衣類回収サービス『するーぷ』のIoTペネトレーションテストを実施　物理的リスクまで含むIoTセキュリティ診断

サーバ・アプリの診断に加え、デバイス本体の物理面へ

プラント大手・日揮グループのシステム子会社であるJGC Digital株式会社様は、衣類回収サービス「するーぷ」を運営しています。回収した衣類をリユース・リサイクルなどの資源として活用するサービスです。

IoTデバイスの脆弱性を突いた攻撃は近年増加しており、IoT脆弱性診断によるソフトウェア面の対策に加えて、デバイスが物理的にアクセスされた場合のリスク評価も、企業にとって重要性を増しています。

実機を対象に、物理的リスクまで踏み込んだ診断を実施

今回の診断では、「するーぷ」のIoTデバイス実機を対象とした診断に加え、ファームウェア診断も実施しました。

診断対象は、世代・仕様の異なる複数のデバイスで構成されています。それぞれの利用環境に応じて、リモート診断とオンサイト診断を使い分けました。

物理的リスクについては、次の3つの観点から評価しました。

• 情報漏えいリスク評価
• デバイス本体を物理的に奪取された場合の攻撃可能性調査
• ポート経由での侵入可能性評価

ソフトウェア診断だけでは見えない、デバイス盗難時のリスクを可視化

IoTデバイスは、サーバやアプリケーションとは異なるリスクを抱えています。ネットワーク経由の攻撃だけでなく、デバイスそのものが持ち出された場合にどこまでの被害が想定されるかは、実機を用いた検証でなければ把握できません。

今回は、ソフトウェア面の診断に加えて物理面まで検証範囲を広げました。オンサイト診断を含む案件においては、スケジュールや納期に柔軟に対応できる点も、SynXを選んでいただいた理由のひとつです。

ご評価いただいたポイント

お問い合わせ

このような課題は、多くのIoTデバイスを扱う企業に共通して見られます。

• IoTデバイスのソフトウェア面のリスクだけでなく、物理的なリスクも把握したい
• 実機・ファームウェアを対象にした診断のノウハウがない
• オンサイトでの診断実施に不安がある

SynXでは、ご要件や運用状況に応じた脆弱性診断のご提案が可能です。まずはご相談ベースでも問題ありませんので、お気軽にお問い合わせください。