VicOne CRA Studio
CRA対応をあらゆる段階で一元管理する
統合プラットフォーム

EUサイバーレジリエンス法（CRA）は2024年12月に発効しました。IoT機器、産業機器、EV充電器、農業機械、オフハイウェイ機器をはじめとするデジタル要素を備えた製品の製造者に対して、製品ライフサイクル全体にわたるサイバーセキュリティ要件への準拠を義務付けています。具体的には、SBOMの文書化、継続的な脆弱性管理、セキュリティアップデートの配布、ENISA（欧州連合サイバーセキュリティ機関：European Union Agency for Cybersecurity）への報告が含まれます。
CRA適用は段階的に適用されます。報告義務は2026年9月11日から先行して適用され、製造者が悪用が確認された脆弱性や製品セキュリティに重大な影響を及ぼすインシデントを認識した場合、24時間以内の早期警告、72時間以内の本通知、その後、脆弱性については是正・緩和策が利用可能になってから14日以内、重大インシデントについては本通知から1か月以内に最終報告が求められます。
報告は、CRA Single Reporting Platformを通じて管轄のCSIRT（コンピュータセキュリティインシデント対応チーム）およびENISAに対して行います。
CRAの主な義務は2027年12月11日から適用され、この日以降にEU市場へ上市される対象製品には製品のセキュリティ要件、技術文書の整備、適合性評価、CEマーキングなどへの対応が求められます。すでに上市されている製品も、同日以降に実質的な変更が加えられる場合はCRAの要件の対象となり、報告義務（第14条）については既存の対象製品にも適用されます。

CRAは、ネットワークやデバイスに直接または間接的に接続する機能を持つハードウェアまたはソフトウェア製品をEU市場に上市・提供する製造者を中心に適用されます。対象には、IoT機器、産業用制御システム、EV充電器、コンシューマー向け電子機器、農業機械、非道路走行機械（NRMM）、オフハイウェイ機器などが含まれ、輸入者や販売者、一定のオープンソースソフトウェア管理者にもそれぞれの役割に応じた義務が課されます。
無線通信機能を持つ一部の製品では移行期間中、無線機器指令（RED）に基づくサイバーセキュリティ要件への対応も必要となる場合があります。ただし、2027年12月11日以降はREDのサイバーセキュリティ委任規則が廃止され、対象製品のサイバーセキュリティ要件はCRAを中心に整理されます。

VicOneのCRA Studioは、SBOMの抽出、出荷済みファームウェアへの脆弱性スキャン、悪用可能性に基づく優先度付け、文書生成など、手作業によるコンプライアンス対応でエンジニアの工数を消費する作業を自動化します。
新たなCVEが公開されると管理対象の製品一覧と自動的に照合し、影響を受ける出荷済み製品を特定するとともにCRAで求められる監査文書を生成するため、CVEが公開されるたびにエンジニアが介在する必要はありません。

ソフトウェア構成分析（SCA）ツールは、主に開発工程における脆弱性の特定を目的としています。一方でCRAは、出荷後を含めた製品のサポート期間全体にわたり脆弱性への対応を継続的に監視・評価・文書化することを求めており、新たなCVEが公開された場合には市場に出荷済みの製品も対象として影響評価と対応が必要になります。
多くのSCAツールは、出荷済み製品の継続的な再スキャンやNVD（米国国立脆弱性データベース：National Vulnerability Database）を補完する脅威インテリジェンスの提供、CRAへの対応に必要な技術文書や監査文書の生成には対応していません。

CRAでは、製造者が悪用の確認された脆弱性または重大インシデントを認識した場合、24時間以内の早期警告、72時間以内の本通知、その後、所定期限内に最終報告が求められます。
VicOneのCRA Studioは、影響を受ける製品の特定、攻撃経路の可視化、初期評価、報告文書の作成を支援し、CRAの段階的な報告フローへの対応を効率化します。
また、CVEフィードに反映される前の悪用活動やゼロデイ関連の兆候を把握できる場合があり、影響評価と初動対応の迅速化を支援します。