[{"data":1,"prerenderedAt":38},["ShallowReactive",2],{"journal-detail-110":3},{"main":4,"content":12,"author":33},{"id":5,"level":6,"level_name":7,"title":8,"summary":9,"body":7,"author":10,"created_time":11,"edited_time":11},4248,0,"","CRA法規制対応のEN40000-1-4について","【参考資料】欧州サイバーレジリエンス法（CRA/EN 40000-1-4）および次期IEC 62443-4-2（2026年改訂版）の最新動向と対応のポイント","murakami","2026-09-04 10:00:00",[13,17,21,25,29],{"id":14,"heading":15,"summary":7,"body":16,"gallery":7},4249,"はじめに","\u003Cp>欧州で施行されたサイバーレジリエンス法（CRA）に伴い、欧州市場に投入されるデジタル要素を持つほぼすべての製品に対し、設計段階からのセキュリティ担保（Secure by Design）が法的に義務付けられることとなりました。現在、このCRAの整合規格（Harmonised Standards）として、欧州標準化機関において「EN 40000-1-4（Generic Security Requirements: 汎用セキュリティ要件）」の策定が進められています。（発行予定は、2027年10月頃になるだろうと言われています。）\u003C/p>\u003Cp>これに伴い、産業用制御機器の国際技術標準である 「IEC 62443-4-2」 においても、CRAやEN 40000-1-4で新設された要件（データ最小化、セキュア消去、アップデート制御等）を取り込む形での次期改訂（Edition 2.0）に向けた検討が進んでいます。本資料では、CRA（EN 40000-1-4）および次期IEC 62443-4-2を見据えた技術的変更点と、手戻りのない効率的な製品開発のポイントを解説いたします。\u003C/p>",{"id":18,"heading":19,"summary":7,"body":20,"gallery":7},4250,"1. 規格策定の背景と両規格の関係性","\u003Cp>欧州CRA（EN 40000-1-4）と国際規格（IEC 62443-4-2）は相互に影響を及ぼし合いながら進展しています。\u003C/p>\u003Cul>\u003Cli>\u003Cstrong>現行の課題（IEC 62443-4-2 Ed 1.0）:\u003C/strong>\u003Cbr>主に工場・プラント等の制御システムの「可用性（止めないこと）」と「制御コマンドの完全性」に重点を置いており、近年のプライバシー保護や高度なソフト保守機能には一部未カバーの領域が存在していました。\u003C/li>\u003Cli>\u003Cstrong>CRA（EN 40000-1-4）の登場:\u003C/strong>\u003Cbr>製品のライフサイクル全般（出荷時・運用時・廃棄時）にわたるセキュリティと、データ最小化などの新しい概念を法的に要求しました。\u003C/li>\u003Cli>\u003Cstrong>IEC 62443-4-2（次期改訂版: 2026年版）への波及:\u003C/strong>\u003Cbr>国際標準としての互換性を維持するため、IEC 62443-4-2 の改訂版においても EN 40000-1-4 の新概念を包含・リカバーする方向で調整が進んでいます。\u003C/li>\u003C/ul>",{"id":22,"heading":23,"summary":7,"body":24,"gallery":7},4251,"2. 注目すべき13のセキュリティ要件と主な対策内容","\u003Cp>CRA（EN 40000-1-4）および次期IEC 62443-4-2において、製品開発上で重要となる13の要件分野と具体的な対策のポイントは以下の通りです。\u003C/p>\u003Cp>\u003Cspan class=\"table\">\u003Cspan class=\"table-thead\">\u003Cspan class=\"cell col2-5\">要件分野\u003C/span>\u003Cspan class=\"cell col2-1\">主な対象\u003C/span>\u003Cspan class=\"cell\">求められる対策のポイント（例）\u003C/span>\u003C/span>\u003Cspan class=\"table-tbody\">\u003Cspan class=\"cell col2-5\">1. 脆弱性評価\u003C/span>\u003Cspan class=\"cell col2-1\">全コンポーネント・OSS\u003C/span>\u003Cspan class=\"cell\">実用上悪用可能な既知の脆弱性を含まない状態での出荷、SBOM等を活用した日常的な脆弱性把握\u003C/span>\u003C/span>\u003Cspan class=\"table-tbody\">\u003Cspan class=\"cell col2-5\">2. セキュアな設定\u003C/span>\u003Cspan class=\"cell col2-1\">初期設定・パスワード\u003C/span>\u003Cspan class=\"cell\">箱から出した状態で安全な初期設定（Secure by Default）、初期パスワード固定の禁止、安全な工場出荷時リセット\u003C/span>\u003C/span>\u003Cspan class=\"table-tbody\">\u003Cspan class=\"cell col2-5\">3. セキュアアップデート\u003C/span>\u003Cspan class=\"cell col2-1\">ファームウェア・修正パッチ\u003C/span>\u003Cspan class=\"cell\">自動アップデートの原則化、運用都合に応じた「一時延期」や「オプトアウト」機能の提供\u003C/span>\u003C/span>\u003Cspan class=\"table-tbody\">\u003Cspan class=\"cell col2-5\">4. 認可アクセス\u003C/span>\u003Cspan class=\"cell col2-1\">ユーザー・ログイン機能\u003C/span>\u003Cspan class=\"cell\">強固な認証、ログイン試行制限、不正アクセスや改ざん試行の検知・レポート機能\u003C/span>\u003C/span>\u003Cspan class=\"table-tbody\">\u003Cspan class=\"cell col2-5\">5. 機密性保護\u003C/span>\u003Cspan class=\"cell col2-1\">保存・通信データ・暗号鍵\u003C/span>\u003Cspan class=\"cell\">最新の最先端暗号（SOTA）の適用、暗号方式の将来的な変更に備えた「暗号アジリティ」の確保\u003C/span>\u003C/span>\u003Cspan class=\"table-tbody\">\u003Cspan class=\"cell col2-5\">6. 完全性保護\u003C/span>\u003Cspan class=\"cell col2-1\">制御コマンド・設定値全般\u003C/span>\u003Cspan class=\"cell\">個人データだけでなく「制御命令やプログラム全般」の改ざん防止と、異常検知時の通知\u003C/span>\u003C/span>\u003Cspan class=\"table-tbody\">\u003Cspan class=\"cell col2-5\">7. データ最小化\u003C/span>\u003Cspan class=\"cell col2-1\">収集・処理データ全般\u003C/span>\u003Cspan class=\"cell\">製品の本来目的に必要なデータのみを処理、デフォルトでの収集最小化、任意データの収集可否設定\u003C/span>\u003C/span>\u003Cspan class=\"table-tbody\">\u003Cspan class=\"cell col2-5\">8. 利用可能性\u003C/span>\u003Cspan class=\"cell col2-1\">基本機能・ハードリソース\u003C/span>\u003Cspan class=\"cell\">DoS攻撃（負荷過多）耐性、重要処理の優先配分、障害発生からの安全かつ自動的な復旧（Fail-Safe）\u003C/span>\u003C/span>\u003Cspan class=\"table-tbody\">\u003Cspan class=\"cell col2-5\">9. 負の影響の最小化\u003C/span>\u003Cspan class=\"cell col2-1\">自製品および接続ネットワーク\u003C/span>\u003Cspan class=\"cell\">万が一感染・乗っ取られた場合に、他機器や外部ネットワークへ攻撃を拡大させない機能\u003C/span>\u003C/span>\u003Cspan class=\"table-tbody\">\u003Cspan class=\"cell col2-5\">10.アタックサーフェースの最小化\u003C/span>\u003Cspan class=\"cell col2-1\">ポート・API・ライブラリ\u003C/span>\u003Cspan class=\"cell\">不要なポート・サービスの初期無効化、出荷前のデバッグコード・不要ライブラリの削除\u003C/span>\u003C/span>\u003Cspan class=\"table-tbody\">\u003Cspan class=\"cell col2-5\">11. インシデント影響低減\u003C/span>\u003Cspan class=\"cell col2-1\">OS・実行プロセス\u003C/span>\u003Cspan class=\"cell\">万が一未知の脆弱性を突かれてもコード実行や権限昇格を防ぐOS/コンパイラレベルの緩和技術（ASLR等）\u003C/span>\u003C/span>\u003Cspan class=\"table-tbody\">\u003Cspan class=\"cell col2-5\">12. ログと監視\u003C/span>\u003Cspan class=\"cell col2-1\">監査ログ・内部アクティビティ\u003C/span>\u003Cspan class=\"cell\">セキュリティイベントの安全な記録・動的監視、ログへの過度な個人情報出力の防止、ユーザーによるログの無効化（オプトアウト）\u003C/span>\u003C/span>\u003Cspan class=\"table-tbody\">\u003Cspan class=\"cell col2-5\">13. 安全なデータ消去\u003C/span>\u003Cspan class=\"cell col2-1\">本体・クラウド上の全データ\u003C/span>\u003Cspan class=\"cell\">売却・廃棄・ユーザー交代時の安全かつ復元不可能なデータ完全消去、事前エクスポート機構\u003C/span>\u003C/span>\u003C/span>\u003C/p>",{"id":26,"heading":27,"summary":7,"body":28,"gallery":7},4252,"3. 今後の製品開発で採るべき「一括（ワンストップ）設計アプローチ」","\u003Cp>CRA対応と次期IEC 62443-4-2対応を個別のイベントとして捉えると、二重の設計変更や手戻り（開発コストの増大）が発生してしまいます。\u003C/p>\u003Cp>今後製品開発において採るべき最も効率的なアプローチは、「EN 40000-1-4 で示された差分要件（データ最小化、セキュア消去、アップデートの運用制御等）をあらかじめ先取りし、次世代共通プラットフォームの設計に組み込んでおくこと」です。\u003C/p>\u003Cp>これにより、以下のメリットを同時に享受することが可能となります。\u003C/p>\u003Col>\u003Cli>欧州CRA法規制への確実な適合（欧州出荷の継続性担保）\u003C/li>\u003Cli>次期 IEC 62443-4-2 発行時におけるスムーズな適合と手戻りの防止\u003C/li>\u003Cli>顧客の運用（長時間の現場稼働等）に配慮した高品質な製品セキュリティの実装\u003C/li>\u003C/ol>",{"id":30,"heading":31,"summary":7,"body":32,"gallery":7},4253,"ICS研究所からのメッセージ","\u003Cp>CRA（EN 40000-1-4）の標準化作業が進む一方で、IEC 62443 の改訂も並行して動いており、規格の表面的な字面だけを追うと今後の製品方針に迷いが生じやすい時期でもあります。\u003C/p>\u003Cp>しかし、両規格を作成しているメンバーには同じ技術者が参加していることもあり、時間的前後はあっても根本にある要求の本質は変わりません。それどころか、それぞれの規格の存在・役割を踏まえて作成されております。そのことから、根本にある「要求の本質（Secure by Default、ライフサイクル保護、現場運用との両立）」を正しく理解し、先行して設計に落とし込むことで、新規格への対応は「開発の負担」から「他社との差別化・ブランド価値向上」へと昇華させることができます。\u003C/p>\u003Cp>ICS研究所では、EN 40000-1-4 の検討動向および次期 IEC 62443-4-2 の改訂議論を深く追跡・分析しております。貴社の製品ロードマップや開発ラインに合わせた「無駄のない、先見的な製品セキュリティ対応」を強力にバックアップいたしますので、どうぞお気軽にご相談ください。\u003C/p>",[34],{"id":10,"company":35,"name":36,"profile":37},"株式会社ICS研究所","村上 正志","1979～90年まで、日本ベーレーのシステムエンジニアとして電力会社の火力発電プラント監視制御装置などのシステム設計及び高速故障診断装置やDirect Digital Controllerの製品開発に携わる。\n＊関わった火力発電所は、北海道電力（苫東厚真、伊達）、東北電力（新仙台、仙台、東新潟）、東京電力（広野、姉ヶ崎、五井、袖ヶ浦、東扇島）、北陸電力（富山新港）、中部電力（渥美、西名古屋、知多、知多第二）、関西電力（尼崎、御坊、海南、高砂）、中国電力（新小野田、下関、岩国）、四国電力（阿南）、九州電力（港、新小倉、川内）、Jパワー（磯子、松島、高砂）、日本海LNG　など\n\n1990年、画像処理VMEボードメーカーに移籍し、大蔵省印刷局の検査装置や大型印刷機械などのシステム技術コンサルティングに従事。\n\n1995年、デジタルに移籍し、SCADA製品の事業戦略企画推進担当やSE部長を務める。（2004年よりシュナイダーエレクトリックグループ傘下に属す）また、1999年にはコーポレートコーディネーション／VEC（Virtual Engineering Company & Virtual End-User Community）を立ち上げ、事務局長として、「見える化」、「安全対策」、「技術伝承」、「制御システムセキュリティ対策」など製造現場の課題を中心に会員向けセミナーなどを主宰する。協賛会員と正会員のコラボレーション・ビジネスを提案し、ソリューション普及啓発活動を展開。\n2011年には、経済産業省商務情報政策局主催「制御システムセキュリティ検討タスクフォース」を進言、同委員会委員及び普及啓発ワーキング座長を務める。\n2015年、内閣官房 内閣サイバーセキュリティセンターや東京オリンピックパラリンピック大会組織委員会などと交流。\n\n2015年、株式会社ICS研究所を創設。VEC事務局長の任期を継続。世界で初めて制御システムセキュリティ対策e-learning教育ビデオ講座コンテンツを開発。\n\n2017年4月～ 公益財団法人日本適合性認定協会JABの制御システムセキュリティ技術専門家\n\n2017年7月～ 経済産業省の産業サイバーセキュリティセンターCoEの制御システムセキュリティ講座講師担当\n\n現在活動している関連団体及び機関\n・日本OPC協議会 顧問\n・制御システムセキュリティ関連団体合同委員会委員",1788512355512]