EUサイバーレジリエンス法（CRA）対応 “ものづくり現場”に求められる12のステップ【実践編】〜設計・製造・品質保証の全工程で求められる12ステップを詳しく解説〜
CRA対応がものづくり現場にもたらす変化と12ステップを詳しく解説します。

CRA対応でまず発生するのが、要件定義の抜本的な書き換えです。従来の製品仕様書に加えて、セキュリティ関連の要件を“機能として”明確に組み込む必要があります。
具体的には、次のような項目です。

・デフォルトセキュア
・認証・認可・暗号化
・ログ管理とインシデント対応
・OSS利用ポリシー
・SBOM管理
・セキュアアップデートの提供方法
・不正アクセス防止
・DoS耐性
・ユーザーデータの安全な削除方法

CRAは、製品の脅威分析を文書として残し、第三者が見ても理解できるように整理することを要求します。
具体的には、次のような項目を明記する必要があります。

・攻撃者モデル
・想定される攻撃パス
・リスクレベル
・対応方針
・残存リスクの理由

単なる技術的検討メモではなく、説明責任を果たせる形でのリスク可視化が求められる点が、従来との大きな違いです。

近年では、製品そのものだけでなく、「開発工程そのものが攻撃対象になり得る」ことが明確になっています。
実際に発生している事例としては、次のようなものがあります。

・リポジトリへの侵入
・ビルドサーバの改ざん
・CI/CDパイプラインの認証情報流出
・コンテナイメージへのバックドア

これらは実際に世界中で発生しています。CRAでは、こうしたリスクを最小化するため、CI/CDパイプラインの保護が求められています。

CRAでは、製品のセキュリティ確保に向けて、開発段階での専門的なセキュリティテストの実施を求めています。
具体的には、以下のテストを推奨しています。

・SAST（静的解析）
・DAST（動的解析）
・Fuzzing（異常入力テスト）
・ソースコードレビュー
・セキュアコーディング基準の遵守チェック

これは従来の単体・結合・システムテストとは目的が異なります。品質や仕様適合を確認するためのテストではなく、「攻撃者が狙うポイントを先回りして評価する」ことがポイントです。

EUの適合性評価の際には、テストの実施だけでなく、その内容を裏付ける証跡の整備が求められます。
具体的には、次のようなドキュメントが必要となります。

・テスト計画
・テスト結果
・検出された脆弱性と対応
・再テスト結果
・残存リスクの正当化

重要なのは、「実施した」という事実ではなく、第三者が確認しても妥当性を判断できる状態に整理されていることです。この証跡整理の工程でつまずく企業は少なくありません。そのため、客観的な視点で整理できる第三者の関与が有効となります。

CRAでは、製品の販売後もセキュリティ責任が継続することが明確に定められています。
具体的には、次のような対応が法的義務となります。

・脆弱性の迅速な特定と対応
・セキュリティパッチの提供
・更新情報の通知
・アップデートの安全性確保

つまりCRA対応とは、一度きりの認証取得ではなく、継続的に運用し続ける体制の構築を意味します。

これまでのSTEPでは、脅威分析の文書化、SBOMの整備、テストエビデンスの整理など、報告を前提とした記録の重要性を述べてきました。CRAでは、技術的な対応だけでなく、所定の機関への報告義務も課されています。 適合性を維持するためには、必要な情報を正確に文書化し、提出できる体制が不可欠です。
具体的には、以下の報告義務があります。

・脆弱性報告
・インシデント報告
・適合性評価報告書
・SBOM提出
・リスク評価書類

これらの文書は量も多く、記載内容にも専門的な正確性が求められます。 形式を満たすだけでなく、技術的妥当性を担保した文書作成が必要となる点が大きなハードルです。