インシデント対応手順はすでにあります。CISO はなぜ ISO/IEC 30111 の脆弱性対応プロセスも必要なのですか？
インシデント対応（ISO/IEC 27035）は「発生した攻撃」を、脆弱性対応（ISO/IEC 30111）は「報告された弱点」を扱い、起点、期限、成果物が異なります。既存のインシデント対応は良い土台ですが、CRA の監査が見るのは脆弱性専用のプロセスと証跡です。
上場・店頭公開企業が「上市上櫃公司資通安全管控指引」第 34 条に基づいて定める対応・報告手順は、自社の情報システムが対象です。製品に関する CRA の脆弱性報告は、製品側の 30111 プロセスに別途つなぐ必要があります。公開発行会社でない企業はこの指引の対象外ですが、任意で参考にできます。
製品の脆弱性が積極的に悪用された場合、CISO が守るべき法定の報告期限は？
EU CRA 第 14 条によれば：
- ENISA の単一報告プラットフォームを通じて、24 時間以内に早期警告、72 時間以内に脆弱性通知を行い、是正・緩和措置が利用可能になってから 14 日以内に最終報告を提出します。
- 2026 年 9 月 11 日から適用され、2027 年 12 月 11 日より前に EU 市場に出た製品も対象です。
同じ事象が GDPR、NIS2、DORA の期限も同時に発生させることがあり、起算点と受理機関はそれぞれ異なります。対応手順にはこれらを並べて記載し、一つの分類ステップでどの報告が必要かを判断します。事前に社内プロセスがなければ、期限内の対応は困難です。
ISO/IEC 30111 は CRA の脆弱性対応要件をどこまでカバーし、何を補う必要がありますか？
CRA 自体は ISO/IEC 30111 を名指ししていません。JRC と ENISA の 2024 年の対応分析では：
| CRA 附属書 I 第 2 部 | 対応 |
|---|---|
| 第 2・4・5・6・8 項 | 30111 が対応（29147 はそのうち第 2・4・5・6 項） |
| 第 1 項 SBOM、第 3 項 定期的なテストとレビュー、第 7 項 更新の安全な配布 | どちらの規格も対応せず、他の規格や手順で補う |
報告書は、単一の規格ですべての側面をカバーできるものはないとも指摘しています。この対応分析は分析文書であり、整合規格ではないため、適合推定は生じません。
顧客や認証機関が脆弱性対応を監査するとき、CISO はどんな証跡を示す必要がありますか？
CISO にとって 30111 の要点は、監査可能なプロセスと記録です。典型的な成果物：
- 脆弱性対応の方針とプロセス文書
- 評価基準（例：自社製品向けに調整した CVSS 基準）
- 対応記録と SLA レポートの仕組み
- SBOM との連携手順
- 29147 の開示側とのインターフェース文書
いずれも認証機関と顧客の監査に耐えることを基準にします。よくある欠落は、製品・部品の一覧がなく影響範囲を判断できない、評価基準が個人の経験の中にしかない、旧バージョンや生産終了品の担当者がいない、といった点です。
サポート期間中の旧製品も脆弱性対応が必要ですか？CISO は責任をどう割り当てますか？
必要です。CRA は、製造業者に対し、製品の上市時からサポート期間全体を通じて、附属書 I 第 2 部に従い脆弱性に効果的に対応することを求めています（第 13 条第 8 項）：
- サポート期間は最低 5 年（想定使用期間が 5 年未満の場合はその期間）で、終了日（少なくとも年・月）を購入時に明示する必要があります（第 13 条第 19 項）。
- サポート期間中に公開した各セキュリティ更新は、公開から少なくとも 10 年またはサポート期間終了まで、いずれか長い期間提供し続けます（第 13 条第 9 項）。
CISO は各段階の責任者と期限をプロセスと SLA に書き込み、複数の製品ラインを持つ場合は脆弱性の影響範囲を横断的に評価する仕組みも設計します。
30111 は 29147 や ISO 27001 と証跡をどう共有し、取締役会への報告にどう組み込みますか？
- 29147 と対で：29147 は外部からの受付と公表、30111 は内部の対応を担います。両規格は相互に参照し合い、プロセスもつながっているため、別々に導入すると引き継ぎ部分に監査上の欠落が残ります。
- ISMS に載せる：ISO 27001 を取得済みの組織は、CVD プロセスを既存の ISMS に載せ、文書と監査の仕組みを共有できます。
- 取締役会への報告：「上市上櫃公司資通安全管控指引」第 37 条は、取締役会または経営陣への定期的な情報セキュリティ報告を求めています。適用判断、報告訓練、監査結果を同じ報告にまとめられます。公開発行会社でない企業はこの指引の対象外ですが、任意で参考にできます。
積穗科研は CISO の ISO/IEC 30111 対応をどう支援しますか？
積穗科研のやり方（上の質問で私たちも検証してください）：
- 副社長・取締役クラスのコンサルタントが自ら担当し、外注しない
- 受付から公開までの各段階の責任者と期限を、監査可能なプロセスと SLA にし、ISO/IEC 27035、27036 とつなぐ
- SBOM 連携手順を整備。積穗自身の提供パイプラインでも SBOM を毎日生成、署名、監視
- 29147 と 30111 を対で導入
ISO/IEC 30111 導入支援、30111 コンサルタントの選び方、CRA は誰が主導するか。無料の仕組み診断を申し込む
ほかの役割から見たこのサービス
同じ役割のほかのサービス
- CISO が ISO 27001 を導入するとき：取締役会報告、ESG 加点、認証範囲をどう決めるか
- CISO が見る ISO 27701 と GDPR：越境データ、従業員データ、72 時間報告をどう管理するか
- CISO が向き合う NIS2：対象事業体か、複数国の拠点、取締役会、報告をどう整理するか
- CISO が向き合う DORA：EU の金融顧客にサービスを提供するとき、契約・報告・テストで何を準備するか
- CISO が向き合う EU CRA：主導者、24 時間報告、SBOM、予算をどう整理するか
- CISO が ISO/IEC 29147 を導入するとき：脆弱性の受付窓口、CVD 方針、CRA 報告をどうつなぐか
- CISO の IEC 62443 対応：どのパートを選び、EU CRA とどう関係するか
- CISO の TISAX 準備：評価レベル、ISA2027、期間をどう決めるか
- CISO の ISO/SAE 21434 対応：TISAX 以外に製品セキュリティで何を準備するか
- CISO の ISO 22301 導入：ICT 復旧、RTO、訓練をどう準備するか
- CISO の ISO 42001 導入：AI ガバナンスは 27001 と何を共有できるか
- CISO と EU AI 法：AI システムのセキュリティ、ログ、人による監督に何を備えるか
- CISO の営業秘密保護：通用する情報区分とアクセス記録をどう設計するか