CRA適用目前！日本企業が今すぐ始めるべきセキュリティ対策とIARによる実践的ソリューション

CRA（サイバーレジリエンス法）の適用と重要性

2024年12月以降、欧州で販売されるデジタル要素を持つ製品に必須となるCRA（サイバーレジリエンス法）は、日本のメーカーにとっても待ったなしの課題です。CRAは単なる品質向上ではなく、「安全な状態の継続的な維持」を求め、対応なくしては製品の販売継続が困難になります。本稿では、CRA対応の基本となる考え方から、具体的な要求事項、そしてその要求を効率的かつ確実に満たすIAR Systemsのソリューションまでを解説します。

CRA対応の土台：Safety（安全）とSecurity（サイバーセキュリティ）の峻別 SafeとSecure

CRAへの適切な対応は、まず「安全*の概念を正しく区別することから始まります。

Safety（安全）

これは、人に対する危害からのリスク低減を指します。産業機器などで機能安全対応している場合は、非安全機能からの影響（脅威）があっても安全機能が影響を受けないよう設計することが求められます。

Security（サイバーセキュリティ）

これは、資産やシステムに対する意図的な脅威（サイバー攻撃、ハッキングなど）からの保護と、その結果として安全な状態が確保されていることを指します。CRAが要求するのは、Security（サイバーセキュリティ）またはSecureですが、Safetyに関するリスクが明確な場合、許容できるレベルまでリスク低減が必要です。

サイバーレジリエンスを実現するため、CRAは主に以下の3つの要素を求めます。

1. リスクの最小化: 設計段階から脆弱性を管理し、サイバー攻撃による影響を抑える。
2. 補償（説明・証明）: 製品リリース後も脆弱性対応を継続し、「安全な状態を維持している」ことを技術文書で証明する。
3. 情報提供: ユーザーがリスク対応できるよう、必要な情報を提供する。

日本企業が今すぐ取り組むべきCRA対応の要点

CRAは、製品のライフサイクル全体にわたる「プロセス」と「技術」の証明を要求します。

要点1: 「目的」を意識した規格の活用

規格への対応は、単なるチェックリストを埋めることではありません。「本当に危険にならないか、安全か」という目的意識を持って取り組み、その証明のために証明された技術や手法（規格）を利用することが重要です。

• リスクアセスメント: 製品のリスクを洗い出し、それに対する対策を設計要件として明確にします。
• 規格の活用: IEC 62443（産業制御システムのサイバーセキュリティ規格）やIEC 61508（機能安全規格）といった国際規格を利用することで、第三者に対し「私たちは証明された手法で安全性を築いている」と説明することが容易になります。

要点2: 技術文書（附属書VII）の作成

自己宣言の場合でも、製品の安全性を裏付ける技術文書の作成が必須です。特に以下の文書化は早急に着手すべきです。

• リスクアセスメント文書: どのようなリスクがあり、それに対してどのような設計上の対策（要件）を取ったかを説明します。
• S-BOM（ソフトウェア部品表）: 使用しているソフトウェアコンポーネントを明確にします。
• 適合性試験報告書: CRAの要求事項に対し、どのような規格や内容で対応しているかをレポートします。

要点3: 「継続的な安全状態の維持」への体制整備

CRAの最大の特徴は、リリース後の脆弱性・インシデント対応を義務付けている点です。これは、製品のサポート期間（最低5年間）にわたり、リスクを監視・評価し、適切にアップデートし続けるための人、システム、プロセスの整備を求めます。

実践的ソリューション：IAR Embedded TrustとSecure DeployによるCRA対応

CRAの厳しいセキュリティ要件を満たすためには、設計段階でRoot of Trust（信頼の基点）を確立し、製造とアップデートの全工程で安全性を担保する必要があります。IAR Systemsのツールは、このRoot of Trustの実装を支援します。

IARソリューションがカバーするCRA要求

IARのツールを導入することで、CRA附属書I（製品要件）のうち、特にRoot of Trustの実装に関わる以下の主要な要求を効率的に満たすことができます。

1. Secure by Design / Secure by Default の実現: 現在および将来のシステム操作の制御を保証するセキュリティ実装。さらにデバッグポートの無効化、メモリのロックダウン機能などにより、安全な初期設定を実現します。
2. 完全性の保護: セキュアブートマネージャーがファームウェアの完全性を検証し、改ざんされていないことを保証します。
3. セキュアアップデート: 安全性が担保された仕組みで、リリース後のソフトウェアアップデート（脆弱性対応）を可能にします。
4. 製造・出荷の安全性: Secure Deployにより、生産プロセスでのデータ漏洩や過剰生産、クローン作成といったリスクを防ぎます。

CRAの要求事項全体を満たすには、もちろんメーカー側でのリスクアセスメントやプロセスの確立も必要ですが、IARのツールはセキュリティ実装の根幹を担い、大幅な開発工数の削減と、確実な「設計の信頼性」の証明に貢献します。

まとめ

CRAへの対応は、設計の信頼性を高め、製品を市場に流通させ続けるための必須条件です。

1. リスクとプロセス: CRAの目的を理解し、リスクアセスメントと継続的な脆弱性対応プロセスを早急に確立する。
2. 技術的基盤: Root of Trustを実現するIAR Embedded TrustとSecure Deployなどを活用し、セキュアブートやセキュアな製造・アップデートの仕組みを導入する。

これらを両輪として進めることで、日本企業はCRAの適用を乗り越え、グローバル市場での競争力を維持できるでしょう。

著者
セイフティ・クリエイト株式会社　高山哲哉
IARシステムズ 岩野歩