本記事はGeminiの出力をプロンプト工学で整理した業務ドラフト（未検証）です。
prEN 40000-1-3：CRA適合に向けた脆弱性ハンドリング及びSBOM義務化の水平規格
【背景と設計目標】
欧州サイバーレジリエンス法(CRA)への適合を目的とし、製品ライフサイクル全体における脆弱性管理とSBOM提供の法的要件を技術規格として定義する。
本規格は、従来の任意団体によるベストプラクティス（ISO/IEC 29147等）をベースとしつつ、EU域内で販売されるデジタル要素を持つ製品（Products with Digital Elements）に対して、強制力のある「CEマーキング」付与の技術的根拠となるべく新規設計された水平規格です。
【通信シーケンスと動作】
EN 40000-1-3では、脆弱性の発見からSBOMの更新、およびENISA（欧州サイバーセキュリティ機関）への通知フローが厳格に定義されています。
sequenceDiagram
participant "D as Discovery (Researcher/Tool)"
participant "M as Manufacturer (Product Security)"
participant "E as ENISA / CSIRT (Authority)"
participant "U as Asset Owner (User)"
D ->> M: 脆弱性報告 (Vulnerability Disclosure)
Note over M: 24時間以内の初期検証
M ->> E: 悪用された脆弱性の通知 (24h Requirement)
M ->> M: 修正パッチ作成 & SBOM更新
M ->> U: セキュリティアドバイザリ (VEX形式)
M ->> U: 更新版SBOMの提供 (CycloneDX/SPDX)
U ->> M: パッチ適用完了報告 (Option)
【データ構造 / パケットフォーマット】
EN 40000-1-3が準拠を求めるSBOM（Software Bill of Materials）およびVEX（Vulnerability Exploitability eXchange）の論理構造は、既存のCycloneDXまたはSPDXを包含するメタデータ構造を持ちます。
0 8 16 24 32 +---------------+---------------+---------------+---------------+ | Version (8b) | Format (8b) | Sequence Number (16b) | +---------------+---------------+---------------+---------------+ | Timestamp (32b) | +---------------+---------------+---------------+---------------+ | Component ID (UUID - 128b) | + + | | +---------------+---------------+---------------+---------------+ | Status (8b) | Risk Level(8b)| Signature Algorithm (16b) | +---------------+---------------+---------------+---------------+ | | | Cryptographic Signature (Variable Length) | | | +---------------+---------------+---------------+---------------+ | | | SBOM/VEX Payload (JSON/XML Encapsulated) | | | +---------------+---------------+---------------+---------------+
Format: 0x01: SPDX, 0x02: CycloneDX, 0x03: VEX (CSAF)
Status: 0x01: Under Investigation, 0x02: Fixed, 0x03: Not Affected
Signature: 改竄防止のため、メーカーの証明書によるデジタル署名が必須。
【技術的な特徴と比較】
EN 40000-1-3は、従来のセキュリティ管理策と比較して「法的強制力」と「動的な更新」に主眼が置かれています。
| 項目 | 従来の管理手法 (ISO/IEC 27001等) | EN 40000-1-3 (CRA対応) |
|---|---|---|
| SBOMの扱い | 努力義務、内部管理用 | 必須公開、機械判読可能(Machine-readable) |
| 通知期限 | 「速やかに」 (曖昧) | 24時間以内の初期通知 (法的義務) |
| 透明性 | 修正パッチの提供のみ | 未修正脆弱性(VEX)の開示義務 |
| 対象範囲 | 組織のマネジメント | 製品個別のライフサイクル全体 |
| 準拠証明 | 第三者認証 (任意) | CEマーキングによる自己/第三者適合宣言 |
【セキュリティ考慮事項】
SBOMの機密性と整合性: SBOMは攻撃者にとっても「攻撃対象領域のマップ」となり得る。そのため、EN 40000-1-3では、SBOM提供時の認証認可および、改竄検知のためのデジタル署名（Ed25519等）が強く推奨されている。
ダウングレード攻撃の防止: 脆弱性修正パッチの配信において、古い（脆弱な）バージョンへのロールバックを強制的に防ぐ「アンチ・ロールバック機構」の実装が要求される。
VEXによる誤検知の抑制: 単なるライブラリの包含（SBOM）だけでなく、その脆弱性が「実際に実行可能か（Exploitability）」をVEX形式で示すことで、過剰なパッチ適用の負荷を軽減する。
【まとめと実装への影響】
ネットワークエンジニアおよび開発者が留意すべき点は以下の3点です。
ライフサイクル管理の自動化: 製品出荷後も脆弱性スキャンとSBOM更新を自動的に同期させるパイプライン（CI/CD連携）の構築が、コンプライアンス維持に不可欠となる。
機械判読性の確保: 人間が読むドキュメントではなく、CycloneDX等のプロトコルに従った「機械が処理できる形式」での脆弱性情報流通が標準となる。
インシデントレスポンスの高速化: 24時間以内の当局通知要件を満たすため、製品セキュリティチーム（PSIRT）と技術運用チームの連携フローを規格に準拠して再設計する必要がある。
