対象条文
(1) デジタル要素を含む製品は、リスクに応じた適切なレベルのサイバーセキュリティが確保されるように設計、開発、製造されなければならない。
目的
「製品に内在するセキュリティリスクを、設計段階から最小化し、リリース後も安全な状態を維持できるようにする」ことです。
この条文は、後付けのセキュリティ対策（patch）ではなく、組み込みセキュリティを義務づけています。
やるべきこと
リスクベース設計（Security Risk Assessment）
まず、「製品がどのような脅威に晒されるか」を明確にします。
実施内容：
- ① 使用環境・想定ユーザー・ネットワーク接続状況を分析
- ② 「資産（保護すべきもの）」を洗い出す（データ、通信経路、制御機能など）
- ③ 攻撃経路・脅威シナリオを特定（例：リモート侵入、物理改ざん、悪意ある更新など）
- ④ リスク評価（発生確率×影響度）を行い、「高リスク領域」を特定
- ⑤ リスクを低減する設計要求を文書化
参考規格：
- ISO/IEC 27005（リスクマネジメント）
- IEC 62443-4-1 / -4-2（制御システム用）
- EN 303 645（IoT機器向けセキュリティ）
セキュリティ要件を設計仕様に反映
リスク評価で明らかになったリスクを設計仕様に落とし込みます。
例：
| リスク | 対応する設計対策 |
|---|---|
| 不正アクセス | 強力な認証（多要素認証、パスワード管理） |
| データ盗聴 | 通信暗号化（TLS、SSH） |
| 改ざん | デジタル署名、セキュアブート |
| 脆弱な構成 | 安全なデフォルト設定（Secure-by-default） |
| サプライチェーン攻撃 | 署名付きソフトウェア部品、SBOMの管理 |
安全な開発プロセス（Secure SDLC）
設計だけでなく、開発段階でもセキュリティ品質を維持します。
実施内容：
- コーディング標準（例：CERT C、OWASP Secure Coding Guidelines）を定める
- 静的解析（SAST）・動的解析（DAST）ツールによる脆弱性検出
- 外部ライブラリのSBOM管理（脆弱性追跡）
- コードレビューでセキュリティ観点をチェック
- 定期的なペネトレーションテスト実施
セキュアな製造・出荷プロセス
製造時に改ざんや不正挿入を防ぐことも含まれます。
実施内容：
- ファームウェア署名および検証（Secure Boot）
- 工場内ネットワークのアクセス制御
- 出荷前のセキュリティテスト・検証（出荷検査証跡）
- シリアル番号や電子証明書によるトレーサビリティ確保
- 不正ファームウェアや不正部品の混入防止
セキュリティ検証と第三者評価
製造後の検証や監査も求められます（適合評価前に必須）。
実施内容：
- 内部テスト：脆弱性スキャン、侵入テスト、ファジングテスト
- 第三者評価（Notified Bodyまたは独立機関）による確認
- テスト結果を技術文書（Annex VII）にまとめ、記録を残す
セキュリティ維持計画
製品リリース後も、セキュリティを維持・改善し続けるための運用体制を整える。
実施内容：
- 脆弱性報告窓口（Vulnerability Disclosure Program）の設置
- セキュリティアップデートの仕組み（自動更新または通知）
- サポート期間中の修正提供ポリシー
- セキュリティインシデント対応手順の整備
まとめ
| フェーズ | 必要な実務対応 | CRA該当箇所 |
|---|---|---|
| 設計 | リスク評価とセキュリティ要件定義 | Annex I (1) |
| 開発 | セキュアコーディング、脆弱性テスト | Annex I (1)、(2) |
| 製造 | 改ざん防止、署名付きファームウェア | Annex I (1) |
| 評価 | 内部検証、第三者評価、技術文書作成 | Annex VII, VIII |
| 運用 | 脆弱性対応、アップデート管理 | Annex I (2) |
コメント