[{"data":1,"prerenderedAt":53},["ShallowReactive",2],{"journal-detail-88":3},{"main":4,"content":12,"author":48},{"id":5,"level":6,"level_name":7,"title":8,"summary":7,"body":9,"author":10,"created_time":11,"edited_time":11},3501,0,"","製品やシステムのリスクアセスメント手法について","\u003Cp class=\"pd-bottom-25\">\u003Cspan class=\"tx-blue-dark\">CRA対応や機械規則MRでの脅威リスクを整理してリスクアセスメントを実施するのに、STRIDE法やATTACK法（MITRE ATT&CK）があるが、CEマーキング取得の審査でその二つ以外の自己流のリスクアセスメント手法を認めているか？\u003C/span>\u003C/p>\u003Cp>欧州サイバーレジリエンス法（CRA）に基づくCEマーキング取得において、\u003Cstrong>「自己流」の手法そのものが禁止されているわけではありませんが、審査（適合性評価）に耐えうる客観性と妥当性の証明が不可欠\u003C/strong>です。STRIDE法やATTACK法（MITRE ATT&CK）は広く認知された標準的な手法ですが、規制当局がこれらのみを指定しているわけではありません。\u003C/p>\u003Cp>ただし、以下の点に留意する必要があります。\u003C/p>","murakami","2026-04-17 10:00:00",[13,17,21,25,29,32,36,40,44],{"id":14,"heading":15,"summary":7,"body":16,"gallery":7},3502,"1. 適合性評価における手法の選択","\u003Cp>CRAでは、製造者が製品のライフサイクル全体を通じてサイバーセキュリティリスクを特定・評価することを求めています。\u003C/p>\u003Cul>\u003Cli>\u003Cstrong>標準的な手法（STRIDE/ATTACK等）の利点\u003C/strong>: 審査機関（Notified Body）や市場監視当局に対して、評価の網羅性や妥当性を説明しやすく、審査がスムーズに進む可能性が高いです。\u003C/li>\u003Cli>\u003Cstrong>独自手法の場合\u003C/strong>: その手法がなぜその製品のリスクを評価するのに適しているのか、漏れがないことをどう担保しているのかという「手法自体の妥当性」を技術文書（Technical Documentation）で詳細に証明する責任が製造者に生じます。\u003C/li>\u003C/ul>",{"id":18,"heading":19,"summary":7,"body":20,"gallery":7},3503,"2. 整合規格（Harmonised Standards）との関係","\u003Cp>CEマーキングの審査では、EUが指定する「整合規格」に準拠しているかどうかが重要になります。\u003C/p>\u003Cul>\u003Cli>現在、CRAに対応する具体的な整合規格（EN規格）の策定が進められています（例: \u003Ca target=\"_blank\" href=\"https://internet.watch.impress.co.jp/docs/column/security/1588335.html\">CEN/CENELECによる標準化作業\u003C/a>）。\u003C/li>\u003Cli>リスクアセスメントの具体的な手法については、\u003Ca target=\"_blank\" href=\"https://eu-cra.ics-lab.com/4/\">IEC 62443\u003C/a>シリーズ（産業用制御システム向け）や\u003Ca target=\"_blank\" href=\"https://www.graniteriverlabs.com/ja-jp/applications/device-and-application-cybersecurity\">ETSI EN 303 645\u003C/a>（コンシューマIoT向け）などが参照されることが多く、これらの規格で推奨されるアプローチから大きく外れる「自己流」は、不適合のリスクを高めます。\u003C/li>\u003C/ul>",{"id":22,"heading":23,"summary":7,"body":24,"gallery":7},3504,"3. リスクアセスメントに求められる要素","\u003Cp>手法が何であれ、CRAの審査で重視されるのは以下の要素が含まれていることです。\u003C/p>\u003Cul>\u003Cli>\u003Cstrong>資産の特定\u003C/strong>: 保護すべきデータや機能。\u003C/li>\u003Cli>\u003Cstrong>脅威の特定\u003C/strong>: どのような攻撃シナリオが考えられるか。\u003C/li>\u003Cli>\u003Cstrong>脆弱性の分析\u003C/strong>: 製品に存在する弱点。\u003C/li>\u003Cli>\u003Cstrong>リスクの定量的・定性的評価\u003C/strong>: 発生確率と影響度に基づく評価。\u003C/li>\u003Cli>\u003Cstrong>対策（Mitigation）の妥当性\u003C/strong>: 特定されたリスクに対して適切なセキュリティ対策が講じられているか。\u003C/li>\u003C/ul>",{"id":26,"heading":27,"summary":7,"body":28,"gallery":7},3505,"アドバイス","\u003Cp>もし独自のフレームワークを使用される場合は、\u003Ca target=\"_blank\" href=\"https://unitis.jp/articles/13893/\">ENISA（欧州サイバーセキュリティ機関）\u003C/a>が発行するガイドラインや、既存の国際標準でITシステムについてはISO/IEC 27005等、産業制御システムOTシステムについてはIEC62443-3-2とのマッピングを行い、\u003Cstrong>「標準的な手法と同等以上の網羅性があること」を文書化\u003C/strong>しておくことを強くお勧めします。\u003C/p>",{"id":30,"heading":7,"summary":7,"body":31,"gallery":7},3506,"\u003Cp class=\"pd-top-45 pd-bottom-25\">\u003Cspan class=\"tx-blue-dark\">CRAや機械規則MRのCEマーキング取得審査で、日本のIPAが作成した脅威リスクのリスクアセスメントで通用するのか？\u003C/span>\u003C/p>\u003Cp>日本のIPA（独立行政法人 情報処理推進機構）が作成した手法やガイドラインを\u003Cstrong>そのまま「これを使っています」と提示するだけで審査を通過するのは難しい\u003C/strong>と考えられます。\u003Cbr>ただし、IPAの手法が「全く使えない」わけではなく、\u003Cstrong>欧州の要求事項（整合規格）との「マッピング（対応付け）」を適切に行い、不足分を補完する\u003C/strong>ことで、評価のベースとして活用することは可能です。\u003C/p>\u003Cp>CRA（サイバーレジリエンス法）や機械規則（MR）の審査において留意すべきポイントを整理します。\u003C/p>",{"id":33,"heading":34,"summary":7,"body":35,"gallery":7},3507,"1. 「手法」よりも「整合規格への適合」が優先される","\u003Cp>CEマーキングの審査（特に第三者認証が必要な場合）では、EUが指定する\u003Cstrong>整合規格（Harmonised Standards）\u003C/strong>に準拠しているかどうかが合否の決定的な基準となります。\u003C/p>\u003Cul>\u003Cli>\u003Cstrong>CRAの場合\u003C/strong>: \u003Ca target=\"_blank\" href=\"https://eu-cra.ics-lab.com/2/\">IEC 62443\u003C/a>（産業用）や\u003Ca target=\"_blank\" href=\"https://www.graniteriverlabs.com/ja-jp/applications/device-and-application-cybersecurity\">ETSI EN 303 645\u003C/a>（コンシューマ向け）などが参照されます。\u003C/li>\u003Cli>\u003Cstrong>機械規則（MR）の場合\u003C/strong>: \u003Ca target=\"_blank\" href=\"https://www.regsol.jp/regulations/machinery-regulation/\">EN ISO 12100\u003C/a>（リスクアセスメントの基本原則）に加え、サイバーセキュリティ関連の新しい整合規格への適合が求められます。\u003C/li>\u003C/ul>",{"id":37,"heading":38,"summary":7,"body":39,"gallery":7},3508,"2. IPA手法を活用する場合の注意点","\u003Cp>IPAの\u003Ca target=\"_blank\" href=\"https://www.ipa.go.jp/security/controlsystem/ug65p90000019bkg-att/begoj9000000hqxn.pdf\">『制御システムのセキュリティリスク分析ガイド』\u003C/a>などは国際規格（IEC 62443等）を意識して作られていますが、以下の対応が必要です。\u003C/p>\u003Cul>\u003Cli>\u003Cstrong>用語と定義の統一\u003C/strong>: IPA独自の用語ではなく、EUの規則や整合規格で定義されている用語（例：Vulnerability、 Threat、 Asset）を用いて記述し直す必要があります。\u003C/li>\u003Cli>\u003Cstrong>網羅性の証明\u003C/strong>: IPAの手法でカバーできていない「製品ライフサイクル全体（廃棄まで）」や「脆弱性報告義務」などのCRA固有の要件を、技術文書（Technical Documentation）に付け加える必要があります。\u003C/li>\u003Cli>\u003Cstrong>マッピング表の作成\u003C/strong>: 「IPAの手法を用いたこのプロセスが、整合規格のどの条項に該当するか」を示す対照表を作成し、審査官に説明できるようにします。\u003C/li>\u003C/ul>",{"id":41,"heading":42,"summary":7,"body":43,"gallery":7},3509,"3. 審査における現実的なリスク","\u003Cul>\u003Cli>\u003Cstrong>説明コストの増大\u003C/strong>: STRIDEやATT&CKなどの世界標準ではない手法（IPA独自の簡易ツールなど）を使うと、審査機関（Notified Body）から「その手法の妥当性」を厳しく問われ、審査が長期化・高コスト化するリスクがあります。\u003C/li>\u003Cli>\u003Cstrong>自己適合宣言（Module A）なら可能か\u003C/strong>: CRAの「デフォルトの製品（リスクの低い製品）」であれば自己宣言が可能ですが、その場合でも市場監視当局から調査が入った際、IPAの手法だけでEUの法理を満たしていると証明するのは難易度が高いです。\u003C/li>\u003C/ul>",{"id":45,"heading":46,"summary":7,"body":47,"gallery":7},3510,"まとめ","\u003Cp>IPAの手法は\u003Cstrong>「社内でのリスク特定」には非常に有用\u003C/strong>ですが、CEマーキングの公式な技術文書としては、\u003Cstrong>IEC 62443 などの国際規格に基づいた形式に再構成\u003C/strong>して提出するのが一般的かつ安全なアプローチです。\u003C/p>",[49],{"id":10,"company":50,"name":51,"profile":52},"株式会社ICS研究所","村上 正志","1979～90年まで、日本ベーレーのシステムエンジニアとして電力会社の火力発電プラント監視制御装置などのシステム設計及び高速故障診断装置やDirect Digital Controllerの製品開発に携わる。\n＊関わった火力発電所は、北海道電力（苫東厚真、伊達）、東北電力（新仙台、仙台、東新潟）、東京電力（広野、姉ヶ崎、五井、袖ヶ浦、東扇島）、北陸電力（富山新港）、中部電力（渥美、西名古屋、知多、知多第二）、関西電力（尼崎、御坊、海南、高砂）、中国電力（新小野田、下関、岩国）、四国電力（阿南）、九州電力（港、新小倉、川内）、Jパワー（磯子、松島、高砂）、日本海LNG　など\n\n1990年、画像処理VMEボードメーカーに移籍し、大蔵省印刷局の検査装置や大型印刷機械などのシステム技術コンサルティングに従事。\n\n1995年、デジタルに移籍し、SCADA製品の事業戦略企画推進担当やSE部長を務める。（2004年よりシュナイダーエレクトリックグループ傘下に属す）また、1999年にはコーポレートコーディネーション／VEC（Virtual Engineering Company & Virtual End-User Community）を立ち上げ、事務局長として、「見える化」、「安全対策」、「技術伝承」、「制御システムセキュリティ対策」など製造現場の課題を中心に会員向けセミナーなどを主宰する。協賛会員と正会員のコラボレーション・ビジネスを提案し、ソリューション普及啓発活動を展開。\n2011年には、経済産業省商務情報政策局主催「制御システムセキュリティ検討タスクフォース」を進言、同委員会委員及び普及啓発ワーキング座長を務める。\n2015年、内閣官房 内閣サイバーセキュリティセンターや東京オリンピックパラリンピック大会組織委員会などと交流。\n\n2015年、株式会社ICS研究所を創設。VEC事務局長の任期を継続。世界で初めて制御システムセキュリティ対策e-learning教育ビデオ講座コンテンツを開発。\n\n2017年4月～ 公益財団法人日本適合性認定協会JABの制御システムセキュリティ技術専門家\n\n2017年7月～ 経済産業省の産業サイバーセキュリティセンターCoEの制御システムセキュリティ講座講師担当\n\n現在活動している関連団体及び機関\n・日本OPC協議会 顧問\n・制御システムセキュリティ関連団体合同委員会委員",1780038785614]