コンプライアンスチェックリスト時代は終わった - セキュアな開発と脆弱性ガバナンスでCRAを優位性に変える NEW

2024年12月に制定されたEUのサイバーセキュリティ規制である「サイバーレジリエンス法 (CRA) 」は、デジタル要素を備える製品に対し、市場参入の新たな基準を打ち立てつつあります。デバイスメーカー、ソフトウェアサプライヤー、システムインテグレーターへのメッセージは明確です。セキュリティはもはや後付けの付加機能ではなく、製品と、そのプロセスの双方における「要件」です。企業は、設計・開発から運用、脆弱性管理に至るまで、自社のセキュリティの強さを検証可能な形で証明する必要があります。

2つの中核要件に注目：「セキュア・バイ・デザイン」と「脆弱性対応」

CRAは、デジタル要素を備える幅広い製品を対象とし、市場全体のサイバーレジリエンスの向上を目的としています。CRAは技術要件だけでなく、製造事業者の責任、インシデント報告、アップデート義務も規定しています。要するに、コンプライアンスは一度きりの監査ではなく、継続的なエンジニアリングプロセスになっています。検証可能なセキュリティ能力を備えることにより、組織はリスクや罰則を低減できるだけでなく、市場での差別化を図り、顧客の信頼獲得にもつながります。特に重要なのは、次の2つの観点です：

1．暗号化とパスワードにとどまらない：「セキュア・バイ・デザイン」に基づくセキュリティエンジニアリング

セキュア・バイ・デザインとは、単に機能一覧にいくつかのセキュリティオプションを追加することだけではありません。中核となる考え方は、要件定義やアーキテクチャといった開発の初期段階でセキュリティ上の意思決定を行い、開発ライフサイクル全体に制御メカニズムを組み込むことにあります。CRAのANNEX I (附属書 I) Part Iには、この戦略に整合する要件が複数定められています。たとえば、次のようなものがあります。

• 既知の悪用可能な脆弱性がないこと (ANNEX I Part I 2(a)) : 製品は、リリース前に、既知の悪用可能な脆弱性が含まれていてはならない。そのため、製造業者は、脆弱性スキャン、修正、検証を製造プロセスに組み込む必要がある
• セキュアなデフォルト設定およびセキュアな構成 (ANNEX I Part I 2(b)) : 製品は、出荷時に初期状態で安全な設定 (セキュア・バイ・デフォルト) であり、かつ、初期状態を復元できなければならない。したがって、弱い暗号方式を採用したまま、あるいは高リスクなサービスを有効化したまま、製品を出荷してはならない
• アクセス制御および不正アクセスからの保護 (ANNEX I Part I 2(d)) ：認証、アクセスおよびID管理、ならびに不正アクセスを報告できる機能を含む、適切な制御メカニズムを実装すること
• データの機密性の保護 (ANNEX I Part I 2(e)) ：保存時および転送時のデータに対し、最新の暗号技術や関連技術など、最先端のメカニズムを適用すること
• データおよびコマンドの完全性の保護 (ANNEX I Part I 2(f)) ：データ、コマンド、コード、および構成設定を不正な変更から保護し、改ざんを報告できるようにすること
• 目的別のデータ最小化 (ANNEX I Part I 2(g)) ：製品の機能にとって必要かつ関連するデータのみを処理すること

これらの条項により、セキュリティ要件は「何を達成したか」から「どのように実施したか」へと重心が移ります。特定のセキュリティ機能を備えるだけでは不十分であり、ライフサイクル全体にわたって、正しい設計・実装・テスト・運用と、そのトレーサビリティを示すエンジニアリング上の証跡を提示することが求められます。

2．脆弱性への対応は単なるパッチ適用にとどまらず、エンドツーエンドの責任の連鎖である

脆弱性への対応は、本質的に「情報受付、分析、修正、通知、更新版のリリース」からなる継続的なサイクルであり、インシデント報告と同期させるべきです。CRAでは、ANNEX I Part II「Vulnerability handling requirements」 (脆弱性への対応要件) に該当し、主なポイントは次のとおりです。

• 脆弱性の特定とコンポーネント可視性 (ANNEX I Part II 1) ：製造業者は、脆弱性とコンポーネントを特定して記録し、一般的に使用される機械可読形式でソフトウェア部品表 (SBOM) を提供しなければならない
• 脆弱性の協調的開示 (CVD) ポリシーの確立と実施 (ANNEX I Part II 5) ：製造業者は、脆弱性開示に関するポリシーを策定し、関連する開示のための調整メカニズムを確保しなければならない
• 脆弱性報告の連絡窓口の提供 (ANNEX I Part II 6) ：脆弱性報告窓口の設置を含めた、デジタル要素を備える製品およびそのサードパーティ製コンポーネントに関する潜在的な脆弱性情報の共有を容易にするための措置を講じること。
• 更新リリースの適時性と透明性 (ANNEX I Part II 8) ：特定されたセキュリティ上の問題に対して、セキュリティアップデートを迅速に公開するとともに、必要なユーザーへの通知および対応ガイダンスを提供することが求められる

実務上は、標準化された受付窓口の整備、分類と修正までの期限 (タイムライン) の設定、回帰テスト、セキュアな配布の仕組みを構築し、顧客への一貫した通知と推奨事項によって支えることを意味します。さらに、脆弱性管理はサプライチェーン全体を包含する必要があります。単一障害点を生まないよう、サードパーティおよびオープンソースのコンポーネントについても、自社の修復対応と足並みをそろえ、対応完了の証跡を確保しなければなりません。

サプライヤーのレベルアップ：プロセス、エビデンス、サプライチェーン・ガバナンスが市場の信頼へどうつながるか

CRAが本質的に求めているのは、単に「より安全な製品」を増やすことではなく、「より優れたサプライヤー」であることです。企業は次のことを実行する必要があります。

• 包括的なセキュア開発ライフサイクル (SDL) を確立し、製品ライフサイクル全体にわたってセキュリティ制御を組み込む。具体的には、条項で示された要求事項、脅威モデリング、コード分析、ペネトレーションテスト、およびアップデート管理を実施する。また、ANNEX I Part Iに準拠した、追跡可能な証拠を保持する
• 脆弱性やインシデントへの対応において、迅速性、透明性、一貫性を確保するため、ANNEX I Part IIに準拠した、脆弱性の受付から修正、通知、更新プログラムのリリースまでのエンドツーエンドで一貫した脆弱性管理体制を構築する
• サプライチェーン・ガバナンスを導入し、SBOM (ソフトウェア部品表) の維持、依存関係のリスク分析を実施し、協調的な脆弱性開示 (CVD) プロセスを運用することで、サードパーティ製コンポーネントによるコンプライアンス上の問題発生を防ぐ
• セキュリティアドバイザリ、サポートガイド、バージョンのライフサイクル (保守終了を含む) 全体にわたり、明確な方針を維持し、監査可能な記録を残すことで、顧客とのコミュニケーション戦略を策定し、技術的な能力を可視化された信頼へと転換する

セキュリティを「コンプライアンスのチェックリスト」ではなく「エンジニアリング能力」にする

デバイスメーカーにとって重要なのは、監査可能な記録を保持しながら、SDLおよび脆弱性管理の対策全体にCRAの条項を組み込むことです。これにより、セキュリティは受動的なコンプライアンス対応作業から、再現可能かつ測定可能で、正当性を説明できる「競争優位性」へと進化します。

システムインテグレーターは、声明やチェックリストだけに頼るのではなく、エンジニアリング上の実践と客観的な証拠によって、サプライヤーのセキュリティを検証する必要があります。重要なシステムの長期的なレジリエンスと信頼性は、セキュリティを中核的なエンジニアリング原則として位置づけるベンダーと協働することによってのみ実現可能となるのです。

CRAに対するMoxaの取り組みについて、詳しくは下記の技術情報をご覧ください。

■ 技術情報：Cyber Resilience Act (CRA) - CRA準拠に向けたMoxaの取り組み