EN 40000-1-3：CRA適合のための脆弱性ハンドリング及びSBOM要件の策定

Tech

Draft (CEN/CENELEC JTC 13/WG 8) Security Engineers, Embedded Developers, Compliance Officers CRA (Cyber Resilience Act), SBOM, VEX, CVE Handling High (EU Market Access Requirement)

本記事はGeminiの出力をプロンプト工学で整理した業務ドラフト（未検証）です。

EN 40000-1-3：CRA適合のための脆弱性ハンドリング及びSBOM要件の策定

【背景と設計目標】

欧州サイバーレジリエンス法（CRA）に基づき、製品寿命全期間における脆弱性管理とSBOM提供を技術的に定義。 従来の不透明なサプライチェーン管理を、標準化された機械判読可能なデータ交換モデル（SBOM/VEX）へ移行させる新規設計。

【通信シーケンスと動作】

EN 40000-1-3では、製造業者（Manufacturer）からエンドユーザーおよび規制当局（CSIRT-IEなど）への脆弱性情報流通フローが規定されています。以下はSBOM配布と脆弱性検知後のVEX（Vulnerability Exploitability eXchange）更新シーケンスです。

sequenceDiagram
    participant "M as Manufacturer (Upstream)"
    participant "R as Repository (SBOM/VEX)"
    participant "U as User / Asset Management"
    participant "A as Authority (CRA Compliance)"

    Note over M, R: 製品出荷フェーズ
    M ->> R: SBOM (CycloneDX/SPDX) アップロード
    R -->> U: SBOM提供 (製品に付随)

    Note over M, R: 脆弱性発見フェーズ (Day N)
    M ->> M: 脆弱性分析 (Vulnerability Assessment)
    M ->> R: VEX情報更新 (Status: Affected/Not_Affected)
    R ->> U: 脆弱性通知 (Machine-readable)

    Note over M, A: 重大な脆弱性の報告 (24時間以内)
    M ->> A: 初期報告 (Significant Vulnerability)
    A -->> M: 受領確認

【データ構造 / パケットフォーマット】

EN 40000-1-3が要求するSBOMおよびVEXの論理構造は、既存のRFC 9116 (security.txt) やCycloneDX等のスキーマをベースとし、以下のフィールド要素を必須化しています。

+-----------------------------------------------------------------------+
| EN 40000-1-3 Compliant SBOM Structure (Logical Mapping)                |
+-----------------------------------------------------------------------+
| Offset:Size (bits/struct) | Field Name            | Description       |
+---------------------------+-----------------------+-------------------+
| 0x00:128                  | Supplier_ID           | UUID/VND Unique   |
| 0x10:Variable             | Component_Name        | Package name/URI  |
| 0x??:Variable             | Version_String        | SemVer / Hash     |
+---------------------------+-----------------------+-------------------+
| 0x??:Variable             | Dependency_Graph      | Tree mapping      |
+---------------------------+-----------------------+-------------------+
| VEX Status Extension (Mandatory for Compliance)                       |
+-----------------------------------------------------------------------+
| 0x00:32                   | Vulnerability_ID      | CVE-YYYY-NNNNN    |
| 0x04:8                    | Status_Flag           | 0:Under_Review    |
|                           |                       | 1:Affected        |
|                           |                       | 2:Not_Affected    |
|                           |                       | 3:Fixed           |
+---------------------------+-----------------------+-------------------+
| 0x05:Variable             | Impact_Statement      | Justification     |
+-----------------------------------------------------------------------+

【技術的な特徴と比較】

EN 40000-1-3（CRA対応）と、従来の一般的なソフトウェア管理手法を比較します。

比較項目 従来の手法 (Ad-hoc) EN 40000-1-3 (Draft) 備考
SBOM形式 PDFやExcel (人間用) JSON/XML (機械判読) CycloneDX/SPDX必須
脆弱性通知 Webサイトでの公示のみ VEXを通じた自動配布 0-RTTでの検知を志向
報告義務 任意（努力義務） 法的強制（24h/72hルール） CRA違反時は罰則あり
依存関係 直系ライブラリのみ 推移的依存関係の全網羅 サプライチェーンの可視化
ライフサイクル 出荷時のみ 廃止（EOL）まで継続 サポート期間の明示必須

【セキュリティ考慮事項】

  1. SBOMの完全性（Integrity）: SBOM自体が攻撃者によって改ざんされると、脆弱なコンポーネントが隠蔽されるリスクがあります。EN 40000-1-3ではデジタル署名（Ed25519等）による真正性の担保が推奨されます。

  2. 情報の過不足（Information Disclosure）: 詳細すぎるSBOMは、攻撃者に攻撃対象領域（Attack Surface）を教える「偵察資料」になり得ます。そのため、アクセス制御されたリポジトリ経由の配布モデルが検討されています。

  3. VEXによる誤検知抑制: 「コードは含まれるが実行パスを通らない」等の理由で影響を受けない（Not Affected）ことを証明するVEXデータにより、不必要なパッチ適用コスト（運用のHOL Blocking）を回避します。

【まとめと実装への影響】

ネットワークエンジニアおよび開発者が留意すべき3つのポイント：

  1. SBOM生成の自動化（CI/CD統合）: ビルドパイプラインに syft や trivy 等を組み込み、リリースごとに EN 40000-1-3 準拠のSBOMを自動生成する仕組みが不可欠になります。

  2. VEX（脆弱性表明）の運用体制: CVEが報告された際、自社製品への影響の有無を即座に判断し、機械読取可能な形式でVEXを発行できる「PSIRT」体制の構築が必須となります。

  3. 資産管理システムとの連携: ネットワーク上の機器からSBOMを取得し、既知の脆弱性と自動照合する「継続的脆弱性管理」がエンタープライズNW設計の標準機能となります。

ライセンス：本記事のテキスト/コードは特記なき限り CC BY 4.0 です。引用の際は出典URL（本ページ）を明記してください。
利用ポリシー もご参照ください。

コメント

タイトルとURLをコピーしました