情報処理安全確保支援士試験 情報処理安全確保支援士試験 令和5年度春期 午前Ⅱ 問22: IoT 機器のペネトレーションテスト（Penetration Test）の説明として，適切なものはどれか。

正解

エ. ネットワーク，バス，デバッグインタフェースなどの脆弱性を利用して，IoT 機器への攻撃と侵入を試みるテストを行う。

正答率 0.0%（1人中 0人が正解）

問題の解説

ペネトレーションテストは、実際に攻撃者の視点で脆弱性を悪用してシステムへ侵入できるかを検証するテスト。IoT機器ではネットワークや内部バス、デバッグインタフェース(JTAG/UART等)など物理・論理の弱点を突いて侵入を試みる。よってエが正解。仕様適合確認の結合テスト、内部構造を見るホワイトボックス試験、環境耐久試験とは目的が異なる。実務では出荷前に実機への攻撃耐性を確認し、リスクを洗い出す。

選択肢ごとの解説

• ア仕様どおり動くかを確認するのは結合・システムテストで、侵入を試みるペネトレーションテストではなく誤り。
• イ内部構造を参照して仕様確認するのはホワイトボックステストで、侵入試験とは目的が異なり誤り。
• ウ温湿度や耐久を見るのは環境試験で、攻撃耐性を検証するペネトレーションテストではなく誤り。
• エバスやデバッグインタフェース等の脆弱性を突き侵入を試みる点がペネトレーションテストで正しい。