令和5年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問22
テクノロジ／セキュリティIoT 機器のペネトレーションテスト（Penetration Test）の説明として，適切なものはどれか。
出典：令和5年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問22
- ア開発の最終段階に，IoT 機器と通信対象となるサーバ及びネットワーク全体の動作が仕様書どおりであることをテストする。
- イ回路図，ソースコードなどのシステムの内部構造を参照して，仕様確認のためのテストを行う。
- ウ恒温恒湿器を用いて，要求仕様で定められた温湿度条件で動作するかどうか，耐久性はどうかをテストする。
- エネットワーク，バス，デバッグインタフェースなどの脆弱性を利用して，IoT 機器への攻撃と侵入を試みるテストを行う。
正解：エ
解説
IoT 機器のペネトレーションテストは，実際に稼働する機器に対して，ネットワークインタフェース，シリアルバス，デバッグ用インタフェース（JTAG など）といった攻撃対象となり得る経路の脆弱性を突いて，実際に攻撃・侵入を試みることで，機器が現実の攻撃に耐えられるかどうかを検証するテストです。
選択肢ごとの解説
- ア誤り。開発の最終段階でシステム全体の動作が仕様書どおりであることを確認するのはシステムテスト（総合テスト）の説明です。
- イ誤り。回路図やソースコードなど内部構造を参照して行うテストはホワイトボックステストの説明であり，ペネトレーションテストは内部構造を前提としないブラックボックス的な検証が中心です。
- ウ誤り。恒温恒湿器を用いた温湿度条件での動作確認は環境試験（信頼性試験）の説明です。
- エ正しい。ネットワークやバス，デバッグインタフェースなどの脆弱性を利用して実際に攻撃・侵入を試みるのが，IoT 機器のペネトレーションテストです。