# サイバーレジリエンス法（CRA）への準拠

欧州サイバー耐性法（CRA）は、EUで販売されるデジタル要素を含むすべての製品に対するサイバーセキュリティ要件を定めています。主な要件の一つは、脆弱性やインシデントを欧州のサイバーセキュリティ機関であるENISAに報告することです。

## CRAでは何を報告しなければなりませんか？

報告義務が発生するのは、あなたが **認識した** 自社製品の脆弱性が実際に悪用されている、または重大なインシデントが発生したことを。認識に至る形はさまざまです：

* 顧客やユーザーから、あなたの製品を通じて攻撃された、または侵害されたと通知を受ける。
* デバッグや保守中に侵害の指標（IoC）に気づく
* 監視やログが悪意ある挙動を検知する。
* [Zen](https://help.aikido.dev/docs/docs-ja/zen-firewall/getting-started-with-zen-firewall) 不審な活動を検知する。たとえば、外向きのリクエストがブロックされている場合、システムが侵害された可能性を示します。

{% hint style="info" %}
注意： **悪意ある意図による悪用** が引き金であり、単に悪用可能であることではありません。欠陥を見つけたことと、それが悪意ある意図で悪用されていることは同じではありません。
{% endhint %}

## インシデント報告義務

2026年9月11日以降、CRA第14条では、以下のいずれかを認識した時点で、製造者がENISAおよび各国のCSIRTに報告することを義務付けています：

* 1件の **実際に悪用されている脆弱性** 悪意ある攻撃者によって悪用されたという信頼できる証拠があるもの、または
* ある **重大なインシデント** その製品のセキュリティ態勢に影響を及ぼすもの。

報告は3段階で行われます：

* **早期警告（24時間以内）**： *実際に悪用されている脆弱性*、その製品が利用可能なEU加盟国。 *重大なインシデント*、それが悪意ある行為によるものか、どの加盟国が影響を受けているか。
* **通知（72時間以内）**：製品、悪用やインシデントの性質、利用可能な緩和策、そしてユーザーが実行できる指示に関する情報を提供します。
* **最終報告**： *実際に悪用されている脆弱性*、修正または緩和策が利用可能になってから14日以内に提出します。1件の *重大なインシデント*、72時間通知から1か月以内。

3つの報告はいずれもENISAの単一報告プラットフォームを通じて提出され、そこからあなたの調整CSIRTとENISAの両方に同時に送られます。Aikidoは、何を報告すべきかの特定と優先順位付けを支援します。報告書の提出自体は、依然としてあなたの責任です。

## よくある誤解

* **「既知のエクスプロイトがある脆弱性はすべて報告しなければならない。」** 脆弱性に公開済みのエクスプロイトがあるからといって、それが自社製品上で悪用されたことを自動的に意味するわけではありません。既知のエクスプロイトを持つ脆弱性の修正を優先することは重要ですが、公開済みのエクスプロイトや高いEPSSスコアは、報告要件の引き金ではありません。
* **「報告する前に、十分に調査が終わるまで待つべきだ。」** 24時間の早期警告は、状況を完全に調査し終えていなくても、認識した瞬間に始まります。調査が進むにつれて、72時間通知や最終報告で詳細を追加できます。
* **「単一報告プラットフォーム（SRP）を通じてENISAと各国CSIRTに通知するだけでよい。」** 影響を受けたすべてのユーザー、必要に応じて全ユーザーに対して、実行可能なリスク緩和策も提供しなければなりません。
* **「ペンテストやバグバウンティの発見も報告対象である。」** これらは通常、悪意ある悪用には該当しません。CRAが報告を求めるのは、脆弱性が「悪意ある攻撃者によって悪用された」という「信頼できる証拠」がある場合のみであり、ペンテスターやバグバウンティ研究者が非悪意の意図で欠陥を見つけたことは該当しません。実際に悪意ある攻撃者によって悪用されたと確認できる場合にのみ、報告が必要です。
* **「脆弱性の最終報告は、その認識から14日後に期限となる。」** 14日カウントは認識時点では始まりません。是正または緩和の措置が利用可能になった時点で始まります。まだ修正がない場合、最終報告の期限は来ませんが、24時間の早期警告と72時間通知の義務は、認識した瞬間から依然として適用されます。

## Aikidoが報告対象となる事象を回避するのにどう役立つか

報告義務のある脆弱性の一覧をそのまま示せる特効薬的な解決策はありません。その一覧は、あなたの特定の製品が実際に悪意ある形で悪用された証拠に依存しており、その証拠はスキャン結果ではなく、ログ、顧客からの報告、サポートチームの受信箱、あるいはファイアウォールのアラートにあります。

Aikidoができるのは、どの脆弱性が悪用されやすいかを示し、ENISAやユーザーへの報告が必要なインシデントに発展する前に修正または緩和できるようにすることです。

* AikidoはCISAの既知の悪用済み脆弱性（KEV）を監視しています。 *「悪用ステータス」* メインフィードのフィルターを使って、既知のエクスプロイトがあり、優先対応すべき脆弱性の一覧を取得してください。これらは、重大なインシデントを引き起こす、または実際に悪用され始める可能性が最も高く、最終的に報告義務を発生させるものです。
* 課題の重大度スコアを開いて、以下のいずれかが該当するか確認してください： **実環境で継続的に悪用されている** が寄与要因として記載されているか。 [KEVとEPSSで脅威インテリジェンスを活用する](https://help.aikido.dev/docs/docs-ja/code-scanning/miscellaneous/use-epss-values-to-further-reduce-noise) このスコアリングの仕組みについて。
* 使用 [CVEの悪用可能性分析](https://help.aikido.dev/docs/docs-ja/aikido-agent/cve-exploitability-analysis) CVEがあなたの特定のコードベースでどのように悪用され得るかを理解するために。これは優先順位付けに役立ち、最終的に報告を提出することになった場合は、悪用の技術的性質を説明する際にも役立ちます。
* もしあなたが運用している場合、 [Zen](https://help.aikido.dev/docs/docs-ja/zen-firewall/getting-started-with-zen-firewall) アプリケーションの前段にそれを置いているなら、すでに検知またはブロックした攻撃を確認してください。これは報告義務の引き金の一つです。たとえば、 *ブロックされます* 外向きトラフィックは、システム侵害または進行中のインシデントの指標となることがあります。

{% hint style="info" %}
Aikidoは、悪用される前に脆弱性の優先順位付けと修正を支援します。どの脆弱性を法的に報告しなければならないかは、実際の悪意ある悪用の証拠に依存しており、その確認はあなただけができます。また、ENISAやCSIRTへの報告をあなたに代わって提出することはありません。
{% endhint %}

## AikidoがCRA附属書Iの要件を満たすのにどう役立つか

| CRA要件                       | Aikidoの機能                                       |
| --------------------------- | ----------------------------------------------- |
| 既知の悪用可能な脆弱性なし               | SCA、コンテナスキャン、SAST/DAST、CSPM、シークレットスキャン          |
| 不正アクセスから保護する                | CSPM、IaCスキャン、DAST、AIペンテスト、DSPM、Zen Firewall     |
| デフォルトでセキュア                  | DAST（EASM）、CSPM、DSPM、Aikido Images、Zen Firewall |
| 設計段階からセキュア                  | CSPM、Aikido Images、Zen Firewall                 |
| 攻撃対象領域を最小化する                | DAST（EASM）、CSPM、Aikido Images、Zen Firewall      |
| データの暗号化と完全性                 | CSPM、DSPM、シークレットスキャン、DAST、AIペンテスト               |
| データ最小化                      | DSPM                                            |
| ソフトウェア部品表（SBOM）             | SBOMエクスポート（CycloneDX）、SCA、コンテナスキャン              |
| 脆弱性を遅滞なく是正する                | AutoFix、AutoShip、SLAレポート、Aikido Libraries       |
| 定期的なテストとセキュリティレビュー          | SAST/DAST、AIペンテスト／コード分析、PRチェック                  |
| 内部アクティビティのログ記録と監視           | Device Protection、Zen Firewall                  |
| サービス拒否攻撃への耐性                | Zen Firewall                                    |
| 他のデバイスへの悪影響を最小限に抑える         | Zen Firewall（アウトバウンド）                           |
| サードパーティおよびオープンソースのデューデリジェンス | SBOMとライセンス、マルウェア、Intel、Device Protection        |

詳細は以下を参照してください： [このCRAのブログ記事](https://www.aikido.dev/blog/cyber-resilience-act-compliance#how-aikido-security-simplifies-cra-compliance-requirements) を当社ウェブサイトで。

## ヘルプが必要ですか？

ある発見がCRA上の報告対象事象に該当するか不明な場合は、以下を開いてください： **チャット** 右下隅にあります。私たちのチームがお手伝いします！