VicOne CRA Studio
CRA対応をあらゆる段階で一元管理する
統合プラットフォーム

EUサイバーレジリエンス法（CRA）は2024年12月に発効しました。IoT機器、産業機器、EV充電器、農業機械、オフハイウェイ機器をはじめとするデジタル要素を備えた製品の製造者に対して、製品ライフサイクル全体にわたるサイバーセキュリティ要件への準拠を義務付けています。具体的には、SBOMの文書化、継続的な脆弱性管理、セキュリティアップデートの配布、ENISA（欧州ネットワーク・情報セキュリティ機関：European Union Agency for Cybersecurity）へのインシデント報告が含まれます。
CRA適用はフェーズに分かれており、2026年9月までに、悪用が確認された脆弱性のENISAへの24時間以内の報告義務（脆弱性報告・インシデント通知）が先行して適用されます。対象となるすべての製造者は、2027年12月までに製品のセキュリティ要件を含む全義務への完全適用が求められます。

CRAは、ネットワークまたはデバイス接続機能を持つハードウェアまたはソフトウェア製品をEU市場に提供するすべての製造者が対象です。対象には、IoT機器、産業用制御システム、EV充電器、コンシューマー向け電子機器、農業機械、非道路走行機械（NRMM）、オフハイウェイ機器などが含まれ、適用範囲は自動車や重要インフラに限定されません。
また、無線通信機能を持つ製品など一部のカテゴリでは、無線機器指令（RED）など既存の規制と併せてCRAの義務が適用されます。

VicOneのCRA Studioは、SBOMの抽出、出荷済みファームウェアへの脆弱性スキャン、悪用可能性に基づく優先度付け、文書生成など、手作業によるコンプライアンス対応でエンジニアの工数を消費する作業を自動化します。
新たなCVEが公開されると管理対象の製品一覧と自動的に照合し、影響を受ける出荷済み製品を特定するとともにCRAで求められる監査文書を生成するため、CVEが公開されるたびにエンジニアが介在する必要はありません。

ソフトウェア構成分析（SCA）ツールは、主に開発工程における脆弱性の特定を目的としています。一方でCRAは、出荷後を含めた製品のサポート期間全体にわたり脆弱性への対応を継続的に監視・評価・文書化することを求めており、新たなCVEが公開された場合には市場に出荷済みの製品も対象として影響評価と対応が必要になります。
多くのSCAツールは、出荷済み製品の継続的な再スキャンやNVD（国家脆弱性データベース：National Vulnerability Database）を超える脅威インテリジェンスの提供、CRAの技術ファイル要件に必要な監査文書の生成には対応していません。

CRAでは、悪用が確認された脆弱性を特定してから24時間以内にENISAへ通知することを義務付けています。VicOneのCRA Studioの脅威インテリジェンスはNVDを189%上回る網羅範囲を持ち、ゼロデイ検出を含む悪用活動をCVEフィードへの掲載前に把握します。悪用が確認された脆弱性を検知すると、影響を受ける製品を特定し攻撃経路を可視化するとともに、CRAの24時間以内の報告義務に対応した文書を自動生成します。