① 基本情報

② 導入前の課題・背景

Q：導入前、どのような課題や不安がありましたか？

弊社が開発する人流計測センサーは、カメラ映像から画像処理を行っており、またお客様のネットワークに接続して使用するケースもあり、万が一攻撃を受けた際に映像データの漏洩や機器の乗っ取り、またそれによりお客様ネットワークへの被害拡大を招かないか、という点が不安でした。

また、JC-STARやCRA等のセキュリティ規格の取得に向けて、現時点での製品がどの程度の実力があるか検証が必要と考えておりました。

③ 選定理由

Q：当社を選んだ決め手は何でしたか？

高度なセキュリティ資格を持つ技術者が、OWASPのIoT Security Testing Guide（ISTG）に準拠して実機ベースで検証してくださる点でした。単に脆弱性の有無を挙げるだけでなく、「映像データの窃取」「機器の制御奪取」「機能停止（DoS）」といった現実的な攻撃シナリオを設定し、達成可否まで検証していただける内容で、費用と品質のバランスにも納得できました。検出した弱点ごとに具体的な対策提案まで含まれている点も、製品改善に直結すると考え、選定の後押しになりました。

④ 導入プロセス・対応について

Q：ヒアリング〜診断実施までの流れはいかがでしたか？

ヒアリングから機器の郵送、実機検証、報告までの流れが明確で、スケジュール（約1か月強）も当初のご提示どおり進みました。攻撃対象や目標（ゴール）の設定段階で丁寧にすり合わせをしていただけたため、「何をどこまで検証するのか」が明確で、当初抱いていた不安や疑問点はほぼ解消されました。

LTE経由の外部攻撃など難易度の高い検証についても、オプションとして代替手段を含めた選択肢を提示いただき、判断しやすかったです。

⑤ 診断結果

Q：診断結果の内容やレポートは実務に活かせましたか？

報告書は、危険度（緊急〜情報）とCVSS値、想定されるリスク、そして具体的な推奨対策までが弱点ごとに整理されており、そのまま製品改善の検討材料として実務に活用できました。特に、URL入力フォームでのスクリプト実行、非推奨のSSL/TLSバージョンの選択可否などといった指摘は、開発側では気づきにくい観点であり、優先順位をつけて対応を進める判断材料になりました。直接の影響はないものの、参考として挙げられた関連CVE情報も、今後のバージョンアップ検討に役立っています。

⑥ 導入後の効果・変化

Q：導入後、導入前の課題に対してどのような変化がありましたか？

最大の収穫は、root権限の取得といったセンサー機器の乗っ取りが本テストでは達成されなかったと客観的に確認できたことで、製品の防御が一定水準で機能しているという裏付けが得られた点です。

一方で残存リスクも具体的に示されたことで、対策の優先度が明確になり、社内のセキュリティ意識も高まりました。専門機関による検証実績は、今後お客様に対して製品の安全性を説明する材料になっていくと考えております。

SIV

まとめ

Secure Innovation 編集部コメント

今回の事例では、カメラ映像を扱い、ネットワークに接続して利用される人流計測センサーに対して、実機ベースで現実的な攻撃シナリオを検証できた点が大きなポイントです。

人流計測センサーのようなIoT機器では、映像データの漏洩や機器の乗っ取り、お客様ネットワークへの被害拡大など、製品単体にとどまらないリスクを想定する必要があります。

今回のIoTペネトレーションテストでは、OWASPのIoT Security Testing Guideに準拠し、「映像データの窃取」「機器の制御奪取」「機能停止」といった現実的な攻撃シナリオに基づいて実機検証を行いました。
ヒアリングから報告までの流れを明確にし、攻撃対象や検証ゴールを丁寧にすり合わせることで、確認範囲を具体化できた点も本事例の特徴です。

報告書では、危険度やCVSS値、想定リスク、推奨対策が弱点ごとに整理され、製品改善や今後のバージョンアップ検討に活用できる内容となりました。
また、root権限の取得といった機器の乗っ取りが本テストでは達成されなかったことを客観的に確認できた点は、製品の防御が一定水準で機能していることを示す裏付けとなりました。

残存リスクも具体的に把握できたことで、対策の優先順位が明確になり、社内のセキュリティ意識向上やお客様への安全性説明にもつながる事例といえます。

この事例のポイント

• カメラ映像を扱うIoT機器に対し、実機ベースでセキュリティリスクを検証できた
• OWASPのIoT Security Testing Guideに準拠したペネトレーションテストを実施できた
• 映像データの窃取、機器の制御奪取、機能停止など、現実的な攻撃シナリオに基づいて確認できた
• 危険度、CVSS値、想定リスク、推奨対策が整理された報告書を製品改善に活用できた
• 第三者による検証結果を、製品の安全性を説明する材料として活用できるようになった

※本まとめは、インタビュー内容をもとにセキュアイノベーション編集部が構成・作成しています。

関連サービス

今回の事例では、人流計測センサーに対するIoTペネトレーションテストを通じて、製品の防御が一定水準で機能していることを客観的に確認できました。あわせて、残存リスクや今後対応すべき課題も明確になり、製品改善だけでなく、お客様へ安全性を説明するための材料としても活用できる結果となりました。

セキュアイノベーションの「IoTセキュリティ試験/評価」では、IoT機器の特性や利用環境に応じて試験項目を選定し、ガイドライン等に沿った評価やOWASP IoT TOP10に基づく試験、ペネトレーションテストなどを実施しています。製品リリース前のセキュリティ確認や、第三者評価による信頼性向上をご検討中の企業様は、ぜひIoTセキュリティ試験/評価サービスをご活用ください。