修正まで伴走してくれるか
弱点を見つけて報告するところまでか、見つかった問題の修正・是正まで付き合ってくれるかは、社内に対策を担える人員が十分でない場合に効いてきます。報告書を受け取っても、修正方針の相談先がないと対応が止まりがちです。再診断の費用の扱い（無償か有償オプションか）や、修正完了まで追加費用なしで並走するかどうかは会社ごとに異なるため、見積もりの段階で確認しておくと、対策をやり切るまでの総額を見通せます。
各IoTセキュリティコンサルティングサービスの特徴
ここからは、比較表で取り上げた10サービスを支援タイプ別に紹介します。
規格適合・認証取得支援型
規格・制度への適合や認証・ラベルの取得を主眼に支援する2社です。
1. IoT セキュリティコンサルティングサービス（サイバートラスト）
サイバートラストは1997年から認証局（PKI）を運用してきた電子認証の事業者で、その基盤の上にIoT向けの支援を9つのメニューとして束ねています。SBOM（ソフトウェア部品表）の作成・運用相談やRFC 3647に沿った認証局運用規定の策定から、規格の簡易ギャップ分析、認証・ラベルの取得支援、脆弱性診断までを一つの窓口で選べる構成です。
規格への向き合い方は制度ごとに分かれており、IEC 62443-4-2とETSI EN 303 645は製品文書と要件の差分を指摘する簡易ギャップ分析、国内のJC-STARは★1の取得支援、車載向けはISO 21434・UN-R155の型式認証取得支援という設計です。
半導体製造装置向けのSEMI E187／E188にも対応し、EUサイバーレジリエンス法（CRA）の自己適合宣言書作成支援は準備中とされています（2026年10月時点）。
脆弱性診断ではIoTデバイス診断にファジングを用い、Webアプリ・ネットワーク・スマートフォンアプリ診断と組み合わせてIoTサービス全体を対象とします。料金はサービスページに記載がなく、ヒアリング後に案件ごとに見積もる形です。
2. IoT機器、IoTシステム セキュリティ設計支援コンサルティング（日立ソリューションズ）
「設計部門にセキュリティの知見がない」「海外や意識の高い顧客からガイドライン対応を求められている」——開発側が抱えるこうした悩みを起点に、日立ソリューションズが設計段階からのセキュリティ作り込みを支援するコンサルティングです。支援は現状分析・設計支援・脆弱性対策・ワークショップの4区分で構成されます。
現状分析では開発プロセスやデータフロー設計の問題点に加え、出荷済み製品のファームウェアのOS設定や利用OSSに緊急度の高い脆弱性が残っていないかを確認します。設計支援では開発ガイドラインの策定や開発者教育、鍵・証明書管理機能の追加まで踏み込み、ファームウェアの請負開発にも対応します。
対応規格として、制御システム向けのIEC 62443・NIST SP800-82、車載向けのUN-R155／156・ISO 21434／24089を挙げ、自動車産業向けの実績が多数あるとしています。期間の目安は現状分析が約1か月、設計支援が約3か月、脆弱性対策が約2か月（いずれも一例で、顧客と相談のうえ決定）、料金は個別見積もりです。
脅威分析・リスクアセスメント型（上流コンサル）
自社IoTのリスク可視化や対策方針の策定から支援する2社です。
3. IoTセキュリティコンサルティングサービス（NRIセキュア）
NRIグループでセキュリティを専業とするNRIセキュアテクノロジーズが提供する、IoTのリスク可視化から対策方針の策定までを担う上流コンサルティングです。現状把握を起点に、3年程度の段階的な対策ロードマップや、事業特性に応じたポリシー・ガイドラインの策定まで支援します。同社はセキュリティ事業全体で20年以上・2,000社以上への支援実績を公表しています。
評価には独自フレームワーク「NRI Secure Framework（NSF）for IoT」を用い、Governance・Risk・Compliance・Physical・Technical の5つの切り口で現状を同じ尺度で可視化します。
公式に挙げられている参照ガイドライン・規格は、IoTセキュリティガイドライン、NIST Cybersecurity Framework、NISTIR 7628、OWASP IoT Security Guidance、ISO/IEC 27001、CSMS認証基準（IEC 62443-2-1）です。
支援範囲には制御機器・組み込みデバイスの実機脆弱性診断も含まれ、複数のファジングツールを使ったロバストネス検証を実施します（EDSAとのフィットギャップ分析はオプション）。料金は個別見積もりで（公表されているペネトレーションテストは800万円〜・税別）、対策製品の導入支援は別料金として扱われます。
4. OT/IoTセキュリティ（アイディルートコンサルティング）
アイディルートコンサルティングのOT/IoTセキュリティは、工場の産業制御システム（OT）やIoT・IIoT環境を主な対象とする点が特徴です。製造業などの現場を想定し、資産調査から脆弱性評価、ポリシー策定、技術実装、運用までを一貫して支援します。
導入状況の把握には3段階のアセスメントを用意しており、約1時間の質問シートによる簡易診断、エビデンス調査を含み標準約2か月をかけるハイレベル・マルチフレームワーク診断、IEC 62443ベースで深さを調整する詳細診断から選べます。対応規格・ガイドラインはIEC 62443、NIST、CPSF（サイバー・フィジカル・セキュリティ対策フレームワーク）を公式に掲げています。
運用面では、CSIRT/SOCの構築やOT向けSOC（OTSOC）の運用までカバーし、異常検知の基盤としてNozomi Networksの導入・運用を支援します。提供会社はチェンジHDグループで、会社としてISO/IEC 27001を取得しています。料金は公式サイトに記載がなく、個別の問い合わせが必要です。
実機の脆弱性診断・ペネトレーションテスト型
実機やファームウェアを対象に、手を動かして弱点を突き止める6社です。
5. Hi AUDIT（TECHFUND）
株式会社TECHFUNDがセキュリティ監査事業として展開するブランドで、Webアプリケーションやスマートコントラクトの監査に加え、IoT機器や医療機器といったハードウェアのセキュリティ診断にも対応します。実機やファームウェアに対しては、専門家が手を動かすマニュアル診断・ペネトレーションテストで弱点を洗い出します。
診断は、ツールによる自動診断と専門家によるマニュアル診断を組み合わせるハイブリッド型を掲げています。ただし自動診断はスマートコントラクト・Web3領域を中心とするため、一般的なIoT機器・ハードウェアの診断は専門家の手動調査が軸になります。
レポート提出後も、脆弱性の修正方法の相談や修正後の再確認を、修正完了まで追加料金なしで並走する方針を示している点が特徴です。この並走の方針について、同社セキュリティ監査事業部の生田氏はカタログの独自インタビューで次のように説明しています。
見つけた脆弱性を放置せず、適切に対応していただくことが重要だと考えていますので、対応が終わるまで並走させていただくのが当社の方針です。多くの会社様から「珍しい」と言われますが、レポートを出して終わりという会社は結構多いのではないでしょうか。当社は、レポートの説明会、ご質問への回答、修正方法のご相談、「直したので見てほしい」というご依頼への対応を、追加料金なしですべて無料で行っています。（中略）脆弱性がたくさん出てくると、リソースがないために後回しになり、結局片付かないというケースは多いです。そこで、第三者が一緒にプランニングをすることが非常にポイントになります。
6. 脆弱性診断・セキュリティ診断サービス（ラック）
株式会社ラックは、1995年から脆弱性診断サービスを提供してきたセキュリティ専業の会社です。脆弱性を網羅的に洗い出す脆弱性診断と、攻撃者視点で侵入後の影響まで確かめるペネトレーションテストを区別して提供しており、診断メニューにはIoTデバイスペネトレーションテストも含まれます。
診断に加え、セキュリティ監視センター「JSOC」やサイバー救急センターを自社で持ち、攻撃側（レッドチーム）と防御側の両面の知見を組み合わせられる点を強みに挙げています。TLPT（脅威ベースのペネトレーションテスト）まで、価格・期間の異なるメニューを段階的にそろえています。
料金は対象の規模により変わり、情報システムペネトレーションテストは標準シナリオで700万〜1,000万円（税抜）、TLPTは1,000万円程度からと公表しています。
7. 脆弱性診断サービス（三井物産セキュアディレクション）
三井物産が100%出資するサイバーセキュリティ専門企業、三井物産セキュアディレクション株式会社が提供する脆弱性診断サービスです。組込み機器・IoT機器を対象とする専用メニューを持ち、機器管理用コンソールのWebアプリケーション診断、ネットワーク脆弱性診断・ペネトレーションテスト、独自仕様の通信やハードウェアの手動調査を組み合わせます。
IoT診断は、機器のヒアリングや貸出手続きを経て、診断作業を完全手動で実施する4ステップ（事前準備・診断・分析評価・報告）で進めます。これまでにJVN（脆弱性情報を公開する国内のデータベース）へ新規脆弱性を累計200件以上報告した実績があります。
工場やプラントの制御システムを対象とするOTセキュリティ評価も併設し、GICSP資格の保有者を含む専門家チームが、経済産業省のガイドラインをもとにしたチェックリストで現地の対策状況を確認します。料金は診断範囲・対象に応じた個別見積もりです。
8. セキュリティ診断（NTTセキュリティ・ジャパン）
エヌ・ティ・ティ・セキュリティ・ジャパン株式会社は、NTTグループでサイバーセキュリティを専業とする会社です。IoT領域では「IoTプロダクトセキュリティ」として、ドローン・カメラ・自立制御ロボット・工場向け制御システムなどを対象に、脅威分析・脆弱性診断・ペネトレーションテスト・通信解析を提供しています。
通信解析はプロトコル解析・トラフィック解析・通信セキュリティ診断・パケットキャプチャの4種をそろえ、OS・アプリ・ファームウェアを評価して対策立案まで支援するメニューもあります。あわせて業界規格・制度の認定取得支援も掲げています。
工場など制御システム向けには、OTセキュリティアセスメント（短期の「アセスメントquick」は期間1.5か月）やOT-IDS導入支援、24時間365日の監視まで用意します。料金はいずれも非公開で、個別見積もりとなります。
9. GMOサイバーセキュリティ byイエラエ
国内のホワイトハッカーを多数擁するGMOサイバーセキュリティ byイエラエ株式会社は、専門家の手動診断を中心としたペネトレーションテストを提供します。IoT領域では「IoTデバイス ペネトレーションテスト」として、ハードウェア解析・ソフトウェア解析・動的解析の3つを組み合わせます。
具体的には、基板上のマイコンのデバッグインタフェース検査、ファームウェアの逆アセンブル、通信のパケットキャプチャなどで弱点を調べます。対応実績の例にはスマートロックやネットワーク機器、ドローン、車両部品などがあり、ドローン・eVTOL（電動垂直離着陸機）向けには専用の診断メニューも設けています。
製品の認証に向けては、JC-STAR（国内のIoT製品ラベリング制度）の取得支援や、社内で★1評価を行えるようにする研修コースも用意しています。IoTデバイスの診断は、経済産業省の情報セキュリティサービス基準に適合するサービスとして情報セキュリティサービス台帳（機器検証サービス、登録番号019-0004-50）に登録されています。
10. SQAT（ブロードバンドセキュリティ）
株式会社ブロードバンドセキュリティが提供する脆弱性診断ブランド「SQAT（エスキュート）」のIoT向けメニューが「SQAT® for IoT」です。実機を使った動的解析で、IoTデバイス本体・デバイスを制御するスマホアプリ・デバイスとサーバ間のAPIという3点を一組で診断します。
ファームウェア・バイナリ解析、ファジング、ハードウェア解析、通信内容の解析などを機器の特性に合わせて選び、手動診断と独自の自動診断を組み合わせます。JC-STAR ★1の適合評価の受託にも対応し、IoTセキュリティ診断は情報セキュリティサービス基準の機器検証サービス（登録番号018-0038-50）に登録されています。
なお、IoT診断の再診断は有償オプションの扱いで、スマホアプリ診断ではiOSアプリが対象外とされています。料金はいずれも診断対象の数などに応じた個別見積もりです。
IoTセキュリティで対応すべき主な規格・制度
IoTセキュリティの支援先を選ぶうえで、自社がどの規格・制度に対応すべきかを把握しておくと、依頼内容を具体化しやすくなります。規格は対象とする製品の種類によって使い分けられるため、主要なものを対象・要点とあわせて整理します。
IEC 62443（産業用オートメーション・制御システム向け）
IEC 62443は、産業用オートメーション・制御システム（IACS、いわゆるOT）のセキュリティを対象とした国際規格シリーズです。
シリーズのうち、ISA/IEC 62443-4-1は製品開発者が守るべきセキュア開発ライフサイクルのプロセス要件（Secure product development lifecycle requirements）を定めています。
62443-4-2はIACSを構成するコンポーネントの技術的セキュリティ要件（Technical security requirements for IACS components）を扱い、両者は「開発の進め方」と「製品そのものの技術要件」という異なる役割を担います。
工場やプラントの制御機器・組込み機器を扱う場合に関わる規格で、一般の消費者向けIoT機器は後述のETSI EN 303 645が対象となります。
出典・参考資料（1件）
- 参考資料：ISA/IEC 62443 Series of Standards｜International Society of Automation（ISA公式）
ETSI EN 303 645（消費者向けIoT機器向け）
ETSI EN 303 645は、欧州電気通信標準化機構（ETSI）が策定した、消費者向けIoT機器のベースラインとなるセキュリティ要件です。スマートカメラやスマートスピーカー、ウェアラブル端末、コネクテッド家電など、ネットワークにつながる消費者向け機器を対象とし、13項目の基本要求で構成されています。
なかでも「共通の初期パスワードを使わない」ことを求める最初の要求は、以下のように定められています。
Where passwords are used and in any state other than the factory default, all consumer IoT device passwords shall be unique per device or defined by the user.
ETSI EN 303 645 V2.1.1 (2020-06) Provision 5.1-1
（パスワードを使用する場合、工場出荷時の初期状態以外では、すべての消費者向けIoT機器のパスワードは機器ごとに固有であるか、利用者が設定したものでなければならない。）
このほか「脆弱性の報告を受け付ける手段を用意する」「ソフトウェアを安全に最新へ保つ」といった要求を含み、国内のJC-STARや米国のNISTIR 8425とも調和するベースラインとして位置づけられています。
ISO/SAE 21434・UN-R155（自動車向け）
自動車に搭載される電気・電子（E/E）システムが対象となるのが、ISO/SAE 21434とUN-R155です。ISO/SAE 21434:2021は、車両のE/Eシステムについて、企画から開発・生産・運用・廃棄までのサイバーセキュリティリスク管理のエンジニアリング要件を定めた規格で、ISOとSAE Internationalが共同で2021年8月に発行しました。
特定の技術や解決策を規定するものではなく、リスク管理の進め方を定める点が特徴です。
一方のUN-R155（国連協定規則第155号）は、サイバーセキュリティマネジメントシステム（CSMS）の構築と車両型式認証を求める国連の規則で、ISO/SAE 21434はこのUN-R155が求めるプロセスを満たすための開発規格として対になります。
日本では国土交通省が国内に導入しており、適用時期は車両の種類で分かれています。無線によるソフトウェアアップデートに対応する車両は新型車が2022年7月1日・継続生産車が2024年7月1日、対応しない車両は新型車が2024年1月1日・継続生産車が2026年5月1日と定められています。
出典・参考資料（2件）
JC-STAR（日本のIoT製品ラベリング制度）
JC-STAR（セキュリティ要件適合評価及びラベリング制度）は、独立行政法人情報処理推進機構（IPA）が運営する、インターネットと通信できる幅広いIoT製品を対象とした国内の制度です。制度の位置づけは次のように説明されています。
ETSI EN 303 645やNISTIR 8425等の国内外の規格とも調和しつつ、独自に定める適合基準（セキュリティ技術要件）に基づき、IoT製品に対する適合基準への適合性を確認・可視化する、我が国の制度です。
IPA セキュリティ要件適合評価及びラベリング制度（JC-STAR）
適合レベルは★1から★4まであり、★1は全製品共通の最低限の要件をベンダーの自己適合宣言で満たすもの、★2は製品類型ごとの要件を★1に上乗せするもの、★3・★4は政府機関や重要インフラ向けに独立した第三者評価に基づいてIPAが認証・ラベルを交付するものと段階が分かれています。★1は2025年3月25日に申請受付を開始して運用中で、同年5月21日に初回のラベルが交付されました。
★2以上は製品類型ごとに順次開始される予定のため、最新の受付状況はIPAの公式情報で確認してください。
EU CRA（EU市場に出すデジタル製品向けの水平規制）
EUサイバーレジリエンス法（EU CRA、Regulation (EU) 2024/2847）は、EU市場に投入するデジタル要素を持つ製品（ソフトウェア・ハードウェア製品全般）を対象とした水平的な規制です。IoT単独の規格ではなく、消費者機器からアプリまで幅広い製品にセキュリティ要件を課す点が特徴です。
2024年12月10日に発効し、主要な義務の適用は2027年12月11日から、製造者による脆弱性などの報告義務は2026年9月11日から始まっています。EU市場向けにIoT製品を出す予定があるなら、早めに対応範囲を見極めておく必要があります。
出典・参考資料（1件）
- 参考資料：Cyber Resilience Act｜European Commission（欧州委員会公式）
IoTセキュリティ支援の進め方・標準期間・費用の考え方
依頼を具体化するうえで、支援がどのような工程で進み、どのくらいの期間・費用がかかるのかの目安も押さえておきましょう。会社やメニューによって差はありますが、おおまかな流れと費用の考え方を整理します。
進め方は、多くの会社で現状分析・ヒアリングから始まり、脅威分析・リスクアセスメントやセキュア設計支援、実機の脆弱性診断・ペネトレーションテストへと進み、結果の報告と対策の提案に至る流れが一般的です。すべてを一度に依頼する必要はなく、現状分析だけ、あるいは実機診断だけといった単位で依頼できる会社もあります。
期間は依頼する範囲で大きく変わります。公表している会社の例では、現状分析におおむね1か月程度、設計支援に数か月、実機の脆弱性診断に1〜2か月程度を見込むケースがありますが、いずれも対象機器の数やシステムの構成に応じて調整されます。
費用については、本記事で取り上げた会社の大半が個別見積もり型で料金を公表していません。見積もりは、診断対象となる機器やファームウェアの数、診断方式（机上評価か実機診断・ペネトレーションテストか）、対応する規格の範囲などによって決まります。複数社から見積もりを取る際は、同じ対象・同じ診断方式で条件をそろえて依頼すると比較しやすくなります。
あわせて、見つかった弱点の再診断が無償か有償オプションか、修正完了まで伴走するかどうかも、総額を見通すうえで確認しておきたいポイントです。
まとめ
IoTセキュリティコンサルティングサービスは、規格適合・認証取得の支援を主軸とするタイプ、脅威分析・リスクアセスメントから入る上流コンサル型、実機の脆弱性診断・ペネトレーションテストを手がけるタイプに大きく分かれます。
自社の課題が「規格への対応」「リスクの可視化と方針づくり」「実機の弱点検出」のどこにあるか、対象はIoT機器単体かシステム全体かOT・制御領域か、そして診断後の是正まで伴走を求めるかを整理すると、依頼先を絞り込みやすくなります。
料金は大半が個別見積もりのため、気になるサービスの資料を取り寄せ、同じ条件で複数社に相談するところから始めるのがおすすめです。
一括ダウンロードする
よくある質問（FAQ）
Q. IoTセキュリティコンサルティングとは何ですか？
A. IoTセキュリティコンサルティングとは、ネットワークにつながるIoT機器やシステムのセキュリティ上の弱点を外部の専門家が洗い出し、対策を固めるまでを支援するサービスです。具体的な支援は、脅威分析・リスクアセスメント、セキュア設計支援、規格適合・認証取得支援、実機の脆弱性診断・ペネトレーションテストに整理でき、どれを主軸に置くかは会社によって異なります。
自社の課題が「規格への対応」「リスクの可視化と方針づくり」「実機の弱点検出」のどこにあるかで、向いている依頼先が変わります。
Q. IoTセキュリティコンサルの費用相場はどのくらいですか？
A. IoTセキュリティコンサルの費用は、本記事で取り上げた会社の大半が個別見積もり型で公表していません。見積もりは、診断対象となる機器やファームウェアの数、診断方式（机上評価か実機診断・ペネトレーションテストか）、対応する規格の範囲などによって決まります。
数少ない公表例では、情報システム全般のペネトレーションテストで標準シナリオ700万〜1,000万円（税抜）程度、脅威ベースのペネトレーションテスト（TLPT）で1,000万円程度からといった水準が示されています。
ただしこれらは情報システム全般やペネトレーションテストの公表額で、IoT機器単体の診断費用はこれより幅があり、対象とする機器やファームウェアの数・診断方式で変わります。複数社から見積もりを取る際は、同じ対象・同じ診断方式で条件をそろえて依頼すると比較しやすくなります。
Q. IoTセキュリティの机上のリスクアセスメントと実機の脆弱性診断は何が違いますか？
A. 机上のリスクアセスメントは資料やデータフローをもとに脅威とリスクを可視化して対策方針を描く評価で、実機の脆弱性診断は機器やファームウェアを実際に操作して弱点を突き止める評価です。
設計段階で作り込みの方向性を決めたい段階には上流のリスクアセスメントから入る会社が、開発が進んで実物がある・出荷前に最終確認したい段階には実機の脆弱性診断・ペネトレーションテストを手がける会社が向きます。両方を一社で担える会社もあるため、開発ライフサイクルの今いる段階とこの先どこまで依頼したいかを想定して選ぶとよいでしょう。
Q. IoTセキュリティコンサルは工場のOT・制御システムも診てもらえますか？
A. IoTセキュリティコンサルの中には、工場やプラントのOT（制御システム）・産業制御システムを対象にできる会社があります。上流のリスクアセスメント型にはOT・制御領域を主な対象とする会社があり、実機診断型にもOTセキュリティ評価を併設する会社があります。どの会社が対応するかは、比較表の「対象レイヤー」列で確認できます。
OT・産業制御は稼働を止められない・独自プロトコルが多いといった事情から一般的なIT診断とは勘所が異なるため、制御領域の実績がある会社かどうかを確かめて選ぶのが安全です。
Q. JC-STARのラベル取得にはどのIoTセキュリティコンサルを使えばよいですか？
A. JC-STARの取得・適合評価には、規格適合・認証取得支援型や実機診断型の一部のサービスが対応します。★1の取得支援、社内で★1評価を行えるようにする研修、★1の適合評価の受託など、対応の形はサービスによって異なります。どの会社が対応するかは、比較表の「対応規格・制度」列で確認できます。
★1は全製品共通の最低限の要件をベンダーの自己適合宣言で満たすもので、★2以上は製品類型ごとに順次開始される予定のため、最新の受付状況はIPAの公式情報で確認してください。
Q. IoTセキュリティコンサルは診断後の修正・是正まで対応してくれますか？
A. 診断後の修正・是正まで伴走するかどうかは会社ごとに異なります。修正完了まで追加料金なしで並走する方針を示す会社もあれば、再診断が有償オプションの会社もあります。各社の対応は、比較表の「是正・修正の伴走／再診断」列で確認できます。
報告書を受け取っても修正方針の相談先がないと対応が止まりがちなので、再診断の費用（無償か有償オプションか）や修正完了まで並走するかどうかを見積もりの段階で確認しておくと、対策をやり切るまでの総額を見通せます。
Q. 自社のIoT製品はどの規格・制度に対応すべきですか？
A. 対応すべき規格は、製品の種類と販売先によって決まります。工場・プラントの制御機器や組込み機器ならIEC 62443、消費者向けIoT機器ならETSI EN 303 645、自動車部品ならISO/SAE 21434とUN-R155、EU市場に出す製品ならEU CRA、国内でIoT製品のセキュリティを示したいならJC-STARが主な対象です。
まずは取引先との契約や出荷先の市場で特定の規格への適合が条件になっているかを確認し、該当する規格のギャップ分析や認証・申請の実績を持つ会社を選ぶと、適合の手戻りを減らせます。
IoTセキュリティコンサルの料金・資料を一括チェック
MCB FinTechカタログでは、IoT機器・IoTシステムのセキュリティ評価や脆弱性診断に対応するサービスの最新資料を無料で一括請求できます。支援範囲や診断方式、対応規格を見比べて、自社の課題に合う依頼先を効率的に検討できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
