CRAのサイバーセキュリティリスク評価
Sytance · 更新日
CRAに基づくサイバーセキュリティリスク評価では、製品が対処すべきリスクを特定し、それに応じて選択したセキュリティ対策を説明します。製品の意図された使用方法と合理的に予見される使用方法を反映しなければなりません。結論は開発を導き、技術文書の一部となります。
リスク評価の役割
第1項を遵守するため、製造業者はデジタル要素を備えた製品に関連するサイバーセキュリティリスクを評価し、その評価結果を、当該製品の計画、設計、開発、製造、供給、保守の各段階で考慮しなければならない。その目的は、サイバーセキュリティリスクを最小限に抑え、インシデントを防止し、その影響を最小限にすることであり、これにはユーザーの健康と安全に関する影響も含まれる。
規則（EU）2024/2847、第13条(2)
第13条は、リスク評価を製品ライフサイクルに沿って実施し、サポート期間中も必要に応じて更新するよう求めています。
評価で説明する内容
第13条(3)に基づき、評価では意図された目的、合理的に予見可能な使用方法、使用条件、運用環境、保護すべき資産、想定される使用期間を考慮しなければなりません。
- 附属書I第I部のどの要件が製品に適用されるか。
- 製品要件をどのように実装するか。
- 附属書I第I部(1)のリスクベースの一般的なサイバーセキュリティ要件をどのように適用するか。
- 附属書I第II部の脆弱性対応要件をどのように適用するか。
- 製造業者が適用対象外と判断した要件について、その理由。
例：ファームウェア更新経路の評価
ファームウェアを更新サービスから受信する、架空の接続コントローラーを考えます。攻撃者は設置前にイメージを差し替えようとする可能性があります。この評価では、それが可能か、改変されたファームウェアがどのような動作をし得るかを明らかにする必要があります。
- コントローラーモデルとファームウェアリリースの更新経路を確認します。イメージを供給できる主体、機器に届くまでの経路、設置前に行われる検証を特定します。
- 脅威を説明します。攻撃者が設置前にファームウェアイメージを差し替えます。保護対象は実行コードの完全性であり、影響はコントローラーが変更できる機能に応じて異なります。
- 既存の対策を評価します。イメージを検証する場所、信頼される署名鍵、検証失敗後の動作を確認します。設計上の説明だけでは、リリース済みバージョンの実際の動作を示せません。
- 対策を検証に結び付けます。承認済みの更新設計と、改変イメージ、不正な署名、障害復旧に関する試験を保管します。試験したファームウェアと構成を記録します。
- 攻撃条件と想定される影響を用いて残存リスクを説明します。確認が必要な前提や追加対策を特定します。更新の仕組みまたは脅威が変わった場合は、結論を見直します。
この分析では、データフロー図（DFD）とSTRIDEが攻撃経路の特定に役立ちます。ただし、リスク判断には製品の事実と検証結果も必要です。たとえば、リスク低減の根拠とする前に、設計と試験済みファームウェアの両方で署名確認が行われることをチームが確認します。
技術文書との関係
第13条(4)は、サイバーセキュリティリスク評価を技術文書に含めるよう求めています。さらに附属書VIIは、製品が設計、開発、製造、供給、保守の各段階で対処するサイバーセキュリティリスクの評価を文書に含めるよう求めています。
分析の対象範囲
評価対象となる製品バージョンと運用条件、および攻撃によって影響を受ける可能性のある対象を説明します。
セキュリティ対策
各リスクに対処する対策と、その有効性を確認する方法を示します。
ライフサイクルに伴う更新
製品の変更、新たな脆弱性や証拠、サポート期間の変更により再評価が必要となる場合があります。
証拠ファイル
結論は技術文書に記載し、適合性評価の根拠とします。
規格による支援
草案 prEN 40000-1-2 のページでは、サイバーレジリエンスのリスク管理に関する現行の分野横断的な原則文書を説明しています。作業の構成に役立ちますが、法的義務の根拠は引き続き第13条と附属書Iです。