産業用自動化・制御システムにおける工作機械やロボット製品が「IEC 62443-4-2 SL1 ＋ EN 40000-1-4」という組み合わせのままでのリスクについて

• 顧客要件との乖離:
  半導体業界（SEMI E187/E188）、自動車業界（TISAX/ISO 21434）、防衛産業（CMMCや防衛省サイバーセキュリティ基準）など、納品先である大手企業は独自の厳しい調達基準を設けています。
• 踏み台リスクの懸念:
  踏み台攻撃の標的となりやすい中小企業のラインに置かれる工作機械が「SL1（意図的な攻撃に耐えられない）」レベルである場合、大手顧客のセキュリティ査定（調達監査）を通過できず、コンペティションから即座に排除される原因になります。

• 想定環境との不整合:
  CRAは単なるチェックリスト適合ではなく、「製品の動作環境と脅威に応じたリスクベースアプローチ」を求めています。
• 正当化の不成立:
  半導体や防衛等の重要サプライチェーン内で使われるロボット・工作機械に対し、国家主導や犯罪組織の脅威を無視して「SL1でリスクは受容可能である」とする技術文書（Clause 6.3 / 6.5）を作成しても、適合性評価機関（Notified Body）や市場監視当局から「合理的な説明になっていない」と差し戻されるリスクが高まります。

• 物理的被害の誘発:
  工作機械や産業用ロボットは、サイバー攻撃が直接「物理的な破壊（刃具の衝突、暴走、安全回路の無効化）」や「ラインの長期停止」に直結するOT機器です。
• 製造物責任追及:
  SL1レベルの甘い保護基準に起因してサイバー攻撃を受け、工場内で人身事故や重大な設備破損が発生した場合、改定EU製造物責任（PL）指令のもとで「設計上の重大な欠陥」としてメーカー側が巨額の賠償責任を問われることになります。

• ハードウェア領域の限界:
  SL2以上で求められるセキュリティブート、メモリ保護機能、SL3以上で求められる暗号鍵のハードウェア保護（TPM/HSM）などは、基板やSoCの選定段階から組み込む必要があります。
• 技術的負債の破綻:
  「後から顧客に要請されてから対応する」方針をとった場合、後付けでの改修ができず、基板やファームウェアの全面再設計を余儀なくされ、製品ライフサイクル全体の利益を吹き飛ばすコストが発生します。

重要な産業サプライチェーンに組み込まれる製品においては、最初からプラットフォームのハードウェア・設計（Security by Design）レベルでSL2（意図的な攻撃への防御）に耐えうる拡張性を持たせておき、出荷時設定や顧客の要求に応じて柔軟に対応できるモジュール構造にしておくことが、長期的な事業リスクを最も抑える戦略となります。

この構造的課題は、日本の製造業（特に産業機器・工作機械業界）が直面している「組み込みサプライチェーンの技術的断絶」の核心を突いています。

半導体（SoC/MCU）側にハードウェアRoT（Root of Trust: TPMやSecure Boot機能）が存在しても、それを駆動させるボード・サポート・パッケージ（BSP）、U-Boot/BIOS、OS階層の技術力が追いついておらず、セキュリティ機能が「宝の持ち腐れ」になっているのが実態です。かといって高価な海外製セキュア基板を採用すれば、海外競合メーカーとの価格競争力を一瞬で失います。

この「技術力とコストの挟み撃ち」状態でSL1でお茶を濁そうとすることが、なぜ将来的にさらに致命的な経営リスクへ化けるのか、構造的側面から整理します。

• パッチ地獄（EN 40000-1-4）の泥沼化
  ハードウェア（基板・BIOS）レベルでのメモリ保護やセキュリティブートが効いていないOS・アプリ層は、脆弱性が頻発します。結果として出荷後に脆弱性ハンドリングやパッチ開発・テストのコスト（人件費）が恒常的に発生し、初期の基板コストカット分を簡単に吹き飛ばします。
• 二重投資（外付けセキュアゲートウェイの追加）の罠
  市場監査や顧客からのセキュリティ査定でSL1が拒絶された場合、後付けでセキュアなエッジゲートウェイ（通信分離用ボード）を追加せざるを得なくなります。結局、基板を2枚載せることになり、最初から高価な海外製基板を採用する以上のハード・設計変更コストを背負います。

• 箇条 7.11（サードパーティ・コンポーネント管理）の形骸化
  EN 40000-1-2 箇条 7.11は、外部から調達するコンポーネント（基板やBSP含む）に対するデューデリジェンスを要求しています。「基板メーカーの技術力が低かった」という言い訳は、CRAの市場監視当局や適合性評価機関（Notified Body）に対して法的正当性や免責理由になりません。

工作機械メーカーがこの詰み状態を回避するための現実に即したアプローチです。

• Annex B「サプライヤー合意書（CSSA）」による要件の強制
  EN 40000-1-2 Annex Bの「Cybersecurity Supplier Agreement」をベースに、基板メーカーとの契約時に「Secure Bootの有効化」「BSPの暗号化ドライバ対応」を明確な納入・検収条件（RACIのRを相手に担わせる）として課す。基板メーカー側に「CRA対応を行わないと競合に負けて受注を失う」という圧力をかけるアプローチです。
• アーキテクチャの機能分離（Domain Separation）
  既存の安価な制御基板（リアルタイム制御）はそのまま活かしつつ、ネットワークに露出する外部通信部だけを「セキュアな低価格小型SoCモジュール（Linux/セキュアブート対応）」に集約して絶縁・仲介させる構造（EN 40000-1-2 箇条 7.4 Security Architecture）にする。これにより、メインの制御基板全体を高級化することなくセキュリティレベルを引き上げることが可能になります。

「基板メーカーやBIOS/OS階層の技術的限界」を理由に「SL1＋脆弱性対応のみ」で済ませようとするアプローチに対し、EN 40000-1-2は「外部調達部品や技術的制約を理由にした安易なリスク受容を認めず、厳格なデューデリジェンスとアーキテクチャでの補償」を明確に求めています。

具体的には、本規格の各箇条で以下の要件が規定されています。

• 外部から調達するコンポーネント（基板、BIOS、BSP、ライブラリ等）の選定において、必ずデューデリジェンス（十分な注意・評価）を適用しなければなりません。
• なぜそのコンポーネントを採用したのかの選定理由を文書化し、正当化（Justified）することが義務付けられています。「既存の基板メーカーの技術力が低く安価だったから」という理由は、CRA適合に必要な正当化として認められません。

• コンポーネント単体の機能だけでなく、製品全体およびサードパーティ部品の「統合（Integration）」状態を単一のシステムとしてアセスメントしなければなりません。
• 「半導体チップにセキュリティ機能があってもBIOS/OS階層で途切れている」という状態そのものを重大な製品リスク（脅威）として認識し、リスクアセスメント（箇条 6.4）に記録・評価することが求められます。

• リスク対応（Risk Treatment）は、以下の優先順位に従って選択しなければなりません。
  1. リスク回避 (Avoidance)
  2. リスク低減 (Mitigation)
  3. リスク受容 (Acceptance)
  4. リスク転嫁 (Transfer)
• 上位の代替手段（低減策など）が利用可能であるにもかかわらず、優先順位の低い選択肢（安易なリスク受容やユーザーへの転嫁）を選んではならないと明確に禁止されています。
• リスクを受容する場合は、最新技術水準（State of the art）や業界規格に照らして正当性を文書で証明する必要があります。

• 下位層（基板やBIOS）のセキュリティ機能が不足している場合、Security by Design原則における「多層防御（Defence in depth）」や「信頼境界（Trust boundaries）の設定」をアーキテクチャ設計（箇条 7.4）に適用しなければなりません。
• 下位層の弱点をそのまま放置するのではなく、ネットワーク境界や上位ソフトウェア層でそのリスクを隔離・補償するコントロールを設計上で組み込むことが義務付けられます。

• サプライチェーンの上流（基板・BSPメーカー等）に対し、セキュリティ要求や統合ドキュメント、脆弱性検証レポートの提出責任を明確にすることを推奨・要求しています。
• Annex BのCSSA（サイバーセキュリティ・サプライヤー合意書）を活用し、基板メーカー側にも安全な実装やセキュリティ機能の有効化に関する責任（RACIマトリックス）を割り当て、サプライチェーン全体で品質を引き上げることが求められます。