2026年9月8日（火）・9日（水）に開催された「第11回 IoTセキュリティフォーラム 2026」（主催：横浜国立大学 先端科学高等研究院）において、当社グローバル戦略本部 執行役員 部長 伊藤 公祐が招待講演「EU CRAで考える製品セキュリティ品質」に登壇したことをお知らせいたします。
「IoTセキュリティフォーラム」は、IoT（Internet of Things）の実用化の黎明期であった2015年9月に第1回が開催され、横浜国立大学 先端科学高等研究院と民間企業が協力し、IoTの普及に伴い複雑化するサイバーフィジカルセキュリティの脅威や、セキュリティを評価・強化する先端技術、関連制度の動向を共有する産学官連携のフォーラムとして継続して開催されてきました。11回目となる今回は「フィジカル・デジタル融合時代におけるセキュリティの挑戦」をテーマに、リアル会場のKABUTO ONE HALL & CONFERENCE（東京都中央区日本橋兜町）とオンライン配信によるハイブリッド形式で、2日間にわたって開催されました（横浜国立大学先端科学高等研究院シンポジウム・シリーズ第68回、企画：「IoTセキュリティフォーラム」プログラム委員会、事務局：株式会社インプレス）。
伊藤は、初日となる9月8日（火）13時00分から13時30分まで、招待講演「EU CRAで考える製品セキュリティ品質」に登壇しました。欧州サイバーレジリエンス法（CRA）は、「デジタル要素を含む製品」のサイバーセキュリティ強化を目的とした法令であり、2026年9月に脆弱性・インシデントの報告義務が発効し、2027年12月11日以降は全要件の順守が求められます。本講演では、CRAが製造者に求める要件を整理するとともに、製品セキュリティを製品品質の一要素として捉える必要性について解説しました。
講演では、IoT機器を狙う攻撃パケットが年々増加している状況を示したうえで、自動車やIoT機器、医療機器において脆弱性がリコールや集団訴訟に発展した事例を紹介し、法規制の有無にかかわらず製品のセキュリティ品質に対する製造者の責任が問われている現状を説明しました。あわせて、ソフトウェアで制御されるデジタル製品では、セキュリティ上の脅威が製品安全上の事故に直結し得ること、2024年12月に施行された改正欧州PL法により、アプリケーションやオペレーティングシステム、AIシステムを含むソフトウェアが責任の対象に加えられ、品質保証の一環としての対応が求められることにも触れました。
また、「整合規格はいつ出てくるのか」「整合規格が出てこないとどこまで対応すればよいか分からない」という声が多く聞かれる現状に対し、整合規格の公開を待つのではなく、CRAの要件に記載されている事項を「少なくとも実施している」という状態にいち早く持っていくことがCRA対応の鍵であると述べました。さらに、2027年12月11日以降はCEマーキングによる適合宣言がCRA要件の順守宣言となることから、品質部門やCEマーキング担当部門と連携し、欧州で販売する自社ブランド製品とその技術文書の整備状況を早期に把握しておくことの重要性を説明しました。 GMOサイバーセキュリティ byイエラエは、今後も「世界一のホワイトハッカーの技術力を身近に」を掲げ、脆弱性診断、ペネトレーションテスト、セキュリティコンサルティング、製品セキュリティ・PSIRT支援などのサービスを通じて、お客様の製品セキュリティ対応と法規制への適合を支援してまいります。あわせて、フォーラムや講演活動を通じた情報発信にも継続して取り組み、安全で信頼できるデジタル社会の実現に貢献してまいります。
