CRAはセキュアBOMが進化し続けることを求めている【第4回】

　CRA（EU Cyber Resilience Act：欧州サイバーレジリエンス法）はメーカーに対し、企画・開発段階で網羅的なセキュリティリスク分析を実施し、許容できないリスクに対して妥当な対策を講じることを求めている。さらに出荷後に、講じた対策の有効性が低下したり新たな脆弱性が判明したりした場合には、遅滞なく対処しなければならない。

　つまり、コストや納期を優先し、セキュリティ対策が不十分なまま製品を出荷することは認められない。たとえ実際にインシデントが発生していなくても、要件を満たしていなければ法令違反になり得る。

　こうしたCRAの要求に対応していることを証明し、かつ出荷後の問題に迅速に対応する仕組みの要になるのが、セキュリティの部品表である「セキュアBOM（Bill of Materials：部品表）」だ。

　セキュアBOMを通じて説明責任を果たす重要性と、作成時に押さえるべきポイントや具体例については第3回で解説した。今回は、そのセキュアBOMをどのように運用へ落とし込み、継続的に機能させるかを見ていく。

作れば終わりではない、正しく運用する仕組みが重要

　セキュアBOMは、一度作成すれば永続的に活用できるものではない。出荷時はセキュリティ対策が十分であったとしても、出荷後に、新たな脆弱性が顕在化したり、セキュリティ対策が危殆化したりすれば、製品のセキュリティ対策の有効性は喪失し被害が発生してしまう。そのため、世の中に公開される脆弱性情報を継続的に監視し、自社製品への影響を常に確認しながら取り込んでいく運用が欠かせない。

　一方で、第3回で述べたように、自社製品に関わるすべてのモジュールを無差別に管理対象にすると、かえって脆弱性情報の収集や影響調査の妨げとなる場合がある。だからこそ、企画・設計段階からセキュリティ対策を意識し、管理すべき対象を見極めたうえで開発を進めることが重要となる。

　さらに、初期段階で適切な対策を講じていたとしても、それだけで十分とはいえない。重要なのは、その状態を継続的に維持するための監視の仕組みと、問題が発生した際に迅速に対応できる運用プロセスを具体的に定義し、確実に運用することである。では、セキュアBOMを正しく運用するためには何が必要なのだろうか。

　まず求められるのは、セキュアBOMを継続的に更新し続ける環境の整備である。具体的には、「NVD」や「JVN iPedia」などの公的な脆弱性データベースを継続的に監視し、自社製品に実装されているセキュリティ対策や利用コンポーネントに問題が生じていないかを確認し続ける必要がある。この監視を自動化すれば効率的だが、重要なのは、得られた問題を確実、かつ迅速に収束させることだ。

　従って、自社製品に関わるセキュリティの問題を検知した場合には、速やかに対処できる体制をあらかじめ整えておかなければならない。そのためには、開発部門、製造部門、監視部門、そしてPSIRT（Product Security Incident Response Team）などの関係組織が密接に連携することが不可欠である。

　この連携に実効性を持たせるためには、情報共有の方法や対処手順を明確にし「誰が、何を、いつまでに実行するのか」というレベルまで役割と責任を具体化しておく必要がある。運用は、仕組みを定義しただけでは機能しない。問題を検知した際に、現場が迷わず動ける状態まで落とし込んで初めて実効性を持つ。

加えて、この運用プロセスそのものに不備が見つかった場合に備え、課題を是正し、継続的に改善していく仕組みも組み込んでおくべきだ。セキュアBOMを真に活用するためには、作成だけでなく、監視、対応、改善までを含めた運用プロセス全体を設計することが求められる。

実効性のないセキュアBOMでは報告義務を果たせない

　CRA対応で重要なのは、繰り返すが、セキュアBOMを作って終わりにしないことだ。脆弱性や対策の有効性は出荷後も変化するだけに、継続的な監視、迅速な対処、運用改善を一体で回せなければならない。規格・設計・製造・運用のプロセス全てを回すことで初めてCRAに対応できていると言える。

　このようにCRAが求めるのは、常に進化し続けるセキュアBOMであり、それを運用していく体制、そして問題が発生した場合に是正していく仕組みである。

　セキュアBOMを作るためには、企画・設計段階からセキュリティを考慮した設計が求められる。しかし、セキュアBOMを作るだけではだめで、運用プロセスを整備し、関連部門が密に連携できる関係性を構築することで、説明責任を果たせる。

　つまり、製品出荷後にメンテナンスに大きなコストがかかる、あるいは、そもそもメンテナンスできないなど、実効性のないセキュアBOMを作成しても、CRAの報告義務は果たせない。

　次回は、セキュアBOMを実際に運用する組織であるPSIRTが中心になって、CRAの14条が要求している24時間、72時間の報告義務を果たすことの意味とビジネスにおける価値について解説する。