技術的実装、SBOM管理、そして「PSIRT 2.0」へ……CRAの各要求事項に応える実務のポイント

1. 技術的実装の要点：セキュア・バイ・デフォルトの徹底

　欧州議会およびEU理事会が発出する『CRA附属書Ⅰ』のPartⅠでは、製品が「初期設定のままでも安全であること」を求めています。これは、ユーザー側の設定ミスや無知を突いた攻撃を、製品側の仕様で未然に防ぐという考え方です。

アクションのポイント

　まずは、工場出荷時の「共通パスワード」を製品ラインアップから完全に排除しましょう。個体ごとにユニークな初期パスワードを付与したラベルを貼付するか、初回起動時に強固なパスワード設定を強制するワークフローを実装するといった対策が必要です。

　また、「アタックサーフェス（攻撃対象領域）の最小化」や「必要データの最小化」など、附属書に記載のセキュリティ要件は設計の基本原則に据えましょう。たとえば、アプリケーションが使わない通信ポート、デバッグ用接続接点や通信ポート、未使用で不必要なプロトコルはデフォルトで“無効化”して出荷するのが基本です。有効化できるようにする場合は、ユーザーや保守担当者が「必要な時にだけリスクを承知の上で有効化する」といった設計（セキュア・バイ・デフォルト）を徹底しましょう。これを設計の最上流工程で要件定義に組み込むことで、開発終盤での「セキュリティのための仕様変更」という最大の手戻りコストを抑えられます。

2. サードパーティ製品とサプライチェーン管理（SBOM）

　現代の製品開発は、膨大なOSS（オープンソース）や他社製モジュールの組み合わせで成り立っています。CRAは、こうした外部からの調達部品に起因する脆弱性についても、最終的な製造者が製造責任を負うことを明文化しています。「他社の部品のせいだ」という言い訳は通用しません。

アクションのポイント

　「SBOM（ソフトウェア部品表）」の作成と、それを活用した脆弱性管理プロセスを早期に立ち上げましょう。手作業によるExcel管理は、複雑な依存関係を持つ現代のソフトウェアには限界があります。CycloneDXやSPDXといった国際標準フォーマットを採用し、開発ビルド環境と連携してSBOMを自動生成するツールチェーンを構築しましょう。

　これにより、新たな脆弱性（Log4jの問題など）が報告された際、「自社のどの製品の、どのバージョンにその部品が含まれているか」を特定できるようになります。また、コンポーネント採用時には、公開されている脆弱性データベースやソースコードに対する脆弱性スキャンツールなどで、既知の脆弱性がないことを確認する「セキュリティ受入検査」をプロセスに組み込み、サードパーティ・コンポーネントによるリスクを可視化することから始めることも大切です。