> For the complete documentation index, see [llms.txt](https://help.aikido.dev/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://help.aikido.dev/docs/docs-ja/konpuraiansutorepto/cra-compliance.md). # サイバーレジリエンス法（CRA）への準拠 Aikidoがサイバーレジリエンス法（CRA）の要件を満たすのにどのように役立つかの概要。 欧州サイバー・レジリエンス法（CRA）は、EUで販売されるデジタル要素を含むすべての製品に対するサイバーセキュリティ要件を定めています。主要な要件の1つは、脆弱性やインシデントを欧州のサイバーセキュリティ機関であるENISAに報告することです。 ## CRAの下で何を報告しなければならないのですか？ 報告義務が発生するのは、あなたが **認識した** 自社製品の脆弱性が積極的に悪用されている、または深刻なインシデントが発生したと認識した時点です。認識に至る形はさまざまです： * 顧客またはユーザーから、あなたの製品を通じて攻撃を受けた、または侵害されたとの通知がある。 * デバッグや保守中に侵害の指標（IoC）に気づく * 監視やロギングが悪意ある挙動を検知する。 * [Zen](/docs/docs-ja/zen-firewall/getting-started-with-zen-firewall.md) 疑わしい活動を検知する場合です。たとえば、ブロックされた外向きリクエストは、システムが侵害されたことを示している可能性があります。 {% hint style="info" %} 注意：〜に気づくこと **悪意ある意図による悪用** がトリガーであり、単に悪用可能であることではありません。欠陥を見つけることは、それが悪意ある意図で悪用されていることと同じではありません。 {% endhint %} ## インシデント報告義務 2026年9月11日以降、CRA第14条により、製造業者は以下のいずれかを認識した時点で直ちにENISAおよび各国のCSIRTに報告しなければなりません： * 1件の **実際に悪用されている脆弱性** で、悪意ある攻撃者によって悪用されたという信頼できる証拠があるもの、または * 1つの **重大インシデント** その製品のセキュリティ態勢に影響を及ぼすもの。 報告は3段階で行われます： * **初期警告、24時間以内**：ある *実際に悪用されている脆弱性*、その製品がどのEU加盟国で利用可能か。ある *重大インシデント*、それが悪意ある行為によって引き起こされたかどうか、およびどの加盟国が影響を受けているか。 * **通知、72時間以内**：製品、悪用やインシデントの性質、利用可能な緩和策、そしてユーザーが実行できる指針に関する情報を提供します。 * **最終報告**：ある *実際に悪用されている脆弱性*、修正または緩和策が利用可能になってから遅くとも14日以内に提出します。ある *重大インシデント*、72時間通知から1か月以内に。 3つの報告はいずれもENISAの単一報告プラットフォームを通じて行われ、そこからあなたの調整CSIRTとENISAに同時に送られます。Aikidoは、何を報告すべきかの特定と優先順位付けを支援します。実際に報告書を提出する責任は引き続きあなたにあります。 ## よくある誤解 * **「すべての脆弱性は、既知のエクスプロイトがあれば報告しなければならない。」** 脆弱性に公開済みのエクスプロイトがあるからといって、それが自社製品で悪用されたことを自動的に意味するわけではありません。既知のエクスプロイトを持つ脆弱性の修正を優先することは重要ですが、公開エクスプロイトや高いEPSSスコアがあっても、それだけでは報告要件のトリガーにはなりません。 * **「完全に調査し終えるまで報告を待つべきだ。」** 24時間の初期警告は、状況を完全に調査し終えていなくても、認識した瞬間から始まります。72時間通知と最終報告では、調査が進むにつれて詳細を追加できます。 * **「単一報告プラットフォーム（SRP）を通じてENISAと各国CSIRTに通知するだけでよい」** 影響を受けたすべてのユーザー、必要に応じてすべてのユーザーに対して、実行可能なリスク緩和策も提供しなければなりません。 * **「ペンテストやバグバウンティで見つかったものは報告対象である。」** これらは通常、悪意ある悪用には該当しません。CRAが報告を求めるのは、脆弱性が「悪意ある攻撃者によって悪用された」という「信頼できる証拠」がある場合に限られます。ペンテスターやバグバウンティ研究者が非悪意の意図で欠陥を見つけた場合は該当しません。実際に悪意ある攻撃者によって悪用されたことを確認できる場合にのみ報告が必要です。 * **「脆弱性の最終報告は、認識してから14日後に期限が来る。」** 14日間のカウントは認識時点から始まるわけではありません。是正または緩和策が利用可能になった時点で始まります。まだ修正がない場合、最終報告の期限はまだ到来しませんが、認識した瞬間から24時間の初期警告と72時間通知の義務は引き続き適用されます。 ## Aikidoが報告対象となる事象を避けるための支援 確実な解決策として、報告義務のある脆弱性の一覧をそのまま出してくれる万能な方法はありません。その一覧は、あなたの特定の製品が実際に悪意ある形で悪用された証拠に依存しており、その証拠はスキャン結果ではなく、ログ、顧客からの報告、サポートチームの受信箱、またはファイアウォールのアラートにあります。 Aikidoができるのは、どの脆弱性が悪用される可能性が最も高いかを示し、ENISAやユーザーに報告しなければならないインシデントになる前に修正または緩和できるようにすることです。 * AikidoはCISAのKnown Exploited Vulnerabilities（KEV）を監視しています。メインフィードの *「悪用状況」* フィルターを使うと、既知のエクスプロイトがあり優先対応すべき脆弱性の一覧を取得できます。これらは重大インシデントを引き起こす、あるいは実際に悪用され始める可能性が最も高く、最終的に報告義務のトリガーとなるものです。 * 問題の重要度スコアを開いて、 **実環境で実際に悪用されている** が寄与要因として記載されているかを確認してください。参照： [KEVとEPSSによる悪用インテリジェンス](/docs/docs-ja/kdosukyan/miscellaneous/use-epss-values-to-further-reduce-noise.md) で、このスコアリングの仕組みを説明しています。 * 使用してください [CVE悪用可能性分析](/docs/docs-ja/aikido-agent/cve-exploitability-analysis.md) を使って、特定のコードベースでCVEがどのように悪用されうるかを理解してください。これは優先順位付けに役立ち、実際に報告書を提出することになった場合には、悪用の技術的性質を説明する際にも役立ちます。 * もし [Zen](/docs/docs-ja/zen-firewall/getting-started-with-zen-firewall.md) をアプリケーションの前段で実行している場合は、すでに検知またはブロックした攻撃を確認してください。これは報告義務のトリガーの1つです。たとえば、 *ブロックされます* 外向きトラフィックは、システム侵害または進行中のインシデントの指標になり得ます。 {% hint style="info" %} Aikidoは、脆弱性が悪用される前の優先順位付けと修正を支援します。法的に報告義務のある脆弱性を特定することはできません。なぜなら、それは実際の悪意ある悪用の証拠に依存し、その証拠はあなた自身しか確認できないからです。また、あなたの代わりにENISAやCSIRTへ報告を提出することもありません。 {% endhint %} ## AikidoがCRA附属書Iの要件を満たすのを支援する方法 | CRA要件 | Aikidoの機能 | | ------------------------------ | ----------------------------------------------- | | 既知の悪用可能な脆弱性なし | SCA、コンテナスキャン、SAST/DAST、CSPM、シークレットスキャン | | 不正アクセスから保護する | CSPM、IaCスキャン、DAST、AIペンテスト、DSPM、Zen Firewall | | デフォルトで安全 | DAST（EASM）、CSPM、DSPM、Aikido Images、Zen Firewall | | 設計段階から安全 | CSPM、Aikido Images、Zen Firewall | | 攻撃対象領域を最小化する | DAST（EASM）、CSPM、Aikido Images、Zen Firewall | | データの暗号化と完全性 | CSPM、DSPM、シークレットスキャン、DAST、AIペンテスト | | データの最小化 | DSPM | | ソフトウェア部品表（SBOM） | SBOMエクスポート（CycloneDX）、SCA、コンテナスキャン | | 脆弱性を遅滞なく修正する | AutoFix、AutoShip、SLAレポーティング、Aikido Libraries | | 定期的なテストとセキュリティレビュー | SAST/DAST、AIペンテスト / コード解析、PRチェック | | 内部活動のロギングと監視 | デバイス保護、Zen Firewall | | サービス拒否攻撃への耐性 | Zen Firewall | | 他のデバイスへの悪影響を最小化する | Zen Firewall（アウトバウンド） | | サードパーティおよびオープンソースに対するデューデリジェンス | SBOMとライセンス、マルウェア、Intel、デバイス保護 | 詳細は、 [こちらのCRAブログ記事](https://www.aikido.dev/blog/cyber-resilience-act-compliance#how-aikido-security-simplifies-cra-compliance-requirements) をご覧ください。 ## ヘルプが必要ですか？ CRAの下で、ある検出事項が報告対象の事象に該当するかどうか不明な場合は、 **チャット** を右下隅で開いてください。私たちのチームがサポートします！ --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://help.aikido.dev/docs/docs-ja/konpuraiansutorepto/cra-compliance.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.