前回のブログでは、サイバーレジリエンス法の製造業者の義務について解説しました。今回はその中のポイントとして挙げた、附属書１のセクション１について解説していきます。
サイバーレジリエンス法 附属書Iのセクション1 製品のセキュリティ必須要件
以下が製品のセキュリティ必須要件です。
- サイバーセキュリティリスクに基づく適切なレベルの保護
製品のデジタル要素は、サイバーセキュリティリスクに基づいて適切な保護レベルが確保されるように設計・開発・製造されなければなりません。(1)
潜在的なサイバーセキュリティのリスクに対処できるように、それらのリスクに応じたセキュリティ対策を取り入れましょう。 - 既知の悪用可能な脆弱性のない状態での提供
製品は、既知の悪用可能な脆弱性が存在しない状態で提供されなければなりません。(2)
製品を顧客に提供する前に、既知のセキュリティの脆弱性が存在しないことを確認してください。これにより、製品が不正利用されるリスクを低減できます。 - セキュアなデフォルト設定の提供
製品は、セキュアなデフォルト設定で提供され、必要に応じて製品を元の状態にリセットできるようにしなければなりません。(a)
最初から安全な設定を施した状態で製品を提供し、必要に応じて初期設定に戻せる機能を提供することで、セキュリティの維持が容易になります。 - 不正アクセスからの保護
適切な制御機構（認証、アイデンティティ管理システム、アクセス制御など）を用いて、不正アクセスから製品を保護することが求められます。(b)
ユーザー名やパスワードを用いた認証、アクセス権限の管理などを行うことで、不正アクセスを防ぎ、データの安全性を保ちます。 - データの機密性の保護
保存・送信・処理されるデータ（個人情報やその他のデータ）の機密性を保護するため、最新の暗号化技術を利用してデータを暗号化することが求められます。(c)
データを保管する際や通信する際に、適切な暗号化技術を用いることで、データ漏洩のリスクを軽減できます。 - データの完全性の保護
保存・送信・処理されるデータ（個人情報やその他のデータ）、コマンド、プログラム、設定の完全性を保護し、ユーザーによる許可がない操作や変更に対して防御することが求められます。また、データの破損についても報告する必要があります。(d)
データの改ざんや不正な操作を防ぐために、適切なセキュリティ対策を実施し、破損があった場合は通知することで、信頼性の高いシステムを維持できます。 - データ最小化
製品の使用目的に関連して必要な範囲内のデータのみを処理することが求められます。(e)
データ収集や利用を目的に合わせて最小限に抑えることで、データ漏洩のリスクを減らし、プライバシー保護に努めましょう。 - 重要機能の可用性の保護
DoS（Denial of Service）攻撃に対する耐性や緩和策を含め、重要な機能の可用性を保護することが求められます。(f)
製品の基本機能が常に利用できるように、サービス妨害攻撃（DoS攻撃）に対する防御策を講じてください。 - 他のデバイスやネットワークへの影響の最小化
製品は、他のデバイスやネットワークが提供するサービスへの影響を最小限に抑えるよう設計・開発・製造されなければなりません。(g)
製品そのものが、他のシステムやネットワークに悪影響を与えないよう、設計や開発段階で配慮しましょう。 - 攻撃対象面積（アタックサーフェス）の制限
外部インターフェースを含む攻撃対象面積（アタックサーフェス）を制限するように製品を設計・開発・製造することが求められます。(h)
製品に潜在的な脆弱性が少なくなるよう、攻撃される可能性のある部分を最小限に抑える設計や開発を行いましょう。これにより、サイバーセキュリティリスクを低減できます。 - インシデントの影響軽減
適切な脆弱性緩和メカニズムや技術を用いて、インシデントの影響を軽減するよう設計・開発・製造を行うことが求められます。(i)
セキュリティインシデントが発生した際にも、その影響が最小限に留まるように、事前に対策を講じておくことが重要です。 - セキュリティ情報の記録と監視
内部のアクティビティ（データ、サービス、機能へのアクセスや変更など）に関するセキュリティ情報を記録・監視することが求められます。(j)
システムの内部で行われるアクティビティを記録・監視することで、不正アクセスや改ざんなどの痕跡を検出し、迅速に対処できるようになります。 - セキュリティアップデートによる脆弱性対策
セキュリティアップデートを通じて脆弱性が対処できるようにし、必要に応じて自動更新やユーザーへの更新通知を行うことが求められます。
(k)
定期的なセキュリティアップデートと、ユーザーへの更新情報の提供を行っていきましょう。
ポイントは、
- 攻撃に対して被害を受けにくくにする
- 攻撃を受けても被害を最小限にする
- 攻撃を受けたことに気付き、調査できるようにしておく
- 攻撃を受けてもすぐに復旧できるようにする
の観点で設計することです。
まとめ
以上が、サイバーレジリエンス法の附属書１セクション１に関する各セキュリティ要件の解説でした。この記事が、産業用機械メーカーの機械および制御系の設計エンジニアの皆さんのお役に立てれば幸いです。今後も引き続き、関連する情報や解説をお届けしていきますので、ぜひチェックしてくださいね！
