自社で開発・製造するIoT機器や組み込み機器について、出荷前に第三者の侵入テストを通すべきか検討していませんか。スマート家電や産業機器、車載・医療機器がネットワークにつながるほど、攻撃者に狙われる経路は増えます。取引先からのセキュリティ要件や各国の規制強化を背景に、リリース前に「攻撃が本当に成立しないか」を実機で確かめる動きが広がっています。
一方で、IoTのペネトレーションテストは基板の解析からファームウェアの読み出し、無線通信の検証まで診断の幅が広く、会社ごとに得意な領域や診断の深さが異なります。自社の機器と目的に合った依頼先を、どのような観点で見極めればよいのでしょうか。
本記事では、IoTペネトレーションテストに対応する主要なサービスを比較・解説します。診断範囲（ハードウェア・ファームウェア・動的解析）や費用相場に加え、依頼先を選ぶ6つのポイントと、CRA（サイバーレジリエンス法）やJC-STARなど製品セキュリティに関わる規制・公的基準への対応を整理しました。
IoT・組み込み機器を開発・製造する企業が、リリース前に任せる1社を判断するための材料としてご活用ください。
また、自社の機器や目的に合ったサービスを最短で見つけられるよう、「30秒で終わる選定診断ツール」をご用意しています。ぜひこちらもご活用ください。
目次
一括ダウンロードする
IoTペネトレーションテストとは？脆弱性診断との違いと使い分け
IoTペネトレーションテスト（侵入テスト）とは、ネットワークにつながるIoT機器・組み込み機器に対して、攻撃者と同じ手口で実際に侵入や悪用を試み、守りが破られないかを確かめる診断です。カタログ上の仕様やソフトウェアだけでなく、基板やチップといった物理的な層、機器内部で動くファームウェア、機器とクラウドをつなぐ通信までを対象に、現実の攻撃が成立するかどうかを実機で検証します。
IoT機器が狙われる経路は、一般的なWebシステムより広がります。製品を分解して基板上の端子に接続する、チップからファームウェアを吸い出して解析する、無線通信を傍受して改ざんするといった、機器ならではの攻撃が加わるためです。出荷後にファームウェアを更新しにくい製品や、長期間現場で稼働し続ける産業機器では、出荷前にこうした弱点を潰しておく重要性が高まります。
脆弱性診断とペネトレーションテストの違い
脆弱性診断は、既知の弱点が残っていないかを網羅的に洗い出す診断です。ツールや手動のチェックで対象を広くスキャンし、見つかった弱点を一覧化します。
これに対してペネトレーションテストは、特定の攻撃シナリオ（たとえば「外部から機器に侵入し、別の機器へ横展開できるか」）を立て、その攻撃が実際に成立するかを深く検証します。弱点の数を数えるのではなく、悪用までの一連の流れを再現して「本当に危険か」を見極める点が違いです。
どちらを依頼すべきかは、自社の状況によって変わります。まず自社製品にどのような弱点があるかを幅広く把握したい段階なら、脆弱性診断から始めるのが現実的です。
一方、攻撃が成立するかを実機で確かめたい、リリースの可否を判断したい、取引先や規制対応の証跡として第三者のテスト結果を残したいといった段階では、攻撃シナリオに沿って深く検証するペネトレーションテストが適しています。多くの診断会社は両方を提供しており、機器の重要度や開発フェーズに応じて組み合わせられます。
脆弱性診断とペネトレーションテストのどちらを選ぶかは、IoT機器に限らずセキュリティ診断全般に共通する論点です。2つの手法の目的・費用・選び方の違いをあらためて整理したい場合は、次の記事で詳しく解説しています。
IoTペネトレーションテストの診断範囲（ハードウェア・ファームウェア・動的解析）
ここからは、IoTペネトレーションテストで何をどこまで診てもらえるのかを整理します。診断は大きく、機器そのものを物理的に調べるハードウェア解析、機器内部のプログラムを調べるファームウェア・ソフトウェア解析、稼働中の機器の挙動を調べる動的解析の3つのアプローチに分かれます。会社によって得意なアプローチが異なるため、自社の機器でどこまで必要かを見極めることが、依頼先選びの土台になります。
ハードウェア解析（基板・チップ・デバッグポート等）
ハードウェア解析では、機器を分解して基板やチップを直接調べます。基板上に残されたデバッグ用の端子（UARTやJTAGなど）から内部にアクセスできないか、メモリチップからファームウェアや暗号鍵を取り出せないか、セキュアブートや耐タンパ性といった物理的な保護が有効に働いているかを検証します。
製品を手にした攻撃者が分解して中身を調べる、という現実的な脅威に対応する領域です。専用の機材と組み込み機器の知見が必要になるため、ここに対応できるかは会社によって差が出ます。
ファームウェア・ソフトウェア解析
ファームウェア・ソフトウェア解析では、機器内部で動くプログラムを取り出して中身を調べます。ファームウェアを抽出してリバースエンジニアリングし、ハードコードされたパスワードや認証情報が埋め込まれていないか、古くて脆弱なライブラリが使われていないか、暗号処理が正しく実装されているかを確認します。
IoT機器では、出荷時の初期パスワードがそのまま残る、更新の仕組みが安全でないといった弱点が繰り返し問題になっており、プログラムの内部まで踏み込む解析が欠かせません。
動的解析（通信・稼働中の挙動）
動的解析では、電源を入れて実際に動いている機器の挙動を調べます。機器とサーバー・スマートフォンアプリの間でやり取りされる通信を傍受・改ざんできないか、無線（Wi-Fi・Bluetooth・独自プロトコルなど）の通信に弱点がないか、クラウド連携のAPIや認証を突破できないかを検証します。
機器単体では問題がなくても、通信やクラウドと組み合わさったときに攻撃経路が生まれることがあるため、システム全体を動かしながら確かめる視点が必要です。
対象となるIoT機器・組み込み機器
診断の対象になる機器は幅広く、スマート家電やネットワークカメラ、ルーター・ゲートウェイといった身近な機器から、車載機器、医療機器、工場の産業制御機器、ドローンまで含まれます。
機器の種類によって求められる専門性は大きく異なり、たとえば車載は機能安全や車載ネットワークの知見、医療機器は関連規制への理解が前提になります。自社の機器がどの分野に当たるかを押さえ、その分野の診断実績がある会社を選ぶことが、精度の高い診断につながります。
IoTペネトレーションテスト依頼先の選び方
ここからは、IoTペネトレーションテストの依頼先を選ぶ際に確認したい観点を整理します。各社の強みは公式サイトの表現だけでは比べにくいため、次の6つの観点に分解して見ると、自社の機器と目的に合うかを判断しやすくなります。
1つ目は、解析アプローチの網羅度です。ハードウェア解析・ファームウェア解析・動的解析のうち、どこまで自前で対応できるかは会社によって差があります。ソフトウェアや通信の診断が中心で、基板やチップの物理的な解析までは手がけない会社もあります。自社の機器で物理的な攻撃まで想定する必要があるなら、ハードウェア解析に対応しているかが重要な分かれ目になります。
2つ目は、得意な対象機器です。車載・医療・産業機器・スマート家電など、どの分野の診断実績が豊富かを確認することが重要です。自社の機器と近い領域の実績がある会社ほど、その分野特有の攻撃手法や規制を踏まえた診断が期待できます。実績の分野は、公式サイトの事例や対応業界の記載から読み取れます。
3つ目は、公的基準・認証への適合です。診断会社そのものが、経済産業省の「情報セキュリティサービス基準」に適合しているかは、品質を外から確かめる手がかりになります。適合した会社は「情報セキュリティサービス基準適合サービスリスト」に掲載されます。詳しくは後述の規制・公的基準への対応で解説します。
4つ目は、費用感です。IoTのペネトレーションテストは個別見積りが基本で、対象機器の数や診断範囲によって費用が大きく変わります。あらかじめ費用の目安や見積りの考え方を把握し、自社の予算や稟議の進め方と合うかを確認しておくと、依頼後の調整がスムーズになります。
5つ目は、報告書や報告会などの納品物です。検出した弱点の再現手順やリスク評価、改善提案がどこまで具体的に示されるか、報告会で開発担当者が直接質問できるかは、診断後の対応のしやすさを左右します。報告書のサンプルを公開している会社なら、事前に粒度を確かめられます。
6つ目は、保険や再診断などの付加価値です。診断後に改善した箇所を無償で再診断できるか、サイバーリスクに備えた保険が付帯するか、バックドアの有無を確認する専用の診断を用意しているかなど、本体の診断に加わるサービスも会社ごとに異なります。自社が診断後にどこまでのフォローを求めるかで、重視する度合いが変わります。
これらの観点をふまえた各社の比較は、後述の比較表で一覧にまとめています。自社がどの観点を重視すべきか、どのサービスが適しているかの判断が難しい場合は、状況に合わせて最適なサービスを最短で見つけられる「30秒で終わる選定診断ツール」を以下にご用意しています。ぜひこちらもご活用ください。
一括ダウンロードする
【比較表】IoTペネトレーションテスト対応サービスの比較
ここからは、IoTペネトレーションテストに対応する主要なサービスを一覧で比較します。解析アプローチの網羅度・得意な対象機器・公的基準への適合・費用の目安・納品物や付加価値といった観点で、自社の課題や要件に合わせて客観的に選定できるよう整理しました。各サービスの詳細は、表の下の個別紹介もあわせてご確認ください。
| サービス名 | Hi AUDIT（TECHFUND） | IoTデバイスペネトレーションテスト（ラック） | IoTデバイスペネトレーションテスト（GMOサイバーセキュリティ byイエラエ） | SQAT®（ブロードバンドセキュリティ） | 組み込み機器・IoTセキュリティ診断（サイバーディフェンス研究所） | IoT脆弱性診断・ペネトレーションテスト（ベルウクリエイティブ） | IoTペネトレーションテストサービス（NXTech） | IoT脆弱性診断サービス（バルテス） |
|---|---|---|---|---|---|---|---|---|
| 解析アプローチ | IoT機器・医療機器などハードウェアを対象に診断（ツールと手動のハイブリッド） ※解析手法の内訳は非公開 | ハードウェア（基板）・ファームウェア・動的（通信）・スマホアプリ解析に対応 | ハードウェア・ファームウェア（ソフトウェア）・動的解析に対応 | ハードウェア・ファームウェア（バイナリ）・動的（実機）解析に対応 | ハードウェア（基板）・ファームウェア・動的（通信・堅牢性）解析に対応 | リスクアセスメント・脆弱性診断・ペネトレーションテストを一体で提供 ※手法の内訳は非公開 | ハードウェア・ファームウェア・動的解析を組み合わせた手動テスト ※各手法の詳細は非公開 | 手動診断（IoT専属診断員が機器特性に合わせてカスタマイズ） ※解析手法の内訳は非公開 |
| 得意な対象機器 | IoT機器・医療機器（Web・Web3も対応） | 車載・医療機器・通信・住宅・運航系（車載ユニット・監視カメラ・ドローン等の実績） | ゲーム機・スマートロック・スマート家電・ドローン・ヘルスケア機器・車両部品等 | スマートタグ・スマートロック・防犯IoTセンサー・スマートTV・無線LAN機器等 | スマート家電・医療機器・産業機器・ドローン・スマートグリッド等（交通・宇宙・防衛・農業も） | ネットワーク機器・IPカメラ・NVR・スマートシティ／ファクトリーのIoT機器 | 公式に記載なし（要問い合わせ） | POSレジ・カーナビ・ドアホン・サイネージ・ドローン・VR等（100件以上の実績） |
| 公的基準・認証への適合 | 公式に記載なし | 情報セキュリティサービス基準適合サービスリストに登録 ETSI EN 303 645／TS 103 701・NISTに準拠 | 情報セキュリティサービス基準適合（機器検証サービス 019-0004-50） | 情報セキュリティサービス基準適合（機器検証サービス 018-0038-50） JC-STAR★1適合評価に対応 | 情報セキュリティサービス基準適合（機器検証サービス 018-0006-50、審査機関JASA） | 情報セキュリティサービス基準適合（2024年6月登録） セキュアIoTプログラム指定検査事業者 | 公式に記載なし | IoT診断固有の記載なし |
| 費用の目安 | 要問い合わせ（個別見積り） | 500万円程度〜（個別見積り） | 要問い合わせ（個別見積り） | 要問い合わせ（個別見積り） | 要問い合わせ（個別見積り） | 要問い合わせ（個別見積り） | 要問い合わせ（個別見積り） | 要問い合わせ（個別見積り） |
| 納品物・付加価値 | 報告書／説明会・修正相談・再診断を対応完了まで追加料金なし | 報告書・報告会（2時間程度）／報告書サンプルを公開 | バックドア診断オプション（サプライチェーンリスク対応）／ソースコード提供不要 | 報告書・報告会／JC-STAR★1のチェックリスト作成・証跡提供 | 報告書（危険度・攻撃分析・推奨対策）・報告会／速報通知・全国オンサイト対応 | JC-STAR取得支援／CRA・IEC62443・ISO/SAE 21434を踏まえた診断 | 公式に記載なし（サービス資料PDF・問い合わせで確認） | 報告書（修正方法まで記載）／サイバーリスク保険1年自動付帯（東京海上日動・最大1,000万円） |
| 詳細情報 | 公式資料を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | 公式サイト | 公式サイト | 公式サイト | 公式サイト |
ここまではIoT・組み込み機器に特化した侵入テストを比較してきました。サーバーやWebアプリケーションも含め、脆弱性診断サービス全体を見渡して依頼先を比較検討したい場合は、以下の記事で診断方法・費用相場・選び方とあわせて主要なサービスを整理しています。
IoTペネトレーションテストの費用相場
IoTペネトレーションテストの費用は、ほとんどの会社が個別見積りとしており、料金を公開している例は限られます。これは、対象となる機器や診断する範囲によって必要な工数が大きく変わり、一律の相場を示しにくいためです。
公開されている数少ない目安としては、基板からファームウェア、通信、スマートフォンアプリまで含めて深く診断するフルスコープのサービスで、500万円程度からとする会社があります。これは診断範囲を広くとった場合の水準で、ソフトウェアや通信の診断に絞る、対象機器を限定するといった形で範囲を狭めれば、費用はこれより下がります。
費用の大きさを左右するのは、対象機器の数と種類、診断するアプローチの範囲、そして解析の深さです。とくに基板の物理解析やチップからのファームウェア抽出といった作業を含めるほど、工数が増えて費用は上がります。
各社の見積りを比べやすくするには、依頼する前に次の3点を自社で固めておくと役立ちます。診断したい機器の種類と台数、想定する攻撃（どのような脅威を試してほしいか）、そして解析の深さ（基板の物理解析まで含めるか、ソフトウェアや通信の診断にとどめるか）です。これらをそろえて同じ条件で見積りを依頼すれば、各社の費用と診断範囲を同じ土俵で比較できます。
IoTペネトレーションテストに対応する主なサービス
ここからは、比較表で取り上げた各サービスの特徴や対応範囲、診断実績を個別に紹介します。自社の機器や目的に照らしながら、依頼先の候補を絞り込む材料としてご覧ください。
1. Hi AUDIT（株式会社TECHFUND）
株式会社TECHFUNDが「Hi AUDIT」ブランドで展開するセキュリティ診断サービスです。Webサービスやアプリケーションの診断に加え、Web3のスマートコントラクト監査、さらにIoT機器や医療機器といったハードウェアまでを対象に、攻撃されたときに何が起きるかという視点でリスクを洗い出します。
診断はツールによる自動診断と専門家の手動診断を組み合わせるハイブリッド型で、脆弱性の報告だけで終わらせず、悪用された場合の攻撃シナリオと事業への影響まで整理して伝える点を同社は重視しています。
レポート提出後も、説明会や修正方法の相談、修正後の再確認を対応完了まで追加料金なしで続ける方針を掲げています。IoT機器向けの診断範囲や手法の細部は個別見積りとなるため、自社の機器と開発フェーズに合わせて相談するとよいでしょう。
欧州へ製品を出荷する製造業からは、CRAなど現地の規制に対応できるかという相談も寄せられています。同社の生田氏は次のように話しています。
最近では、製造業で欧州に出荷する企業様から、欧州独自の規制に対応できるかというご相談もよくいただいています。要求事項を出したうえで、すべてに対応できているかをチェックできます。
2. IoTデバイスペネトレーションテスト（株式会社ラック）
1995年から診断サービスを手がける株式会社ラックが、IoT機器とそのシステムへの侵入テストとして提供するメニューです。基板の確認、ファームウェア解析、通信のモニタリング、スマートフォンアプリの解析という4つのアプローチで侵入口を探し、実際に侵入できるかを疑似的に試します。ソースコードがなくてもバイナリ解析で調査できます。
対象は通信・自動車・医療機器・住宅・運航系など幅広く、車載ユニットや監視カメラ、医療機器、ドローンなどの調査実績があります。診断はJASAの情報セキュリティサービス基準適合サービスリストに登録され、ETSI EN 303 645／TS 103 701やNISTのIoT製品向けラベリング基準に準じて実施されます。
費用は500万円程度から、機器の機能やシステムの規模に応じた個別見積りです。標準の実施期間は1〜2カ月で、作業終了後に報告書を提出し、2時間程度の報告会を開催します。報告書のサンプルも公開されており、依頼前に納品物の粒度を確かめられます。
3. IoTデバイスペネトレーションテスト（GMOサイバーセキュリティ byイエラエ株式会社）
機器を分解して基板を調べるハードウェア解析、ファームウェアを逆アセンブルするソフトウェア解析、通信経路を検証する動的解析の3つを組み合わせて診断します。提供元は、GMOインターネットグループのGMOサイバーセキュリティ byイエラエ株式会社です。
評価観点は、通信やAPI・Webアプリ、OS・ライブラリ、セキュアブート、ハードウェア、プライバシー情報の漏えいなど6分類で整理されています。ゲーム機やスマートロック、ドローン、ヘルスケア機器、車両部品などの対応実績があり、スマートロックの導入事例も公開されています。
ファームウェアに潜む悪意あるコードを調べるバックドア診断をオプションで用意し、OEM・代理店販売などサプライチェーン起因のリスクにも踏み込みます。経済産業省の情報セキュリティサービス基準には機器検証サービスとして適合しています（登録番号019-0004-50）。ソースコードの提供は不要で、バイナリ解析で診断できます。
4. SQAT®（株式会社ブロードバンドセキュリティ）
SQAT®（エスキュート）は、セキュリティ専業の株式会社ブロードバンドセキュリティが展開する脆弱性診断ブランドです。IoT向けには「IoTセキュリティ診断（SQAT® for IoT）」を用意し、実機を使った動的解析で、不正操作・情報の窃取・踏み台化が成立するかを確認します。
診断はIoTデバイス本体・制御用スマホアプリ・デバイスとサーバ間通信（API）の3点で構成され、ファームウェア・バイナリ解析やハードウェア解析、通信内容の解析などから機器に合わせて項目を選びます。評価はCVSSやOWASP Top 10などの基準に独自基準を加えてランク付けします。
2026年には「IoTセキュリティ診断」を拡充し、JC-STARの★1適合評価の受託やチェックリスト作成、証跡提供に対応しました。同診断は情報セキュリティサービス基準の機器検証サービスに登録されています。費用は対象数などに応じた個別見積りです。
5. 組み込み機器・IoTセキュリティ診断（株式会社サイバーディフェンス研究所）
株式会社サイバーディフェンス研究所の組み込み機器・IoTセキュリティ診断は、基板やIC、無線通信、ファームウェア、Webインターフェースまで、物理層からアプリケーション層までを一貫して対象とします。機器単体の解析に加え、通信機能やネットワークサービスへの擬似攻撃、異常パケットによる堅牢性（ロバストネス）評価も行います。
物理的アクセスやファームウェアの改ざん、ネットワーク経由の攻撃、サプライチェーン攻撃など5つの脅威シナリオを想定し、診断項目を機器ごとにカスタマイズします。攻撃に使うツールや治具は、必要に応じて自社で開発します。対象はスマート家電や医療機器、産業機器、ドローンなど多岐にわたります。
経済産業省の情報セキュリティサービス基準には機器検証サービスとして適合しています（登録番号018-0006-50、審査機関はJASA）。危険度の高い脆弱性は診断中に速報で通知し、報告書の納品後は希望に応じて報告会を実施します。全国に対応し、オンサイト作業にも柔軟に応じます。
6. IoT脆弱性診断・ペネトレーションテスト（株式会社ベルウクリエイティブ）
株式会社ベルウクリエイティブは、IoT機器を対象にリスクアセスメント（脅威分析）・脆弱性診断・ペネトレーションテストを一体で提供しています。ネットワーク機器やIPカメラ、ネットワークビデオレコーダーのほか、スマートシティやスマートファクトリーで使われるIoT機器を主な対象としています。
診断はセキュアバイデザインの考え方や、IEC62443、ISO/SAE 21434といった標準を踏まえて実施するとされ、EUのサイバーレジリエンス法（CRA）やJC-STARなど規制・ラベリングへの対応を前面に打ち出しています。2025年にはJC-STARの取得支援サービスも始めています。
公的な認定としては、2023年に「セキュアIoTプログラム」の指定検査事業者、2024年に情報セキュリティサービス基準への適合を受けています。費用は公開されておらず、診断範囲や手法の詳細は問い合わせで確認する形です。
7. IoTペネトレーションテストサービス（NXTech株式会社）
SAAFホールディングスグループのNXTech株式会社が提供するIoTペネトレーションテストサービスです。ハードウェア解析・ソフトウェア（ファームウェア）解析・動的解析の3つを組み合わせ、専門家が手動で侵入を試みて、想定した脅威が実現しないかを確認します。
ホワイトハッカーがネットワーク経由だけでなくハードウェア面からも侵入を試み、防御機構や検知体制、ログ機能を検証します。公式サイトでは、脆弱性診断を「家の外周の点検」、ペネトレーションテストを「泥棒役が実際に侵入を試みる」ことにたとえ、両者の違いを説明しています。
対象機器や費用、診断実績、公的基準への適合といった詳細は公式ページでは公開されておらず、現時点では他社と並べて比較できる材料が少ない状態です。検討する場合は、サービス資料（PDF）の請求や問い合わせを通じて、診断範囲や実績を直接確認する必要があります。
8. IoT脆弱性診断サービス（バルテス株式会社）
ソフトウェアの第三者検証を母体とするバルテス株式会社が提供する、IoT機器向けの手動診断サービスです。IoTを専門とする診断員が機器の特性に合わせて診断をカスタマイズし、リスクの大きいものから小さいものまで体系立てて検出します。
報告書にはリスクの内容に加えて修正方法まで記載され、POSレジやカーナビ、ドアホン、デジタルサイネージ、ドローン、VRシステムなど、100件以上の診断実績があります。運営はバルテス・ホールディングスグループで、東証グロース市場に上場しています。
特徴的なのは、診断完了後に東京海上日動火災保険のサイバーリスク保険が1年間自動で付帯する点です。補償は最大1,000万円で、期間中にサイバー事故が起きた際の被害調査やデータ復旧などの費用に充てられます。費用は個別見積りです。
依頼から報告までの流れと納品物
IoTペネトレーションテストは、一般的に次のような流れで進みます。まず対象機器や目的をヒアリングして診断範囲と攻撃シナリオを決め、見積りとスケジュールの合意後に対象機器や関連資料を診断会社へ渡します。取り決めた範囲で診断が実施され、検出された弱点をまとめた報告書が納品されたうえで、希望に応じて報告会で結果の説明を受けられます。
診断の成果物となるのが報告書です。報告書には、検出した弱点の内容、攻撃を再現する手順、危険度の評価、そして改善のための提案が記載されます。開発担当者が内容を正確に理解できるよう、報告会で直接質問できる会社や、改善後に無償で再診断を行う会社もあります。報告書のサンプルを事前に公開している会社なら、納品物の粒度を依頼前に確かめられます。
規制・公的基準への対応（CRA・JC-STAR・情報セキュリティサービス基準適合リスト・OWASP ISTG 等）
IoTペネトレーションテストは、取引先からの要求や各国の規制に対応するための裏づけとしても使われます。ここでは、依頼先選定の手がかりになる公的基準と、製品セキュリティに関わる規制・標準を整理します。
情報セキュリティサービス基準適合サービスリスト
診断会社の品質を外から確かめる手がかりが、経済産業省の「情報セキュリティサービス基準」への適合です。適合が認められた会社は「情報セキュリティサービス基準適合サービスリスト」に掲載されます。IoTの侵入テストに関係する区分としては、「脆弱性診断サービス」と「機器検証サービス」があり、ペネトレーションテスト（侵入試験）は独立した区分ではなく、脆弱性診断サービスのオプションとしてリスト上に示されます。
このリストは、各審査登録機関が基準への適合性を審査し、事業者からの誓約書の提出を経て掲載される仕組みです。独立行政法人情報処理推進機構（IPA）は審査・判定には関与せず、審査・判定の運営は特定非営利活動法人日本セキュリティ監査協会（JASA）が担っています。依頼先がどの区分でリストに掲載されているかを確認すると、その会社が公的な基準に沿った体制を備えているかを判断しやすくなります。
出典・参考資料（1件）
CRA（EUサイバーレジリエンス法）
欧州連合（EU）のサイバーレジリエンス法（Cyber Resilience Act、CRA。Regulation (EU) 2024/2847）は、ネットワークにつながるデジタル要素を持つ製品に対し、市場に出す前のセキュリティ要件への適合やCEマーキングを求める規則です。
欧州委員会によると、CRAは2024年12月10日に施行され、主要な義務は2027年12月11日から適用されます。インシデントの報告義務は、それより早く2026年9月11日から適用されます。
CRAは、製造者のセキュリティ要件の遵守や適合性評価を定める規則であり、外部の会社によるペネトレーションテストの実施そのものを義務づけているわけではありません。
ただし、EU市場に製品を出すメーカーにとって、第三者による侵入テストは要件を満たしているかを確かめ、取引先や当局に対して対応の証跡を示すための有効な手段になります。EUへの輸出を見据える場合は、CRAの要件を意識した診断範囲を依頼先と相談するとよいでしょう。
出典・参考資料（1件）
JC-STAR（セキュリティ要件適合評価及びラベリング制度）
国内では、IoT製品のセキュリティ水準を評価して表示する制度として、「セキュリティ要件適合評価及びラベリング制度（JC-STAR）」が始まっています。IPAによると、JC-STARは2025年3月25日に運用を開始しました。
評価は★1から★4までの4段階で、水準によって評価の方法が異なります。★1と★2はベンダーによる自己宣言で適合を示すのに対し、★3と★4は政府機関や重要インフラでの利用を想定し、独立した第三者が評価します。
自社製品でより上位のラベル取得を目指す場合、第三者の評価が求められる★3・★4では、外部の診断の活用が選択肢になります。IoT機器メーカーにとっては、自社製品がどの水準のラベルを狙うかによって、依頼する診断の範囲や位置づけが変わってきます。
出典・参考資料（1件）
国際標準・ガイドライン（ETSI EN 303 645・ISO/IEC 27400・OWASP）
診断の観点や製品の設計の拠り所になる国際的な標準・ガイドラインもあります。ETSI EN 303 645は、消費者向けIoT機器のセキュリティに関するベースライン要件を示す欧州標準です。
スマート家電やウェアラブル機器などの消費者向け機器が対象で、車載・医療・産業機器はこの標準の主な対象ではなく、それぞれ別の標準が用いられます。ISO/IEC 27400:2022は、IoTのセキュリティとプライバシーに関するリスクや管理策のガイドラインを示す国際標準です。
診断の手法や観点の体系としては、OWASP（The OWASP Foundation）が公開する「IoT Security Testing Guide（ISTG）」があり、IoT機器を対象としたテストの観点や手法が整理されています。
あわせて、OWASPが2018年に公表した「OWASP IoT Top 10」は、ハードコードされたパスワードや安全でないネットワークサービスなど、IoTで優先度の高い弱点を示す代表的な指標として参照されます。依頼先がこうした標準やガイドラインをどう診断に取り入れているかも、診断の網羅性を測る手がかりになります。
出典・参考資料（4件）
- 参考資料：ETSI EN 303 645 V2.1.1 (2020-06) Cyber Security for Consumer Internet of Things: Baseline Requirements｜ETSI
- 参考資料：ISO/IEC 27400:2022 Cybersecurity — IoT security and privacy — Guidelines｜ISO
- 参考資料：OWASP IoT Security Testing Guide｜The OWASP Foundation
- 参考資料：OWASP Internet of Things (Top 10 2018)｜The OWASP Foundation
まとめ
IoTペネトレーションテストは、ネットワークにつながる機器に対して攻撃者の目線で侵入を試み、出荷前に弱点を潰すための診断です。診断はハードウェア解析・ファームウェア解析・動的解析の3つのアプローチに分かれ、会社ごとに得意な領域や診断の深さが異なります。
依頼先を選ぶ際は、解析アプローチの網羅度・得意な対象機器・公的基準への適合・費用感・納品物・付加価値の6つの観点から、自社の機器と目的に合うかを見極めることが大切です。
CRAやJC-STARをはじめ、製品セキュリティに関わる規制や制度は整備が進んでいます。取引先や規制への対応の証跡としても、第三者による侵入テストの価値は高まっています。本記事の比較表や各サービスの資料を活用し、自社に合った依頼先の検討を進めてください。
一括ダウンロードする
よくある質問（FAQ）
Q. IoTペネトレーションテストとは何ですか？
A. IoTペネトレーションテストとは、IoT機器・組み込み機器に対して攻撃者と同じ手口で実際に侵入や悪用を試み、守りが破られないかを検証する診断です。
基板やチップといった物理的な層から、機器内部で動くファームウェア、機器とクラウドをつなぐ通信までを対象に、現実の攻撃が成立するかを実機で確かめます。見つかった弱点を一覧化する脆弱性診断と異なり、攻撃が本当に成立するところまで踏み込んで検証する点が特徴です。
Q. IoTペネトレーションテストの依頼には何を準備すればよいですか？
A. 診断対象となる実機（デバイス）と、その動作環境の提供が基本です。基板を分解して調べるハードウェア解析を含む場合は、分解用・動作用・予備として複数台（目安として3台程度）の提供を求められることがありますが、1台しか用意できない場合でも相談に応じる会社があります。
このほか、機器の仕様書や構成情報など、診断範囲を検討するための資料を求められるのが一般的です。
Q. IoTペネトレーションテストにファームウェアのソースコードは必要ですか？
A. ソースコードがなくても、多くの会社はファームウェアのバイナリ解析で診断できます。ソースコードの提供を前提とせず、バイナリ解析で診断を行う会社が多く見られます。ただし、ファームウェアのバイナリ（実行形式のデータ）については、作業を効率化するために提供を依頼される場合があります。
Q. IoTペネトレーションテストの期間はどのくらいかかりますか？
A. 対象機器の数や診断範囲によって変わりますが、公開されている例では標準で1〜2カ月程度とされています。基板の物理解析やチップからのファームウェア抽出など、手間のかかる作業を含めるほど期間は長くなります。リリース時期から逆算し、スケジュールに余裕を持たせて早めに相談するとよいでしょう。
Q. IoTペネトレーションテストは開発のどの段階で依頼すべきですか？
A. 出荷・リリースの前に実施するのが基本です。IoT機器は、出荷後にファームウェアを更新しにくい製品や、長期間現場で稼働し続ける製品が多く、市場に出す前に弱点を潰しておく価値が高いためです。すでに出荷済みの製品や、次期モデルの設計・試作段階でも診断は有効で、機器の重要度や開発フェーズに応じて脆弱性診断と組み合わせることもできます。
Q. IoTペネトレーションテストで見つかった脆弱性は、修正まで対応してもらえますか？
A. 会社によって異なり、報告会での説明や修正方法の相談、修正後の再診断まで対応する会社があります。なかには、レポート提出後の説明会や修正相談、修正後の再確認を、対応完了まで追加料金なしで続ける会社もあります。診断後のフォローをどこまで求めるかを、依頼先を選ぶ観点の一つにするとよいでしょう。
Q. 地方の企業でもIoTペネトレーションテストを依頼できますか？
A. 多くの会社が全国からの依頼を受け付けており、地方の企業でも依頼できます。診断は対象機器を診断会社へ送付して実施するのが一般的で、必要に応じて技術者が現地に出向くオンサイト作業に対応する会社もあります。自社の所在地にかかわらず、診断範囲と対象機器をもとに相談できます。
Q. CRA（サイバーレジリエンス法）への対応に、IoTペネトレーションテストは必須ですか？
A. CRAは、外部の会社によるペネトレーションテストの実施そのものを義務づけているわけではありません。CRAは製造者に対してセキュリティ要件への適合や適合性評価を求める規則であり、第三者による侵入テストは、要件を満たしているかを確かめ、取引先や当局に対応の証跡を示すための有効な手段という位置づけになります。EUへ製品を出す場合は、CRAの要件を意識した診断範囲を依頼先と相談するとよいでしょう。
出典・参考資料（1件）
IoTペネトレーションテスト対応サービスの料金・資料を一括チェック
MCB FinTechカタログでは、IoT機器・組み込み機器のペネトレーションテストや脆弱性診断に対応するサービスの最新資料を無料で一括請求できます。診断範囲や費用、公的基準への対応を各社の資料でまとめて比較できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
