サイバーセキュリティ｜prEN 40000-11:2026：セキュリティコンテナを備えたハードウェア機器（HWSB）・CRA準拠ガイド

01. 背景｜この規格とは何か、なぜ重要なのか

EUのサイバーレジリエンス法（CRA、規則 EU 2024/2847）が正式に発効し、EU市場に投入されるすべてのデジタル製品に対して、サイバーセキュリティ要件が義務付けられました。セキュアハードウェアという特殊なカテゴリーについては、欧州委員会が整合規格prEN 40000-11:2026の策定を委任しています。本規格は、セキュリティボックスを備えたハードウェア機器（HWSB）に特化した、明確で実行可能なCRA準拠の道筋を示すものです。

HWSBとは、物理的な耐タンパ対策により機微なデータと暗号鍵を保護するハードウェアコンポーネントを指します。これにはハードウェアセキュリティモジュール（HSM）、決済端末、eIDAS準拠の電子署名デバイス、スマートタコグラフなどが含まれます。これらの機器のセキュリティはソフトウェアだけでなく物理的な構造にも大きく依存するため、水平規格では十分に対応できない専用の評価枠組みが必要となります。

prEN 40000-11への適合は、CRAへの適合の推定をもたらし、製造業者にCEサイバーセキュリティマーキングの貼付を認めます。これはEU市場参入の必須要件です。

02. 適用範囲｜対象となるもの、ならないもの

本規格は、「セキュリティボックス」、すなわち耐タンパ痕跡（tamper-evidence）、耐タンパ性（tamper-resistance）、または能動的タンパ応答による保護機能を備えた物理的な筐体を組み込んだ、あらゆるハードウェアシステムコンポーネントに適用されます。対象となる代表的な製品には、汎用および決済用のハードウェアセキュリティモジュール（HSM）、PCI-POI／HSM決済端末、eIDAS準拠の適格署名生成装置（QSCD）、スマートタコグラフ機器、FIPS 140-3 レベル3から4の暗号モジュールが含まれます。

純粋なソフトウェアセキュリティ製品、実行環境を持たない単体のマイクロプロセッサや特定用途向け集積回路（ASIC）、オペレーティングシステム、コンテナランタイム、管理インターフェースを持たない固定機能デバイスは、本規格の適用範囲外です。

強調すべき重要な境界条件があります。製品が機能の一部でもクラウドまたはリモートサービスに依存する場合、附属書R（リモートデータ処理ソリューション、RDPS）が適用されます。この附属書は、相互認証、データ完全性、可用性、フェイルオーバーを対象とする18の追加要求事項を導入します。PCI PTSもEN 18031もこの領域を扱っていないため、RDPSに関する準拠証跡はすべて一から構築する必要があります。

03. 規格の構成｜どのように組み立てられているか

本規格は、6つの中核となる箇条と6つの附属書で構成されています。商業上とりわけ重要な要素は、以下のセクションに集中しています。

• 箇条5：製品が満たすべき18の技術要求事項ファミリーを定義します。
• 箇条6：文書レビュー、機能試験、脆弱性分析を通じて、どのように適合を実証するかを明確化します。
• 附属書A：該当する「セキュリティプロファイル」を選定するための2つの経路を提供します。
• 附属書K：すべての既定の暗号アルゴリズムが、欧州連合サイバーセキュリティ機関（ENISA）が維持するECCG ACMカタログに掲載されていることを義務付けます。
• 附属書ZA：本規格の各要求事項をCRAの必須サイバーセキュリティ要求事項に直接対応付けるもので、適合宣言書を作成するうえでの中核的な基礎となります。

評価段階に入る前に、すべての製品はセキュリティプロファイルを定義しなければなりません。本規格は、そのための2つの方法を提供しています。

• 経路1：攻撃者の専門性、動機、設置環境、規制上の文脈、ネットワーク露出という5つの観点から評価する、リスクベースの自己評価。
• 経路2：認知された製品カテゴリー向けにあらかじめ定義されたテンプレート。たとえば決済端末であれば、定義済みプロファイルを直ちに採用し、ゼロからのリスク分析を経ずにモジュール選定へ進むことができます。

04. 主要な技術要求事項｜組織が実施すべきこと

18の技術要求事項ファミリーは、HWSB製品のセキュリティライフサイクル全体を対象とします。製造業者が最も注意を払うべき領域は、次の6つです。

1. 物理的セキュリティ（REQ-PHY）

HWSBを特徴付ける要素です。製品には、耐タンパ痕跡（改ざんの痕跡が視認できること）、耐タンパ性（専用工具を用いない物理的侵入の抑止）、および能動的タンパ応答（侵入検知時に暗号鍵を自動的にゼロ化・消去すること）を組み込まなければなりません。高保証レベルのモジュールには、平文の鍵を扱うすべての領域を囲むメッシュ型センサーの搭載がさらに要求されます。

2. 暗号（REQ-CRY）

すべての既定アルゴリズムはECCG ACMカタログに掲載されていなければならず、製品は暗号アジリティ、すなわちアルゴリズムが陳腐化する前に更新するための文書化された仕組みを備える必要があります。さらに、サイドチャネル漏えいの最小化と、安全な鍵の削除（上書き・ゼロ化）の徹底が明確に義務付けられています。この2点は本規格に固有のものであり、PCI PTSやEN 18031に直接対応する要求はありません。

3. 認証・認可（REQ-USER-AUTH）

要求事項には、総当たり攻撃に対するロックアウト、セッションタイムアウト後の再認証、人間の利用者に対する多要素認証（MFA）、機器間シナリオにおけるデバイス認証（Device Attestation）が含まれます。MFAとデバイス認証はHWSB向けの明確な追加要求であり、PCI PTSにもEN 18031にも同等の規定は存在しません。

4. セキュリティ監査（REQ-LOG）

コンプライアンス上のギャップが最も生じやすい領域です。本規格は、セキュリティに関わるすべての事象について改ざん防止されたログ取得を義務付け、各エントリを認証済みの利用者に厳密に紐付けることを求めています。PCI PTSにはログ取得の要求が一切なく、EN 18031も金融資産を対象とする-3の版で言及しているにとどまります。モジュール6（拡張監査）を目指す場合、この機能を一から設計・実装する必要があります。

5. セキュアな通信（REQ-SEC-COM）

通信路は、機密性、完全性、相互認証を保証し、かつ厳格なセッションタイムアウトを適用しなければなりません。この領域ではPCI PTSが最も強い重なりを持ち（TLS 1.3を明確に義務付けています）、既存の準拠証跡として高い信頼性をもって活用できます。

6. セキュアなファームウェア更新（REQ-COP-SECUP）

ファームウェアイメージは、インストール前に暗号的に署名・検証され、展開前に利用者による明示的な承認を要し、脆弱な旧バージョンへのロールバックを厳格に防止しなければなりません。このロールバック防止要求はHWSB固有の追加要求であり、標準的なPCI PTSやEN 18031の枠組みには存在しません。

05. 脆弱性対応｜規格の基準を満たすために

本規格は、脆弱性管理について2層のモデルを採用しています。公開開示方針、EU脆弱性データベース（EUVD）および米国国家脆弱性データベース（NVD）の継続的な監視、協調的な開示手順といった手続面の枠組みは、水平規格prEN 40000-1-3が規定します。その上にprEN 40000-11が、HWSB固有の3つの保証要求を重ねています。

1. 第一に、脆弱性対応プロセス自体が適合していることを実証できなければならず、発見・追跡から低減・公開開示までの一貫した経緯を確保する必要があります。
2. 第二に、製品は既知の悪用可能な脆弱性がゼロの状態で出荷されなければならず、評価報告書において、特定されたすべての欠陥が低減済みであるか、製品の意図された環境において悪用不能であることを根拠づける必要があります。
3. 第三に、ソフトウェア部品表（SBOM）を提供し、すべてのハードウェア部品、ファームウェア、依存関係、バージョン番号を明示することで、下流の利用者が部品レベルのセキュリティを継続的に監視できるようにしなければなりません。

06. 準拠ロードマップ｜規格を効果的に実行する

ステップ1：セキュリティプロファイルを定義する
経路1（リスク要因の評価）または経路2（製品種別テンプレート）を選択し、製品に適用されるモジュールを確定します。「意図された使用および合理的に予見可能な使用」（IPRFU）を文書化します。この文書が評価全体を規定するものであり、準拠証跡の作成に着手する前に確定させる必要があります。

ステップ2：既存の証跡を棚卸しする
製品がPCI PTS POI v7.0またはEN 18031の認証を保有している場合、それらの資産をprEN 40000-11に体系的に対応付けます。これまでの実績では、PCI PTS POI v7.0認証はおよそ60%の要求事項を、EN 18031はおよそ40%を満たします。ギャップを正確に特定することが、評価費用を抑える最も効果的な方法です。

ステップ3：不足する準拠証跡を作成する
特定した各ギャップについて、目標とする保証プロファイルに沿った文書を作成します。基本（Basic）プロファイルでは、機能仕様（ADV_FSP）、設計文書（ADV_TDS）、運用ガイダンス（AGD_OPE）、機能試験結果（ATE_FUN）が必要です。高保証（High Assurance）プロファイルでは、これらに加えて実装レビュー（ADV_IMP）、独立試験（ATE_IND）、包括的な脆弱性分析（AVA_VAN）が求められます。

ステップ4：評価を受ける
評価機関は、箇条6の順序に従って、文書のレビュー、機能試験の実施、脆弱性分析の実行という形で製品を体系的に評価します。高保証プロファイルでは、評価者がフォールトインジェクションやサイドチャネル解析を含む高度な物理攻撃を実施し、宣言されたセキュリティ管理策が実際の攻撃条件下でも維持されることを検証する場合があります。

07. 証跡の再利用｜CRA評価におけるPCI PTSおよびEN 18031データの活用

既存のPCI PTS POI v7.0またはEN 18031認証を保有する製造業者にとって、証跡の再利用は、prEN 40000-11の評価費用を圧縮し、市場投入までの期間を短縮する最も直接的な手段です。これらの枠組みが新規格の要求事項ファミリーにどのように対応するかは、以下のとおりです。

PCI PTSは、6つの重要領域のうち5つで強力なカバレッジを提供します。攻撃ポテンシャルの算定とペネトレーションテストの記録は物理的セキュリティ要求を直接裏付けます。DRBG検証、鍵管理、アルゴリズム実装に関する包括的な機器技術報告書（DTR）はREQ-CRYに整合します。認証に関する管理策（PIN保護、セッション管理、総当たり攻撃のレート制限）はREQ-USER-AUTHの大部分を満たします。通信に関する規定は現存する中でも最も詳細であり（TLS 1.3を明示的に要求）、REQ-SEC-COMに円滑に対応します。またファームウェア署名に関する制約はREQ-COP-SECUPを補強します。

EN 18031は、セキュアな通信、認証、一般的なセキュリティ管理策において補完的なカバレッジを提供し、PCI PTSの証跡を補う有用な材料となります。特に、金融資産関連製品に適用されるEN 18031-3のログ取得機構（LGM）要求事項ファミリーは、基本的な監査ログ要求を部分的に裏付けられますが、モジュール6が求める改ざん防止された監査記録と確定的な利用者の紐付けには及びません。

まとめると、PCI PTSおよびEN 18031を活用することで、製造業者は物理的セキュリティ、暗号、認証、通信、ファームウェア更新の各領域にわたって再利用可能な証跡を幅広く確保できます。新たな投資が必要となるのは、主に改ざん防止された監査ログの実装、ロールバック防止ロジック、フォールトインジェクション試験、および（クラウド接続機器の場合）附属書R（RDPS）の18項目からなる要求事項一式です。