サイバーレジリエンス法と製品セキュリティ

2027年12月から完全適用されるサイバーレジリエンス法（CRA）をご存知でしょうか。EUが制定した法律で、EU市場で流通するデジタル製品に対し、ライフサイクル全体を通じて一定水準以上のサイバーセキュリティを確保することを義務づける法律です。デジタル製品を介したサイバー攻撃の増加や、製品のライフサイクル全体を通じたセキュリティ対策の不十分さに対処することを目的としています。違反すれば高額な制裁金が科され、製品の販売停止、回収、市場からの撤去を命じられる可能性もあります。何より、メーカーとしての信頼を著しく損ないます。製造者は製品のセキュリティに対して、これまで以上に責任が求められます。

そんななか、注目されているのが「PSIRT」です。

PSIRTとは

PSIRTは、「⁠Product Security Incident Response Team」の略で、企業が提供する製品のセキュリティインシデント（脆弱性の発見や不正アクセスなど）に対応する組織のことです。

IoT機器から自動車、医療機器にいたるまで、デジタル技術で制御される多様な製品が普及し、利便性をもたらす一方で、サイバー攻撃やシステムの脆弱性に起因する新たなリスクも生まれています。これらの問題に対応すべく、製品のセキュリティを確保し、顧客に安全に製品を利用してもらうための専門チームとして、PSIRTの重要性が高まっています。

PSIRTとCSIRTのちがい

PSIRTと似た言葉で、CSIRT（Computer Security Incident Response Team）というものがあります。この2つは密接に関連していますが、対象範囲が異なります。

CSIRTは、主に社内の情報システムを対象とし、セキュリティインシデントが起きた際は、対応を行います。一方、PSIRTは製造または販売する製品のセキュリティインシデント対応を専門に行います。製品のセキュリティを扱うことから、自社の品質保証部門や製品開発部門、運用保守部門、社外のステークホルダーなど、多くの関係者と連携する必要があります。

PSIRTの構築・運用に向けて

最初に紹介したサイバーレジリエンス法の全面適用により、製品セキュリティの品質確保は喫緊の課題となっています。そのために必要な組織・体制が「PSIRT」です。

「PSIRTの必要性はわかったが、どうやって組織を立ち上げればよいのか」という方は、ぜひ『PSIRT実践ガイド〜企業と顧客を守る戦略的アプローチ〜』を手に取ってみてください。実際にPSIRTを立ち上げ、リーダーとしてPSIRT運営を経験した筆者の経験をもとに、PSIRT体制のあり方、PSIRTに求められる機能、運営に必要なリソース（人財・環境・予算）の考え方など、具体的な事例を交えて解説します。