欧州サイバーレジリエンス法（Cyber Resilience Act：CRA）※ は、EU市場で流通する Product with digital elements（デジタル要素を含む製品）に対してサイバーセキュリティ要件を義務付けるEU規則です。スマートフォンやスマート家電などのIoT機器、ソフトウェアに加え、オペレーティングシステムやネットワーク機器など、あらゆるデジタル製品が対象に含まれます。CRAは、製品の設計・開発段階から運用・保守まで一貫したサイバー耐性（Cyber Resilience）の確保を求めるもので、2024年12月に発効、2026年9月から脆弱性報告義務が開始され、2027年12月に全面適用されます。要件を満たさない場合、EU市場での販売停止や、1,500万ユーロまたは全世界売上の2.5%と高額な制裁金といった重大リスクが生じます。すなわち、EU市場に向けてデジタル製品を販売する製造業にとって、このCRAへの準拠が必須となります。
ピンチアウトで拡大
では、実際に準拠すべきCRAの要件にはどういったものがあるのでしょうか。
CRA本文Chapter1の第6条、「デジタル要素を備えた製品に対する要件」では、以下のように記載されています。
※以下、CRA本文の記載を日本語に翻訳したものです。
|
デジタル要素を含む製品は、次の要件を満たす場合にのみ、市場に提供されるものとする。 |
また、CRA本文Chapter2の第13条「製造業者の義務」には、以下の記載がございます。
| 1.デジタル要素を有する製品を市場に投入するにあたり、製造者は、当該製品が附属書IのPart Iに定める必須サイバーセキュリティ要件に従って設計、開発および製造されていることを確保しなければならない。 3.サイバーセキュリティリスク評価は文書化され、本条第8項に従い定められるサポート期間中、適切に更新されなければならない。当該リスク評価には、少なくとも、デジタル要素を有する製品の意図された用途、合理的に予見可能な使用、使用条件（運用環境または保護対象資産等）に基づくサイバーセキュリティリスクの分析を含み、当該製品の想定使用期間を考慮しなければならない。 また、当該リスク評価は、附属書IのPart Iのセキュリティ要件が当該製品に適用されるか否か、適用される場合はその方法、およびリスク評価に基づく実装方法を示さなければならない。さらに、附属書IのPart Iおよび附属書IのPart IIに定める脆弱性対応要件を、製造者がどのように適用するかを示さなければならない。 |
上記の通り、CRAへの準拠のためには附属書IのPart Iのサイバーセキュリティ要件、
及びPart IIの脆弱性対応要件を満たす必要があります。
Part I 「デジタル要素を含む製品に関するサイバーセキュリティ要件」より抜粋：
| (e) 保存・転送・処理されるデータ（個人データ含む）の機密性を保護すること。例：保存時/転送時の暗号化等、最新技術の活用。 (f) データ・コマンド・プログラム・設定等の完全性を保護し、ユーザーの許可されていない改ざんを防止し、破損を報告できること。 |
Part II 「脆弱性対応に関する要件」より抜粋：
| （7）脆弱性が適時に修正または緩和されることを確保するため、更新を安全に配布する仕組みを整備すること。該当する場合には、セキュリティ更新の自動配布を含む。 |
データの機密性を保護するには、CRA本文の記載の通り、データの暗号化等の技術が必要です。
また、データの完全性の保護には、デジタル署名（電子署名）という技術が有効です。信頼された認証局が、機密データに電子署名を施し、そのデータが改ざんされていないことを証明します。署名されたデータを、署名時に使用された秘密鍵に紐づく公開鍵で検証することで、機密データが信頼されたデータであることを確認できます。
また、Part IIの要件に記載された、セキュリティ更新を安全に配布する仕組みやその自動配布に関して、IoT機器の場合、OTA（Over The Air）による遠隔アップデートにより、速やかなファームウェア更新を行う必要があります。身近な例だと、スマートフォンのOSを更新する際、わざわざ端末を製造元に持っていく必要はなく、OTAで遠隔アップデートが可能かと思います。この際に遠隔で配布されるファームウェアが信頼できるものであることを証明するために、こちらにもデジタル署名の技術が用いられます。
デジタル署名におけるHSMの必要性
デジタル署名の信頼性を担保するには、認証局による署名に必要な秘密鍵を厳格に安全に保護できる環境が必要不可欠です。そのために、HSM（Hardware Security Module）の利用が推奨・事実上必須となるケースがございます。HSMとは耐タンパ装置とも呼ばれ、署名や暗号化に使用される暗号鍵を、物理的かつ論理的に堅牢なハードウェア内部で生成・管理・使用するためのデバイスです。
CRAへの準拠に必要となる、データの完全性担保/更新データの安全な配布において、実際にHSMが活用されています。
OTAでのファームウェア更新
セキュアブートによるOSの信頼性担保
セキュアブートとは、デバイス起動時に使用されるプログラムが改ざんされていないことを、デジタル署名の技術を使って証明する技術です。これにより、不正プログラムが起動プロセスに介入することを防ぎ、デバイスの安全性を担保します。特に自動車や産業機器などのIoT機器において、悪意あるプログラムが動作すると人命に関わる重大な事故につながる可能性があるため、セキュアブートは信頼性確保の上で重要な役割を果たします。
PQC（ポスト量子暗号） への対応
量子コンピュータの登場により、現在広く使用されている非対称性の暗号アルゴリズム（RSA、ECDSAなど）が将来的に解読されてしまうと言われています。これを受けて、量子コンピュータでも解読が困難な次世代暗号である、耐量子計算機暗号（PQC）への移行に注目が集まっています。
また、米国の国家安全保障局（NSA）が策定した、CNSA2.0というガイドラインでは、ソフトウェア及びファームウェアに対する署名について、2030年までにPQC移行を完了させることが求められると記載されています。
これはCRAに関連のあるセキュアブート、OTAでのファームウェア更新等のシステムにおいても、将来的にPQCに対応したデジタル署名技術が必要になる可能性を示唆しています。
弊社取り扱いのHSMは、そのようなPQCアルゴリズムを使用した暗号処理・署名処理に標準ファームウェアで対応しております。これにより、量子コンピュータ時代を見据えた次世代の暗号基盤を実現します。
CRAにて求められるセキュリティ要件への準拠にはデジタル署名の技術が必要であり、その信頼の起点として、HSMを用いた秘密鍵の保護が不可欠です。
弊社は汎用HSMをはじめとした暗号基盤製品について、２０年以上の取り扱いの歴史・知見がございます。また、機器の貸出やPoCの支援も行っております。
CRAへの対応及びその他鍵管理やPQC対応についてご相談がございましたら、ぜひお気軽にお声掛けください。