PSIRT実践ガイド〜企業と顧客を守る戦略的アプローチ〜

第1章 製品セキュリティに対するメーカー責任とPSIRT
1―1 製品セキュリティとは
1―2 IoT機器を取り巻く環境
1―3 IoTセキュリティの法規制や国際標準の動向
1―3―1 Miraiを発端としたIoT向け法規制
コラム PSTI法成立までの背景
コラム 米国での製品セキュリティに関するガイドラインや法令の関係
コラム 欧州での製品セキュリティに関するガイドラインや法令の関係
1―3―2 国際標準化の動向
1―4 PSIRTの存在意義
第2章 PSIRTとは
2―1 PSIRTとCSIRTのちがい
2―2 PSIRTの全体像
2―2―1 「広義のPSIRT」と「狭義のPSIRT」
2―2―2 PSIRTの関係者
コラム ソフトウェア品質とは
コラム 欧州PL法の改正
2―3 PSIRTに必要となる機能とその準備
2―3―1 製品のセキュリティ問題発生時の取り組み
2―3―2 平常時の取り組み
2―3―3 PSIRTの運用準備
2―4 PSIRTに求められる人材
2―4―1 対外・社内調整人材
2―4―2 解析技術人材
2―4―3 品質評価人材
第3章 PSIRT基本機能の構築と運用
3―1 PSIRT構築手順
3―1―1 仲間集め
3―1―2 内部環境の分析
3―1―3 外部環境の分析
3―1―4 PSIRT体制の定義
3―1―5 PSIRT活動計画の策定
3―2 PSIRT構築・運用のTips
3―2―1 PSIRT体制のスタイルの選定
3―2―2 海外拠点の巻き込み方
3―2―3 PSIRTリーダー／責任者の選び方
3―2―4 PSIRTのキーポジション
3―2―5 脆弱性情報収集の方法
3―2―6 PSIRT運用計画
3―3 製品セキュリティ人材の育成
第4章 広義のPSIRTにしていくには
4―1 シフトレフトによるPSIRTの対象範囲の拡大
4―1―1 製品セキュリティ開発標準の策定
4―1―2 管理対象の拡大
4―2 PSIRTとしての成熟度の高度化
4―2―1 脆弱性情報の検知能力の高度化
4―2―2 脆弱性の効率的なトリアージ方法
4―2―3 脆弱性開示ポリシーの整備
4―2―4 環境の充実
4―2―5 人材の能力向上
第5章 CRAから見るPSIRT運用ポイント
5―1 CRAについて
5―1―1 CRA策定の背景と目的
5―1―2 CRAの対象
5―1―3 製造業に対するインパクトとは
5―1―4 CRAが製造者に求める主なセキュリティ要件
5―1―5 いつから対応が必要か
5―2 CRA各要求事項への対応の鍵
5―2―1 CRA対象製品・第三者認証対象製品の識別
5―2―2 製品セキュリティに関する各種規程・標準の整備
5―2―3 CRA対応主管部門の特定
5―2―4 製品ライフサイクル全体のセキュリティ教育・訓練計画の策定
5―2―5 リスクアセスメントプロセスの整備・実行・監査
5―2―6 サイバーセキュリティ要件への対応
5―2―7 サードパーティコンポーネントのセキュリティ対応
5―2―8 リリース前の脆弱性診断と証跡管理
5―2―9 生産フェーズのセキュリティ対応
5―2―10 SBOM対応
コラム SBOMフォーマットの選定
5―2―11 セキュリティアップデートの提供
5―2―12 技術文書・EU適合宣言書の保存
第6章 PSIRTの将来
6―1 サイバー環境の近況とPSIRTが直面する課題
6―1―1 攻撃者の変化
6―1―2 製品およびサービスの変化
6―1―3 法規制の変化
6―1―4 直面する課題
6―2 PSIRTの将来の方向性：PSIRT2.0
6―2―1 PSIRT機能のスマート化
6―2―2 PSIRTのトランスフォーメーション
付録A PSIRTについてもっと知る
A―1 国内外の製品セキュリティ関連のレギュレーションの把握
A―1―1 英国PSTI法
A―1―2 欧州無線機器指令委託法令RED―DA
A―2 国内外の製品セキュリティ関連の認証プログラムの把握
A―2―1 半導体業界標準SEMI E187・E188・E191
A―2―2 日本のセキュリティ要件適合評価およびラベリング制度JC―STAR
A―2―3 米国セキュリティラベリング制度Cyber Trust Mark
A―3 FIRST「PSIRT Services Framework」とは
A―3―1 フレームワーク作成の背景と目的
A―3―2 フレームワークで定義されている活動
A―3―3 PSIRT成熟度別に備えるべき機能
A―4 国内外のPSIRT整備状況調査結果