CRA対応コンサルティング

＜CRAとは＞
欧州市場で販売されるデジタル製品^*3に対してサイバーセキュリティ対策を義務付ける規制で、サイバーセキュリティリスクアセスメントの実施、サイバーセキュリティ要件への準拠、各種文書の作成、適合性評価（自己評価、認証取得または第三者評価）の実施、インシデント対応体制の構築と運用などが義務付けられています。
2026年9月より脆弱性報告義務、2027年12月に全面適用されます。

*3 ソフトウェアやハードウェアを含む他の製品やネットワークへ接続できるあらゆるデジタル製品が対象

＜CRA対応の課題＞
・CRAに対する自分達の理解が正しいか自信がない
・CRA要件と現状のギャップ分析が出来ない、または時間がかかりそう
・CRAの適用開始時期までの段取りを立てたいけれど、対策漏れが心配、
　対応にかかる時間がわからない
・適合性評価を依頼したい
・各種文書のレビューや作成を手伝ってほしい

Capgeminiの経験豊富なコンサルタントが、お客様の疑問や課題の解決をお手伝いします。また、製品の適合性評価もセキュリティ診断の専門家が実施し、脆弱性が発見された場合には推奨対策案をご提示します。お客様の状況や予算などのご要望に沿ったご提案をいたします。

＜CRA準拠の手順＞

例えば、CRAをこれから調査するお客様の場合は、まずはフェーズ0でCRAを深く理解することができます。また、フェーズ1の初期評価を行うことにより、お客様の現状とCRA要件のギャップ分析結果から、その後の進め方（ロードマップ）を策定し、この先の提供サービスの取捨選択や優先順位付けの変更など、柔軟な対応が可能です。
フェーズを区切ったスモールスタートにより、費用負担を抑え、期待したアウトプットかを判断してから次のフェーズに進むことができます。

IoT機器向けセキュリティ診断（ペネトレーションテスト）

＜ペネトレーションテストとは＞
攻撃者の観点から診断対象機器に対して疑似攻撃を行い、侵入を試みることで、脆弱性の有無やセキュリティ耐性を確認するテストです。製品を市場出荷する前に実施することで、堅牢性の向上や万一による改修コストやブランドイメージ棄損など被害損失の削減が見込まれます。

＜ペネトレーションテストの課題＞
・取引先からペネトレーションテスト実施の通達があったが、経験・知見が
　無く、何をすれば良いのか？
・開発製品に施したセキュリティ対策に問題はないのか？また対応は十分か？
・ある事業者より見積りを取得したが、はたして費用や内容は妥当なのか？

Capgeminiの経験豊富な専門家が、お客様の開発製品のセキュリティ対策・対応を第三者視点で確認し、脆弱性が発見された場合には、推奨対策案をご提示し、開発製品の堅牢性の向上をお手伝いします。また、お客様の予算や時期などのご要望に沿ったご提案をいたします

＜ペネトレーションテストの実施ステップ＞

初回ヒアリングから報告会まで、しっかり対応いたします。