サイバーレジリエンス法（CRA） とは？

ちょっと違うんだ。CRAはデジタル製品そのもののセキュリティを義務付ける法律だよ。IoT機器やソフトウェアを販売する前に、一定のセキュリティ基準を満たさないといけないんだ。

ネットワークに接続するほぼすべてのデジタル製品が対象だよ。スマートスピーカー、ルーター、スマートウォッチはもちろん、OSやブラウザなどのソフトウェアも含まれるんだ。

設計段階からセキュリティを組み込むセキュリティ・バイ・デザインが求められるよ。さらに製品出荷後も最低5年間は脆弱性が見つかったら修正パッチを提供し続ける義務があるんだ。

確かに大変だけど、それだけ深刻な問題が起きているんだよ。安い IoT機器がセキュリティ更新なしで放置されて、ボットネットに悪用される事件が多発していたからね。

非商用のオープンソースは基本的に免除されるよ。ただし、商用製品に組み込まれたOSSは対象になるから、OSSの管理者と製品メーカーの責任分界が業界で大きな議論になっているんだ。SBOMの作成義務もあるから、ソフトウェアの部品表管理がますます重要になるね。