サイバーセキュリティ

サイバーセキュリティの試験はどの程度まで実施するべきか（1/3）

本記事で触れた要求を自社の文書へ落とし込むためのひな形である。MS-Word形式で加筆・修正できる。

価格：99,000円（税込・ダウンロード版）

IEC 81001-5-1の5.7項では、下記のセキュリティ試験の実施が求められている。

はたして、これらすべての試験の実施は必須なのであろうか。

セキュリティ要求事項試験では、要求仕様書において要求されたセキュリティに対する試験を実施する。

セキュリティ要求事項試験では、意図する使用環境に基づき、次の種類の試験を含める。

これらは、要求仕様書において要求されたセキュリティに関する試験を対象に実施することとなる。

脅威軽減試験においては、各軽減策が有効であるかどうかを試験することとなる。

軽減策の検証
軽減策が、設計にその他の脆弱性を生じさせないことを確実にする。

各軽減策の検証試験
特定の脅威に対応するために実装した各軽減策が、設計どおりに動作することを確実にするために、適切な試験内容を策定し、実行する。

各軽減策の妨害試験
各軽減策を妨害する計画を作成し、実行する。

既知の脆弱性に対する試験は、少なくとも、確立され業界で認められた、既知の脆弱性の公的な情報源の最近の内容に基づいたものでなければならない。

必要に応じて、以下の試験を実施することとなる。

具体的には、ファジング、ネットワークトラフィックの負荷試験、容量試験などである。

ファジング（Fuzzing）とは

ソフトウェアの脆弱性を見つけるためのテスト手法の一つである。

具体的には、プログラムに対して、意図的に不正なデータや異常なデータ、ランダムなデータを大量に送り込み、プログラムがクラッシュしたり、予期せぬ動作をしたりしないかを検証する。

ファジングは、主にセキュリティ上の脆弱性を発見するために用いられる。

悪意のある攻撃者は、プログラムの脆弱性を突いて、システムに侵入したり、情報を盗み出したりする可能性があるため、開発段階でファジングを実施し、脆弱性を修正しておくことが重要である。

ファジングには、主に以下の2つの種類がある。

ファジングは、自動化されたツールを用いて行われることが多く、効率的に脆弱性を発見することができる。

関連商品