{{item.videoDuration}}
{{item.title}}
{{item.text}}
{{item.videoDuration}}
{{item.title}}
{{item.text}}
日本の製品メーカーの製品セキュリティへの意識や対応がどのような状況かを把握するため、PwCでは日本国内の製品メーカーで働く580人を対象に、2023年10月、アンケート調査を行いました。
アンケート調査結果から、日本の製品メーカーの製品セキュリティに対する意識・対応状況が見えてきました。その概要をお伝えします。
調査概要
目的 |
|
調査方法 |
ウェブによるアンケート |
調査対象 |
日本の製造業関連企業において、以下に該当する方々
|
調査数 |
580名 |
調査期間 |
2023年10月 |
海外法規の認知度の低さ・能動的な情報収集活動の不足
はじめに施行済あるいは審議中である下記の国内外の法規制と国際標準や認証のサイバーセキュリティ要件を対象とした認知度を調査しました。
- 日本 電気通信事業法 技術適合要件におけるセキュリティ要件（施行済）
- 米国 カリフォルニア州法 Senate Bill No. 327（施行済）
- 英国 Product Security and Telecommunication Infrastructure Act（PSTI法）（施行済）
- EU Cyber Resilience Act（CRA）（法案審議中）
- ETSI EN 303 645
- IEC 62443シリーズ
- 米国 Cyber Trust Mark
- シンガポール Cybersecurity Labelling Scheme（CLS）
最も認知度が高い法律は日本の「電気通信事業法 技術適合要件におけるセキュリティ要件」で、回答者の半数以上が認知していました。一方、米国のカリフォルニア州法 Senate Bill No. 327や英国のPSTI法、欧州のCRAの認知度は10％程度に留まる結果となりました。
この原因として、以下のことが考えられます。
- 海外法規の動向を調べる方法を知らない・ルートがない
- 言語の壁があり理解する時間がない
- 日本語化された情報が限られる
- 海外現地法人とのコミュニケーション不足
- 同業他社交えた業界での情報交換も希薄
一方で、海外の法規制動向については日本語での情報も一定程度流通しているため、それでも認知度が低いのは、そもそも関心が薄いためではないかとも懸念されます。
欧米企業に後れをとっている日本企業のCRA対応
今回の調査は、特に欧州市場での施行を検討されているCRAへの日本企業の対応について把握することが1つの目的でした。その結果、依然として多くの企業がCRAへの対応を始めていないことが分かりました。
本調査に回答した580名の内、CRA対応を実施していると回答したのは約2割でした。また、CRAに対応していると答えた回答者の内、すでに対応済みという回答は約4割で、1〜3年以内のCRA対応を目指すという回答が約5割見られました。また企業規模（従業員数ベース）の観点では、従業員が500人以下の比較的規模の小さい企業における対応が進んでいないことも判明しました。
以前PwCコンサルティングが公開したレポート「欧米企業の欧州サイバーレジリエンス法案（EU Cyber Resilience Act）対応準備状況 ～見えてきた日本企業との大きな温度差～」で紹介した調査結果と比較してみましょう。欧米メジャー企業からは以下の点が共通に聞かれました。
- セキュリティを製品ライフサイクルに組み込むことは基本認識であり、セキュア開発プロセスおよび脆弱性管理・インシデント報告に対応するPSIRT（Product Security Incident Response Team）の基本的な取り組みはすでに組織として確立済み
- 製品セキュリティの責任を明確化するため、CPSO（Chief Product Security Officer）もしくは管理責任者をアサイン済み
- CRA法案の段階から、PSIRT以外の関係者（製品コンプライアンス部門や品質保証部門など）と要件を追跡し、自社にとって対応が厳しい条項や不明確な点について、法規策定当局へパブリックコメントを提出済み
欧米メジャー企業は、製品のセキュリティ品質の確保は安全な製品を提供する企業としての社会的責任である、事業継続リスクとして製品セキュリティ品質の確保は不可欠、という考えの下で、法規制の有無にかかわらず、すでに主体的に製品セキュリティ対応を進めています。日本企業の製品セキュリティ対応への意識との温度差は明らかです。
このことから、日本企業の製品のセキュリティ品質面での競争力はまだまだ低い状況である、という課題が浮き彫りになりました。
経営層／管理者層の製品に対するサイバーリスクの認識が不足
役職別の海外法規などへの準拠対応に対する課題感についても明らかになりました。
「法規や標準の情報収集」や「法規などの要件の理解」が困難であるという回答はどの役職においても比較的多く見受けられました。海外法規などに対する情報感度が低いことを裏付けるような結果となっています。
一方、「セキュリティ人材が不足している」と回答した役職は「部長、課長クラス」と「係長・主任、一般社員クラス」に多く、現場に近い役職ほど人材不足を課題として捉えていることが分かりました。
一方、「必要なセキュリティ対応体制が整備できていない」と回答した割合は「経営者、役員、事業部長クラス」が一番高いという結果になりました。経営層や経営層に近い役職ほど、体制整備の不足を課題として捉えていることが分かりました。
また、役職別の回答結果の中で最も注目しなければいけないポイントは、「経営者、役員、事業部長クラス」の最も高い割合（25%）の回答が「課題はない」であり、この割合が他の役職クラスよりも2～3倍も高いということです。
特に「経営者、役員、事業部長クラス」は、セキュリティ体制に問題がない、もしくは海外法規などに対する対応が必要だと認識していないという、課題意識不足の傾向が見受けられます。
上記のように、役職の上位層と下位層では課題認識にずれがあることが明らかになりました。
経営層に近い役職がより自社の製品のセキュリティ品質確保に課題意識を持ち、より多くの課題を挙げられなければ、日本の製品メーカーの製品セキュリティ対策は出遅れたままとなってしまうでしょう。また、現場の課題意識を積極的に吸い上げ、外部専門家の知見を活用して、海外メーカーと価格競争を持ちながら製品セキュリティ品質を確保した体制を確立することが望まれます。
サプライチェーン全体のセキュリティ確保の必要性
ここからは視点を変え、CRA対応を推進する上で重要な観点となるサプライチェーンやインシデント対応の切り口から、日本企業が抱える製品セキュリティにおける課題を見ていきましょう。
自社のみならずサプライヤーも含めたCRA対応が必須
CRAは、最終製品を欧州市場に提供する製造者に対して、オープンソースソフトウェアや外部調達コンポーネントといった第三者の成果物を活用する際のセキュリティ品質確認を求めています。そこでサプライヤーとなる中小企業のCRA対応状況を調査したところ、従業員数ベースによる企業規模の違いによって、CRA対応に差があることも明らかになりました。
前述の通り（図表2参照）、従業員が501人以上の規模の企業においては、CRA対応を「実施している」との回答が31％であるのに対し、従業員が500人以下の比較的規模の小さい企業においては、CRA対応を「実施している」との回答は12％のみで、比較的規模の小さい中小企業がよりCRA対応において後れをとっていることが分かりました。
CRA対応で必要となる「製品セキュリティに関するポリシー、業務プロセス・ルール」の策定・実施状況においても、企業規模によって差が見受けられました。
従業員数501人以上の大規模な企業では、CRAで求められる「製品セキュリティに関するポリシー、業務プロセス・ルール」を策定・実施できている割合は約17.4％です。また、従業員が500人以下の規模の比較的小さい企業では、約8.7％にとどまっています。
どちらの企業規模においても、仕組みやルールが運用されている割合は20％未満と低い状態です。特に従業員が500人以下の企業においては10％にも達しておらず、対応の遅れが見受けられます。
他の課題と比較しても目立つSBOM対応の遅れ
調査の結果、サプライチェーン観点における製品セキュリティの課題TOP 5として、以下の5つの仕組みが整備されていないことが分かりました。
- 成果物を構成するソフトウェア部品の詳細とソフトウェア部品表（SBOM: Software Bill of Materials）の情報提供を要請するための仕組み
- サプライヤーの製品セキュリティ対応能力を評価、監査するための仕組み
- サプライヤーから製品セキュリティに関する情報の報告を受けるための仕組み
- 製品セキュリティに関する自社とサプライヤーとの役割分担を明確化し、合意するための仕組み
- 製品セキュリティに関する要求・仕様を適切にサプライヤーへ提示するための仕組み（契約での合意など）
これら5つの課題の中でも、特にSBOMの対応の遅れに関する回答が企業規模を問わず目立ちました。さらに従業員規模の比較的小さい企業では、サプライヤーから報告を受け付ける仕組みが整っていないとの回答も多く見受けられました。
また、インシデント対応における製品セキュリティの課題TOP 5として、以下の5つの仕組みが整備されていないことも見えてきました。
- ソフトウェア部品表（SBOM）を、収集した脆弱性情報の分析／評価に活用するための仕組み
- 収集した脆弱性情報または検知したサイバー攻撃を、自社の提供する製品のセキュリティ問題と判断するための仕組み
- 製品に該当する脆弱性およびセキュリティ問題に対応する製品・サービスのアップデートまたは、回収・交換によって確実に対処するための仕組み
- 製品・サービスの脆弱性に対する保守サービス期間（End of Support）を明確にし、その期間の保守を保証するための仕組み
- サプライチェーン上のサプライヤーやパートナー企業との脆弱性情報に関する情報交換・連携する仕組み
サプライチェーン観点の結果同様、インシデント対応の観点においても、特にSBOMについて対応が遅れているとの回答が企業規模を問わず目立ちました。
いずれの課題も、自社だけではなくサプライヤーも含めたサプライチェーン全体で、CRA適用時期までに解決されなければなりません。挙げられた課題の多くは、自社内のみで解決するものではなく、サプライヤーも関係します。最終製品の製造者はCRAの適用時期から逆算し、リードタイムを顧慮した上でサプライヤーと合意できるよう、準備を進める必要があります。
中小企業のSBOM対応と合わせた取り組みが必要
SBOMをはじめ、CRAにはサプライチェーンが一体となって対応を進めるべき要求があります。特にサプライヤーを多く抱える最終製品の製造者が法規制の適用時期までにゆとりをもって対応を進めるためには、早めに自社のプロセス・ルールを確立し、運用を始め、サプライヤー対応にも時間的余裕をもって対応していく必要があるでしょう。
今回の調査では、SBOMの取り組みの状況も見えてきました。
サプライヤーにSBOM情報の提供を要請するための仕組みの成熟度について、従業員数ベースによる企業規模の違いによって差があることが明らかになりました。従業員数501人以上の大規模な企業では、SBOM情報の提供を要請するための仕組みについて、「継続的改善が行われる仕組みがある」「仕組みやルールが構築され、運用されている」との回答が44％であるのに対し、従業員が500人以下の規模の比較的小さい企業では19％にとどまりました。
また、同仕組みについて「全く実施できていない／していない」「分からない」との回答も、前者では29％であるのに対し、後者では43％を占める結果となりました。
このことから、最終製品の製造者が、サプライヤー側のSBOM情報を把握できないまま、製品を開発・製造しなければならず、サプライヤー側のコンポーネントに脆弱性があっても提供する製品に該当しているかを見極めることが難しい状況にあることが分かります。
SBOMを収集した脆弱性情報の分析／評価に活用するための仕組みの成熟度ついても、従業員数501人以上の大規模な企業では、「継続的改善が行われる仕組みがある」「仕組みやルールが構築され、運用されている」との回答が43％でしたが、従業員が500人以下の規模の比較的小さい企業では18％にとどまりました。また、同仕組みについて「全く実施できていない／していない」「分からない」との回答も、前者では26％であるのに対し、後者では43％を占める結果となりました。
このように、インシデント対応においてコンポーネントの脆弱性の原因調査をする際にSBOMを活用する仕組みが整っていないと、CRAで要求されている24時間以内の早期インシデント報告、72時間以内の詳細な状況報告に対応できないという懸念があることが分かります。
日本の製造業を支える中小企業の製品セキュリティ（CRA）対応力の底上げなくして、日本の製造業が欧州市場で競争力を維持することは難しくなります。発注側の比較的規模の大きい企業がサプライチェーン全体を底上げする取り組みも必要と考えられます。
まとめ
今回の調査結果のまとめとして、CRA対応における日本企業の課題には以下が挙げられます。
- 海外法規に対する情報収集能力の低さ
- セキュリティ人材の不足
- 海外法規準拠に対する経営層の課題意識の不足
この課題が導いた現状として、企業規模を問わずサプライチェーン全体においてCRAへの対応が遅れていることが判明しました。このままでは自社の対応で手一杯となり、サプライヤーへの対応が遅れ、サプライチェーン全体のCRA対応が間に合わないといったシナリオが想定されます。日本の製造業が欧州市場での競争力を維持するには、早急な製品セキュリティ対応が必要です。
調査結果を踏まえ、日本企業がCRA対応において意識すべきポイントは、以下の3つにまとめられます。
1）情報収集活動の早急な始動
CRA対応における課題を調査すると、現場社員はセキュリティ人材が不足していることや、セキュリティ人材を育成／採用できないこと、役員・事業部長職は必要なセキュリティ対応体制が整備できていないことに最も課題があると認識していました。
前述の通り、新たな法規制について認知できなければ、対応のしようもありません。各市場における法規制や市場特有の要件に関する情報の入手ルートを確保することがまず非常に大事になります。
2）市場を失うリスクの理解
製品の品質は、新たな機能や利便性といった機能性のほかに、機能安全性や環境安全性といった非機能面の品質があります。製品のセキュリティは、そのような非機能面の品質の1つで、個人情報保護などを含めたサイバーセキュリティの確保がいま問われている製品セキュリティ品質であるという理解がまず重要になります。
その上で、そういったセキュリティを確保できない製品は市場から排除しようという動きが今般の英国におけるPSTI法であり、欧州のCRAです。製品のセキュリティに関するコンプライアンス・倫理性がメーカーに問われていると理解する必要があります。したがって、製品セキュリティ対応ができていないメーカーは、製品のセキュリティを確保できていない製品を売れなくなる、つまり英国や欧州市場を失うという事業リスクを負うことになる点を、特に経営層は理解する必要があります。その対応のためには、必要なリソース（ヒト・モノ・カネ）の投資も伴うことは言うまでもありません。すでに欧米のメジャーな企業は製品セキュリティ対応にコストをかけたうえで競争力のある価格で製品を出してきていることを考えれば、いかに生産性・効率性を上げて製品セキュリティ対応を行うかも課題として認識すべき大事な点です。
3）法規制適用タイミングから逆算した対応計画
製品の品質確保は一朝一夕に実現できるものではありません。特にCRAは、サイバー攻撃にも安全な製品を開発するプロセスがあることを求めており、製品が結果的に安全なだけでは不十分で、組織としてセキュリティを確保できる状態に成熟させる時間が必要になってきます。
前述の欧米メジャー企業はすでに基本的なセキュリティ対応の取り組みを確立していることと比較すると、これから体制を立ち上げる日本企業とは各段の経験値の差が生まれています。
この差を埋めるには、とにかく早急に、先人の経験を踏まえて効率的に体制（組織・規程・プロセスなど）を構築し、構築した体制における社内の課題を解消し、現在欧米メジャー企業が直面している課題（SBOMや欧州での迅速な脆弱性報告方法など）と同じ課題に直面できるよう、キャッチアップすることが重要です。
CRAは2024年3月の欧州議会の本会議で承認されました。今後EU理事会での承認を経て、官報に掲載された後、成立となります。報告義務はCRA発効日より21カ月後、全要件はCRA発効日より36カ月後に適用されるため、早ければそれぞれ2025年12月頃、2027年3月頃となる見込みです。欧州向けに関連製品を製造・販売する企業は、適用までのタイムラインから逆算した対応計画を策定し、取り組みを早急に開始すると良いでしょう。
{{filterContent.facetedTitle}}
{{contentList.dataService.numberHits}} {{contentList.dataService.numberHits == 1 ? 'result' : 'results'}}
{{contentList.loadingText}}
{{contentList.loadingText}}
{{filterContent.facetedTitle}}
{{contentList.dataService.numberHits}} {{contentList.dataService.numberHits == 1 ? 'result' : 'results'}}
{{contentList.loadingText}}
{{filterContent.facetedTitle}}
{{contentList.dataService.numberHits}} {{contentList.dataService.numberHits == 1 ? 'result' : 'results'}}
{{contentList.loadingText}}
