機器のセキュリティ検証サービスとは？種類と違い、価格・期間の選び方

機器のセキュリティ検証サービスとは

開発した機器を第三者に預け、基板、ファームウェア、無線、通信を攻撃者の目線で調べてもらうサービスです。IoTセキュリティ診断、機器検証とも呼びます。出荷してからでは直しにくいので、出荷前に頼みます。

比較ページには、IPAの機器検証サービスのリストに載る事業者のうち、公式のページで内容を確かめられた会社を載せています。

選ぶときに決めること

選ぶときは「何のために試すか」「どこまで調べるか」「いつ結果がほしいか」の3つを先に決めます。

• 目的がラベルや規格なら、その基準を扱う会社から探します
• 基板やファームウェアまで見るなら、機器を預ける台数を確かめます
• 出荷の時期が決まっているなら、期間と報告までの日数を確かめます

3つの型

• 専門家が機器を攻める型は、分解してファームウェアを取り出し、実際に入れるかまで試します。ラックやGMOサイバーセキュリティ byイエラエがこの形です
• ファジングを柱にする型は、異常データを流して未知の弱点を探します。ユビキタスAIとNRIセキュアがこの形です
• 規格や制度に合わせて確かめる型は、JC-STARやCCDS、ETSI EN 303 645などに合うかを確かめます。未来研究所やOHチャネルイノベーションズがこの形です

価格と期間

価格を公開している会社は多くありません。

• ラックのIoTデバイスペネトレーションテストは、500万円程度からです。期間は標準で1〜2か月です
• GMO Flatt Securityは、脆弱性診断の共通の価格として100万円からです
• リチェルカセキュリティは、診断共通のプラン例として100万円からで、約1週間です
• レイ・イージス・ジャパンは個別見積りで、診断は通常1〜2か月です

機器の構成と調べる深さで金額は大きく変わります。見積りは同じ機器、同じ範囲にそろえて比べます。

頼む前に確かめること

• 分解で機器が壊れることがあります。GSXのDeep診断は破壊的な検査で、2台以上を用意します
• ソースコードを出さなくても頼めるサービスがあります。ラックとGMOサイバーセキュリティ byイエラエは、提供なしで調査します
• 再診断の回数と期限は会社で違います。リチェルカセキュリティは報告後3か月以内なら無償です
• 開発中で技適を受けていない機器は、電波を出す試験ができないことがあります。先に相談します

JC-STARとCRA

• JC-STARの★1は、検証事業者に登録した会社に頼めます。未来研究所とNTTデータ先端技術が検証事業者です
• ★3と★4は、NITEが認定する評価機関の評価になります
• CRAは2026年9月11日に脆弱性報告が義務になり、2027年12月11日に全要件が適用されます

欧州に出す機器は、今の型番から試しておくと手戻りを減らせます。