ISO 24882とは、トラクターやショベルカーなどの農業機械・建設機械（農建機）に特化した、サイバーセキュリティの国際規格です。 欧州の「サイバーレジリエンス法（CRA）」への適合を見据え、自動車向け規格（ISO/SAE 21434）をベースにしつつ、農建機特有の要件が盛り込まれています。
本記事では、現在DIS（Draft International Standard）段階にあるISO 24882の概要と、自動車向け規格ISO/SAE 21434との違い、さらに他製品向けのEUにおけるサイバーセキュリティ法規との関係性について解説します。あわせて、農建機業界に関わる企業が今押さえておくべきポイントを整理します。
近年、自動車業界ではコネクテッド化やIoT化が急速に進み、自動車は単なる移動手段からネットワークに接続された情報端末へと変貌しています。この変化に伴い、サイバー攻撃のリスクが高まっていることを受けて、国連法規UN-R155[i]とそれに対応する国際規格であるISO/SAE 21434[ii]が策定され、活用されてきました。
このような状況はトラクターやショベルカーなどの農建機においても例外ではありません。遠隔操作、クラウド連携、OTA（Over-the-Air）によるソフトウェアアップデートなど、農建機もまたネットワークに接続された情報端末へと変貌しつつあり、自動車同様にサイバー脅威の対象となりつつあります。
そのような情勢を踏まえ、欧州ではCRA（Cyber Resilience Act）[iii]が施行されました。CRAではデジタル要素を含み、かつ、直接間接問わずネットワークまたは他の機器と通信する機器が対象となっており、農建機も対象と考えられることから、CRAに準拠することを示すためのサイバーセキュリティ規格を検討する必要が出てきました。
CRAでは整合規格の検討が進められていますが、農建機は農業や建設現場という特殊な環境で稼働するオフロード機械であり、外部との接続形態も複雑である、様々な用途に特化した農建機はロングテールであるから生産数が少なく製品仕様も個々で全く異なる、などの理由から、農建機の事情を鑑みた規格を検討する必要があります。また、車両というカテゴリでは既に自動車向けにISO/SAE 21434という規格が存在しますが、ISO/SAE 21434をそのまま農建機に適用することは、車両特性や規格のもととなる法規が異なるという点から難しいという課題感がありました。
こうした背景から、CRAの要求や農建機の特性を踏まえた統一的なサイバーセキュリティ規格である 国際規格ISO 24882の検討が進んでいます。ISO 24882はCRAの整合規格となることを目標に検討されています。[iv]
本規格は2025年12月末現在、ISO/DIS 24882[v]という形でDIS(Draft International Standard：国際規格案)が発行されており、関係者によって内容の審議が進められています。（下表参照）
|
ISO策定ステップ |
概要 |
期限 |
日付 |
|
NP (New work item Proposal) 登録 |
新規プロジェクト提案の承認。規格開発が正式に開始される段階。 |
ー |
2024/01/08 |
|
WD（Working Draft）検討開始 |
作業部会で初期ドラフト（作業原案）の検討を開始。技術的な骨子を議論し、次ステップまでにドラフトを固める。 |
NP登録から6か月以内 |
2024/04/25～ |
|
CD登録（Committee Draft）/ Enquiry段階 |
ドラフトが正式登録され、各国委員会によるレビュー・投票が行われる。 |
NP登録から12か月以内 |
2025/01/06 ～ |
|
DIS（Draft International Standard）登録 |
国際規格案として公開され、各国代表団体によるレビュー・投票が行われる。 |
NP登録から24か月以内 |
2025/10/08～※本ブログ掲載時はこちらのステップ |
|
FDIS（Final Draft International Standard）登録 |
最終国際規格案として公開され、各国代表団体による承認が行われる。 |
NP登録から30か月以内 |
2026年4月頃～2026年7月頃（弊社推測） |
|
IS（International Standard）発行 |
ISOから国際規格としてIS文書が正式に発行される。 |
NP登録から36か月以内 |
2026年7月頃～2027年1月頃（弊社推測） |
本記事は、ISO 24882の国際規格案であるISO/DIS 24882の内容をベースに記載しています。
本規格は、サイバーセキュリティのリスク識別、リスク対応、脆弱性対応に関するプロセス要件を定義しており、このプロセス要件は、製品（機械または部品）のプログラマブル電子システムに適用されます。
対象となるプログラマブル電子システムの例としては下表に示すものなどがあります。
|
例 |
正式名称 |
概要 |
|
ECU |
Electronic Control Unit |
電子制御を行う部品。CAN通信を用いるのが一般的で、制御する対象は、エンジン、ブレーキ、照明、エアコンなど多種多様である。 |
|
TCU |
Telematics Control Unit |
外部とデータ通信するモジュール。セルラー通信やWi-Fi通信などで外部とのデータをやり取りしている。 |
|
IVI |
In-Vehicle Infotainment |
カーナビやマルチメディア再生などの機能を持ったユニットBluetooth、USB、Wi-Fiなど多種多様なインターフェースを有することが多く、TCUの機能を内包している場合もある。 |
|
GW |
Gateway |
セントラルゲートウェイとも呼ばれる。制御系と情報系を切り離し、ファイアウォールのような役割をする。 |
以上を踏まえて、対象となる範囲を下図に示します。
プログラマブル電子システムが具体的にどのような製品に搭載されているものであるかの定義については、下表に示すように日本では農建機と呼称されるようなものが記載されています。
|
規格内に記載されている対象製品 |
具体的な例 |
|
農業機械 (Agricultural Machinery) |
収穫機、種まき機、農薬散布機など |
|
トラクター (Tractors) |
（使用業態に関わらず対象とするため明記していると考察） |
|
土木機械 (Earth-moving Machinery) |
ブルドーザー、ショベルカーなど |
|
建設機械 (Construction Machinery) |
クレーン車、ミキサー車、ロードローラーなど |
|
鉱山機械 (Mining Machinery) |
大型ダンプトラック、掘削機など |
|
林業機械 (Forestry Machinery) |
フォワーダ、ハーベスタ、プロセッサなど |
また、プロセス要件の適用範囲は製品ライフサイクルの全段階（製品開発、製造、運用、廃棄）となっており、他のサイバーセキュリティ規格に足並みをそろえています。
本規格でどのような内容が記載されているかを目次ベースで下表に記載します。
|
章番号 |
タイトル（和訳） |
|
1 |
適用範囲 |
|
2 |
規範的参照 |
|
3 |
用語定義および略語 |
|
4 |
一般的な考慮事項 |
|
5 |
対象システムのリスク評価 |
|
6 |
リスク軽減のためのサイバーセキュリティ技術要件 |
|
7 |
製品ライフサイクル |
|
8 |
脆弱性要件 |
|
9 |
サプライヤ対応（または第三者開発） |
|
10 |
文書化 |
|
Annex A |
役割の定義 |
|
Annex B |
影響の種類別損害シナリオと軽減策の例 |
|
Annex C |
サイバーセキュリティゴールと要件の例 |
|
Annex D |
ISO/SAE 21434での作業成果物とISO 24882での作業成果物の対応表 |
|
Annex ZA |
本欧州規格と、対象とする規則2023/1230/EUの必須要件との関係 |
ここで着目すべき主な章についていくつかピックアップして紹介します。
本章では、リスク評価の手法をステップ毎に記載しています。
内容についてはISO/SAE 21434にて求められているリスク評価手法を踏襲しており、本規格のAnnex DにてISO/SAE 21434のリスク評価結果の作業成果物を利用可能と書いてあることから、ISO/SAE 21434対応が済んでいれば本章の内容もある程度カバーできると考えられます。
本章では、農建機に求められる計25個の各サイバーセキュリティ技術要件（例：ソフトウェアの完全性・真正性検証、アクセス制御）と、それを満たしていることを示すための検証基準などが示されています。
要件だけでなく検証基準も併せて記載する方式は、無線機器製品向けのサイバーセキュリティ法規RED-DA（Radio Equipment Directive - Delegated Act）[vii]の整合規格であるEN18031シリーズ[viii]を踏襲した構成となっています。また、各種要件は、CRA Annex I – Part 1. (a)~(m)で定められたセキュリティ要求を意識した内容になっています。これら要件については、5章でのリスクアセスメントでの結果を踏まえて適用性を判断します。
本章で求められている要件の大半はEN18031シリーズに含まれていることから、現状はRED-DA対応をしておくことが望ましいと考えられます。
本章では、製品の製造元に義務付けられる、脆弱性の監視・分析・対応やVDP（Vulnerability Disclosure Program: 脆弱性開示プログラム）などに関する要件が示されています。
CRAではArticle 13 “製造業者の義務”、Article 14 “製造業者の報告義務”などの章で、脆弱性の報告義務や監視義務などが明記されており、それを実現するために必要な活動・作業成果物を定義しています。
本章では、市販、オープンソース、サプライヤから調達した部品をシステムに統合する際のセキュリティ担保、脆弱性管理などに関する要件を定義しています。こちらは、CRAではArticle 13 “製造業者の義務”で書かれているサプライチェーン管理の内容を意識した内容になっています。
以上より、ISO 24882は、自動車向け規格のISO/SAE 21434の内容を取り込みつつも、農建機として対応が必要なCRAの整合規格を見据えた内容であると言えます。
先ほど、本規格は自動車向け規格のISO/SAE 21434の内容を取り込んでいると述べましたが、Annex Dにて本規格とISO/SAE 21434の作業成果物の対応表があることから、これら二つの規格の違いを確認することができます。
Annex Dを踏まえて本規格を軸にISO/SAE 21434を比較したものを下表に示します。なお、完全に内容が一致しているわけではなく、記載内容やおおよその作業成果物の内容が一致しているという観点で紐づけをしております。
結果から、以下の3点が読み取れます。
ほとんどの章が取り込まれている一方、章そのものの数は減少しています。
これは、本規格がCRAを意識した製品向けのサイバーセキュリティ規格であるのに対し、ISO/SAE 21434はUN-R155を満たすためのCSMS活動、脅威分析の活動を記載しているからと考えられます。
また、CRAは製品のセキュリティを守ることに主眼が置かれており、組織的なプロセスに関する記載はあまりなく、プロセスに関しては企業に委ねられているように読めます。そのため、ISO/SAE 21434の5章の組織的なサイバーセキュリティ管理は除外されていると考えられます。
１の理由同様、CRAを意識した製品向けのサイバーセキュリティ規格であることから違いとして表れています。
CRAでは製品に必要なセキュリティ要件はAnnex Iに記載されていますが、抽象的な記載となっており、検証基準などは明確に記載されていません。
ISO 24882ではAnnex Iの要件を補完する形で記載されており、EN18031シリーズを踏襲した構成・内容となっています。
なお、ISO/SAE 21434では具体的なセキュリティ対策・検証基準は記載がされていませんが、ISO 24882では記載されているため、ISO/SAE 21434をベースとして拡張する場合には要件を取り込む必要があります。
ISO/SAE 21434では6章でコンポーネント利用に関する要件が記載されていますが、ISO 24882ではサプライヤ・OSSを利用する場合の要件などがより詳細に記載されています。
一部の項目はISO/SAE 21434の活動を実施していただけではカバーできないと考えられる項目が含まれているため、注意が必要です。8章の脆弱性管理に関してもCRAを意識した内容となっており、脆弱性監視要件、VDPなどCRAの要件を満たすように成果物などを記載しているのが印象的です。
ISO 24882は、農建機製品におけるサイバーセキュリティを向上させる、CRA準拠する上で参考となる重要な規格です。
自動車業界で培われた知見をベースにしつつ、無線機器製品向け法規のRED-DAにおける整合規格であるEN18031シリーズの内容のような、製品に対する具体的な要件が盛り込まれている点が特徴です。
農建機業界に関わる企業は、現状のDISをベースに早期に規格の内容を把握し、自社の開発・運用プロセスにどのように適用するかを検討することが推奨されます。
また、本ブログでも解説した通り、ISO/SAE 21434やEN18031への対応により、多くの要件をカバーできると考えられます。
当社では、ISO/SAE 21434ベースのリスクアセスメント評価支援や、EN18031シリーズで求められる自己認証作業の支援、農建機向けのセキュリティ評価に関する実績を多数保有しており、プロセス・技術の両面でセキュリティ法規対応をサポートいたします。
[i] United Nations Economic Commission for Europe (UNECE). UN Regulation No. 155: Uniform provisions concerning the approval of vehicles with regard to cybersecurity and cybersecurity management system (CSMS). Entry into force 10 January 2025. Geneva: UNECE
[ii] ISO/SAE. ISO/SAE 21434:2021 Road vehicles — Cybersecurity engineering. 1st ed. Geneva: International Organization for Standardization; Warrendale: SAE International.
[iii] European Parliament and Council. Regulation (EU) 2024/2847 of 23 October 2024 on horizontal cybersecurity requirements for products with digital elements (Cyber Resilience Act). Official Journal L 2847. Brussels: EU.
[iv] CEMA. UN-R155 versus CRA: an in-depth assessment. Informal document GRVA-18-20, 18th GRVA, 22–26 January 2024, agenda item 5(a). Geneva: UNECE. Available at: https://unece.org/sites/default/files/2024-01/GRVA-18-20e.pdf
[v] ISO. ISO/DIS 24882: Agricultural machinery, tractors, and earth‑moving machinery — Product cybersecurity. Draft International Standard. Geneva: International Organization for Standardization.
[vi] ISO. ISO/DIS 24882 Lifecycle. Geneva: International Organization for Standardization. Available at: https://www.iso.org/standard/88353.html#lifecycle
[vii] European Commission. RED Delegated Act (Regulation (EU) 2022/30) supplementing Directive 2014/53/EU on radio equipment. Brussels: EU.
[viii] CEN-CENELEC. EN 18031 series: Common security requirements for radio equipment. Parts 1–3. Brussels: European Committee for Standardization, 2024.