CRA対応に向けた実践的な意思決定ガイド

HMSのような通信分野に強みを持つ企業の既製コネクティビティソリューションを活用することで、通信部分のCRA対応に必要な作業の多くをサプライヤーに任せることができます。 


サプライヤーが担う作業には、次のようなものがあります。 

• 通信インターフェースのセキュアな開発 
  
  
• 脆弱性の監視と情報開示 
  
  
• ファームウェアの管理と更新 
  
  
• セキュリティ関連文書の整備 
  
  
• 製品ライフサイクル全体にわたる長期的なサポート 
  
  

リスク評価や法令への適合を含め、製品全体に対する責任は引き続き自社が担います。一方、通信機能を自社で開発・維持するための作業負担は大幅に軽減されます。 

多くのメーカーにとって、こうした連携は、社内のエンジニアリングリソースを増やさずにCRA対応を進めるための実践的な選択肢となります。 

Anybus CompactComをすでにお使いのメーカーは、CRA対応を進めるうえで有利な立場にあります。ただし、新たに確認・検討すべき点もあります。特に重要なのは、想定する用途に応じて『Secure Device Integration Guide』の指針に沿った組み込みが行われているかを確認することです。具体的には、未使用のポートやサービスの無効化、アクセス制御の導入、CRA要件を踏まえた製品関連文書の整備などが挙げられます。 

また、より多くの製品やバリエーションでCompactComの採用を標準化する機会にもなります。これにより、製品ごとに個別の対応を行うのではなく、HMSのサポートを活用しながら、製品ライフサイクル全体を通じて通信機能のセキュリティ、アップデート、関連文書を一貫して管理しやすくなります。 

HMSは、自社製品に通信機能を組み込むデバイスメーカー向けに、Anybus CompactComシリーズの組み込み通信インターフェースを提供しています。  

CompactComは、デバイスのプリント基板（PCB）や筐体に直接組み込むことで、PROFINETやEtherNet/IPなどの産業用ネットワークへの接続を実現します。デバイスメーカーが通信スタックを自社で開発・保守する必要はありません。HMSがCompactComの開発、テスト、文書の整備、保守を担うことで、通信部分のCRA対応に伴うエンジニアリングチームの作業負担を軽減します。  

用途に応じて、主に2つのタイプから選択できます。信頼できる産業用OTネットワーク内での使用を想定した標準のCompactCom 40と、ITシステムやIIoTプラットフォームに接続するデバイス、または信頼できるネットワークの外部で動作するデバイス向けのCompactCom 40 IIoT Secureです。 

はい、大きく変わります。 

CRAへの対応を踏まえると、通信機能の自社開発は、単なる開発業務ではなく、組織として長期的に取り組む課題となります。プロトコルスタックを自社で開発・保守する場合、セキュアな開発プロセスの維持、脆弱性の監視、SBOM（ソフトウェア部品表）の管理、ファームウェアの署名・更新の仕組み、セキュリティ関連文書の整備、ライフサイクル全体にわたるサポートなどにも継続して対応する必要があります。こうした取り組みには、相応の工数とリソースが必要です。  

メーカーにとって重要なのは、通信機能の維持・保守にリソースを投入することが、自社にとって最も価値のある選択なのかを見極めることです。CRA対応に伴う継続的な作業負担やコストを踏まえ、開発・保守体制を検討する必要があります。 

CompactComを組み込むことで、デバイスメーカーは、IEC 62443-4-1 ML3、ISO 9001、ISO 27001などの認証に基づくHMSの開発・管理体制を活用できます。さらに、ファームウェア管理、脆弱性情報の開示、セキュリティデータシートの提供、長期的なライフサイクルサポートを受けることで、通信部分のCRA対応に伴う作業負担を大幅に軽減できます。ホストアプリケーション、製品のリスク評価、想定する用途を明記した文書の整備、デバイス全体の適合性については、引き続きデバイスメーカーが責任を担います。一方、CompactComの通信機能を支えるセキュリティ基盤の構築・保守はHMSが担います。