MONOist > 製造マネジメント > セキュリティの各国規制が強化される中、製造業は何...

セキュリティの各国規制が強化される中、製造業は何から手を打つべきか：製造業セキュリティ 2025 冬レポート（1/2 ページ）

MONOistはライブ配信セミナー「製造業セキュリティ 2025 冬- 製造現場のセキュリティ対策の革新と強化 -」を2025年1月16日に開催した。本稿では、JASAの牧野進二氏が行った基調講演「製品開発、製品運用でのサイバーセキュリティ対応～サイバーセキュリティ動向とサイバーセキュリティ対策に必要なスキル～」の内容を紹介する。

» 2025年03月24日 08時00分公開

[長町基，MONOist]

　MONOistは、ライブ配信セミナー「製造業セキュリティ 2025 冬- 製造現場のセキュリティ対策の革新と強化 -」を2025年1月16日に開催した。本稿では、組込みシステム技術協会（JASA）組込みシステムセキュリティ委員会副委員長の牧野進二氏（日立産業制御ソリューションズ）が行った基調講演「製品開発、製品運用でのサイバーセキュリティ対応～サイバーセキュリティ動向とサイバーセキュリティ対策に必要なスキル～」の内容を紹介する。

国際的にサイバーセキュリティの法規制強化

JASA 組込みシステムセキュリティ委員会副委員長の牧野進二氏

　自動車、医療機器など、さまざまな国際規格、法規が成立しており、国際的にサイバーセキュリティへの対応が課題となっている。製品開発から製品運用まで、製品ライフサイクル全体で、脆弱性対応などのセキュリティ対策を行うことが必須となっている。また、サプライチェーン攻撃など、他社との関係性も含めたセキュリティ対策が必要になっている。その中で牧野氏は「各国の法規制の整備が進んでいる」と説明する。

　特に2017年以降は全世界でサイバーセキュリティについての法律の施行が相次いでいる。例えば、米国のサイバーセキュリティ情報共有法、EUのサイバーセキュリティ法、中国のサイバーセキュリティ法などが相次いで生まれている。日本でもサイバーセキュリティ基本法が2018年に改正されるなど、国際的な規制強化の動きが高まっている。「2020年以降は特に、インフラを狙った大規模なサイバー攻撃が増えており、対策の必要性をより一層感じさせるものとなっている」と牧野氏は訴える。

　これらの動きに対応するため、最近も法規制の強化は進んでいる。その内の1つが、2024年4月から義務化された英国のPSTI（Product Security and Telecommunication Infrastructure）だ。PSTIは、英国で販売されるコンシューマー向け製品でネットワーク接続可能な製品を対象に、ユニバーサルデフォルトパスワードの禁止や脆弱性の報告を管理する手段の導入、セキュリティアップデート期間の透明性などを義務付ける規制だ。要件としては欧州規格「ETSI EN 303 645」で示されており、これを利用することで対応が可能となっている。

PSTIの概要［クリックで拡大］出所：JASA

　2025年8月から義務化される欧州無線機器指令（RED）も基本的にはインターネットに接続される機器および間接的にインターネットに接続する機器を対象とする規制だ。牧野氏は「気を付けなければいけないのが個人情報を持ったウエラブル機器だ。まだ整合規格のリリース前であるため、ETSI EN 303 645などの既存企画をベースとして対策を進めつつタイムリーに対応できるように準備を進めていく必要がある」と呼びかけた。

RED指令の概要［クリックで拡大］出所：JASA

　欧州のサイバーレジリエンス法は2024年10月にEUの委員会の承認がおりて、実際に36カ月後の2027年に施行される予定となっている。もともとRED CS認定は、技術要件が中心だったが、CRAは技術要件にプラスしてプロセス要件が大幅に追加される見込みで、モノづくりにおいてプロセスの管理が必要となる。CRAの対象機器はカメラ、ルーターなどのコンシューマー製品やドローン、産業用制御機器、スマートメーターなど幅広い。産業用のルーターも対象となってくるので、どの製品が対象となっているかを現状把握しながら、法案への対応を検討することが必要だ。

　CRAの罰則は製造業者やそれを利用している認定代理人、輸入業者、販売者なども対象となる。罰則としての制裁金の制度も設けられ、サイバーセキュリティ要件を満たさない場合1500万ユーロまたは前年度売上高の2.5％のいずれか高い方が制裁金として発生する。また、脆弱性情報の要件を満たさない場合の制裁金は1000万ユーロまたは前年度売上高の2％のいずれか高い方。情報開示に際して不正確な情報を提供した場合の制裁金は500万ユーロまたは前年度売上高の1％のいずれか高い方となっている。