【略語・専門用語】

●CRA：Cyber Resilience Act：EUサイバーレジリエンス法。規則（EU）2024/2847。
●CRA第14条：製造業者による、現に悪用されている脆弱性および製品の安全性に影響を与える重大インシデントの報告義務を定める条項。
●SBOM：Software Bill of Materials：製品に含まれるソフトウェアコンポーネントおよびサプライチェーン関係を記録した正式な構成表。
●CVE：Common Vulnerabilities and Exposures：公開された脆弱性に付与される共通識別子。
●NVD：National Vulnerability Database：米国NISTが運用する脆弱性情報データベース。CVEにCVSSやCPE等の情報を付加する。
●CVSS：Common Vulnerability Scoring System：脆弱性の深刻度を評価する共通スコアリング方式。
●CPE：Common Platform Enumeration：ソフトウェア、ハードウェア、OS等を識別するための共通命名方式。
●KEV：Known Exploited Vulnerabilities：既知の悪用事実が確認された脆弱性に関する情報。
●OSS：Open Source Software：ソースコードが公開され、利用・改変・再配布が認められるソフトウェア。
●OS：Operating System：基本ソフトウェア。
●BSP：Board Support Package：SoCまたは基板上でOSを動作させるための基本ソフトウェア群。
●SoC：System on Chip：CPU、メモリ制御、周辺機能等を集積した半導体チップ。
●PSIRT：Product Security Incident Response Team：製品セキュリティインシデント対応組織。
●CSIRT：Computer Security Incident Response Team：コンピュータセキュリティインシデント対応組織。
●ENISA：European Union Agency for Cybersecurity：EUサイバーセキュリティ庁。
●トリアージ：検出された脆弱性候補について、製品への適用性、悪用可能性、影響度、優先順位等を確認・判断する作業。
●脅威分析：製品・システムに対する攻撃者、攻撃経路、攻撃シナリオ、保護対象資産等を整理し、脅威を特定する活動。
●リスク評価：脅威、脆弱性、悪用可能性、影響度等を踏まえ、製品に関するサイバーセキュリティリスクを評価し、対策の優先度を判断する活動。
●要件定義：リスク評価結果を基に、製品に必要なセキュリティ機能、設計条件、運用条件、検証要件等を明確化する活動。
●技術文書：製品および製造業者のプロセスがCRAの必須サイバーセキュリティ要件に適合していることを示す文書群。
●適合性評価：製品および製造業者のプロセスがCRAの必須要件を満たしていることを確認・実証する手続。
●EU適合宣言：製造業者が、製品が適用されるEU法令の要件に適合していることを宣言する文書。
●CEマーキング：製造業者が、製品が適用されるEU整合法令の要件に適合していることを示す表示。
●サポート期間：製造業者が、製品および統合コンポーネントの脆弱性を効果的に処理すべき期間。原則として少なくとも5年。
●セキュリティ更新：脆弱性への対処・緩和を目的として提供されるソフトウェアまたはファームウェアの更新。技術的に可能な場合、機能更新とは分離して提供することが求められる。
●実質的改変：市場投入後の変更で、CRAの必須サイバーセキュリティ要件への適合性に影響を及ぼす、または製品が評価された意図された用途を変更するもの。