EU向け装置のCRA対応で確認したいリモートアクセス製品の選定ポイント

EU向け装置に遠隔保守の仕組みを組み込む際は、接続方式や対応する産業用通信だけでなく、製品の開発体制、導入後のアクセス管理、更新とサポートの条件も確認します。これらの情報は、納入先に保守の仕組みを説明し、装置を長く使い続けるための計画を立てる際にも役立ちます。

EUのサイバーレジリエンス法（Cyber Resilience Act、以下CRA）は、こうした製品選定にも関わります。CRAの対象となる装置のメーカーは、組み込む部品も含めて装置全体のセキュリティを評価します。リモートアクセス製品の供給者から得る情報は、その評価に使う材料です。[1]

装置全体の評価に使える資料を揃える

CRAの主要な義務は2027年12月11日から適用されます。これに先立ち、現に悪用されている脆弱性と、製品のセキュリティに影響する重大インシデントの報告義務は、2026年9月11日から適用されています。[2][3]

供給者を評価する際は、現在提供されている機能・資料と、今後整備される予定のものを分けて確認します。CRAへの対応を準備しているという説明だけでは、対象製品の適合性評価が完了しているかまでは分かりません。[4]

制度の対象範囲や責任分担は、サイバーレジリエンス法の解説で確認できます。製品選定では、採用する機種、ソフトウェアのバージョン、接続構成に合う資料を揃えます。

認証書と第三者評価の対象範囲を確認する

認証書や評価報告書では、対象となる組織、製品、ソフトウェアのバージョン、評価範囲を確認します。開発プロセスの認証と、製品の技術的なセキュリティ要件に対する評価では、確認できる内容が異なります。[4]

たとえばSecomeaは、安全な製品開発のプロセスについてIEC 62443-4-1の認証を取得し、製品のIEC 62443-4-2への準拠を第三者監査で実証しています。これらは供給者の開発体制や技術的対策を確認するための資料であり、それだけで装置全体のCRA適合を示すものではありません。[4][5]

クラウドサービスについては、組織の管理体制を対象とする保証報告書も確認します。SecomeaはISAE 3000に基づくSOC 2 Type I監査を完了しており、クラウドサービスを支える管理体制が適切に設計・整備されているかについて、第三者の評価を受けています。開発プロセスや製品の技術的対策とは評価対象が異なり、CRAの認証を意味するものではありません。[4]

資料を集めた後は、自社装置の評価にどこまで使えるかを整理します。対象機種や構成が異なる場合や、資料だけでは判断できない場合は、供給者に適用範囲を確認します。

納入先で遠隔保守を管理できるか確かめる

工場設備の監視・制御を担うOT（Operational Technology）の環境では、装置メーカーと工場側の双方が遠隔保守に関わります。装置メーカーが保守を担当する場合でも、工場側は自社設備への接続を管理する必要があります。製品を比較する際は、多要素認証、接続先の限定、接続の承認、権限の有効期限、記録の確認を、納入先の手順に合わせて運用できるかを確かめます。保守用ファイルを転送する場合は、転送方法と転送を許可する利用者も確認します。[4]

たとえば包装装置の保守では、担当技術者の接続先をその装置の制御機器に限定し、作業に必要な時間だけ権限を与える運用が考えられます。作業後は権限が残っていないか、接続履歴と合わせて確認します。[4]

緊急対応や担当者の交代も想定し、誰が接続を承認し、権限や記録を管理するかを設計時に整理しておきます。

導入時には、供給者の推奨設定や対応する接続構成を確認し、納入先のネットワークと管理手順に合わせて設定します。認証書や評価報告書に加え、安全に導入・運用するための条件を示す導入ガイドも選定の材料になります。[4]

接続履歴と、装置に加えた変更の記録は分けて考えます。取得できるログの項目、録画の対象、保存期間、利用できる契約プランや設定条件を確認し、作業目的や変更内容は保守報告で補います。接続記録があるだけで、装置へのすべての操作を確認できるとは限りません。[6][7]

装置の使用期間に合わせて更新と交換を計画する

装置を使い続ける期間と、組み込むリモートアクセス製品のセキュリティサポート期間が一致するとは限りません。対象機種とバージョンのサポート期間、更新方針、サポート終了の案内方法、後継製品への移行方法を確認します。故障時の保証や交換条件も、セキュリティ更新の条件とは分けて確認します。[8]

納入済み装置については、顧客・装置ごとに使用機種とバージョンを記録しておくと、供給者の脆弱性情報を受け取った際に確認すべき対象を絞れます。更新作業を誰が行い、工場側とどう調整するかも決めておきます。

Secomeaは、CRA対応に向けた取り組みの対象として、購入済みの機器を含む指定のゲートウェイ機種を挙げています。機種ごとのサポートに関する条件は、顧客・パートナー向けに案内しています。新規採用時だけでなく、納入済み装置を見直す際にも、使用中の機種に適用される条件を確認します。[4]

Secomeaの脆弱性ハブでは、SiteManagerのサポート状況やファームウェアのバージョンを確認できます。その情報を使い、担当者が更新や交換の必要性を判断します。対策を自動で実行する機能や、装置全体のCRA適合性を判定する機能とは異なります。[7]

製品選定時に確認する項目

設計・調達・保守の担当者が供給者と確認する項目を、次の表にまとめました。すべての資料に一律の提出義務があることを示すものではありません。

候補製品を比較するときは、確認できたこと、供給者に追加で確認すること、自社で決めることを分けて記録します。資料をまだ入手していないという理由だけで、製品が要件を満たしていないとは判断できません。[8]

Secomeaの機能と製品資料を選定に役立てる

Secomeaは、利用者ごとの接続先の指定、アクセス申請の承認、接続状況や監査ログの確認など、遠隔保守の接続を管理する機能を提供します。採用時には、使用する機能の契約・設定条件を確認し、納入先の運用に合わせて構成します。[6]

Secomea製品そのものに適用される製造者の義務はSecomeaが担います。装置メーカーは、提供される情報を装置全体のリスク評価、技術文書、保守体制に反映します。Secomea製品の採用だけで、装置全体のCRA対応が完了するわけではありません。[4][7]

装置メーカー向けの遠隔保守では、納入先との接続管理の考え方を紹介しています。

出典

Secomea本社の公開記事を参考に、日本の装置メーカーの製品選定に向けて独自に要約・編集しました。包装装置の例は本社記事[4]を参考にし、権限管理の手順を補足しました。選定表は本社記事[4][8]を基に、自社で整理する事項を加えています。情報確認日は2026年10月31日です。

1. 欧州委員会 CRA法令概要　製造者の義務、第三者部品の確認、サポート期間の説明
2. 欧州委員会 CRA概要　主要義務の適用日
3. 欧州委員会 CRA報告義務　報告義務の適用日と対象
4. Secomea CRA-ready remote access　2026年10月28日。選定の観点、準備状況と適合の区別、責任分担
5. Secomea Security certifications　開発プロセスの認証と製品の第三者評価
6. Secomea Monitor and control　利用者権限、アクセス承認、接続状況、監査ログ
7. Secomea合同会社 CRA解説とSecomea Prime　責任分担、記録機能の対象条件、脆弱性ハブの守備範囲
8. Secomea CRA supplier due diligence　2026年10月20日。供給者資料の評価、支援期間、未確認情報の扱い