EU CRA：prEN 40000-1-3 脆弱性対応

草案の位置付け

ここで扱うのはCENの照会手続きに提出された欧州規格草案です。脆弱性対応の計画に使える基礎を示しますが、草案自体はCRAに基づく適合性の推定を生じさせません。

M/606の項目15は、デジタル要素を備えた製品の脆弱性対応に関する欧州規格を求めています。同項目のM/606期限は2026年8月30日です。

附属書I第II部との関係

附属書I第II部は製造業者のプロセスを扱います。脆弱性の発見と記録、コンポーネントの可視性、修正、試験、開示、更新の配布、セキュリティ更新が利用可能になった後のユーザーへの情報提供を対象とします。

prEN 40000-1-3はこのプロセスを中心に構成されています。第14条の報告義務が発生するかを判断するものではありません。第14条は、現に悪用されている脆弱性と製品セキュリティに影響する重大インシデントに関する、別個の法的義務です。

脆弱性対応プロセス

草案はライフサイクルモデルを用います。製造業者は方針、連絡経路、コンポーネント情報、更新の仕組みを整える必要があるため、報告を受け取る前からプロセスが始まります。

構成要素

草案は既存の脆弱性規格を基礎とします。脆弱性開示、脆弱性対応、複数当事者による協調的開示の考え方を、デジタル要素を備えた製品とCRAのサポート期間モデルに合わせています。

リスクに応じた追加管理策

草案には要件の強化策が含まれます。製品のリスク評価により、より厳格な対応が必要と判断された場合に適用する追加策です。

報告との境界

脆弱性対応は継続的な製品プロセスです。第14条に基づく報告は、法的な契機を満たしたときに発生する別個の通知義務です。第14条の報告対象ではない脆弱性も対応プロセスで扱います。また、報告対象となる脆弱性には、修正と情報伝達のために対応プロセスが引き続き必要です。

• prEN 40000-1-3は、脆弱性対応プロセスの構成方法を説明します。
• 第14条は、現に悪用されている脆弱性と製品セキュリティに影響する重大インシデントの報告条件を定めています。
• サポート期間によって、脆弱性対応を継続しなければならない期間が決まります。

第14条の報告契機は 脆弱性の報告で説明しています。