CRA対応はPSIRTだけでは完結しない、重要な製造部門の役割【第6回】

対応2：対策を正しく実行したことを示す記録を残す

　製造部門が、工場においてセキュリティ対策を正しく実行したことを説明するためには、セキュリティ対策の実施結果を証跡として確実に残す必要がある。単に「作業した」という事実だけでは不十分だ。「誰が、いつ、どのロットに対して、何を実施したのか」「どのバージョンのセキュアBOMや、どの作業指示／作業手順に基づいて、どういった対策を実施したのか」を追跡可能な形で記録する。

　記録すべき内容には、対象製品のシリアル番号やロット番号、適用したソフトウェア／ファームウェアのバージョン、実施した設定内容、パッチのバージョンと適用結果、検査結果、作業者、確認者、承認者、作業日時、使用した手順書の版数などが含まれる。これらを製造記録や検査記録、出荷記録、セキュアBOMと紐付けて管理することで、後から特定の製品に、どの対策が適用されていたかが確認できる。

　例外や不具合が発生した場合の記録も重要だ。例えば「指定されたパッチを適用できなかった」「作業手順書から逸脱した手順で作業を実施した」といった場合、その内容と原因、暫定対応、承認者、最終判断を記録しておく必要がある。これにより、出荷可否の判断や、インシデント発生時の影響範囲特定が迅速に行える。

　これらの記録は、開発部門やPSIRT、品質保証部門が参照できる形で管理されるべきである。セキュアBOM、製造実績、検査結果、出荷情報の整合性を関係者間で定期的に確認することで、製造部門が実施したセキュリティ対策に妥当性があること、つまり説明責任を果たしていることを継続的に確認できる。

対応3：作成した記録が改ざんされないように維持管理する

　製造部門が作成した記録は残すだけでなく、記録が改ざんされていないことを証明できなければならない。製品の脆弱性やセキュリティインシデントは工場のセキュリティ対策不備でも生じるため、問題が発生すれば、工場のセキュリティ対策に疑義が生じるからだ。

　その疑義を解消するために記録を残すわけだが、記録の真正性が担保されていなければ、適切に処置していたとしても工場のセキュリティ対策の疑義はぬぐえない。そのため、記録管理には改ざん防止・改ざん検知の仕組みを組み込むことが重要である。

　具体的には、記録にタイムスタンプや電子署名を付与し、作成日時、作成者、承認者を明確にする。記録作成後は上書き保存を禁止し、修正が必要な場合も元の記録を残したまま、訂正履歴として追記する運用が望ましい。変更前後の内容、変更理由、変更者、承認者を残すことで、記録の信ぴょう性を確保できる。

　記録へのアクセス権限の管理も重要だ。具体的には、作業者、確認者、承認者、管理者などの権限を分離し、必要以上の編集権限を与えない。共通IDの利用を避け「誰が、どの操作を行ったか」を明確にする。さらに、監査ログを取得し、ログ自体も削除・改ざんできないよう、必要に応じて別サーバーでの多重保管やWORM （Write Once, Read Many）ストレージの利用などを検討する。

　記録の真正性を確保することは、工場の説明責任だけでなく、工場従業者を守ることにもつながる。工場従業者へのあらぬ疑いを避けるためにも、記録が正しく作成され、改ざんされていないことを技術的・運用的に証明できる仕組みが必要である。
ただし、これらのセキュリティ対策は単純に多額の費用をかけて対策すればよいというものではない。製品価格を抑えるためには、費用対効果の良いセキュリティ対策を選定することが重要である。

　次回は、CRAの対応における営業部門の役割について解説する。