舶用ソフトウェアと機器のメーカーのためのサイバーセキュリティ
船舶は今、数十社のサプライヤーのソフトウェアで動いており、船級規則とEU法は、各サプライヤーが自社のソフトウェアに何が入っているかを把握し、それを安全に保つことを求めています。CRACIは、GitHub Actionsのビルドを実行し、各リリースに入るすべてのコンポーネントを記録します。
どの舶用製品にどのルールが適用されるか
舶用機器のサプライヤーは、重なり合うものの一致はしない3つの枠組みに対応します。EUの製品法、新造船の船級規則、そして船舶運航者向けのIMOのガイダンスです。エビデンスを計画する前に、製品ごとにどれが適用されるかを整理してください。
CRAは舶用機器指令の対象機器を除外している
Cyber Resilience Act、規則（EU）2024/2847の第2条(4)は、「本規則は、指令2014/90/EUの適用範囲に含まれる機器には適用しない」と定めています。この指令、舶用機器指令（Marine Equipment Directive、MED）は、EU船舶に搭載される、または搭載される予定の機器のうち、IMO条約により旗国の主管庁の承認が必要なもの、つまりwheel mark（ホイールマーク）付きの機器を対象としています。例としては、レーダー、ECDIS、AIS、航海データ記録装置などの航海機器、無線通信機器、防火設備、救命設備があります。自社の品目については、最新のMED実施リストを確認してください。
CRAの対象に残るもの
EU市場に出される、MED機器ではないデジタル要素を含む製品です。インストール型またはダウンロード型の製品として販売される船上および陸上のソフトウェア、船舶運航、居住区、ケータリング、ホテルの管理システム、乗組員と乗客向けのサービスシステム、船隊管理と航海管理のソフトウェア、船上のIoTセンサーとゲートウェイ、旗国の承認を必要としない監視・自動化機器などが該当します。単体のSoftware as a Serviceは、製品のリモートデータ処理である場合を除きCRAの対象外ですが、その提供者にはNIS2が適用される可能性があります。
ルールではなく法的な見解が必要なケースもあります。EU旗を掲げない船舶向けに販売されるwheel mark付きの型式の機器や、MED機器とMEDの対象外のソフトウェアモジュールを組み合わせた製品です。
IACS UR E26とE27
国際船級協会連合（IACS）の統一規則は、EU法ではなく船級を通じて適用されます。両規則のRev.1は、2024年7月1日以降に建造契約が結ばれた船舶に適用されます。国際航海に従事する旅客船と高速船、国際航海に従事する500 GT以上の貨物船、移動式海洋掘削装置、一部の自航式海洋構造物には必須であり、その他の船舶にはガイダンスとして用いられます。MEDによりCRAの対象外となる製品でもE26とE27の対象になり得ますし、その逆もあります。
IMO
決議MSC.428(98)は、2021年1月1日以降の会社の適合書類（Document of Compliance）の最初の年次検証までに、安全管理システムでサイバーリスクに対処するよう船舶運航者に求めています。海事サイバーリスク管理に関するIMOガイドラインは、運航者向けの任意の高レベルなガイダンスです。2026年5月の最新改訂では、サイバーリスク管理においてサードパーティーのベンダー、組み込みシステム、ソフトウェアとハードウェアのサプライチェーンを考慮すべきとし、重要なシステムについてソフトウェアとハードウェアのサプライチェーンセキュリティに関する方針を定めるよう運航者に求めています。運航者がこの問いをサプライヤーに回すのはそのためです。
| 製品の例 | wheel mark付き（MED）か | Cyber Resilience Act | IACS UR E26とE27 | サプライヤーが示すべきもの |
|---|---|---|---|---|
| ECDIS | はい | 除外（第2条(4)） | はい、対象となる新造船の場合 | MEDの承認、E27の文書とソフトウェアインベントリ |
| 新造貨物船の機関自動化システム | 要確認 | はい、MED機器でない限り | はい：推進は対象システム | E27の文書、インベントリ、セキュア開発ライフサイクル、CRAの技術文書とSBOM |
| ホテル・ケータリング管理ソフトウェア | いいえ | はい、製品として販売される場合 | 要確認：E26は対象システムへのネットワークインターフェースをカバー | CRAのためのSBOMと脆弱性対応 |
| 乗組員福利厚生用のネットワーク機器 | いいえ | はい | 要確認：E26は対象システムへのインターフェースをカバー | CRAのためのSBOMと脆弱性対応 |
| Software as a Serviceの船隊管理ソフトウェア | いいえ | 対象外、製品のリモートデータ処理である場合を除く | いいえ：陸上で稼働 | 運航者のサプライヤー質問票への回答、提供者にはNIS2が適用される可能性 |
| 船上の状態監視センサー | 要確認 | はい、MED機器でない限り | 要確認：対象システムの一部であれば対象 | CRAのSBOM、対象システムの一部であればE27の文書 |
目安：製品にwheel markが必要ならCRAは適用されません。2024年7月以降に契約された船舶に搭載されるならE27がおそらく適用されます。EUでソフトウェアやコネクテッド製品を販売するなら、CRAが適用されると考えてください。
E26とE27がサプライヤーに求めること
E27は、機器サプライヤーに直接及ぶ要件です。3.1節には、サプライヤーがコンピューターベースのシステムについて船級協会に提出する文書が挙げられており、その中には次のものがあります。
- 資産インベントリ（3.1.1）：ハードウェアコンポーネントと、そのシステムソフトウェア（オペレーティングシステムやファームウェアなど）の名称、バージョン、パッチレベル、そしてソフトウェアコンポーネントと、それぞれがインストールされているハードウェア、製造者、モデルまたは型式、目的、ソフトウェアバージョン。
- セキュリティ機能の説明（3.1.3）とその試験手順、セキュリティ設定ガイドライン、保守、インシデント対応、復旧、変更管理の計画。
- セキュア開発ライフサイクルの文書（3.1.6）。ソフトウェアのアップデートとパッチ適用をどう扱うかも記述します。
4節は、認証や悪意あるコードからの保護など、IEC 62443-3-3から選ばれたシステム要件に基づいて、必要なセキュリティ機能を定めています。これらは製品の機能です。
5節は、要件、設計、実装、検証、リリース、保守、サポート終了をカバーし、船級協会がレビューする文書に記録されたセキュア開発ライフサイクルを求めています。そこにはIEC 62443-4-1から採られた管理策を含めなければなりません。コード署名鍵の保護（SM-8）、ユーザー向けのセキュリティアップデートの文書化（SUM-2）、依存コンポーネントやオペレーティングシステムのセキュリティアップデートの文書化（SUM-3）、アップデートの真正な配信（SUM-4）、多層防御と堅牢化のガイダンス（SG-1〜SG-3）です。
E26は船舶レベルでループを閉じます。各サプライヤーのE27インベントリのフィールドを備えた、ハードウェアとソフトウェアの船舶資産インベントリを、船舶の生涯にわたって最新に保ち、新たな脆弱性をもたらし得るソフトウェアとハードウェアの変更をそこに記録します。
E27が言っていないこと：SBOMには触れていません。リリースごとのSBOMは、インベントリ用のソフトウェアバージョンと、依存コンポーネントに関するSUM-3の情報を作成する最も正確な方法ですが、それらの要件を支えるものであって、要件そのものではありません。
| E26またはE27の要件 | 船級協会や造船所が求めるもの | ビルドから得られるエビデンス | 自社に残るもの |
|---|---|---|---|
| E27資産インベントリ（3.1.1） | すべてのソフトウェアコンポーネントとその目的とバージョン、各ハードウェアコンポーネントのシステムソフトウェア | すべてのコンポーネントとそのバージョンを含む、リリースごとのSBOM | 各コンポーネントがどのハードウェアにインストールされているか、製造者とモデルの詳細 |
| SUM-2とSUM-3のアップデート文書 | 依存コンポーネントやオペレーティングシステムを含む、文書化されたセキュリティアップデート | 各リリースのコンポーネントに関する脆弱性の記録とビルド履歴 | ユーザーに送るアップデートノートとアドバイザリ |
| SM-8とSUM-4 | 保護されたコード署名鍵と、アップデートの真正な配信 | なし：CRACIはソフトウェアに署名しません | 自社の署名プロセスと鍵の保管 |
| 4節のセキュリティ機能 | 認証、悪意あるコードからの保護、その他の製品機能 | なし：これらは製品の機能です | 製品の設計とその試験 |
| 5節のライフサイクル文書 | 各フェーズでセキュリティをどう扱うかを記述し、レビューを受けた文書 | リリースフェーズが管理されていることを示す記録：各ビルドに何が含まれ、どこに到達できたか | 文書の作成とプロセスの運用 |
| E26船舶資産インベントリ | 船舶の生涯にわたって最新に保たれる船舶のインベントリ | インテグレーターに引き渡すSBOMのエクスポート | どのバージョンがどの船舶にインストールされているか、造船所やインテグレーターへの引き渡し |
舶用ソフトウェアの把握が難しい理由
船舶はプロジェクトより長く生きる。船舶は何十年も就航し続け、船上のソフトウェアのサポート負担は、それを納入したプロジェクト、それをビルドしたチーム、そしてしばしばサプライヤー自身の製品ラインよりも長く続きます。
多数の小規模なサプライヤーとインテグレーター。1隻の船舶には数十社のサプライヤーのソフトウェアが搭載され、インテグレーターがそれを組み上げます。引き渡しのたびに、各リリースに何が入っているかを見失うおそれがあります。
船上のシステムは自由にアップデートできない。アップデートは寄港、船級の承認、保守の時間枠を待つため、修正が存在してからも古いバージョンが長く使われ続けます。どの船舶がまだどのバージョンを使っているかを把握しておく必要があります。
遠隔地、限られた通信環境。航海中の船舶や遠隔地の設備にはアクセスしにくいため、何をインストールしたかの記録は、船舶のスキャンからではなくビルドから、陸上に存在しなければなりません。
記録のシステムとしてのスプレッドシート。海事ソフトウェアメーカーからは、SBOMや関連する記録が手作業で管理される多数のスプレッドシートにあると聞きます。それらはリリースのたびに古くなっていきます。
準備の進め方
認証などのセキュリティ機能は、製品の設計に属します。以下のステップは、その中に入るソフトウェアに関するエビデンスを対象とします。
- 製品ごとに適用される枠組みを整理する. すべての製品について、MED機器か、CRAの対象製品か、E26とE27の対象か、あるいはそのうち複数に該当するかを判断します。エビデンスの計画は、その整理から導かれます。
- すべてのリリースのSBOMを作成する. 推移的依存関係を含め、ビルドするすべての製品の各リリースに何が入るかを記録し、ソフトウェアインベントリが記憶ではなくビルドから得られるようにします。
- 設置先ごとにインベントリを保持する. どのバージョンがどの船舶にインストールされ、いつ変わったかを追跡します。これがE27の資産インベントリと、船舶の生涯にわたって変更を記録するインテグレーターのE26船舶資産インベントリの元になります。
- 脆弱性を監視して報告する. 新たな脆弱性が公開されるたびに、出荷済みのリリースを確認し直します。CRAの対象製品については、積極的に悪用されている脆弱性と重大インシデントの報告義務が2026年9月11日から適用されています。
- 既知の脆弱なパッケージをビルドに入れない. 既知の脆弱性を出荷することになるビルドをブロックし、依存関係の更新を通じて再び入り込まないようにします。
- 顧客とインテグレーター向けにセキュリティアップデートを文書化する. SUM-2とSUM-3が求めるとおり、依存コンポーネントやオペレーティングシステムでの修正を含め、各セキュリティアップデートで何が修正されるかを顧客とインテグレーターに伝えます。
CRACIの役割
CRACIは、GitHub Actionsのビルドを自社のランナーで実行し、各リリースに何が入るかを記録します。その記録が、CRA、E27の文書、顧客からの質問に共通するエビデンスになります。
すべてのリリースを記録
ビルドはruns-on: craciでCRACIのGitHub Actionsランナー上で実行され、実行結果は引き続きGitHubに表示されます。各ビルドの実行中、CRACIは、npmとPyPIも含め、どのロックファイルにも載らない隠れた依存関係とともに、ビルドが取り込むすべてのパッケージを記録し、ジョブごとに完全性の状態を付けます。SBOMは、推移的依存関係、宣言されたライセンス、コンポーネントで見つかった脆弱性を含むCycloneDXまたはSPDX形式でエクスポートでき、E27資産インベントリのソフトウェア部分の素材になります。ビルド時SBOMについて詳しくはこちら。
脆弱なパッケージを締め出す
ポリシーゲートは特定のCVEを含むビルドをブロックでき、ライセンスポリシーのルールはライセンスに基づいてビルドをブロックできます。既知の問題は、リリースが船舶に届く前にCIで捕捉されます。
シークレットを漏らせないビルド
各ジョブは独自の隔離された仮想マシンで、デフォルト拒否に設定できるエグレスポリシーのもとで実行されます。ポリシーはジョブ開始前に検証され、フェイルクローズします。デフォルト拒否のポリシーでは、ビルドに不要なホストへの接続はブロックされ、アラートが上がります。
CRACIが適さない場合
CRACIはソフトウェアをビルドするチームのためのものです。次のような場合には適しません。
- 船上のネットワーク監視、侵入検知、船舶レベルのE26準拠、安全管理システムの文書を求める船舶運航者や船主には向きません。CRACIはソフトウェアをビルドする人のためのものであり、それを運用する船隊のためのものではありません。
- MED機器メーカーのためのCRA対応プログラムではありません。wheel mark付きの機器はCRAの対象外です。それでも、GitHub Actionsで実行されていれば、CRACIはその背後にあるソフトウェアビルドをE27と顧客からの要求のために記録できます。
- GitHub Actionsでビルドしていないサプライヤー、WindowsやmacOSのビルドマシンが必要なサプライヤー、自社のクラウドアカウント内のランナーが必要なサプライヤーには向きません。CRACIは現在、欧州のインフラ上でマネージドLinuxランナーを運用しています。他のCIシステム、WindowsとmacOSのランナー、顧客がホストするランナーはロードマップに掲載されています。
- ハードウェアの部品表には向きません。CRACIが記録するのはソフトウェアであり、ハードウェアのBOMは管理しません。
- E27のセキュリティ機能や船級承認ではありません。CRACIは、認証、マルウェア対策その他の製品機能を実装せず、ソフトウェアに署名せず、セキュア開発ライフサイクルの文書を作成せず、お客様に代わって船級協会とやり取りすることもありません。
- 修正メトリクスのツールではありません。CRACIは平均修正時間や修正期限をレポートしません。
海事サイバーセキュリティを解説
舶用機器サプライヤー向けのCRA、IACS UR E26とE27、IMOガイドラインに関するよくあるご質問
Cyber Resilience Actは舶用機器に適用されますか？
舶用機器指令2014/90/EUの適用範囲に含まれる機器には適用されません。CRAの第2条(4)がそれを明確に除外しています。これは、IMO条約に基づき旗国の承認を必要とするwheel mark付きの機器を指します。ホテルシステム、乗組員ネットワーク、センサー、船上にインストールされる船隊管理ソフトウェアなど、船舶向けに販売されるその他のコネクテッド製品やソフトウェアは、引き続きCRAの対象になり得ます。
CRAの対象外となる舶用製品はどれですか？
舶用機器指令の適用範囲に含まれる機器です。つまり、EU船舶に搭載される機器のうち、IMO条約により旗国の承認が必要なもので、レーダー、ECDIS、AIS、航海データ記録装置、無線通信、防火設備、救命設備などです。自社の品目については最新のMED実施リストを確認し、複合的な製品や他国籍の船舶については法的な見解を得てください。
IACS UR E27とは何で、誰が準拠しなければなりませんか？
UR E27は、船上のシステムと機器のサイバーレジリエンスに関する国際船級協会連合の統一規則です。Rev.1は2024年7月1日以降に建造契約が結ばれた船舶に適用され、国際航海に従事する旅客船、高速船、500 GT以上の貨物船、そして一部の海洋構造物には必須です。対象システムのサプライヤーは、船級協会を通じて準拠します。
E26とE27は機器サプライヤーに何を求めていますか？
E27はサプライヤーに文書を求めています。各ソフトウェアコンポーネントをそのバージョンとともに一覧にした資産インベントリ、IEC 62443-3-3に基づくセキュリティ機能、そしてセキュリティアップデートの文書化などIEC 62443-4-1の管理策を含むセキュア開発ライフサイクルです。E26は船舶レベルの要件で、船舶資産インベントリは同じフィールドを使い、船舶の生涯にわたって最新に保たれます。
UR E27はSBOMを求めていますか？
いいえ。E27はSBOMに触れていません。求めているのは、各ソフトウェアコンポーネントをそのバージョンとともに一覧にした資産インベントリと、依存コンポーネントやオペレーティングシステムのセキュリティアップデートの文書化です。リリースごとのSBOMはその情報を作成する最も正確な方法ですが、E27の要件ではありません。
IMOのサイバーリスク管理ガイドラインは必須ですか？
いいえ。海事サイバーリスク管理に関するIMOガイドラインは、船舶運航者向けの任意のガイダンスで、2026年5月に改訂されました。運航者に求められることは決議MSC.428(98)に由来し、安全管理システムでサイバーリスクに対処するよう求めています。そしてガイドラインは現在、ソフトウェアとハードウェアのサプライチェーンセキュリティに関する方針を定めるよう運航者に求めています。
海運会社に販売するソフトウェアにCRAは適用されますか？
インストール型またはダウンロード型の、デジタル要素を含む製品としてEU市場で販売され、MED機器でなければ、通常は適用されます。純粋にサービスとして提供されるソフトウェアは、製品のリモートデータ処理である場合を除きCRAの対象外ですが、その提供者にはNIS2が適用される可能性があります。製品ごとに分類を確認してください。