[{"data":1,"prerenderedAt":86},["ShallowReactive",2],{"journal-detail-109":3},{"main":4,"content":12,"author":81},{"id":5,"level":6,"level_name":7,"title":8,"summary":7,"body":9,"author":10,"created_time":11,"edited_time":11},4221,0,"","EU市場の主要3国（ドイツ、イタリア、フランス）の自動車製造メーカーのサプライチェーンにおけるSBOM管理とVEXについて","\u003Cp>\u003Cstrong>これらの自動車業界サプライチェーンにおけるSBOM管理にVEXはどこまで要求しているのかを整理しました。\u003C/strong>\u003C/p>\u003Cp>2026年8月末現在、ドイツ・フランス・イタリアを含む欧州の自動車業界サプライチェーンにおいて、\u003Cstrong>VEX（Vulnerability Exploitability Exchange：脆弱性情報交換フォーマット）の要求は、「あれば望ましい（Nice to have）」から「必須のインフラ（Must have）」へと完全なパラダイムシフト（強制化）が起きています。\u003C/strong>\u003C/p>\u003Cp>欧州サイバーレジリエンス法（CRA）の脆弱性報告義務化が\u003Cstrong>2週間後（2026年9月11日）\u003C/strong>に迫っている現在、自動車メーカー（OEM）やティア1サプライヤーが、VEXをどこまで、どのように要求しているか、その実務的な要求水準を解説します。\u003C/p>","murakami","2026-09-04 10:00:00",[13,17,21,25,29,33,37,41,45,49,53,57,61,65,69,73,77],{"id":14,"heading":15,"summary":7,"body":16,"gallery":7},4222,"結論: 現在要求されているVEXの「実務水準」","\u003Cp>現在、欧州自動車業界がサプライヤーに要求しているVEXのレベルは、\u003Cstrong>「SBOMとセットで生成・更新され、機械可読（Machine-readable）な状態で常時開示されていること」\u003C/strong>です。単なるテキストやPDFのレポートでは通用しないフェーズに入っています。\u003C/p>\u003Cp>具体的な要求基準は以下の3つの階層に分かれています。\u003C/p>",{"id":18,"heading":7,"summary":19,"body":20,"gallery":7},4223,"\u003Ch3>① 存在しない脆弱性の「ノイズ除去（フィルタリング）」の義務化\u003C/h3>","\u003Cul>\u003Cli>\u003Cstrong>要求される背景:\u003C/strong>\u003Cbr>SBOMを生成すると、製品（工作機械、ロボット、車載ECUなど）に数千件の既知の脆弱性（CVE）が検知されます。しかし、その大半は「コンポーネントがその機能を使っていない」「コンパイル時に除外されている」などの理由で、\u003Cstrong>実際には攻撃不可能なノイズ（偽陽性）\u003C/strong>です。\u003C/li>\u003Cli>\u003Cstrong>要求水準:\u003C/strong>\u003Cbr>OEMやティア1は、ノイズだらけのSBOMを送りつけられることを拒否しています。サプライヤーはVEXを使い、各脆弱性に対して以下の\u003Cstrong>4つのステータス（Status）\u003C/strong>を明確にマークして提出することを求められています。\u003Col>\u003Cli>\u003Cstrong>Not affected（影響なし）\u003C/strong>\u003Cbr>↑ \u003Cstrong class=\"tx-red\">ここが最も重要（なぜ影響がないかの理由コードの添付も必須）\u003C/strong>\u003C/li>\u003Cli>\u003Cstrong>Affected（影響あり）\u003C/strong>\u003C/li>\u003Cli>\u003Cstrong>Fixed（修正済み）\u003C/strong>\u003C/li>\u003Cli>\u003Cstrong>Under investigation（調査中）\u003C/strong>\u003C/li>\u003C/ol>\u003C/li>\u003C/ul>",{"id":22,"heading":7,"summary":23,"body":24,"gallery":7},4224,"\u003Ch3>② 機械可読（CycloneDX / SPDX）での動的連携\u003C/h3>","\u003Cul>\u003Cli>\u003Cstrong>要求される背景:\u003C/strong>\u003Cbr>CRAでは製造業者が悪用されている脆弱性を認識してから「24時間以内」に初期報告を行う必要があります。手作業でVEXファイル（JSONなど）を作っていては間に合いません。\u003C/li>\u003Cli>\u003Cstrong>要求水準:\u003C/strong>\u003Cbr>SBOMの標準フォーマットである\u003Cstrong>CycloneDX\u003C/strong>や\u003Cstrong>SPDX\u003C/strong>のデータ構造の中に、\u003Cstrong>VEX情報が埋め込まれている（Embedded）、あるいはAPIで動的にリンクされていること\u003C/strong>が要求されます。\u003C/li>\u003Cli>\u003Cstrong>実務での運用:\u003C/strong>\u003Cbr>ドイツのBSI（連邦情報セキュリティ庁）のガイドライン（BSI TR-03183-2）等に基づき、サプライヤーが自社の自動脆弱性監視ツール（Dependency-TrackやSnyk、Tarixなど）と顧客の資産管理システムをAPI連携させ、脆弱性のステータスが「Not affected」に変わった瞬間に、顧客側の画面でも自動更新される仕組みの構築を求めています。\u003C/li>\u003C/ul>",{"id":26,"heading":7,"summary":27,"body":28,"gallery":7},4225,"\u003Ch3>③ 責任の所在の明確化（開発プロセスの開示）\u003C/h3>","\u003Cul>\u003Cli>\u003Cstrong>要求される背景:\u003C/strong>\u003Cbr>CRAおよび新機械規則への適合を証明するため、第三者認証機関や審査官（TÜV、DEKRA、フランスのANSSIなど）が監査を行います。\u003C/li>\u003Cli>\u003Cstrong>要求水準:\u003C/strong>\u003Cbr>VEXで「Not affected（影響なし）」と宣言する場合、\u003Cstrong>「どのようなセキュリティ分析（静的解析、ペネトレーションテスト、コードレビュー等）を経てその結論に至ったか」のエビデンス\u003C/strong>を、開発プロセス（IEC 62443-4-1準拠）の一部として文書化し、いつでも提示できるようにしておくことが要求されます。\u003C/li>\u003C/ul>",{"id":30,"heading":31,"summary":7,"body":32,"gallery":7},4226,"国別の要求トーン・温度感の違い","\u003Cp>欧州共通のCRAに基づいているため基本の要求水準は同じですが、現場での「詰められ方」に国ごとのお国柄が出ています。\u003C/p>",{"id":34,"heading":7,"summary":35,"body":36,"gallery":7},4227,"\u003Ch3>ドイツ（VW、BMWなど）\u003C/h3>","\u003Cul>\u003Cli>\u003Cstrong>「標準化と自動化」\u003C/strong>。VDMAのガイドラインに沿って、「BSIのTR規格に準拠したCycloneDX+VEXのJSONファイルを、指定の調達ポータルに毎週（またはコード更新の都度）自動アップロードせよ」という、システム的な自動化を淡々と要求してきます。\u003C/li>\u003C/ul>",{"id":38,"heading":7,"summary":39,"body":40,"gallery":7},4228,"\u003Ch3>フランス（ルノー、Valeoなど）\u003C/h3>","\u003Cul>\u003Cli>\u003Cstrong>「官僚的な厳格さ」\u003C/strong>。ANSSI（国家情報システムセキュリティ庁）の目があるため、VEXの「Not affected」の理由（Justification Code）の書き方や妥当性について、ドイツ以上に人間（システム監査官）が細かくチェックし、不備があると「CRA不適合リスクあり」として厳しく突き返される傾向があります。\u003C/li>\u003C/ul>",{"id":42,"heading":7,"summary":43,"body":44,"gallery":7},4229,"\u003Ch3>イタリア（ステランティス、高級車系）\u003C/h3>","\u003Cul>\u003Cli>\u003Cstrong>「トップダウンとIP（知的財産）保護との葛藤」\u003C/strong>。ステランティスはグローバル調達基準としてVEXを強制していますが、モータバレーの中小サプライヤーからは「VEXを詳細に開示しすぎると、自社のカスタムソフトウェアの構造やノウハウ（知財）が流出するのではないか」という懸念が根強く、どこまで開示するか（抽象度レベル）の個別交渉が発生しています。\u003C/li>\u003C/ul>",{"id":46,"heading":47,"summary":7,"body":48,"gallery":7},4230,"日本企業（サプライヤー・設備メーカー）が今すぐ取るべきアクション","\u003Cp>2026年8月末の現在、欧州の自動車業界と取引を続けるためには、\u003Cstrong>「SBOMだけを出して終わり」という対応は通用しません。\u003C/strong>\u003C/p>",{"id":50,"heading":7,"summary":51,"body":52,"gallery":7},4231,"\u003Ch3>1. ツールの選定・見直し\u003C/h3>","\u003Cul>\u003Cli>自社が使っているSBOM管理ツールが、\u003Cstrong>「VEX（またはCSAF：Common Security Advisory Framework）の出力に対応しているか」\u003C/strong>、そして「Not affected」の理由コードを正しく埋め込めるかを確認してください。\u003C/li>\u003C/ul>",{"id":54,"heading":7,"summary":55,"body":56,"gallery":7},4232,"\u003Ch3>2. 実務プロセスの確立\u003C/h3>","\u003Cul>\u003Cli>新たな脆弱性（CVE）が発見された際、開発チームや品質保証チームがそれを評価し、\u003Cstrong>「自社製品には影響がない」と判断してVEXを更新するまでの社内フロー（PSIRT体制）\u003C/strong>を大至急稼働させてください。\u003C/li>\u003C/ul>\u003Cp class=\"pd-top-45 pd-bottom-25\">\u003Cspan class=\"tx-blue-dark\">貴社が現在、欧州市場向けに提供されている製品について、顧客（OEMやティア1）から\u003Cstrong>具体的に「セキュリティレベルSL要件」や「SBOMの提出」や「脆弱性への回答（VEXに類する要求）」\u003C/strong>は届いていますでしょうか？\u003C/span>\u003C/p>\u003Cp>もし、届いていないとしても心配は要りません。\u003Cbr>工作機械が自動車のサプライチェーン（製造ライン）に導入されるプロセスや、各規制の構造上の理由から、\u003Cstrong>「要求が届くタイミングにタイムラグ（時間差）が発生している」\u003C/strong>のが実態です。\u003C/p>\u003Cp>なぜまだ届いていないケースがあるのか、その\u003Cstrong>3つの現実的な理由\u003C/strong>を解説します。\u003C/p>",{"id":58,"heading":59,"summary":7,"body":60,"gallery":7},4233,"理由1: 法規制の「適用期限」のタイムラグ","\u003Cp>前述の通り、CRA（サイバーレジリエンス法）と新機械規則では、強制適用のスケジュールが異なります。\u003C/p>",{"id":62,"heading":7,"summary":63,"body":64,"gallery":7},4234,"\u003Ch3>CRA（2026年9月11日: 報告義務先行適用）\u003C/h3>","\u003Cul>\u003Cli>現在、自動車メーカー（OEM）が最優先でSBOMやVEXを要求しているのは、\u003Cstrong>「完成車に組み込まれる電子部品（ECU、IVI等）」や「市販されるEV充電器」\u003C/strong>などのサプライヤーです。これらはまさに今月、強制適用の対象となるためです。\u003C/li>\u003C/ul>",{"id":66,"heading":7,"summary":67,"body":68,"gallery":7},4235,"\u003Ch3>機械規則MR（2027年1月20日: 完全義務化）\u003C/h3>","\u003Cul>\u003Cli>工作機械が直接縛られるのは、こちらの「新機械規則」です。この規則でもサイバーセキュリティ（ソフトウェアの改ざん防止等）は求められますが、完全義務化までまだ\u003Cstrong>約5ヶ月の猶予\u003C/strong>があります。そのため、OEMの調達部門は「車載部品（CRA）」の対応で手一杯になっており、\u003Cstrong>「工場設備（機械規則）」へのSBOM/VEXの具体的なフォーマット要求は、次のステップ（2026年秋以降）に後回しにされている\u003C/strong>ケースが多々あります。\u003C/li>\u003C/ul>",{"id":70,"heading":71,"summary":7,"body":72,"gallery":7},4236,"理由2: 商流（ラインビルダー・インテグレーター）の介在","\u003Cp>工作機械メーカーは、自動車OEM（VWやルノーなど）に直接機械を納めるだけでなく、工場全体のラインを設計・構築する\u003Cstrong>「ラインビルダー」や「システムインテグレーター」\u003C/strong>を挟んで納品することが一般的です。\u003C/p>\u003Cul>\u003Cli>\u003Cstrong>OEMの現在の動き:\u003C/strong>\u003Cbr>OEMはまず、元請けであるラインビルダーに対して「2027年1月適用の機械規則を満たす設備を納めよ」と包括的な要求（RFP）を出しています。\u003C/li>\u003Cli>\u003Cstrong>情報の滞留:\u003C/strong>\u003Cbr>ラインビルダー側が、OEMからの要求を「個別の工作機械に落とし込んだ場合の具体的なSBOM/VEXの提出ルール」へと咀嚼（そしゃく）するのに時間がかかっている場合、末端の工作機械メーカーへの具体的な要件提示が遅れることになります。\u003C/li>\u003C/ul>",{"id":74,"heading":75,"summary":7,"body":76,"gallery":7},4237,"理由3: 工作機械における「SBOM」の解釈の遅れ","\u003Cp>車載ソフトウェア（LinuxやAndroidベースのIVIなど）に比べ、工作機械（CNCやPLC制御）はオープンソースソフトウェア（OSS）の依存度が低く、独自ファームウェアの比率が高いため、\u003Cstrong>「工作機械にどこまで厳密なSBOM/VEXを求めるべきか」について、自動車業界側もまだ実務的なガイドラインを完全には固めきれていません\u003C/strong>。\u003C/p>\u003Cp>現在、ドイツのBSI（連邦情報セキュリティ庁）やVDMA（ドイツ機械プラント建設連盟）が工作機械向けのプロファイルを策定中であり、顧客側も「何を基準に要求すればいいか手探り」の状況であるため、まだ具体的な連絡が来ていない可能性があります。\u003C/p>",{"id":78,"heading":79,"summary":7,"body":80,"gallery":7},4238,"結論: つながりが薄いのではなく「嵐の前の静けさ」","\u003Cp>もし現時点で具体的な要件が届いていなくても、決して安心はできません。\u003Cstrong>「要件が届いていない＝対応しなくていい」ではなく、「顧客側の準備ができ次第、2026年後半に急激な要求ラッシュが来る」\u003C/strong>と捉えるのが極めて現実的です。\u003C/p>\u003Cp>現時点で顧客からの連絡がない場合、\u003Cstrong>こちらから先手を打ってアプローチする\u003C/strong>ことで、逆に「セキュリティ対応が進んでいる信頼できるサプライヤー」として強力なアドバンテージを得ることができます。\u003C/p>",[82],{"id":10,"company":83,"name":84,"profile":85},"株式会社ICS研究所","村上 正志","1979～90年まで、日本ベーレーのシステムエンジニアとして電力会社の火力発電プラント監視制御装置などのシステム設計及び高速故障診断装置やDirect Digital Controllerの製品開発に携わる。\n＊関わった火力発電所は、北海道電力（苫東厚真、伊達）、東北電力（新仙台、仙台、東新潟）、東京電力（広野、姉ヶ崎、五井、袖ヶ浦、東扇島）、北陸電力（富山新港）、中部電力（渥美、西名古屋、知多、知多第二）、関西電力（尼崎、御坊、海南、高砂）、中国電力（新小野田、下関、岩国）、四国電力（阿南）、九州電力（港、新小倉、川内）、Jパワー（磯子、松島、高砂）、日本海LNG　など\n\n1990年、画像処理VMEボードメーカーに移籍し、大蔵省印刷局の検査装置や大型印刷機械などのシステム技術コンサルティングに従事。\n\n1995年、デジタルに移籍し、SCADA製品の事業戦略企画推進担当やSE部長を務める。（2004年よりシュナイダーエレクトリックグループ傘下に属す）また、1999年にはコーポレートコーディネーション／VEC（Virtual Engineering Company & Virtual End-User Community）を立ち上げ、事務局長として、「見える化」、「安全対策」、「技術伝承」、「制御システムセキュリティ対策」など製造現場の課題を中心に会員向けセミナーなどを主宰する。協賛会員と正会員のコラボレーション・ビジネスを提案し、ソリューション普及啓発活動を展開。\n2011年には、経済産業省商務情報政策局主催「制御システムセキュリティ検討タスクフォース」を進言、同委員会委員及び普及啓発ワーキング座長を務める。\n2015年、内閣官房 内閣サイバーセキュリティセンターや東京オリンピックパラリンピック大会組織委員会などと交流。\n\n2015年、株式会社ICS研究所を創設。VEC事務局長の任期を継続。世界で初めて制御システムセキュリティ対策e-learning教育ビデオ講座コンテンツを開発。\n\n2017年4月～ 公益財団法人日本適合性認定協会JABの制御システムセキュリティ技術専門家\n\n2017年7月～ 経済産業省の産業サイバーセキュリティセンターCoEの制御システムセキュリティ講座講師担当\n\n現在活動している関連団体及び機関\n・日本OPC協議会 顧問\n・制御システムセキュリティ関連団体合同委員会委員",1788512355512]