CRAの脆弱性対応記録

プロセス上の義務

メーカーは、デジタル要素を備えた製品を市場投入するときからそのサポート期間中、当該製品（コンポーネントを含む）の脆弱性が、附属書I第II部に定める必須サイバーセキュリティ要件に従って効果的に対処されることを確保するものとする。

規則 (EU) 2024/2847、第13条第8項

この義務は製品の市場投入時に始まり、サポート期間中継続します。製品とそのコンポーネントが対象です。

主な記録の種類

例：コンポーネント警告から対応完了まで

架空のコントローラーファームウェアリリースにおけるパーサーの脆弱性を考えてみます。以下の6つの記録は、対応事例の履歴例です。受付、製品への影響、是正をチームがどのように結び付けるかを示すものであり、CRA所定の様式ではありません。

1. 受付：報告を受領した日時、情報源、コンポーネントと脆弱性識別子、その時点で入手できた情報を記録します。元の報告は保持します。
2. 製品への影響：SBOMとビルド記録を使って該当候補となるリリースを特定します。各サポート対象構成で攻撃者が対象パーサーに到達可能か確認し、証拠と残る不確実性の両方を記録します。
3. 報告判断：現に悪用されている証拠または製品セキュリティに関する重大なインシデントがある場合は、第14条に基づく報告の要否を直ちに評価します。認知時刻を記録し、技術調査を続けながら適用期限内に必要な報告を提出します。
4. 処置：製品リスクを評価し、修正または緩和策を割り当て、該当する場合はコンポーネントのメンテナーと調整します。選択した措置とその理由を記録します。
5. 検証とリリース：修正したパーサーと影響を受ける製品機能を試験し、試験対象ビルドを保持します。セキュリティ更新、配布の証拠、ユーザー向け手順を関連付けます。
6. 対応完了とフォローアップ：検証済みの結果、更新済みのコンポーネント一覧、ユーザーへの連絡、開示を記録します。サポート対象バージョンに有効な対処がない場合は、追加措置のため未完了として管理します。

事例記録では、内部修正の完了、必要な報告の提出、更新の配信またはインストールをそれぞれ区別する必要があります。例えば、修正が公開されても、影響を受ける一部のユーザーがまだインストールしていない場合は、フォローアップが必要です。

附属書VIIとの関連

附属書VIIは、SBOM、協調的脆弱性開示ポリシー、報告窓口、安全な更新配布など、脆弱性対応プロセスに必要な情報と仕様を技術文書に含めるよう求めています。

• 製品の脆弱性履歴を裏付ける記録。
• 脆弱性のトリアージと修正方法を説明する記録。
• 更新の配布とユーザーへの連絡を示す記録。
• 適合性評価を裏付ける試験・レビュー報告書。

規格案の prEN 40000-1-3 ページでは、現在の脆弱性対応規格案について、さらに詳しく説明しています。