EUサイバーレジリエンス法、新たな報告義務を施行

欧州連合(EU)域内で事業を行う組織は今後、製品のセキュリティ問題を迅速かつ確実に報告することが義務付けられます。違反すれば厳しい罰則が科されることになります。

EUのサイバーレジリエンス法(CRA)には様々な規制が盛り込まれていますが、2027年12月までは厳格な適用が始まりません。組織側には、たとえばソフトウェア部品表(SBOM)、脆弱性対応プロセス、リスク評価といったEUの要件を満たすための十分な時間が用意されています。しかしEUは、CRAの中でも特に重要な部分については前倒しで施行することを決めました。これにより、その他の規定より1年以上早く発効することになり、この項目の重要性が際立つ形となっています。

9月11日以降、加盟国で製品を販売するすべての組織は厳格な報告義務の対象となります。具体的には、自社製品に影響を及ぼす積極的に悪用されている脆弱性や深刻なセキュリティインシデントを発見した場合、24時間以内に欧州連合サイバーセキュリティ機関(ENISA)へ報告しなければなりません。これを怠った場合、最大1500万ユーロの罰金が科される可能性があります。

新たな報告ルールで押さえるべきポイント

原則として、ある組織がEU域内のどこかで製品を流通させており、かつその製品が何らかのネットワーク接続機能を持つ場合、その組織はCRAの適用対象となります。企業向け・個人向けを問わず、ハードウェアもソフトウェアもすべてが対象範囲に含まれます。適用対象外となるのは、すでにEUの規制を受けている特定分野の技術と、オープンソースソフトウェアのみです。企業がEU域内に物理的な拠点を持つ必要はなく、それでもEUの法律の適用を受けます。

今週以降、組織は自社製品において積極的に悪用されている脆弱性や、機密情報・重要データもしくは重要機能の可用性・真正性・完全性・機密性に影響を及ぼすその他の深刻なセキュリティ侵害を報告する必要があります。後者の例としてはサプライチェーン侵害などが挙げられます。

ベンダーは、これら2種類の事象のいずれかが発生したと合理的に判断できる時点から24時間以内に、ENISAの単一報告プラットフォーム(SRP)を通じて報告を行う必要があります。さらに72時間以内(最初の24時間を含む、追加ではない期間)には、問題の深刻度や影響、修正を待つ間にユーザーが取り得る緩和策などを含む、より包括的な通知を提出しなければなりません。

修正版が利用可能になり次第、ベンダーはそれを文書化した正式なセキュリティ報告書を数週間以内に提出し、さらに1か月以内にはその時点までの経緯全体を説明する、より包括的な最終報告書を提出することになります。

EUはこれらの期限について、最小規模のベンダーに限り例外を設けています。相対的に能力が限られていることを考慮し、従業員10人未満かつ年間売上高200万ユーロ未満のマイクロ企業、および従業員50人未満かつ売上高1000万ユーロ未満の小規模企業については、24時間以内の報告期限を守れなくても罰金を科されない場合があります。

いわゆる「適合性評価」についても、零細企業・小規模企業・中規模企業に金銭的な罰則を科す際には「比例的な方法で実施される」とされています。

一方、大企業にはそうした例外は適用されません。深刻なサイバーセキュリティインシデントの報告を怠った場合、最大1500万ユーロ、あるいはその金額を超える場合は企業の全世界年間総売上高の2.5%が罰金として科される可能性があります。

CRAは適切な内容と言えるのか

即時に近い報告義務と高額な罰金は厳格に見えるかもしれませんが、CRAには他の面でかなり緩やかな部分もあります。小規模組織向けの例外に加え、既知ではあるもののまだ積極的に悪用されていない脆弱性については、どれほど深刻であっても報告義務を課していません。

また、該当する場合には「隠蔽によるセキュリティ」もある程度認められています。第16条第2項によれば、「例外的な状況において、特に製造業者からの要請があり、かつ本規則第14条第2項(a)に基づき製造業者が示した通知情報の機密性の水準を踏まえた場合、正当なサイバーセキュリティ上の根拠に基づき、必要最小限の期間に限り通知の公表を遅らせることができる」とされています。

Codificの最高経営責任者(CEO)兼創業者であり、OWASP EUの創設理事会メンバーでもあるアラム・ホヴセピアン博士によれば、こうした罰金も見た目ほど恐ろしいものではないといいます。「最大限の罰則は正しいメッセージを発信するものです」と同氏は述べます。「しかし、2018年以降これまでに科されたGDPR関連の罰金を見ると、大半の罰金額は規則に定められた上限額には遠く及ばない水準であることは明らかです」

結局のところ、CRAに準拠するためには組織がインシデントの検知と対応を的確に行う必要がある、とホヴセピアン氏は述べます。朗報なのは、「OWASP SAMMベンチマークプロジェクトの定量的データによれば、実際のところ組織はこうした対応、とりわけインシデント対応において十分な実力を備えていることが分かっています。特に大規模組織では専任のインシデント対応チームが設置されており、彼らは明確なプレイブックを持ってすぐに行動できる、いわばプロの消防士のような存在です。そのプレイブックに新たなコンプライアンス規制を組み込むこと自体は、少なくともプロセスの観点からは難しくありません」と同氏は語ります。

「残念ながら、現実はもっと複雑です。典型的なセキュリティインシデントが発生した際、組織はコンプライアンスよりも自社の評判を気にかける傾向があるためです」と同氏は付け加えます。「顧客はインシデント全体をどう受け止めるのか。潜在的な被害をどう最小限に抑えられるのか。この点がより複雑な課題になるでしょう」