- Column
- CRA発効で製品セキュリティはユーザー保護から社会保護・安全保障へ
CRA対応はPSIRTだけでは完結しない、重要な製造部門の役割【第6回】
第1回と第2回で、CRA（EU Cyber Resilience Act：欧州サイバーレジリエンス法）における品質保証とステークホルダーとの関係構築について解説した。第3回と第4回では、品質保証におけるセキュアBOMの重要性を、第5回ではセキュアBOMを実際に運用し、脆弱性・インシデント対応の中核を担うPSIRT（Product Security Incident Response Team）の役割を、それぞれ解説した。今回は、PSIRTと特に密接に連携する必要がある製造部門に焦点を当て、果たすべき役割を解説する。
第5回は、CRA（EU Cyber Resilience Act：欧州サイバーレジリエンス法）への対応において、法令上求められる報告義務を確実に果たすことが重要だとしたうえで、企業がまず意識すべきことは、単に「24時間以内の通知」や「72時間以内の報告」といった期限を守ることではなく、迅速かつ実質的に被害拡大を食い止めることであると解説した。
製品セキュリティの本質的な目的は、（1）セキュリティインシデントの発生を未然に防ぐこと、（2）万が一セキュリティインシデントが発生した場合には速やかに影響を把握して被害を最小化し迅速に鎮火させることである。そのためには、平時から社内の関係部門が連携し、情報管理から判断、対応までを一気通貫で進められる体制を整えておく必要がある。
その中核になるのが「PSIRT（Product Security Incident Response Team）」だ。製品に関わる脆弱性やインシデント対応を製品ライフサイクル全体で統括する社内横断的な機能である。
PSIRTを中心とした製品セキュリティ対応には、開発や製造、品質保証、保守など、さまざまな部門が関与する。なかでも特に密接に連携する必要があるのが製造部門だ。
製造部門には製品セキュリティへの説明責任がある
製品セキュリティを確保するために製造部門に対して、顧客や開発部門の立場から委託されることは「工場が製品プログラムの改ざんや検査工程の破壊を狙うハッキングを受けた際に最低でも不良品は出荷しない程度の工場セキュリティ対策を具備すること」である。
さらに、訴訟に発展するリスクを考慮すれば、その工場セキュリティ対策が合理的に実施されていたことを証明できなければならない。言い換えれば説明責任を果たす必要がある。そのためには少なくとも以下の3つの対応が不可欠である。
対応1：セキュアBOMに基づいたセキュリティ対策を正しく実行する
製造部門が、開発部門から委託されたセキュリティ実装・設定・更新作業をセキュアBOM（Bill of Materials：部品表）に則って正しく遂行するには、まず開発部門とPSIRT、品質保証部門の明確な連携体制が必要である。
そこでの製造部門は対象製品や対象部品、ソフトウェアのバージョン、適用すべきパッチ、設定値、検査項目などを関係部門から正確に受領し、作業指示として現場に落とし込む必要がある。
次に、作業手順の標準化を図る。作業者によって対応結果が変わらないよう、手順書とチェックリスト、承認フローを整備し、誰もが同じ品質で作業できる状態にすることが重要だ。ファームウェアの書き込み、証明書・鍵の投入、セキュリティ設定、不要機能・サービスの無効化、脆弱性を修正したモジュールの適用などは、手作業ではなく、可能な限り自動化・システム化することが望ましい。