{ “status”: “DRAFT”, “standard”: “EN 40000-1-3 (Draft)”, “context”: “EU Cyber Resilience Act (CRA) Horizontal Standards”, “focus”: “Vulnerability Handling & SBOM (Software Bill of Materials)”, “role”: “Senior Network Engineer / Protocol Architect”, “logic_flow”: “CRA Requirement -> Standardized Metadata -> VEX/SBOM Exchange -> Automated Triage” }
本記事はGeminiの出力をプロンプト工学で整理した業務ドラフト（未検証）です。
[Draft] EN 40000-1-3：欧州サイバーレジリエンス法（CRA）における脆弱性ハンドリングとSBOM義務化の水平規格
【背景と設計目標】
CRAの法的要求事項を具体化し、製品ライフサイクル全体での脆弱性管理とSBOM提供の相互運用性を確保するための共通技術仕様を定義する。
本規格は、従来の各社独自の脆弱性管理プロセスを、EU域内で共通化された「自動読み取り可能なフォーマット（CycloneDX/SPDX）」および「脆弱性交換情報（VEX）」に基づく動的な運用へと移行させる新規設計の水平規格である。
【通信シーケンスと動作】
EN 40000-1-3が規定する脆弱性ハンドリングのプロセスは、製品配布時のSBOM提供と、発見された脆弱性に対するVEX（Vulnerability Exploitability eXchange）の継続的な更新で構成される。
sequenceDiagram
participant "Vendor as 製造者 (Manufacturer)"
participant "Repo as SBOM/VEX リポジトリ"
participant User as 利用者/資産管理システム
participant "Authority as 市場監視当局 (ENISA等)"
Note over Vendor, Repo: 製品リリース時
Vendor ->> Repo: SBOM (SPDX/CycloneDX) アップロード
Repo -->> User: SBOM 取得可能通知
Note over Vendor, Authority: 脆弱性発見時 (24時間/72時間ルール)
Vendor ->> Authority: 悪用された脆弱性の報告
Vendor ->> Repo: VEX (脆弱性ステータス) 更新
Note over User, Repo: 継続的モニタリング
User ->> Repo: SBOMに基づきVEX情報をプル
Repo -->> User: 最新の修正ステータス返付
本シーケンスでは、単なるファイルの受け渡しではなく、VEXを用いることで「脆弱性は存在するが、本製品の構成では悪用不可能」といったコンテキスト情報を機械可読な形式で伝達し、利用者の偽陽性対応コストを削減する。
【データ構造 / パケットフォーマット】
SBOMおよびVEXの伝送・格納には、JSON/XML等の構造化データが用いられる。以下は、本規格が要求するメタデータ・エンベロープおよびコンポーネント識別子の概念構造である。
0 15 31 47 63 (bit)
+---------------+---------------+---------------+---------------+
| Version (8) | Format (8) | Serial Number (UUID: 128bit) |
+---------------+---------------+---------------+---------------+
| Timestamp (ISO 8601: 64bit string pointer) |
+---------------+---------------+---------------+---------------+
| Tooling Metadata (Manufacturer, Tool Name, Version) |
+---------------+---------------+---------------+---------------+
| Component List [ |
| { |
| "type": (enum), // application, framework, library
| "name": (string), // Component Name
| "version": (string), // Semantic Versioning
| "purl": (string), // Package URL (RFC 9473)
| "hashes": [ { "alg": (s), "content": (hex) } ]
| }, ... |
| ] |
+---------------+---------------+---------------+---------------+
| Dependencies (Graph structure: Ref IDs) |
+---------------+---------------+---------------+---------------+
| VEX Status (Status: not_affected, affected, fixed, under_inv) |
+---------------+---------------+---------------+---------------+
【技術的な特徴と比較】
EN 40000-1-3は、従来の静的なドキュメント管理と比較して、自動化と即時性に重点を置いている。
| 機能項目 | 従来の手法 (ISO/IEC 29147) | EN 40000-1-3 (CRA準拠) | ネットワーク/実装への影響 |
|---|---|---|---|
| 情報の粒度 | 製品単位のセキュリティ情報 | コンポーネント単位 (SBOM) | 依存ライブラリの特定が容易 |
| 更新頻度 | 不定期 (PDF等での公開) | 動的 (VEXによる継続更新) | API連携による自動トリリアージ |
| 識別子 | 製品名・型番 | PURL / CPE (機械可読) | スキャンツールとの親和性向上 |
| 報告義務 | 任意・ベストエフォート | 法的強制 (24時間以内の報告) | 報告ラインの自動化が必須 |
| 透過性 | 限定的 (クローズドな管理) | 高 (サプライチェーン全体での共有) | 証明書ベースのアクセス制御 |
【セキュリティ考慮事項】
SBOMの完全性と真正性: SBOM自体が改ざんされた場合、脆弱性管理が無効化される。本規格では、SBOMファイルに対するデジタル署名（Ed25519等）と、配布ポイントでのハッシュ検証を必須としている。
情報の機密性と偵察攻撃: 詳細なSBOMの公開は、攻撃者に対して攻撃対象領域（Attack Surface）を提示することになる。そのため、エンドポイントでの認証（mTLS）や、ロールベースのアクセス制御（RBAC）によるSBOM配布制限の設計が必要となる。
VEXの信頼性: 「影響なし」というVEXステータスが虚偽であった場合、利用者の防御機会を奪う。CRAでは虚偽報告に対し多額の制裁金を課すことで、プロセス的信頼性を担保している。
【まとめと実装への影響】
ネットワークエンジニアおよびシステム開発者は、以下の3点に留意する必要がある。
SBOMエコシステムの構築: 単にファイルを作成するだけでなく、CI/CDパイプラインに組み込み、リリース毎に自動でPURLやハッシュを含むSBOMを生成・署名するワークフローが不可欠となる。
脆弱性管理の「プッシュ型」から「プル型」への転換: 従来の脆弱性スキャンだけでなく、外部リポジトリから提供されるVEX情報を常時取得し、自社資産のステータスを自動更新するインフラが必要である。
法規制と技術標準の同期: EN 40000-1-3は水平規格（全製品対象）であるため、特殊な産業用ネットワーク機器であっても、標準的なデータ交換プロトコル（HTTP/REST, MQTT等）を通じたSBOM提供インターフェースの実装が求められる。
