自動車セキュリティ：自動車業界が迫られるセキュリティ対応
テクノロジーの進歩により、繋がることが当たり前となった自動車へのセキュリティリスクは、年々高まっており、製品安全を軸としたセキュリティリスクへの対策が急務となっております。
DNVは、従来の機能安全サービス(ISO 26262)での強みを活かしながら、2018年1月に立ち上げたCybersecurity Labo.が中心となり、自動車セキュリティサービスを提供しつつ、両分野のスペシャリストが協調して自動車のSafety & Securityをワンストップで提供することが可能です。
大きな転換期である自動車業界
自動車のIoT化は以前から言われており、インターネット接続が当たり前となったいま、自動車業界は大きな転換期を迎えています。また、繋がることの恩恵を受け、運転支援機能や自動運転等が普及し始めており、自動車開発において、今まで以上にソフトウェアの重要性が高まっています。「走る情報端末」として繋がることにより、ユーザの利便性などがより一層高まることを期待されていますが、セキュリティリスクへの備えが十分であるとはいえません。 このような背景から、自動車業界では、自動車に関わるセキュリティリスクへのケアとして、法規や国際規格が議論され、発行されています。
対象となる法規と国際規格
国連のWP29サイバーセキュリティタスクフォースにおいて、車両のライフサイクル全体にわたり、サイバーセキュリティを確保するための要件などを含めた以下2つの法規が策定されました。それぞれの法規は各国法規となり、法規要件を満たさなければ、車両の販売が出来ないことを指しています。また、新車・既販車に関わらず、順次、法規が適用されることになります。
• CSMS：Cyber Security Management System
UN-R155：サプライチェーンに関わる全ての事業者が連携し、設計・開発・
生産・運用等のライフサイクルを通じて、車両のセキュリティリスク
を軽減させるための要件ISO/SAE 21434：UN-R155の具体的な参照先
として策定されていますが、UN-R155の全ての要件には対応していない為、
UN-R155のみに記載のある要件にも留意し、対策を取る必要があります。
• SUMS：Software Update Management System
UN-R156：車両に組み込まれているソフトウェアのバージョンを適切に管理
し、ソフトウェアアップデート（SU）の影響範囲の特定や、セキュアな配信
の仕組みを保持・運用させるための要件
ISO/DIS 24089：UN-R156の具体的な参照先として議論中(2022年8月時点) 
法規対応による論証構造は機能安全と同じ
型式認定審査の申請をする組織は、事前にサイバーセキュリティやソフトウェアアップデートに関するマネジメントシステムのプロセス認定審査に合格する必要があり、それらを支える論証構造として、サプライチェーン全体でエビデンスを求められることになります。 
サイバーセキュリティ対策を下支えする情報セキュリティ
UN-R155は、車両のセキュリティリスクを軽減させるための要件であり、端的に言い換えると「車両自体をセキュアにするための活動」と言えます。一方、情報セキュリティは、情報資産の可視化やリスク基準策定、アクセス制御、物理的対策、インシデント対応等のための要件であり、端的に言い換えると「組織の情報資産を守るための活動」と言えます。つまり、車両自体をセキュアにする設計資産を、組織的な情報セキュリティ管理体制で保護することで、結果として、自動車自体を強くするサイバーセキュリティの活動をサポートすることになります。
また、国連が出しているUN-R155の解釈文書として、7.2.2.5節(サプライチェーン管理)では、情報セキュリティマネジメントシステム(ISMS)についても言及がされており、近年、取引先がCSMSに加えて、情報資産の保護という観点からISMSを要求しているのは、このような背景があるからです。
今、自動車業界が取り組むべきポイント
CSMSは、設計･開発、生産、販売･保守、廃棄の自動車のライフサイクル全体の活動に対して言及しており、設計･開発フェーズのみではなく、生産フェーズの工場のセキュリティ管理策や販売･保守フェーズにおける脆弱性監視やハンドリングも、法規や規格対応をする上で必要な対策となります。また、自動車のセキュアなOTAに対応するためにSUMS、CSMSやSUMSの土台として情報セキュリティ管理体制の構築が求められています。 
Cybersecurity LABが提供するサービス
CSMSを構築するためには、製品開発時における適切なサイバーセキュリティ対策をとるためのプロセスに加え、製品開発及び運用時における脆弱性監視やハンドリングをするためのプロセスが必要になります。
o CS開発プロセス構築支援
o CS開発におけるリスク分析支援
o PSIRTプロセス構築支援
o PSIRT監視・トリアージ運用代行支援
o 自動車セキュリティトレーニング
SUMSを構築するためには、SUにおける影響分析や構成管理・変更管理プロセス等が組織レベルにおいて適切に運用されている必要があります。また、DNVが策定し、無償で公開しているSU成熟度モデルを利用することにより、SUMSの組織レベルの成熟度を可視化し、より高いレベルでの改善が可能になります。
o SU関連プロセス構築支援
o SU成熟度モデル
o SU成熟度モデルトレーニング
情報セキュリティ体制を整えることで、試作品や量産品の設計情報等における情報資産の安全な取り扱いに加え、生産工場自体へのサイバー攻撃に対する防御策やBCPなどの対応が可能になります。
o 組織における情報セキュリティ：サイバーセキュリティガイドライン,ISO/IEC27001,TISAX
o 工場における情報セキュリティ：IEC62443
