技術的実装、SBOM管理、そして「PSIRT 2.0」へ……CRAの各要求事項に応える実務のポイント

5. 今後の展望：“PSIRT 2.0”へのトランスフォーメーション

　CRA対応を進める中で、脆弱性情報の奔流や、複雑化するサプライチェーン管理に、一社のリソースだけでは限界を感じる場面が増えてくるでしょう。しかし、これこそがPSIRTの役割を「コストセンター」から「価値創造のための機能」へと再定義する機会です。

アクションのポイント

　今後は、自社だけで脆弱性対応を抱え込むのではなく、業界団体での横つながりやサプライチェーンを構成する企業同士で、共通の基盤を活用して脆弱性情報の収集や分析を効率化する「PSIRT 2.0」への進化を目指してはいかがでしょうか。

　サプライチェーン全体がセキュリティ的安全性を確保できる体制にならなければ、一部の脆弱なサプライチェーン構成企業が攻撃されることで、セキュリティ品質の低下や出荷の停滞などに陥ります。もっとも、すでに顕在化し始めていますが……。これでは、安心して安全な製品を提供することはできません。

　また、脆弱性を指摘してくれる外部の研究者やホワイトハッカーを、製品をともに安全にするための「パートナー」として迎え入れて、「協調的脆弱性開示（CVD）」の文化を社内に醸成していくことも、エコシステムの構成上、大切な考え方です。脆弱性を隠蔽するのではなく、「透明性をもって公開し、真摯に修正・改善を続ける姿勢」こそが、CRA施行後の世界でも顧客から選ばれ続けるための最強の「ブランド信頼性」となるのではないでしょうか。

　これからのデジタル時代、製品の「安全性」はソフトウェアの品質に大きく依存していくことは疑いありません。特に、製品がコネクティビティ（接続性）を持ち、より一層の利便性を追求していく中で、「ソフトウェア品質モデル（ISO/IEC 25010）」の中の「セキュリティ品質」は、製品を安心して使える安全品質水準の確保には不可欠です。

　CRA対応は確かに険しく、終わりのない道のりに見えるかもしれません。しかし、一つひとつの要求事項は、特殊な要求事項ではなく、これまでも言われてきた基本的な事項です。ですから、「より良いものづくり」へのヒントとして捉え、組織と技術の両輪を回し始めるのだと考えるのがよいかと思います。その先に、自社の製品が世界市場という荒波の中で勝ち残るための、強力な「競争力」と「信頼」という武器を手にすることになるでしょう。