少量生産を行うOEM向けの自動車サイバーセキュリティのベストプラクティス
Jesse K. Sultanik, ビジネスデベロップメントディレクター
2024年7月には、すべての新規または既存の「車種」が、サイバーセキュリティに関するUNR155の型式承認の対象となります。これは、業界にとって、そして世界中のドライバーと乗客の安全にとって、大きなマイルストーンになります。
間もなく施行されるこの規制により、規模を問わず、自動車メーカーは無数の課題に対応することを求められます。こうした課題は、年間生産台数が1万台以下のような少量生産を行う自動車メーカーにとって、特に深刻なものとなる恐れがあります。 技術に精通したEVのスタートアップであれ、歴史のある商用車メーカーであれ、小量生産を行うOEMは、新しいサイバーセキュリティ要件を満たすために、いくつか独自のハードルを越えなければなりません。
少量生産を行うOEMがこの新しい世界を切り開くために、サイバーセキュリティの主要な課題を取り上げ、サイバーセキュリティ設計に優れた車両と管理システムへの移行を行いやすくするためのベストプラクティスについて以下にまとめました。小量生産OEM向けのcompliance starter kitの詳細は、リンクからご覧いただけます。
少量生産OEMは一様ではありません
サイバーセキュリティに対する意識と準備の観点から、ほとんどの少量生産を行うOEMは、一般的に2つのカテゴリーに分類することができます： 1）ニッチ市場を主なターゲットとする歴史のある少量生産OEM（例えば、ハイエンドの高級車メーカー、セメントミキサーなどの特殊用途車メーカー、バスなどの商用車メーカー）、2）生産プロセスにアジャイル開発とソフトウェア中心主義を取り入れている過去10年間に創業した電気自動車（EV）スタートアップ企業
当然ながら、歴史のあるOEMとEV新興企業はそれぞれ異なる能力と文化を持っており、サイバーセキュリティに対する準備や、自動車の開発、製造、管理/保守におけるサイバーセキュリティのコントロールとプロセスを適用する能力に違いがあります。EVのOEMは、サイバーセキュリティの課題の理解という点では従来のOEMより先行している傾向がありますが、自動車規制の要件を満たすために必要とされる体系的で、反復可能な、認可され得るプロセスという点では経験が浅いようです。
しかし、こうした違いにかかわらず、あらゆるタイプの少量生産OEMに共通するサイバーセキュリティ・コンプライアンスの課題は数多く存在します。
複数の攻撃対象領域における課題をプロファイルする
少量生産メーカーの現状と関係なく、自動車のサイバーセキュリティ・コンプライアンスは非常に負担が大きいものです。サイバーセキュリティに関する検討をせずに新車の開発を始めたケース、あるいは、認可された既存の車両を継続して販売するつもりのOEMのケースを考えてみてください。こうしたケースでは、予期せぬ新たな出費と遅延を伴う変更要求が発生する可能性があります。
組織的・技術的なサイバーセキュリティの要件は、車両型式承認や販売の前提条件となっています。UNR155は、車両のプログラムや管理システムにおいて、サイバーセキュリティを「あると便利」から「なくてはならない」ものへと変化させています。それに伴い、少量生産OEMは、サイバーセキュリティに関するエンジニアリング、運用、管理のすべてのタスクについて、自分たちが利用可能な能力を評価し、成長させています。
少量生産OEMのタイプにより、課題は少しずつ異なります。技術に精通したEVのOEMは、ソフトウェア指向が強く、設計段階からサイバーセキュリティの必要性を認識しているかもしれませんが、歴史のある少量生産OEMに比べ、車両認証や自動車の市場投入に関する経験が少ない可能性があります。
いずれにせよ、歴史のあるOEMもEV新興企業も、サイバーセキュリティのノウハウやスキルセットを組織全体および車両プログラムに組み込んでいく必要があります。これらの要件を満たすために、OEMは能力を強化し、必要な作業や規模を評価し、コンプライアンスに向けた道筋を調整・計画する必要があります。
このような状況で、少量生産OEMは、人材と予算の二重の課題と向き合っています。自動車業界では、長い歴史を持つ企業であっても、利益の圧迫という課題に面していることは広く知られています。まだ第一世代、第二世代の自動車の販売規模を拡大していない新興OEMにとって、投資家の期待とサイバーセキュリティに関する追加の開発作業の必要性を整合させることは難しいかもしれません。
要件と投資額および能力の間にギャップがあるため、少量生産OEMは、サイバーセキュリティ担当ではないスタッフにサイバーコンプライアンスプロジェクトを任せています。多くの場合、機能安全や品質保証のマネージャーの責任範囲が増えることになります。
このアプローチは、一定のコスト感覚を保ちながら、新しい要件を満たそうとする努力を示しています。とはいえ、サイバー専門家ではない人に、サイバー関連の課題を克服するためのスキルやノウハウがすべて備わっているとは言えません。そのため、多くの少量生産OEMは、自動車サイバーセキュリティベンダーに目を向け、自社のニーズに合うような機能および製品を見つけて活用しています。
これらのベンダーと提携することで、少量生産を行うOEMは、プロセス導入や技術的対策の実施に関する経験を活用することができます。多くの場合、ベンダーは少量生産OEMが必要とするものを提供できます。例えば、要件を分析するための適切な知識ベース、サイバーセキュリティの実装作業（プロセスまたは製品）の経験、コンプライアンスの適用範囲および適切なリスク管理に必要なさまざまなサイバーセキュリティ対策（脅威監視、脆弱性スキャン、アクティブ検知、防御など）を提供できます。
少量生産を行うOEMにとってのベストプラクティス
上記の課題に効率的に取り組むために、少量生産OEMは、セキュアな自動車と製造組織を支援する以下の戦略を採用することができます。
- 新しい規制要件並びに、業界の最先端基準を満たすために、「サイバーセキュリティマネジメントシステム」におけるサイバーセキュリティの方針、プロセス、および手順を実装しましょう。UNR 155は要件をまとめているかもしれませんが、ISO/SAE 21434とASPICEは、安全とサイバーセキュリティ開発のための追跡可能で再現性のあるフレームワークを示しています。
- 車両、そのシステム、サプライチェーンに対する潜在的なサイバー脅威を理解するために、徹底したリスク評価を行いましょう。このような評価に基づき、適切なセキュリティ概念と要件を開発することができます。こうした活動に関するガイダンスは、ISO/SAE 21434サイバーセキュリティガイドに記載されています。
- セキュアコーディング、ペネトレーションテスト、ファジングテスト、脆弱性管理、侵入検知・解析、VSOCなど、分野横断的にサイバーセキュリティの意識とベストプラクティスの採用を高めるため、従業員に研修・教育を提供しましょう。
- サイバーセキュリティプロセスの確立、監視・分析目的のサイバーセキュリティコントロールの実装など、対象となる活動を加速させるために、ベンダーとの連携を検討しましょう。複数の自動車サイバーセキュリティ領域をカバーするような機能を提供するベンダーは、少量生産メーカーの担当者の時間とリソースを節約することができるかもしれません。
- UNECEが認定した技術サービスや試験・検査・認証機関と連携しましょう。完成車であろうとコンポーネントシステムの開発であろうと、結果として最終製品におけるコンプライアンス勧告や決定を行うような組織から継続的にフィードバックを受けることは、非常に有益です。
- すべてのソフトウェア材料、バージョン、アセットなどを含むデータベース、すなわちソフトウェア部品表（SBOM）を体系的に維持管理することにより、新規あるいは既存の脅威や脆弱性に対するリスクの程度を決定しましょう。メーカーは、最新のリスク分析を求められており、常に現場において、車両及び車両部品に対する既知の脆弱性を把握できるようにする必要があります。
- サイバーセキュリティシステム、プロトコル、対策計画を定期的に見直し、更新し、継続的なコンプライアンスと進化するサイバー脅威に対する防御を確実なものにしましょう。新しいリスク、脆弱性、技術を想定した定期的なリスクアセスメントは、UNR155で要求されており、ライフサイクルを通して適切なリスク管理を行うためにも必要です。さらに、UNR155に準拠するために、OEMのCSMSプロセスは3年ごとに再認証が必要になっています。これは、新しい脅威や進化する脅威とともに、新しく得た知見が関連するリスク管理プロセスに組み込まれていることを確認するためです。
- 新型車にセキュリティセンサーを搭載し、これらのセンサーとサービスレイヤインフラ（車両通信とコネクテッドサービス）から収集したデータを分析するために、クラウドベースのサイバーセキュリティを実装しましょう。これらの対策は、基本的なインシデント管理と報告、サイバー脅威の調査、攻撃の緩和のために重要です。
- サイバー脅威、脆弱性、攻撃の特定と、セキュリティ関連の設定やコンポーネントをOTA（Over-the-Air）アップデートで更新する機能を両立させましょう。インシデントの影響を最小限に抑えるため、リンプホームモードや機能の無効化など、フリート全体の対応も検討しましょう。
- セキュリティ関連データ（リスクアセスメント結果、テスト結果、要件文書など）の管理及び利用を支援するセキュリティ帳簿ツールを使用しましょう。一部のツールでは、リスク識別、影響分析、トレーサビリティなどの活動を自動化でき、効率性、知識の再利用、コンプライアンスの向上に役立てることができます。
- アフターマーケットのハードウェア/ソフトウェアを通じて車両にもたらされるリスクに対処するため、アフターマーケット製品と互換性のある車両領域からの通信を検査しましょう。物理的な分離方法に加え、OS/ハードウェア/認証メカニズムなど、他の分離技術も確立しましょう。少量生産OEMの場合、この種のリスクは、車両の使用目的に応じた脅威分析の範囲で対処することが特に重要なことがあります。
まとめ
少量生産を行うOEMは、UNR155の規制を遵守し、堅牢なサイバーセキュリティシステムを開発する上で大きな課題に直面しています。これらの課題を軽減するために、ソフトウェア・デファインドなコネクテッドカーを提供するOEMがコンプライアンスを確保し、サイバー脅威のリスクを軽減し、事業継続を確保するために参考にできるベストプラクティスとガイドラインがあります。外部の専門家、サプライヤー、ベンダーと緊密に連携することで、つまりバリューチェーンの中にある利用可能なサイバーセキュリティのノウハウを活用することで、少量生産を行うOEMはサイバー脅威がもたらす課題を克服し、可能性のある新しいビジネスモデルの価値を最大化することができます。