プレスリリース

サイバートラストが製品出荷後の脆弱性対応を支援する組込み機器向け脆弱性調査サービスを提供開始

〜「欧州サイバーレジリエンス法」や「IoT 製品に対するセキュリティ適合性評価制度」などで義務づけられる脆弱性対応を支援〜

2024 年 7 月 10 日
サイバートラスト株式会社

サイバートラスト株式会社（本社：東京都港区、代表取締役社長：北村裕司　以下、サイバートラスト）は、組込み /IoT 機器を開発・製造する企業向けに、出荷後の製品に対して脆弱性の調査と対応を行う脆弱性調査サービスを本日より提供開始したことを発表します。本サービスにより、医療機器や自動車向け機器、防衛装備品、欧州で使用される機器など、昨今の国際セキュリティ標準で求められる製品に内在する脆弱性の把握や深刻度判定（トリアージ）などの対処を実現します。また、企業が開発・提供した製品の脆弱性に起因するリスクに対応するための技術的なノウハウを本サービスで代行・支援できるため、製品の脆弱性対応のための人的リソースを次の製品開発などの領域に注力可能にします。

背景

EU で施行予定のセキュリティ規則「欧州サイバーレジリエンス法（Cyber Resilience Act：CRA）」や、経産省が 2025 年 3 月頃に構築を進めている「IoT 製品に対するセキュリティ適合性評価制度」など、IoT 機器に対して脆弱性対応を義務づける規制や法令への対応が求められています。これまで医療機器など特定用途の機器に限定されていた対象範囲が拡大し、今後は一般的な IoT 機器にも製品出荷後の脆弱性監視と対応が義務づけられ、対象機器を開発・製造する企業は、ビジネス存続のためこれらのセキュリティ標準への適合が必須となります。

このたび提供開始する脆弱性調査サービスは、さまざまな Linux 搭載機種に対応します。長期利用可能な IoT 機器向け Linux OS「EMLinux」をベースとするシステムを対象とする「EMLinux カスタムメンテナンスサービス」と、EMLinux 以外の Linux システムを対象とする「組込み Linux 脆弱性調査サービス」の二種を提供し、いずれも継続的な脆弱性の調査と対応を可能にします。脆弱性の調査とレポート、および対策において、発見された脆弱性に対して非営利団体の MITRE 社が割り当てている CVE（共通脆弱性識別子）を活用し、脆弱性スキャンの結果から製品環境に応じてエンジニアがより正確な該非判定を実施したレポートを提供します。「EMLinux カスタムメンテナンスサービス」は、開発最終段階に既知脆弱性の検査と対策を行うほか、EMLinux をカスタム開発した部分についても製品出荷後に継続して脆弱性メンテナンスを提供します。

「EMLinux カスタムメンテナンスサービス」の提供内容

定期的な脆弱性調査
パッケージ更新による脆弱性対処
新規に検出された脆弱性などの報告書

「脆弱性調査サービス」の提供内容

お客様システムが含む脆弱性を調査、報告
検出された脆弱性への対策（パッチ適用）を実施、リリース

サイバートラストは、「EMLinux カスタムメンテナンスサービス」と「組込み Linux 脆弱性調査サービス」により、製品の安全な運用に必要な情報と技術力を提供し、PSIRT^※ や社内の担当部門が脆弱性対応のためにかかる負荷を軽減します。さらにお客様の製品が国際セキュリティ標準に適合することを支援し、サプライチェーンセキュリティの確保を推進します。

※: PSIRT とは：Product Security Incident Response Team の略で、自社で開発・提供する IoT 機器やサービスに関してセキュリティレベルの向上やインシデント発生時の対応を行う組織で、IoT 機器の普及とその脆弱性によるサイバー攻撃の増加を背景に注目されています。

サイバートラスト株式会社について

サイバートラストは、日本初の商用電子認証局として 25 年以上にわたり提供している認証・セキュリティサービスと、ミラクル・リナックスのカーネル技術やオープンソースソフトウェア（OSS）の知見を応用したオンプレミス、クラウド、組込み領域向けの Linux/OSS サービスを展開しています。また、これらの技術や実績を組み合わせ、IoT をはじめとする先端分野に向けて、「ヒト・モノ・コト」の正しさを証明し、お客様のサービスの信頼性を支えるサービスを推進しています。
「すべてのヒト、モノ、コトに信頼を」。サイバートラストは、IT インフラに関わる専門性・中立性の高い技術で、安心・安全な社会を実現します。