prEN 18063 / EN 40000-1-3: 欧州CRA対応 脆弱性ハンドリング及びSBOM作成の水平規格

Tech

本記事はGeminiの出力をプロンプト工学で整理した業務ドラフト（未検証）です。

prEN 18063 / EN 40000-1-3: 欧州CRA対応 脆弱性ハンドリング及びSBOM作成の水平規格

【背景と設計目標】

欧州サイバーレジリエンス法（CRA）に基づき、デジタル製品のライフサイクル全体における脆弱性管理とSBOM提供の法的義務を具体化する新規水平規格。

従来のISO/IEC 29147および30111をベースにしつつ、欧州市場への参入条件として「製品出荷後の24時間以内の脆弱性報告」や「機械可読なSBOMの維持」を強制化することを目標としています。既存の任意ガイドラインを、法適合性のための技術参照基準（Harmonised Standards）へと昇格させた設計となっています。

【通信シーケンスと動作】

本規格が定義する脆弱性通知およびSBOM提供の典型的なシーケンスは、製造業者、欧州サイバーセキュリティ機関（ENISA）、およびエンドユーザー間の情報流通を規定します。

sequenceDiagram
    participant "M as Manufacturer (製造業者)"
    participant "E as ENISA / CSIRT-EU"
    participant "U as User (資産管理者)"

    M ->> M: 脆弱性の発見・検知 (Internal/External)
    M ->> E: 悪用された脆弱性の通知 (24時間以内/CRA義務)
    Note over M,E: 暗号化されたセキュアチャネルを使用
    M ->> M: パッチ/修正策の作成
    M ->> U: セキュリティアップデート通知
    U ->> M: SBOMのリクエスト (VEX情報含む)
    M -->> U: 機械可読なSBOM提供 (CycloneDX/SPDX)
    Note over U: 脆弱性管理ツールでの自動照合

【データ構造 / パケットフォーマット】

EN 40000-1-3が要求するSBOMおよび脆弱性報告のデータ構造は、主にJSON形式での実装が想定されています。以下は、報告に必須とされるメタデータ構造の論理構成です。

0               16              32              48              64 (bit)
+-------+-------+-------+-------+-------+-------+-------+-------+
| Version (8b)  | Msg Type (8b) | Timestamp (32b)               |
+---------------+---------------+-------------------------------+
| Manufacturer ID (UUID 128b)                                   |
+---------------------------------------------------------------+
| Product ID / CPE / PURL (Variable)                            |
+---------------------------------------------------------------+
| Vulnerability ID (e.g., CVE-YYYY-NNNNN) (Variable)            |
+---------------------------------------------------------------+
| Severity (CVSS v3/v4 Score)   | Status (Under Investigation..) |
+-------------------------------+-------------------------------+
| SBOM Reference (URL/Hash)                                     |
+---------------------------------------------------------------+
| Integrity Checksum (SHA-256/384)                              |
+---------------------------------------------------------------+

【技術的な特徴と比較】

EN 40000-1-3は、従来の任意プロセスと比較して、より「自動化」と「即時性」に重点を置いています。

特徴 従来手法 (ISO/IEC 29147) CRA/EN 40000-1-3 (当規格)
法的強制力 任意（ベストプラクティス） 必須（適合性評価の対象）
報告期限 定めなし（合理的な期間） 24時間以内（悪用検知時）
SBOM形式 非定型 / PDF等 機械可読（CycloneDX / SPDX）
透明性 製造業者の裁量 VEX (Vulnerability Exploitability eXchange) 必須
ライフサイクル 保証期間内 最低5年間または製品寿命のいずれか短い方

【セキュリティ考慮事項】

  1. SBOMの完全性（Integrity）： SBOM自体が攻撃者によって改ざんされるリスク（サプライチェーン攻撃）に対し、デジタル署名の付与とハッシュ値による照合が必須要件となります。

  2. 脆弱性情報の機密性： 未修正の脆弱性情報が公開前に漏洩することを防ぐため、ENISAへの報告経路にはTLS 1.3以上の暗号化通信および相互認証（mTLS）が推奨されます。

  3. VEXによる誤検知抑制： SBOMに含まれるコンポーネントが「コード上は存在するが実行パスに含まれない」場合の偽陽性を防ぐため、VEX（脆弱性活用可能性情報）の提供がセキュリティ運用上の鍵となります。

【まとめと実装への影響】

ネットワークエンジニアおよび開発者が留意すべき3つのポイント：

  • SBOM自動生成のパイプライン化： ビルドプロセス（CI/CD）にCycloneDX等の生成ツールを組み込み、リリースごとにハッシュ値を固定したSBOMを自動出力する体制が不可欠です。

  • 資産管理システムとのAPI連携： 脆弱性検知から24時間以内の報告義務を果たすため、自社製品のインベントリとCVEデータベースをリアルタイムで照合する自動監視機構が必要です。

  • VEX情報のメンテナンス： 単にSBOMを公開するだけでなく、その脆弱性が「自社製品において実際に影響があるか」をフラグ立てするVEX運用が、顧客のサポートコスト削減と信頼性向上に直結します。

ライセンス：本記事のテキスト/コードは特記なき限り CC BY 4.0 です。引用の際は出典URL（本ページ）を明記してください。
利用ポリシー もご参照ください。

コメント

タイトルとURLをコピーしました