前置き

こちらの続編です
【セキュリティギャルと学ぶ】【第１回】CRAで開発者が震える理由とは？ギャルが教える“作って終わり”終了宣言💖

セキュリティに詳しいおともだちへ
ミスがあったときは、ギャルに向けて優しく教えてあげてください

相棒紹介

セキュリティギャル　ミラちゃん

名前の由来
「未来（Mirai）」から“i”を取って「Mira」へ。
“i”は「infection（感染）」や「intrusion（侵入）」の象徴。
それを取り除くことで、安全な未来を映し出す鏡──ミラ✨

コンセプト
Miraiマルウェアのような脅威に立ち向かい、
開発現場のリアルを映して、みんなと一緒に考える存在💻💡

モットー
「守るって、カワイイ💅」
「ギャルでも、セキュリティ語れる時代っしょ💎」

ギャルと学ぼう本編

CRAのような“製品セキュリティ”の規制や、JC-STARなどの“IoTセキュリティ”の枠組みを説明していると、必ず出る疑問があります。

「うちの製品、機密情報扱ってないのに対象なんですか？」

これ、めちゃくちゃ自然な疑問なんだよね。

でもこの感覚の裏には、私たちが長年
“ISMS的セキュリティ観”に最適化されすぎていた
という背景があります。

さらにもう一つ重要なのが、

セキュリティは“公害対策”や“感染症対策”と同じ構造で動いている

という事実。
ここを押さえると、CRAをはじめとする製品セキュリティやIoTセキュリティが一気に理解しやすくなるんだよね💅✨

1. ISMS的セキュリティ＝「自分たちの情報資産を守る」

日本企業のセキュリティ文化は、長年ISMSを中心に発展してきました。

情報漏えいを防ぐ
内部不正を防ぐ
顧客データと社内情報を守る

つまり、

守る対象＝自社と顧客の情報

という世界観です。
だからつい、

「機密情報扱ってない＝セキュリティ関係なさげ？」

と思ってしまう。
でもこれは、CRAの世界ではまったく不十分。

「“セキュリティ＝機密守るもの”って思い込み、けっこうあるよね💅？」

2. CRAが守ろうとしているのは“社会の健全性”＝公害・感染症モデル

CRAは、ISMSとは守る対象がまったく違います。CRAは、

インターネットという“公共空間の健全性”と、社会を支える製品の“継続的な安全性”を守るための法律。

具体的には、

脆弱なIoTが攻撃の踏み台になる
古いソフトが感染源になる
パッチがないと攻撃が連鎖する
製品が乗っ取られて産業システムやインフラが止まるリスク
1社の脆弱性がサプライチェーン全体に波及する

こうした “社会に広がる影響” と “経済・インフラを止めないための安全性” を同時に守る仕組みになっています。

これはまさに、

🦠 感染症：他人にうつさない対策
🌫 公害：社会全体を汚染しない対策

に加えて、

⚙️ 経済安全保障：製品が止まると社会機能が止まる問題

まで巻き込んだ考え方なんだよね。

「公害とか感染症と同じで、“みんなでやらないと意味ない”系ってこと💉🌫✨」

3. なんで法律なの？ → 企業にもユーザーにも“メリットが薄い”から

製品セキュリティは、構造的に 市場原理では改善しにくい、“市場の失敗（market failure）”が起きやすい 分野です。

メーカー側

パッチ提供はコストになる
セキュリティ強化しても売上が上がらない
“安さ・早さ”が勝ちやすい市場

ユーザー側

セキュリティ品質を比較する文化がない
アップデートの恩恵が見えづらい

つまり、

“やっても儲からない”のが根本問題。

これは公害対策や感染症対策と同じ構造です。
だからEUは明確に言ったわけです。

「全員やらないと意味ないので、法律で義務化します」

CRAは、“社会全体を守るための強制力”なんだよね。

「ワクチンも公害対策も“やった方がいいけど自発的には進まない”から、仕組みになってるんだよね💅」

4. 混乱の理由 → 私たちが“ISMSモード”で世界を見ているから

「セキュリティ＝情報保護」という前提のままだと、

機密情報のない製品のリスクが見えない
公共空間への影響をイメージしづらい
CRAの目的がつかみづらい

というギャップが発生します。

でもCRAは守る対象が根本から違う。

ISMS：自分と顧客を守る
CRA：社会を汚さない・他人にうつさない

この違いが分かると、一気にクリアになるんだよね💡✨

✔まとめ

日本企業はISMS的な“機密中心”のセキュリティ観に偏りがち
CRAは“社会の健全性”を守る、公害＆感染症モデル
社会・インフラを止めないための“経済安全保障”的な視点も重要
製品セキュリティは市場原理では改善しない

だからこそ、

セキュリティは“自分ごと”から“社会ごと”へ。
CRAはそのための仕組み。

「セキュリティって空気と同じじゃん✨ 一社だけ頑張ってもキレイにならない！

未来のサイバー空間は、みんなでキレイにしてくんだよ💖 」

参考資料

「セキュリティ経済学」の誕生。技術でなく、人間を見つめる時代へ。【セキュリティ3】#99 - ゆるコンピュータ科学ラジオ

サイバー攻撃から暮らしを守れ! 「サイバーセキュリティの産業化」で日本は成長する
高市早苗 (著), 藤井龍二 (イラスト)