サプライヤー向け：CRA対応における顧客要求対応・製品セキュリティ支援

製造業全体でEU Cyber Resilience Act（CRA）への対応が進む中、サプライヤーにも、顧客から設計・テスト、SBOM（Software Bill of Materials：ソフトウェア部品表）、残存リスクを含む情報提供、脆弱性・インシデント対応などに関する説明や協力を求められる場面が増えることが想定されます。顧客ごとに求められる内容や粒度、提出形式が異なる中、都度対応を続けるだけでは回答内容や開示範囲の判断が案件ごとにばらつきやすくなるとともに、対応負荷や過剰開示・必要情報不足といった情報開示リスクが高まり、継続的な対応が難しくなるでしょう。

PwCコンサルティングは、サプライヤーがこうした顧客要求に対して、対象製品や対応範囲を整理したうえで必要な情報・証跡・対応プロセスをあらかじめ用意し、標準的かつ再利用可能な形で対応できる態勢を整えられるよう支援します。

CRA対応で顧客から求められる主な対応

サプライヤーが顧客から求められる対応として、特に以下のようなものが考えられるでしょう。

• 対象製品・対応範囲の確認
  自社が提供する部品・ソフトウェア・サービスがCRA対応の対象となるのか、また、顧客から何をどこまで求められるのかをあらかじめ想定・整理しておきます。
• 提示された要求事項に対する設計・テストへの対応
  顧客から提示されたセキュリティ要件や検収条件に対して、どのように設計・実装・テストを行っているかの説明に加え、必要な試験結果を提示できる状態にします。
• SBOMの作成・提出
  自社が提供する部品・ソフトウェア・サービスに含まれるソフトウェアの構成要素について、SBOMの作成や提出が求められる場合があります。あわせて、どのような情報の提供が求められるのか、どの粒度・形式で対応するのかをあらかじめ想定・整理しておきます。
• 残存リスクを含む情報提供
  顧客への説明においては、実装済みの対策だけでなく、残存するリスクや前提条件、利用上の留意点を含めて、どこまで説明するかを整理します。
• 技術文書・証跡の提出
  設計資料、試験結果、脆弱性対応記録、品質記録などについて、顧客がCRA対応の確認や自社説明の裏付けとして利用できるよう、必要な技術文書・証跡を提出できる状態に整えます。
• 脆弱性・インシデント発生時の報告協力
  自社が提供する部品・ソフトウェア・サービスに関連する脆弱性やインシデントが発生した場合には、影響有無、回避策、修正方針、報告タイミングなどについて、顧客に対して速やかに説明・報告できるように準備します。
• 体制・プロセスに関する説明
  脆弱性管理、インシデント対応、SBOM管理、情報提供、設計・テストなどについて、どのような社内体制・プロセスで運用しているかを説明できる状態をつくります。

こうした要求は、顧客ごとに内容や粒度、提出形式が異なることが多く、個別案件ごとの対応では負荷が高まりやすくなるでしょう。そのため、サプライヤー側でも、あらかじめ要求されやすい事項を整理し、標準的かつ再利用可能な形で対応できる準備を進めておくことが重要です。

よくある課題

顧客からのCRA関連要求に対応するにあたり、サプライヤーでは次のような課題が生じやすくなります。

• 対象製品や対応範囲の見極めが難しい
  自社の提供する部品・ソフトウェア・サービスがCRA対応の対象となるのか、また、どこまで自社で対応し、どこから顧客と役割分担すべきかが分かりにくいケースがあります。
• 顧客ごとに要求内容や粒度が異なる
  設計・テスト、SBOM、脆弱性対応、情報提供などについて、顧客ごとに求められる内容や提出形式が異なるため、同じような要求でも個別対応が発生しやすくなります。
• 必要な情報や証跡が社内に分散している
  設計資料、試験結果、品質記録、脆弱性対応記録、SBOM関連情報などが、開発、品質、営業、法務、セキュリティといった各部門に分散しており、顧客から求められた際にすぐに集約できないケースがあります。
• どこまで説明・開示すべきか判断が難しい
  顧客要求に応じて情報提供を行う必要がある一方で、残存リスク、内部設計情報、SBOMの粒度、脆弱性情報などについて、どこまで説明し、どこまで開示するべきかの判断が難しくなりがちです。
• 脆弱性・インシデント発生時の対応が標準化されていない
  自社で脆弱性やインシデントを認識した場合や、顧客から連絡を受けた場合に、誰が影響確認を行い、どのように説明・報告・修正協力を進めるかが定まっておらず、個別判断になりやすいケースがあります。
• 顧客要求対応が都度対応になり、再利用しにくい
  問い合わせ票や証跡提出依頼のたびに、関係部門への確認、回答作成、レビュー、承認を繰り返しているため、対応負荷が高まり、過去回答や提出資料も十分に再利用できない場合があります。

こうした課題に対応するには、顧客要求を受けてから個別に対応するのではなく、あらかじめ求められやすい要求事項を整理し、必要な情報・証跡・説明方針・脆弱性対応プロセスを標準化しておくことが重要です。

PwCの支援アプローチ

PwCコンサルティングは、サプライヤーが顧客からCRA関連の要求を受けた際、標準的かつ再利用可能な形で対応できる態勢づくりを支援します。
まず、顧客から求められやすい設計・テスト、SBOM、情報提供、脆弱性・インシデント対応に関する要求事項を整理し、自社としてどこまで対応するのか、どこまで説明・開示するのか、どの情報を機密情報として扱うのかを明確化します。そのうえで、必要な情報や証跡の棚卸し、SBOMや説明資料の整備、脆弱性・インシデント対応プロセスの設計を進めます。

主な支援内容

• 対象製品・顧客要求の整理／対応方針策定支援
  顧客から求められる要求事項を類型化し、自社が提供する部品・ソフトウェア・サービスがCRA対応の対象となるのか、どこまで自社で対応し、どこから顧客と役割分担すべきかを整理したうえで、対応・説明・開示方針の策定を支援します。
• 設計・テスト対応支援
  顧客から提示されるセキュリティ要件や検収条件をふまえ、必要な設計・実装・テスト観点の整理や、試験結果・説明資料の整備をサポートします。
• SBOM・情報提供・証跡整備支援
  自社が提供する部品・ソフトウェア・サービスに含まれるソフトウェアの構成要素に関するSBOMの作成・更新ルールを整理するとともに、提供が求められる情報粒度の統一、技術文書・試験結果・脆弱性対応記録などの証跡整備、情報提供方針・開示方針の整理を支援し、顧客説明や提出依頼に対応しやすい状態を整えます。
• 脆弱性・インシデント対応支援
  脆弱性やインシデント発生時の影響確認、顧客への説明や報告、初報・続報・最終報告のテンプレート整備、対応フローの設計を支援します。
• 体制・プロセス整備／実対応支援
  営業、開発、品質、法務、セキュリティといった各部門の役割分担やレビュー・承認フローの整備に加え、実際の顧客要求対応、説明資料作成、報告対応などの実務支援まで含めて、現場で運用できる形に落とし込みます。

支援ステップ

PwCコンサルティングは、サプライヤーによる顧客要求対応を、①現状把握・ToBe定義、②ギャップ分析、③設計、④実装・運用定着の4ステップで支援します。まず、顧客から求められやすい要求事項と、自社内の情報・証跡・対応プロセス、対象製品や対応範囲の考え方を整理し、目指すべき対応水準（ToBe）を定義します。そのうえで、設計・テスト、SBOM、情報提供、脆弱性・インシデント対応に関するギャップを分析し、必要な説明資料、証跡、対応フロー、情報提供方針・開示方針の整備を進めます。各企業の製品特性、顧客属性、既存プロセスに応じて、必要な支援範囲を柔軟に設計します。

図表1：現状把握・ToBe定義から運用定着までの支援ステップ

主な想定アウトプット例

• 顧客要求一覧、要求類型化表
• 対象製品・対応範囲の整理資料
• 顧客要求に対する対応方針の整理表
• 責任範囲・情報提供範囲・開示方針の整理資料
• 設計・テスト観点整理表、説明資料テンプレート
• SBOM作成・更新ルール、提出用フォーマット
• 技術文書・試験結果・脆弱性対応記録などの証跡一覧
• 顧客向け説明資料、標準回答集、FAQ
• 脆弱性・インシデント対応フロー、顧客通知テンプレート
• 社内レビュー・承認フロー、役割分担表

こうしたアウトプットを通じて、顧客要求に対する都度対応を減らすとともに、標準回答、説明資料、通知テンプレート、判断基準として継続的に再利用できる実務基盤の整備を支援します。

CRA対応を背景とした顧客要求への対応は、製品特性、顧客属性、提供形態、既存の設計・品質・脆弱性対応プロセスによって、企業ごとに必要な準備や対応範囲が異なります。PwCコンサルティングは、顧客要求の整理から、対象製品や対応範囲の見極め、SBOMや証跡整備、情報提供方針・開示方針の整理、脆弱性・インシデント対応プロセスの設計、実際の顧客対応まで、各社の状況に応じて支援します。
顧客からのCRA関連要求への備えや対応、対象製品や責任分担の整理に課題をお持ちでしたら、ぜひご相談ください。