EUのRED指令は、接続デバイスに対するサイバーセキュリティ（EN 18031）を義務付けています。SECOは、OEM向けにセキュアなプラットフォーム、アクティブな保護、および効率的なコンプライアンス支援を提供しています。
官僚的な手続きを超えて：欧州連合（EU）のRED指令は、2025年8月1日から新たなサイバーセキュリティ要件を含むよう拡張され、技術規格EN 18031への適合が求められます。EN 18031は、RED指令の第3.3条d、e、fに対応する3つの部分に分かれており、ネットワーク保護、データとプライバシーの保護、不正防止をカバーします。2025年8月1日以降、EU市場向けにネットワーク対応デバイスを製造する産業企業は、新しいRED指令の要件を満たさなければなりません。これにより、サイバーセキュリティは任意ではなく規制上の義務となり、製品設計、認証プロセス、市場投入までの期間に影響を与えます。
EUはRED指令を通じて、インターネットに接続される全てのデバイスが同じレベルのセキュリティで動作するように、セキュリティの状況を変えようとしています。しかし、これは製造業者にとって大きな課題となります。膨大な要件を自力で理解し、その実務的な意味を把握するのは非常に複雑です。
本ブログでは、新しいRED要件をすべての産業分野向けに実用的で具体的な手順に翻訳し、企業が自社製品でこれらの幅広い要件をどのように遵守できるかを説明します。
REDサイバーセキュリティ要件の理解
RED指令（指令2014/53/EU）は、電波を送受信するすべてのデバイスを対象とし、EU市場に投入されるものに適用されます。これは、Wi-Fi、LTE、BT、その他のワイヤレスIoTデバイスを使用する幅広い産業製品に当てはまります。この指令は2025年8月1日からEU全域で新たな要件が追加され、対象デバイスに対してサイバーセキュリティ要件が義務化されます。具体的には、製造業者は以下を確保する必要があります：
- ネットワークが不正アクセスから保護されていること
- ユーザーの個人データが保護されていること
- デジタル通信における不正行為が防止されていること
RED指令の中で最も重要な規格はEN 18031で、3つの部分に分かれており、この指令への適合の技術的基盤を形成します。この規格はまた、CEマーキングの適合要件の遵守も規定しています。
EU市場向けにデバイスを製造するOEMは、最終製品のすべてのレベルで要件を満たす責任を認識する必要があり、単なる個別の無線モジュールだけでなく製品全体が対象です。このため、コンプライアンスの責任は最終製品メーカーに完全に委ねられます。
産業分野への実際の影響
産業界においては、非遵守は法的リスクだけでなく、事業継続性や安全性への直接的な脅威ともなります。以下では、EN 18031の各条項が典型的な産業設備やその中で使われるデバイスにとって何を意味するのかを説明します。
ネットワーク保護（第3.3条d）：例えば、Ethernet経由でインターネットに接続されているHMIやゲートウェイを考えます。このデバイスが、ハッカーが企業データに不正にアクセスするための弱点となってはなりません。そのためには、ファームウェアの真正性を確認するセキュアブート、起動および更新時のファームウェアの整合性検証、不正アクセスを防ぐ安全なプロトコルの使用などの機能が必要です。
データ・プライバシー保護（第3.3条e）：運用データや個人データを処理するすべてのデバイスは、転送中および保存中のデータに対してエンドツーエンド暗号化（例：TLS、AES）を使用し、堅牢なユーザーおよびデバイス認証メカニズムを備える必要があります。「プライバシー・バイ・デフォルト」の原則、すなわち最小限のデータ収集も適用されるべきです。
不正防止（第3.3条f）：これは改ざんを防止する上で重要です。産業機械の場合、デジタル署名済みのファームウェアとアップデートの使用、ヒューズ保護などの改ざん防止メカニズムの実装、脆弱なソフトウェアバージョンの再インストールを防ぐロールバック保護が求められます。
指令を期限内に実装する企業は、適用法規の違反や高額な契約上の罰金を回避し、安全な製品を提供することで消費者の信頼を築きます。また、指令を実装しない、あるいは部分的にしか実装しない競合他社に対して競争優位性を確立できます。
REDコンプライアンスの加速
産業企業は、これらの包括的な技術要件を満たすことが、複雑でリソースを大量に必要とし、市場投入を遅らせる可能性があることを認識する必要があります。遵守しない場合、CEマーキングの喪失、市場からの撤退、重大な罰金などのリスクがあります。
SECOは、CRA要件を満たすための課題に対応し、コンプライアンスを前提としたハードウェアおよびソフトウェアプラットフォームを提供します。これには、シリコンベンダーのネイティブなセキュリティ機能や、ファームウェア検証、リアルタイム監視、自動ソフトウェア部品表（SBOM）生成などの高度な保護技術の統合が含まれます。また、SECOは強力なパートナーシップを活用し、産業企業がRED指令の厳格な要件を満たすことを支援します。以下に、SECOが安全要件への準拠を確保するために使用する機能の一部を紹介します。
Clea OSによる基盤：SECOのClea OSは、RED準拠に必要な主要機能を提供します。Yocto Linuxをベースとしたハードウェア非依存のOSであり、EN 18031-1のサイバーセキュリティ要件への対応を容易にし、セキュアブートやファームウェア検証などの重要な機能を処理します。Clea OSはシリコンベンダーのセキュリティ技術をネイティブに統合し、最小限の設定で完全に安全かつ準拠した製品体験を提供します。
Exeinによるクリティカルなランタイム保護：SECOは、実行時の高度な侵入防止保護を提供するためにExeinを戦略的パートナーに選びました。RED準拠が重要である一方で、アクティブな防御も不可欠です。Exeinの組み込み技術は、プロセッサの実行をリアルタイムで分析し、自動的な脆弱性検出やメモリ内保護を提供します。これにより、システムレベルで期待される動作からの逸脱を監視することで攻撃を即座に検出し、阻止することが可能です。これは静的なコンプライアンスチェックを超えて、展開されたデバイスに対して強力でアクティブなセキュリティを提供します。
簡素化された認証：SECOは、EN 18031のすべての部分に関する技術サポートと必要なドキュメントを顧客に提供し、最終製品の認証を達成するために内部チームが必要とする複雑さと労力を大幅に削減します。
結論
2025年8月のRED期限は、規制の状況を変えようとしています。これは課題であると同時に、根本的により安全な製品を開発するための機会でもあります。SECOとのパートナーシップにより、企業はコンプライアンスの複雑さを軽減し、Exeinの技術を活用して、最低要件をはるかに超えるアクティブなランタイム保護を備えたデバイスを展開できます。
EU市場への継続的なアクセスを確保し、製品を将来にわたって安全に保つために、ぜひ今すぐSECOの専門家にご相談ください。