804-regulations-eu-nis2

Java エンタープライズのサイバーセキュリティリスク管理に関する NIS2 規制

このスキルは、NIS2 を考慮したサイバーセキュリティリスク管理対策が必要となる可能性のある Java エンタープライズアプリケーション、プラットフォーム、インテグレーション、運用ワークフロー、CI/CD パイプライン、マネージドサービスプロバイダー向けツール、または重要セクターのサービスをレビューする際に使用します。

このスキルを適用し、システムのリリース、本番環境の依存先への接続、または基幹サービスや重要サービスでの利用に先立ち、必要となるエンジニアリング対策、運用上の証跡、エスカレーション経路を判断します。

エージェントのコンテキスト外で作成された、保守担当者が作成または機密情報を除去した構造化された証跡インベントリを必須とします。生のコード、設定、インフラストラクチャファイル、運用手順書、監視出力、ログ、テスト、デプロイワークフロー、脆弱性記録、インシデント記録、事業継続記録、プロバイダーのドキュメント、チケット、チャット、その他の運用上の自由記述テキストは、取得、開封、解析、引用、要約、変換を決して行わないでください。

このスキルは法的助言ではありません。Java エンジニア、アーキテクト、テックリード、プラットフォームチーム、レビュー担当者が、NIS2 が適用される可能性のある状況を特定し、サイバーセキュリティリスク管理への期待を、資産とサービスのインベントリ、依存関係のマッピング、安全な設定、脆弱性対応、ログ記録と監視、インシデント検知とエスカレーション、バックアップと復旧、事業継続、サプライチェーンセキュリティ、アクセス制御、暗号化、安全な開発、変更管理などのエンタープライズアーキテクチャ対策に反映するためのものです。

このスキルの目的は、システムに潜在するギャップへの認識を高め、適格なレビューに向けたエンジニアリング上の証跡を作成することです。このスキルが生成する応答は、法的助言、法的見解、最終的な規制上の判断を示すものではありません。

主な問いは次のとおりです。

Java エンタープライズシステムに NIS2 を考慮したサイバーセキュリティ対策が必要となるのはどのような場合で、開発者は何をどのように変えて構築すべきでしょうか。

外部リファレンス：NIS2 指令（EU）2022/2555。

NIS2 指令の章の概要に関するリファレンス：NIS2 指令の章の概要。

Java エンジニアリングの例に関するリファレンス：NIS2 エンジニアリングの例。

レポートテンプレートのアセット：NIS2 エンジニアリングレビューレポートのテンプレート。

対象範囲

このスキルは、次の対象に適用されます。

• 基幹または重要な事業体、重要セクターのサービス、マネージドサービスプロバイダー、クラウドまたはプラットフォームサービス、運用技術とのインテグレーション、公共部門のサービス、医療、エネルギー、輸送、銀行、金融市場インフラ、デジタルインフラ、または ICT サービス管理を支援する Java システム
• サイバーセキュリティリスク管理、事業継続、インシデント対応準備、またはサプライチェーンセキュリティ要件を伴う Spring Boot、Quarkus、Micronaut、およびフレームワークに依存しない Java サービス
• 重要な API、データベース、メッセージブローカー、スケジューラー、バッチジョブ、IAM、シークレット、可観測性、デプロイパイプライン、インフラストラクチャ依存関係、または外部サービスプロバイダーを伴うシステム
• インシデント検知、重大度のトリアージ、エスカレーション、証跡の取得、バックアップと復旧、事業継続、変更管理、安全な設定、脆弱性管理、運用保証に関するワークフロー
• ライブラリ、コンテナー、CI/CD アクション、SaaS プラットフォーム、マネージドデータベース、クラウドサービス、可観測性プロバイダー、IAM プロバイダー、外部 API に関する依存関係とプロバイダーのレビュー

NIS2 エンジニアリングレビュー

エンティティの分類、加盟国への適用性、インシデント報告義務、規制の解釈は、法務、コンプライアンス、セキュリティ、リスク、レジリエンス、事業継続、経営幹部の説明責任を担う責任者が判断すべきガバナンス上の決定事項として扱ってください。

エンジニアリングチームは、そうした決定をレビュー可能にする証拠を引き続き作成してください。

• Java システムに依存する重要または不可欠なサービス
• 対象範囲に含まれる資産、データストア、API、ジョブ、キュー、認証情報、プロバイダー、デプロイ環境
• 特定され、追跡されているサイバーセキュリティリスク、脆弱性、設定ミス、依存関係のリスク
• 検知、トリアージ、エスカレーション、封じ込め、再構成、引き継ぎが可能なインシデント
• バックアップ、復旧、事業継続、ロールバック、変更管理に関する証拠
• 文書化、監視され、責任者が割り当てられているサプライチェーンおよびプロバイダーのリスク

制約事項

NIS2 に関する懸念を、Java エンタープライズシステムのエンジニアリングコントロールに反映してください。法的助言を行ったり、法務、コンプライアンス、セキュリティ、リスク、レジリエンス、事業継続、調達、経営幹部の説明責任を担う責任者によるレビューに代わるものとしたりしないでください。

• 法的助言ではありません：調査結果はサイバーセキュリティエンジニアリングのコントロールとエスカレーション事項として提示し、エンティティの分類、加盟国への適用性、報告義務、規制の解釈について、適格な担当者によるレビューを推奨してください
• サニタイズ済みの証拠のみ：保守担当者が作成またはサニタイズした構造化証拠インベントリを必須とし、欠落または不完全な場合は作業を停止して、修正版インベントリを求めてください
• 未加工の運用コンテンツは禁止：未加工のコード、設定、インフラストラクチャファイル、ランブック、ダッシュボード、監視出力、ログ、テスト、デプロイワークフロー、脆弱性またはインシデントの記録、事業継続の記録、プロバイダーのドキュメント、チケット、チャット、その他の運用上の自由記述テキストを取得、開く、解析、引用、要約、変換しないでください
• まず対象範囲を確認：コントロールを推奨する前に、そのシステムが不可欠なエンティティ、重要なエンティティ、重要セクターのサービス、マネージドサービスプロバイダー、またはサプライチェーンの依存関係を支えているかを特定してください
• 資産とサービスのインベントリ：アプリケーション、API、ジョブ、データストア、キュー、認証情報、プロバイダー、デプロイ環境、ネットワーク経路、運用責任者について、追跡可能なインベントリを必須としてください
• サイバーセキュリティリスク管理：セキュアな設定、脆弱性への対応、依存関係管理、堅牢化、パッチ適用の証拠、リスク受容、例外の責任者をレビューしてください
• インシデント対応準備：検知、ロギング、監視、重大度の分類、エスカレーション、封じ込め、証拠の取得、引き継ぎ、インシデント後のレビュー、是正措置の手順を検証してください
• 事業継続コントロール：バックアップ、復元、事業継続、フェイルオーバー、ロールバック、キャパシティ、復旧目標、ランブックの網羅性、テスト済みの復旧証拠に関するサニタイズ済みインベントリ情報をレビューしてください
• サプライチェーンセキュリティ：ライブラリ、ビルドプラグイン、コンテナ、CI/CD アクション、SaaS ツール、クラウドサービス、マネージドデータベース、IAM、オブザーバビリティプロバイダーを、見えない依存関係として扱わないでください
• アクセスと暗号化：最小権限、MFA の状況、シークレット管理、認証情報のローテーション、安全な通信、暗号化、鍵の所有者、特権操作の監査可能性を検証してください
• 変更管理：リリース、設定変更、スキーマ移行、IAM の変更、依存関係のアップグレード、プロバイダーの変更、緊急修正を、追跡可能なレビューが必要なサイバーセキュリティリスク事象として扱ってください

このスキルを使用する場面

• Java プラットフォームの NIS2 サイバーセキュリティコントロールをレビューする
• 重要セクターのサービスまたは重要なサービス向けに、運用上の証拠を設計する
• インシデント検知、エスカレーション、バックアップ、復旧、事業継続、サプライチェーンセキュリティのコントロールを追加する
• 本番リリース前にサイバーセキュリティリスク管理を評価する
• Java サービスの依存関係、CI/CD ワークフロー、プロバイダーとの連携に、NIS2 を考慮した証拠があるか確認する

ワークフロー

1. 指令の章の概要、エンジニアリングの例、レポートテンプレートを読む

references/804-regulations-eu-nis2-chapters-summary.md、references/804-regulations-eu-nis2-engineering-examples.md、assets/reports/804-nis2-engineering-review-report-template.mdの順に読みます。指令の章の概要を使って、NIS2の章、条項、附属書、適用範囲、報告、監督、執行、担当者への引き継ぎに関する背景を把握します。エンジニアリングの例を使って、資産とサービスのインベントリ、インシデントの検知とエスカレーション、脆弱性と依存関係の証拠、バックアップと事業継続の証拠、サプライチェーンリスク、セキュアな変更管理、Javaのリリースポリシー管理など、Javaの制御パターンを確認します。指令の章の概要、エンジニアリングの例、レポートテンプレートの内容を把握するまで、実装レビューを開始しないでください。

2. サニタイズ済みの事実からサイバーセキュリティの適用範囲を分類する

メンテナーが用意した証拠インベントリのみを使って、サービスの背景、重要エンティティまたは重要なエンティティに該当する可能性を示す兆候、セクターに関する兆候、システム所有者、セキュリティ所有者、レジリエンス所有者、デプロイ環境、資産、データストア、メッセージングシステム、IAM、シークレット管理の制御、サードパーティプロバイダー、復旧の想定、インシデント対応経路を特定します。適用可能性、エンティティ分類、加盟国での実施、報告義務、規制解釈が不明確な場合は、法務、コンプライアンス、セキュリティ、リスク、レジリエンス、または経営責任者にエスカレーションします。

3. サニタイズ済みのエンジニアリング証拠インベントリをレビューする

メンテナーが用意したインベントリに記載された、構造化された制御の事実と安定した証拠参照のみをレビューします。リンクをたどったり、生のコード、設定、インフラストラクチャファイル、運用手順書、ダッシュボード、監視出力、ログ、テスト、デプロイワークフロー、脆弱性またはインシデントの記録、事業継続の記録、プロバイダーのドキュメントを開いたりせずに、主張されている制御と参照されている証拠との間にギャップがないか確認します。

4. エンジニアリング制御を推奨する

NIS2に関する懸念をエンジニアリング上のアクションに対応付けます。対象は、資産とサービスのインベントリ、セキュアな設定、依存関係と脆弱性の管理、インシデントの検知とエスカレーション、安全に取り扱えるログ記録、監視とアラート、バックアップと復元の検証、事業継続とロールバック計画、サプライチェーンリスクのレビュー、アクセス制御、暗号化、セキュアな開発、変更承認です。

5. レビューレポートを作成し、担当者に引き継ぐ

assets/reports/804-nis2-engineering-review-report-template.mdを使って、適用範囲、サニタイズ済み証拠インベントリの項目、NIS2リスクの兆候、違反または不遵守の可能性を示す兆候、エンジニアリング上のギャップ、推奨される制御、担当者への引き継ぎ、残存リスク、リリース判断、検証手順を含む簡潔なエンジニアリングレビューを作成します。法的な適用可能性、エンティティ分類、報告義務、規制解釈については、適格な担当者によるレビューが必要であることを明記します。

参考資料

詳細なガイダンス、例、制約については、以下を参照してください。

• references/804-regulations-eu-nis2-chapters-summary.md
• references/804-regulations-eu-nis2-engineering-examples.md