はじめに
欧州で施行されたサイバーレジリエンス法（CRA）に伴い、欧州市場に投入されるデジタル要素を持つほぼすべての製品に対し、設計段階からのセキュリティ担保（Secure by Design）が法的に義務付けられることとなりました。現在、このCRAの整合規格（Harmonised Standards）として、欧州標準化機関において「EN 40000-1-4（Generic Security Requirements: 汎用セキュリティ要件）」の策定が進められています。（発行予定は、2027年10月頃になるだろうと言われています。）
これに伴い、産業用制御機器の国際技術標準である 「IEC 62443-4-2」 においても、CRAやEN 40000-1-4で新設された要件（データ最小化、セキュア消去、アップデート制御等）を取り込む形での次期改訂（Edition 2.0）に向けた検討が進んでいます。本資料では、CRA（EN 40000-1-4）および次期IEC 62443-4-2を見据えた技術的変更点と、手戻りのない効率的な製品開発のポイントを解説いたします。
1. 規格策定の背景と両規格の関係性
欧州CRA（EN 40000-1-4）と国際規格（IEC 62443-4-2）は相互に影響を及ぼし合いながら進展しています。
- 現行の課題（IEC 62443-4-2 Ed 1.0）:
主に工場・プラント等の制御システムの「可用性（止めないこと）」と「制御コマンドの完全性」に重点を置いており、近年のプライバシー保護や高度なソフト保守機能には一部未カバーの領域が存在していました。 - CRA（EN 40000-1-4）の登場:
製品のライフサイクル全般（出荷時・運用時・廃棄時）にわたるセキュリティと、データ最小化などの新しい概念を法的に要求しました。 - IEC 62443-4-2（次期改訂版: 2026年版）への波及:
国際標準としての互換性を維持するため、IEC 62443-4-2 の改訂版においても EN 40000-1-4 の新概念を包含・リカバーする方向で調整が進んでいます。
2. 注目すべき13のセキュリティ要件と主な対策内容
CRA（EN 40000-1-4）および次期IEC 62443-4-2において、製品開発上で重要となる13の要件分野と具体的な対策のポイントは以下の通りです。
要件分野主な対象求められる対策のポイント（例）1. 脆弱性評価全コンポーネント・OSS実用上悪用可能な既知の脆弱性を含まない状態での出荷、SBOM等を活用した日常的な脆弱性把握2. セキュアな設定初期設定・パスワード箱から出した状態で安全な初期設定（Secure by Default）、初期パスワード固定の禁止、安全な工場出荷時リセット3. セキュアアップデートファームウェア・修正パッチ自動アップデートの原則化、運用都合に応じた「一時延期」や「オプトアウト」機能の提供4. 認可アクセスユーザー・ログイン機能強固な認証、ログイン試行制限、不正アクセスや改ざん試行の検知・レポート機能5. 機密性保護保存・通信データ・暗号鍵最新の最先端暗号（SOTA）の適用、暗号方式の将来的な変更に備えた「暗号アジリティ」の確保6. 完全性保護制御コマンド・設定値全般個人データだけでなく「制御命令やプログラム全般」の改ざん防止と、異常検知時の通知7. データ最小化収集・処理データ全般製品の本来目的に必要なデータのみを処理、デフォルトでの収集最小化、任意データの収集可否設定8. 利用可能性基本機能・ハードリソースDoS攻撃（負荷過多）耐性、重要処理の優先配分、障害発生からの安全かつ自動的な復旧（Fail-Safe）9. 負の影響の最小化自製品および接続ネットワーク万が一感染・乗っ取られた場合に、他機器や外部ネットワークへ攻撃を拡大させない機能10.アタックサーフェースの最小化ポート・API・ライブラリ不要なポート・サービスの初期無効化、出荷前のデバッグコード・不要ライブラリの削除11. インシデント影響低減OS・実行プロセス万が一未知の脆弱性を突かれてもコード実行や権限昇格を防ぐOS/コンパイラレベルの緩和技術（ASLR等）12. ログと監視監査ログ・内部アクティビティセキュリティイベントの安全な記録・動的監視、ログへの過度な個人情報出力の防止、ユーザーによるログの無効化（オプトアウト）13. 安全なデータ消去本体・クラウド上の全データ売却・廃棄・ユーザー交代時の安全かつ復元不可能なデータ完全消去、事前エクスポート機構
3. 今後の製品開発で採るべき「一括（ワンストップ）設計アプローチ」
CRA対応と次期IEC 62443-4-2対応を個別のイベントとして捉えると、二重の設計変更や手戻り（開発コストの増大）が発生してしまいます。
今後製品開発において採るべき最も効率的なアプローチは、「EN 40000-1-4 で示された差分要件（データ最小化、セキュア消去、アップデートの運用制御等）をあらかじめ先取りし、次世代共通プラットフォームの設計に組み込んでおくこと」です。
これにより、以下のメリットを同時に享受することが可能となります。
- 欧州CRA法規制への確実な適合（欧州出荷の継続性担保）
- 次期 IEC 62443-4-2 発行時におけるスムーズな適合と手戻りの防止
- 顧客の運用（長時間の現場稼働等）に配慮した高品質な製品セキュリティの実装
ICS研究所からのメッセージ
CRA（EN 40000-1-4）の標準化作業が進む一方で、IEC 62443 の改訂も並行して動いており、規格の表面的な字面だけを追うと今後の製品方針に迷いが生じやすい時期でもあります。
しかし、両規格を作成しているメンバーには同じ技術者が参加していることもあり、時間的前後はあっても根本にある要求の本質は変わりません。それどころか、それぞれの規格の存在・役割を踏まえて作成されております。そのことから、根本にある「要求の本質（Secure by Default、ライフサイクル保護、現場運用との両立）」を正しく理解し、先行して設計に落とし込むことで、新規格への対応は「開発の負担」から「他社との差別化・ブランド価値向上」へと昇華させることができます。
ICS研究所では、EN 40000-1-4 の検討動向および次期 IEC 62443-4-2 の改訂議論を深く追跡・分析しております。貴社の製品ロードマップや開発ラインに合わせた「無駄のない、先見的な製品セキュリティ対応」を強力にバックアップいたしますので、どうぞお気軽にご相談ください。
