EN 40000-1-3 (Draft)：欧州サイバーレジリエンス法（CRA）における脆弱性ハンドリングとSBOM義務化の水平規格

Tech

[META] { “style”: “Senior Network Engineer”, “focus”: “EN 40000-1-3 (CRA Harmonized Standard Draft)”, “technical_depth”: “High”, “format”: “Technical Specification / Analysis”, “compliance”: “CRA Annex I Section 1 & 2” } [/META]本記事はGeminiの出力をプロンプト工学で整理した業務ドラフト（未検証）です。

EN 40000-1-3 (Draft)：欧州サイバーレジリエンス法（CRA）における脆弱性ハンドリングとSBOM義務化の水平規格

【背景と設計目標】

欧州サイバーレジリエンス法（CRA）の施行に伴い、デジタル要素を持つ製品（Products with digital elements）には、開発ライフサイクル全般における脆弱性管理とSBOM（Software Bill of Materials）の提供が法的義務として課せられます。EN 40000-1-3は、これらを実現するための「水平規格（Horizontal Standard）」として策定されており、特定製品に依存しない共通の脆弱性ハンドリングプロセスと、SBOMの最小データ項目および配布方法を規定することを目標としています。既存のISO/IEC 29147や30111を包含しつつ、法的な強制力（CEマーク適合性評価）に耐えうる厳格なメタデータ構造を定義します。

【通信シーケンスと動作】

製品エコシステムにおける脆弱性情報の収集・報告・修正パッチ適用（VEX: Vulnerability Exploitability eXchangeを含む）の標準的なライフサイクルを以下に示します。

sequenceDiagram
    participant "S as Vendor (Supplier)"
    participant "V as VDB/CSIRT (ENISA)"
    participant "A as Asset Owner (User)"

    Note over S: SBOM Generation (CycloneDX/SPDX)
    S ->> A: Deliver Product + SBOM

    Note over V: New Vulnerability Discovered (CVE)
    V -->> S: Vulnerability Disclosure

    S ->> S: Impact Analysis (VEX Creation)

    alt is_vulnerable
        S ->> A: Security Advisory + Patch + VEX (Status: Affected)
    else not_vulnerable
        S ->> A: VEX (Status: Not_Affected / Justification)
    end

    S ->> V: Mandatory Vulnerability Reporting (within 24h)

【データ構造 / パケットフォーマット】

EN 40000-1-3が要求するSBOMおよび脆弱性メタデータの最小構成要素（CRA Compliance Data Structure）の概念モデルです。主にCycloneDX 1.5以降またはSPDX 2.3/3.0をトランスポート層として想定します。

CRA_COMPLIANCE_EN_40000_1_3 (Draft Structure)
+-----------------------------------------------------------------------+
| Header: SBOM Metadata                                                 |
|   - SpecVersion (8:bits) : e.g., "1.5"                                |
|   - SerialNumber (128:bits): UUID                                     |
|   - Timestamp (ISO8601)                                               |
+-----------------------------------------------------------------------+
| Component_Entity (CRA Class I/II/Critical)                            |
|   - Name (string)                                                     |
|   - Version (string)                                                  |
|   - PURL (Package URL) / CPE (Common Platform Enumeration)            |
|   - Supplier_Identity (vCard format)                                  |
|   - Hash (SHA-256/384/512)                                            |
+-----------------------------------------------------------------------+
| Vulnerability_Handling_Interface (VEX Information)                    |
|   - Vuln_ID (CVE-ID / GHSA-ID)                                        |
|   - Analysis_State (Status: affected, not_affected, under_investigation)|
|   - Impact_Statement (Markdown/Text)                                  |
|   - Remediation_Status (Fixed / No_fix_planned / Workaround)          |
+-----------------------------------------------------------------------+
| External_References                                                   |
|   - Distribution_Endpoint (URL/API)                                   |
|   - Attestation_Signature (JWS/Ed25519)                               |
+-----------------------------------------------------------------------+

【技術的な特徴と比較】

EN 40000-1-3（CRA準拠）と、従来の推奨ベースのセキュリティガイドラインとの技術的差異を整理します。

技術要素 従来のガイドライン (NIST 800-161等) EN 40000-1-3 (CRA水平規格)
法的強制力 ベストプラクティス（任意） 法的義務（不履行時は制裁金・販売停止）
SBOMの深度 直接依存関係が中心 推移的依存関係（全階層）の把握を要求
脆弱性報告 自発的（VDP） 悪用された脆弱性の24時間以内強制報告 (ENISA)
VEXの扱い オプション 実装推奨（誤検知による運用負荷低減のため）
整合性保証 ハッシュ値の記載のみ デジタル署名による真正性保証を重視
ライフサイクル 開発終了まで 最長5年間または製品寿命のいずれか長い期間

【セキュリティ考慮事項】

  1. SBOMの機密性と整合性: SBOMは攻撃者にとっても詳細な「攻撃マップ」となるため、配布経路におけるアクセスコントロールと、内容の改ざんを検知するデジタル署名（Ed25519等）が必須です。

  2. VEXによるFalse Positiveの抑制: 単にライブラリが含まれている（Affected）だけでなく、実際に実行パスが到達可能か（Exploitable）を示すVEX情報の提供により、資産管理者の不必要なパッチ適用コストを削減します。

  3. ダウンストリームへの連鎖: サプライチェーンの最下流ベンダーは、上流ベンダーから提供されるSBOMの品質に依存します。EN 40000-1-3では、サプライヤー間のメタデータ継承の完全性を担保するメカニズムを求めています。

【まとめと実装への影響】

ネットワークエンジニアおよびシステム開発者が留意すべき3つのポイント：

  • 自動化パイプラインへの統合: 手動でのSBOM作成は不可能です。CI/CDパイプラインにおいてCycloneDX/SPDXを自動生成し、VEXメタデータを動的にマージするツールの導入が必須となります。

  • 製品寿命の再定義: CRAでは「製品のライフサイクル（最大5年）」にわたる脆弱性修正が求められます。ネットワーク機器等のレガシーデバイスにおいても、長期的なファームウェア更新・配布インフラの維持コストを設計に盛り込む必要があります。

  • VDB（脆弱性データベース）との同期: 独自の脆弱性管理だけでなく、ENISAが運用する中央プラットフォームへの報告フローを、社内CSIRT（PSIRT）の標準オペレーションに組み込む必要があります。

ライセンス：本記事のテキスト/コードは特記なき限り CC BY 4.0 です。引用の際は出典URL（本ページ）を明記してください。
利用ポリシー もご参照ください。

コメント

タイトルとURLをコピーしました