サイバーレジリエンス法（CRA）

Versio.io を活用した CRA 要件の効率的な実装

「サイバーレジリエンス法」とは何ですか？

「サイバーレジリエンス法」（EU規則2024/2847）は、デジタル要素を含む製品に対してサイバーセキュリティに関する義務的な要件を定める、EU全域で初めての法律である。この法律は、EU市場に投入され、デバイスやネットワークに直接または間接的に接続可能な、事実上すべてのハードウェアおよびソフトウェア製品を対象としている。その範囲は、IoTデバイスや産業用コントローラから、Firewall、オペレーティングシステム、ビジネス向けソフトウェアに至るまで多岐にわたる。

NIS2およびDORAがIT事業者を規制する一方で、CRAは製品の製造業者、輸入業者、および販売業者を対象としています。製造業者は、自社製品が「セキュア・バイ・デザイン」であることを確保し、サポート期間全体を通じて vulnerabilities への対応を行い、実際に悪用されている vulnerabilities や重大なインシデントを報告しなければなりません。適合性はCEマーキングによって確認され、基本要件に違反した場合は、最大1,500万ユーロ、または全世界の年間総売上高の2.5％の罰金が科される可能性があります。

CRAのどの部分が関連しているのでしょうか？

法的拘束力を持つ根拠は、当該規則そのものです。技術的および組織的な実施に関しては、以下の部分が決定的な要素となります：

附属書I、第I部 - 製品の特性に関連するサイバーセキュリティ要件。例えば、既知の悪用可能な脆弱性がないこと、デフォルトで安全な構成であること、完全性の保護、および攻撃対象領域の限定など。
附属書I、第II部 - 脆弱性への対応要件。例えば、ソフトウェア部品表（SBOM）、遅滞のない是正措置、定期的なテスト、調整された脆弱性情報開示、および更新プログラムの安全な配布など。
第13条 - 製造業者の義務には、サイバーセキュリティリスク評価、サードパーティ製およびOpen Sourceコンポーネントに対するデューデリジェンス、ならびに原則として少なくとも5年間のサポート期間の確保などが含まれる。
第14条 - 悪用されている脆弱性および重大なインシデントに関する報告義務：24時間以内の早期通報、72時間以内の通知、および最終報告書の提出。
附属書VII - 技術文書の内容。これには、リスク評価、脆弱性対応プロセス、SBOM、およびサポート期間を決定するために使用される情報が含まれる。

これらの要件をより詳細に規定した欧州調和規格は、現在策定中です。それらが公表されるまでは、以下の対応表における基準として、引き続き当該規則の条文が用いられます。

CRAのスケジュール：いつ何が適用されるのか？

2024年12月10日 - CRAが施行された。
2026年6月11日 - 適合性評価機関の届出に関する規定（第IV章）が適用される。
2026年9月11日 - 第14条に基づく報告義務は、市場に流通しているデジタル要素を含むすべての製品について適用される。これには、本日付より前に市場に投入された製品も含まれる。
2027年12月11日 - その他の義務はすべてそのまま適用されます。この日から、新製品はCRAの要件を満たしている場合にのみ、EU市場に投入することが可能となります。

CRAツール：Versio.io

CRAでは、メーカーに対し、どの製品バージョンにどのコンポーネントが含まれているか、それらに影響を及ぼす脆弱性は何か、そしてサポート期間がどの程度かを常に把握することを求めています。 Versio.ioは、まさにこのインベントリ管理と監視業務を自動化し、技術文書や市場監視当局向けに監査に耐えうる証拠を提供します。

以下のセクションでは、Versio.ioがどのCRA要件に対応しているかを示します。暗号化や認証メカニズムなど、製品自体のセキュアな設計に関する要件については、引き続きお客様の製品開発チームの責任となります。

ソフトウェア部品表（SBOM）およびコンポーネント在庫

CRA：附属書I第II部（1）；第13条（5）；附属書VII（2）（b）、（8）

Versio.io は、ハードウェア、オペレーティングシステム、ソフトウェア製品、およびフレームワークを、正確なバージョン情報とともに自動的に検出します。このインベントリをもとに、各製品バージョンごとに SBOM を作成したり、サプライヤーから提供された SBOM をインポートしたりすることができます。これにより、すべてのコンポーネントおよびサードパーティの依存関係に関する、完全かつ機械可読な概要が得られ、これがデューデリジェンスや脆弱性対応の基盤となります。

Versio.io のソフトウェア資産管理および SBOM

Versio.io CMDB（IOS）

脆弱性管理

CRA：附属書I 第I部 (2)(a)；附属書I 第II部 (2)、(3)；第13条(6)

Versio.io は、検出したすべてのコンポーネントのバージョンを、最新の CVE データベースと継続的に照合します。新たな vulnerabilities が報告されると、影響を受ける製品やバージョンを含めて即座に通知され、Versio.io は切り替えるべきバージョンを推奨します。これにより、既知の悪用可能な vulnerabilities を抱えたまま製品を市場に投入することを防ぎ、サポート期間中は遅滞なく vulnerabilities の修正を行うことができます。

Versio.io 製品ライフサイクル管理と vulnerabilities 管理

サポート期間およびend-of-life時の管理

CRA：第13条(8)、(19)；附属書II(7)；附属書VII(4)

貴社の製品には、少なくとも5年間はセキュリティアップデートを提供する必要があります。これは、製品に含まれるコンポーネント自体がメンテナンスされている場合にのみ可能です。 Versio.ioは、数千もの製品のend-of-life日を把握しており、貴社のサポート期間が終了する前にコンポーネントのメーカーサポートが終了する場合、早期に警告を発します。この情報は、サポート期間を決定する際の文書化された証拠としても役立ちます。

Versio.io の end-of-life 管理

サイバーセキュリティリスク評価

CRA：第13条第2項～第4項、第7項；附属書VII第3項

CRAでは、サポート期間を通じて常に最新の状態に保たれる、文書化されたリスク評価が求められています。 Versio.ioは、旧バージョン、既知の脆弱性、設定違反をリスクとして集約し、深刻度や保護要件に応じて重み付けを行い、すべての是正措置を監査に耐えうる形で追跡します。

Versio.io リスク管理

デフォルトでのセキュリティ設定と強化

CRA：附属書I 第I部 (2)(b)、(j)

Versio.io は、お客様のポリシーや、広く認められているセキュリティ強化のベンチマークに基づいて設定を検証します。このツールを使用すれば、納品前にリファレンスシステム、イメージ、アプライアンスを検証できます。不要なサービス、開放されているポート、セキュリティ上の問題があるデフォルト設定などが、製品が顧客に届く前に検出されます。

Versio.ioのガバナンスに関するベンチマーク

Versio.io Policy monitoring

ソフトウェアおよび設定の整合性

CRA：附属書I 第I部 (2)(f)；附属書I 第II部 (7)

Versio.io は、チェックサムを使用してバイナリファイルや設定ファイルの整合性を監視します。プログラム、ライブラリ、設定ファイルに対する不正な改変は、ビルドおよび release 環境内であろうと、配布済みのインストール環境であろうと、即座に検出されます。

Versio.io によるバイナリファイルの完全性検証

Change monitoringおよび技術文書

CRA：第13条第3項、第13項、第14項；附属書VII第1項(b)、第2項(c)

バージョン、コンポーネント、および構成に対するあらゆる変更は、監査に耐えうる形で自動的に検知され、履歴として記録されます。これにより、製品のどのバージョンにどのコンポーネントが含まれていたか、またその時点でどの脆弱性が既知であったかを、いつでも証明することが可能です。技術文書は少なくとも10年間保存することが義務付けられているため、数年経った後であっても、その確認が可能です。

Versio.io Change monitoring

報告義務およびインシデント対応

CRA：第14条(1)～(4)、(8)；附属書I 第II部(4)

実際に悪用されている脆弱性を把握した時点で、早期警告のための24時間の期限が開始されます。 Versio.ioは直ちにアラートを送信し、ITSMソリューションにチケットを作成するとともに、影響を受ける製品、バージョン、および顧客のインストール環境を表示します。検出からセキュリティ更新までの全履歴は、監査に耐えうる形で記録され、CSIRTやENISAへの通知および最終報告書作成に必要な情報を提供します。

Versio.ioのイベント処理とアラート機能

Operatorにとっても関連性がある

CRAは、デジタル要素を含む製品を利用する企業にもメリットをもたらします。製造業者は、サポート期間に関する情報、および該当する場合はSBOMの提供が義務付けられています。 Versio.ioはこの情報を取り込み、お客様の導入環境と比較分析し、vulnerabilitiesやend-of-life日を監視します。これは、NIS2やDORAで求められるサプライチェーンセキュリティの重要な構成要素となります。