なぜセキュリティは設計から始めなければならないのか
サイバーセキュリティの脅威は、もはや後回しにできる問題ではなく、コネクテッド製品の成功、安全性、そして製品寿命を左右する決定的な要因となっています。EUのサイバーレジリエンス法（CRA）、無線機器指令（RED）、医療機器のためのFDAサイバーセキュリティ・ガイダンスなどの規制は、一つの重要な点を強調しています。それは、セキュリティを最初から組み込まなければならないということです。
これは、セキュア・バイ・デザイン（設計段階からのセキュリティ確保）の基本理念です。製品のリリースが間近になってからセキュリティを「後付け」するのではなく、「シフトレフト」とは、製品設計の最も初期の段階でセキュアな開発手法を統合することを意味します。セキュアなコーディングの実践から、長期的なレジリエンス（回復力）を考慮したアーキテクチャの決定に至るまで、このアプローチにより、製品はライフサイクル全体を通じて脅威に耐えることが保証されます。
セキュア・バイ・デザインの実践
医療技術向けの IEC 81001-5-1、無線機器指令（RED）向けの EN 18031、産業オートメーション向けの IEC 62443-4 などの規格は、こうした期待を正式に示したものです。これらの規格は、開発者に対し、セキュアな設計を採用するだけでなく、以下のような厳格な実践を通じてそれを実証することを求めています。
-
静的コード解析（例：IAR C-STAT）：セキュアなコーディングルールへの準拠を確実にし、ソースコードの段階で脆弱性を削減します。
-
脅威モデリングとリスク評価：開発プロセスの早い段階で、潜在的な攻撃ベクトルを特定します。
-
ソフトウェア部品表（SBOM）：サイバーレジリエンス法（CRA）やREDの要件であり、すべてのコンポーネントに対する透明性を提供します。
-
脆弱性のないリリース：公に知られている悪用可能な脆弱性が存在する状態で製品を出荷してはなりません。
これらの実践を開発ワークフローに組み込むことで、企業はコンプライアンスを確保し、製品の信頼性を強化することができます。
製品ライフサイクル全体へのセキュリティの拡張
しかし、セキュリティ対策は発売時で終わりではありません。各種規制では、継続的な脆弱性対応、インシデント報告、そして少なくとも5年間のアップデート提供と最長10年間の文書提供などの長期的なサポートが明確に義務付けられています。
ここで、セキュア・プロビジョニングの出番となります。製造時にセキュア・プロビジョニングを行うことで、デバイスのID、暗号鍵、証明書が初日から確実に保護されます。製造後も含めたライフサイクル・セキュリティには、以下の要素が含まれます。
-
ソフトウェア・セキュリティ・アップデート：重要なパッチやアップグレードを現場（フィールド）で安全に提供します。
-
識別と認証：製造段階からプロビジョニングされた鍵と証明書が製品のアイデンティティを保護し、通信、ストレージ、アップデートをセキュアに保ち、クラウドへのオンボーディングとライフサイクル・セキュリティを簡素化します。
-
脆弱性の開示とインシデント対応：処理と報告に関する明確なプロセスを確立することで、規制要件を満たします。
セキュア・バイ・デザインとセキュア・プロビジョニングを組み合わせることで、初期設計から展開、そして廃棄に至るまで、コネクテッド・デバイスを保護するエンドツーエンドのセキュリティ戦略の基盤が形成されます。
ハードルを上げる規制の推進力
現在、世界的な規制は、このライフサイクル全体を見据えた対応を義務付けています。
-
EU CRA（サイバーレジリエンス法）：すべてのコネクテッド・デバイスを対象とし、セキュア・バイ・デフォルトの設計、継続的なアップデート、SBOM、インシデント処理を要求します。
-
EU RED（無線機器指令）の改定：無線製品に焦点を当て、EN 18031セキュリティ基準への適合を要求します。
-
FDA医療機器サイバーセキュリティガイダンス：セキュアな設計、市販後のモニタリング、パッチ適用能力を義務付けています。
-
IEC 81001-5-1：国際的な期待に沿った、医療技術ソフトウェアのライフサイクル・セキュリティに特化した規格です。
-
IEC 62443：IACS（産業用オートメーションおよび制御システム）のセキュリティに特化した規格であり、現在ではセキュリティの基幹規格となっています。
これらの枠組みは、セキュア・バイ・デザインとセキュア・プロビジョニングの採用を怠った組織は、規制当局による罰則、風評被害、そして製品リコールのリスクを負うことを明確に示しています。
顧客向けのセキュリティソリューションの枠組み
エンジニアリングチームや意思決定者にとって、「セキュア・バイ・デザイン」と「セキュアな製品ライフサイクル」は、セキュリティへの理解と実践を促す親しみやすい方法を提供します。抽象的なコンプライアンス・チェックリストの代わりに、これらは顧客にとっても分かりやすい明確なフレームワークを示します。
- 設計フェーズ：セキュアに構築し、生産用のソフトウェアパッケージを保護します
- 転送フェーズ：開発現場から生産現場までセキュアにソフトウェアパッケージを転送します。
- 量産フェーズ：セキュアにプロビジョニングします。
- 運用フェーズ：セキュアに維持・更新します。
この枠組みにより、企業は厳格なグローバル要件を満たしながら、顧客やパートナーに対して提供価値をより明確に伝えることができます。
まとめ
セキュリティにおける「シフトレフト」は、もはや選択肢ではなく、規制上の要件であり、競争上の優位性でもあります。セキュア・バイ・デザインの原則を採用し、ライフサイクル全体にわたってセキュア・プロビジョニングでそれを拡張することで、企業はCRA、RED、FDA、IECの標準に準拠できるだけでなく、長期的な信頼を獲得できる製品を構築することができます。
セキュリティは機能ではありません。それは基盤です。そして、最初のコード行から製品が現場で使われる最後の日まで耐久しなければなりません。
IARでは、セキュアな製品ライフサイクルを、組み込みチームが自信を持ってコンセプトからコンプライアンスまで移行できるよう支援する、実用的なフレームワークとして捉えています。セキュアな開発ツール、プロビジョニング機能、ライフサイクル・セキュリティの実践を組み合わせたIARプラットフォームをイネーブラー（実現手段）として使用することで、企業は組み込みセキュリティを規制当局、顧客、そして市場が要求するレベルまで引き上げることができます。
IAR がどのようにセキュアな製品ライフサイクルを実現するかについては、https://www.iar.com/ja/embedded-development-tools/embedded-security をご覧ください。
