CRAは機械装置メーカに何を求めているのでしょうか?
CRAは、設計、導入、運用、保守というあらゆる段階においてセキュリティを確保することを求めています。その本質を突き詰めると、3つの問いに集約されます。それらに誠実に答えることで、自社の現状を把握することができます。
質問1: あなたの組織は安全と言えるでしょうか?
単に製品だけでなく、組織そのものの話です。市場へのサービス提供やサポート、そして業務運営において、自ら胸を張って保証できる水準を維持できているでしょうか?
これを考える上で最も分かりやすい視点は、「サイバーセキュリティの文化」です。15〜20年前に製造現場に安全の文化が定着したように、サイバーセキュリティもまた、あなたの組織に根付いているでしょうか?
質問2: 出荷する製品はセキュア･バイ･デザインとセキュア･バイ･デフォルトが確保されていますか?
これらは、正確に理解しておくべき業界用語です。機械装置メーカには、設計･開発の全工程を通じてサイバーセキュリティが考慮されていたことを実証し、CEマークの取得やIEC 62443への適合を実現することが求められます。
セキュア･バイ･デザイン = 機械の構築方法
これには、機械の設計方法や接続方法、さらには物理的またはリモートでの接続方法などが含まれます。
セキュア･バイ･デフォルト = 出荷時の状態
つまり、不要な要素や「フック」(拡張･介入用の接点)を極力排除した構成になっているということです。システムは無防備な状態で放置され、後続の工程で誰かにセキュリティを固めてもらうのを待っているわけではありません。
質問3: 継続的なサポートやアップデートは提供可能ですか?
これは必須要件ですが、機械装置メーカが最も過小評価しがちな点でもあります。
出荷時点では製品にウイルスが含まれていないことを確認できたとしても、時間の経過とともに新たに発生する脆弱性をどのように追跡していくのでしょうか? 脆弱性は通常、攻撃者がその機器を入手し、侵入経路を探る過程で明らかになるものです。
つまり、常に警戒を怠らない体制(常時稼働の姿勢)が求められるということです。自社が販売した製品を把握し、脅威インテリジェンスや脆弱性レポートから得られる情報を理解しておく必要があります。そして、販売先の顧客を支援する責任も生じます。そうでなければ、さらなる問題を引き起こしかねません。
多くの機械装置メーカが見落としている計算
質問3に関して、もう1つ注目すべき点があります。それは、この義務が製品のライフサイクル全体、または生産期間中であれば最長10年間にわたって、その機械に付随し続けるという点です。
仮の例を挙げてみましょう。ある機械装置メーカが年間100台の機械を出荷しているとします。10年が経過する頃には、義務の対象となる機械は合計1,000台に達します。そして、各機械には複数のデバイスが搭載されています。仮に1台当たり100個のデバイスが搭載されているとしましょう。つまり、複数の拠点に出荷された10万個以上のエンドポイント(デバイス)に関連する脆弱性や製品アップデートを追跡･管理しなければならないということです。しかも、それらすべては、バージョンや脆弱性の状況を把握し、追跡し、報告することが求められる1,000台の機械の中に含まれているのです。
次に、人件費を考慮する必要があります。これは事業規模に応じて増大するものであり、決して無視できないコストです。この対応に追われている欧州の機械装置メーカからは、追跡･管理の負担が極めて大きいという声が聞かれます。一方で、簡素化の手法を確立した企業では、大幅な工数削減を実現しています。
機械装置メーカが直面する選択
こうした業務負荷は、難しい決断を迫るものです。現状をそのまま受け入れ、製品･機能･サービスの中核的な能力の一部として組み込むか、あるいは単なる「チェックボックスを埋めるだけの作業」として厄介払いし、やり過ごすか。
問題が生じるのは、後者の道を選んだ場合です。断言しますが、CRA (サイバーレジリエンス法)は機械装置メーカの市場のあり方を一変させるでしょう。問われているのは、その変化のどちら側に身を置くかということです。
北米の機械装置メーカへの警告
北米の機械装置メーカや機械メーカにとって、CRA (サイバーレジリエンス法)を「欧州の問題」として片付けてしまいたくなる気持ちは理解できます。しかし、その動向を注視することが重要です。
それは、欧州市場で製品を販売している場合、またはそうした販売を行っている顧客を抱えている場合、この規制要件は発注書を通じて貴社にも及ぶことになるからです。
北米を主な拠点としている場合、連邦政府がすでに産業界や政府部門全体でサイバーセキュリティ要件の強化に着手している点に注目すべきです。これは、今後こうした要件が他の業界にも拡大していくことを示唆しています。具体的な導入時期がいつになるかはさておき、求められる説明責任や責任の範囲が縮小する方向に向かうことはないでしょう。
