技術的実装、SBOM管理、そして「PSIRT 2.0」へ……CRAの各要求事項に応える実務のポイント

3. 脆弱性診断と10年間の証跡保管

　上市前に「悪用可能な既知の脆弱性がないこと」を確認し、それを証明できなければなりません。単なるチェックリストの確認ではなく、実機に基づいた検証が求められます。

アクションのポイント

　出荷判定基準（ゲート）の中に、「脆弱性診断の完了」を明確に位置付けましょう。静的解析（SAST）、動的解析（DAST）、そして可能であれば専門家によるペネトレーションテストを実施し、その結果を技術文書の一部として整理します。

　ここで重要なのは「保管期間」です。CRAでは、技術文書やEU適合宣言書を、製品の上市から「最低10年間」保管することを義務付けています。文書管理規程にこの要件を盛り込むとともに、紙や個人のPCでの管理ではなく、全社的な技術文書管理システムやセキュアなアーカイブ基盤を活用し、欧州当局から査察が入った際に、いつでも・どこからでも即座に提示できる仕組みを構築しましょう。

4. 継続的な確認とセキュリティアップデートの安全な提供

　製品を「売って終わり」という従来のメーカーのビジネスモデルは、CRAによって事実上否定されました。出荷後も製品の安全を保ち続ける「動的なサポート」が要件化されています。

アクションのポイント

　セキュア開発された製品のセキュリティ品質は、出荷時が一番安全な状態です。そこから市場に出た途端に、日々進化する脆弱性を狙った攻撃能力の前に、徐々に低下していきます。当初は「受容可能」と判断したリスクでも、後から現実的な攻撃対象になることがあるからです。ここが、機能的な劣化による品質の低下以外は品質変化のない安全性と大きく違う点です。

　CRAでは、こうした製品の特性を踏まえ、脆弱性情報の監視や報告受付に加え、出荷後も定期的に脅威分析やリスクアセスメントを見直すことを求めています。脅威環境に変化がないか、自社実装コードやサードパーティ・コンポーネントに新たな脆弱性が見つかっていないかを継続的に確認する必要があります。これらを漏れなく実施できるよう、社内プロセスを定義するとともに、必要な技術リソースも確保しておきましょう。

　その一方で、脆弱性の修正パッチをユーザーへ確実かつ安全に届けるためのメカニズムを確立しましょう。基本的には「自動アップデート機能」の搭載が有効ですが、産業機器のように“稼働継続性”が最優先される製品では、製造者側の都合による勝手なアップデートは許されません。

　また、自動アップデートが可能な環境に設置されていない製品も多いことでしょう。その場合は、アップデートの必要性を製品画面や管理コンソール、もしくは別の方法で「通知」し、ユーザーが安全なタイミングを選択して実施できる仕組みを提供しましょう。

　併せて、修正パッチを安全に届けるための仕組みも必要です。たとえば、パッチ配布サーバーが侵害され、偽のアップデートファイルを配布されるようなサプライチェーン攻撃への対策が求められます。そのため、アップデートファイルにデジタル署名を付与し、製品側でその真正性を検証できる機能を備えましょう。

　加えて、セキュリティパッチ公開と併せて、脆弱性改修について深刻度や影響を記した「セキュリティアドバイザリ」を公式Webサイトで公開する運用も、CRAが求める「情報の透明性」の確保には大切です。そのための準備として、脆弱性情報開示ポリシーの整備と公開も、脆弱性情報受付窓口設置と併せて実施しましょう。