CISO が ISO/IEC 29147 を導入するとき：脆弱性の受付窓口、CVD 方針、CRA 報告をどうつなぐか

外部の研究者や顧客が自社製品の脆弱性を見つけたとき、CISO はまず何を整えておくべきですか？

代表的な成果物：

• 受付窓口：security.txt と報告用のメールアドレスまたはフォームで、外部から見つけられるようにします。
• 受付と回答の SLA：報告を受けてから何日で受領確認し、何日で進捗を返すか、誰が担当するか。
• CVD 方針：約束と期待を明記し、セーフハーバー条項を含めます。
• アドバイザリ：アドバイザリのテンプレートと公表手順、必要に応じた CVE 番号の申請手順。
• 引き継ぎ：外部からの受付を ISO/IEC 30111 の内部対応プロセスにつなぎ、状況を報告者に返します。

小規模な会社に大きな体制は不要ですが、明確な受付経路、責任者、回答の手順は必要です。

CRA は 29147 を名指ししていません。CISO はどこまでやれば説明がつきますか？

CRA 附属書 I 第 2 部の関連要求は、CVD 方針の策定と実施（第 5 項）、脆弱性報告の連絡先の提供（第 6 項）、セキュリティ更新が利用可能になった後の修正済み脆弱性の情報公開（第 4 項）、遅滞ない対応と修正（第 2 項）です。加えて単一の連絡窓口の指定が必要です（第 13 条第 17 項）。

JRC と ENISA の 2024 年の分析は、EN ISO/IEC 29147 を 8 項目のうち第 2、4、5、6 項に対応付けています。規格に沿って仕組みを作ることは、顧客や適合性評価機関に取り組みを説明する有効な方法ですが、適合の推定は生じません。SBOM（第 1 項）、セキュリティテストとレビュー（第 3 項）、更新の安全な配布（第 7 項）は、ほかの規格や手順で補う必要があります。

29147、30111、製品セキュリティチーム（PSIRT）はどう分担しますか？

対で構築することを勧めます。CRA の脆弱性義務は対外的な開示と社内の対応の両方にわたり、別々に進めると引き継ぎ部分に監査上の穴が残りやすくなります。PSIRT は両方を実行する部門で、対外報告の権限を事前に与えておく必要があります。

受け付けた脆弱性がすでに積極的に悪用されている場合、CRA の報告はどうつなぎますか？社内のセキュリティインシデント報告とは何が違いますか？

CRA 第 14 条の報告義務は 2026 年 9 月 11 日から適用され、市場に出ている製品も対象です。積極的に悪用されている脆弱性は、ENISA の単一報告プラットフォームを通じて、調整役に指定された CSIRT と ENISA に同時に報告します。認識から 24 時間以内に早期警告、72 時間以内に通知、是正・緩和措置が利用可能になってから 14 日以内に最終報告です。このプラットフォームは 2026 年 9 月 11 日に稼働しました。

上場・店頭公開企業が管控指引第 34 条に基づいて作る対応・報告手順は自社の情報システムのインシデントを扱い、CRA は製品の脆弱性を扱います。同じ手順に経路を一本加え、発動条件と外部窓口は分けて書きます。公開発行会社でない企業はこの指引の対象外で、任意に参考にできます。

EU の顧客から CVD 方針と PSIRT の連絡先を求められました。CISO はどう対応しますか？

これは 29147 が必要になる典型的な場面の一つです。顧客が NIS2 の事業体で、デジタル要素を持つ製品を調達する場合、CRA の SBOM と脆弱性対応は NIS2 第 21 条のサプライチェーンセキュリティの証拠になります。

• 出せる文書：公開した CVD 方針、security.txt、受付と回答の SLA。
• 説明できる流れ：対外的な受付をどう社内対応に渡すか、どれくらいで回答するか、アドバイザリをどう公表するか。
• 既存の仕組みを共有：ISO 27001 がある場合、CVD のプロセスを既存の ISMS に載せ、文書と監査の仕組みを共有できます。

製品が EU に出ず、顧客からの要求もない場合は、まず受付窓口と簡単な対応方針を自社で公表することから始められます。

ISO/IEC 29147 は現在どの版を使いますか？スケジュールはどう組みますか？

現在有効な版は ISO/IEC 29147:2018 です。第 3 版は 2025 年 10 月 8 日に ISO/IEC JTC 1/SC 27 で作業項目として登録され、ISO/IEC 30111 改訂の作業原案は脆弱性の対応と開示を一つの規格に統合しています。新版はまだ発行されていません。

サービスページに導入の月数は記載されていないため、スケジュールは CRA の法定期日を基準にします。第 14 条の報告義務は 2026 年 9 月 11 日から適用済みで、その他の規定は 2027 年 12 月 11 日から全面適用されます。製品が CRA の対象であれば、受付窓口と手順を優先して整え、演習してください。

積穗科研は CISO の ISO/IEC 29147 対応をどう支援しますか？

• 受付窓口：security.txt と報告用のメールアドレスまたはフォームを整え、受付と回答の期限を定めます。
• 方針とアドバイザリ：セーフハーバー条項を含む CVD 方針、アドバイザリのテンプレートと公表手順を作り、必要に応じて CVE 番号の申請を支援します。
• 対での導入：対外的な開示を ISO/IEC 30111 の社内対応プロセスにつなげます。
• 一つの証拠：27001 がある場合、CVD のプロセスを既存の ISMS に載せます。
• 実装の経験：積穗科研は自社でも脆弱性監視とコンプライアンスの証拠チェーンを運用しており、支援内容は実際の導入経験に基づきます。
• 役割分担：副社長・取締役クラスのコンサルタントが外注せず一貫して支援します。

関連ページ：ISO/IEC 29147、29147 コンサルタントの選び方、ISO/IEC 30111、EU CRA。無料の仕組み診断を申し込む