
望ましいサイバーセキュリティの未来(自動車業界編)
SDV(Software Defined Vehicle)の普及に向け、日本の自動車産業は「4つの領域」における取り組みが求められています。各領域で対応が必要となる「ビジネス戦略」と「サイバー脅威」、および「望ましいサイバーセキュリティの未来」について、PwCの知見と公開情報をもとに解説します。
セキュリティ開発における検証フェーズに該当するファジングテストを車載機器に対して実行し、テストレポートおよび異常発見時における再現性を確保するためのエビデンス(入力データなどの実行ログ)を提供します。ファジングテストの実施にあたっては独自のファジングツールを用いており、製品仕様および動作環境に応じた柔軟な対応が可能です。
コネクテッド製品の普及や、これらに対するさまざまな脆弱性報告の増加に伴い、自動車を対象とした国連法規であるUN-R155(CSMS※)や、欧州のサイバーレジリエンス法(CRA)など関連する法規制の施行が相次いでいます。そしてコネクテッド機能を持つ製品開発に携わる企業は、これらのサイバーセキュリティ対策に迅速に対応することが求められています。
車載機器については、CSMSによるリスクベースのセキュア開発プロセスに基づいたサイバーセキュリティ対策を行う必要がありますが、「その対策が正しく設計・実装されているか」「対策が合理的に想定される脅威とリスクへの十分な対応となっているか」を確認、実証するためのテストが必要になります(検証と妥当性の確認)。
こうしたテストで用いられる代表的な手法として「ファジング」があります。ファジングは、脆弱性を発見するための手法として古くから活用されており、上述の検証と妥当性確認においては、「機能が正しく実装されていることを確認する」ために行う検証(脆弱性テスト)の1つとして活用することができます。また、妥当性確認(ペネトレーションテスト)において、攻撃者目線で未知の脆弱性を発見するためのアプローチの1つとして利用することも考えられます(PwCのサービスは、前者の「検証」で行われるテストを想定しています)。
このように、ファジングはセキュリティテストにおける有効な手段の1つですが、複数の機能を持つ製品のそれぞれの機能をテスト対象とする場合、ツールを購入するか、複数のツールを組み合わせなければ、実施したい機能全てに対してファジングを実行できないことがあります。加えて、対象製品に合わせたファズデータや環境の設定を自身で行わなければならないケースもあるため、ファジングを実行するために必要な工数が増大してしまう可能性があります。
※CSMS(Cyber Security Management System):サイバーセキュリティに関連するリスクを処理し、自動車をサイバー攻撃から保護するための組織的なプロセス、責任および管理を明確化したリスクベースアプローチの管理システム
PwCのファジングサービスは、自動車セキュリティに関する豊富な支援実績と、幅広い専門性を有する多様なPwCのプロフェッショナルが構築したファジングフレームワークにより、車載機器を中心とした製品の仕様やテスト要件に合わせて効率的かつ柔軟にファジングの実行を支援するサービスです。
ファジングサービスでは、ヒアリングによって決定した対象にファジングを行うための環境の構築から、ファジングの実行、実施レポートの作成までを包括的に支援します。テストで検出された問題の原因調査や関連資料作成などについては、クライアントの要望に応じてサポートします。個別にご相談下さい。
PwCのファジングサービスは独自実装されたツールを活用しています。ツールには以下のような特長があります。
標準規格に基づいたプロトコルであれば、主に車載機器を中心に過去の実績に基づいてあらかじめ用意されたファジング機能によって、必要最低限のセキュリティ品質を素早く確認することが可能です。また、後述するステートフルファジングによって、ECU(Electronic Control Unit、自動車の機能を電子制御するためのコンピュータ)間でシーケンシャルに通信を行うような機能にも対応することができます。
製品によっては、例えばCAN(Controller Area Network、シリアル通信の一種)のように物理層は規格化されているものの、実際の通信データはOEM各社によって異なるような独自の通信プロトコル(データ)を用いているケースや、ファジングツールが標準的にサポートしていない通信プロトコルのインターフェイスを持っているケースがあります。
これらのケースに対しても、独自開発されたツールによって柔軟にサポートプロトコルとして追加実装することが可能です。また、入力に対して出力が異なるインターフェイスになるような場合(例:CANインターフェイスへの入力に対して、電線によってモーターやアクチュエータを動作させる場合)において、CANへのファジングに加えて異なる出力インターフェイスに対する独自の死活監視を組み合わせるなどの対応が可能です。
プロトコルによっては複数の状態を持つケースがあり、状態を意識しないステートレスなファジングの場合、特定の状態のみに対してアプローチすることとなり、対象の機能に対するテストとしては不十分な場合があります。
PwCのファジングツールでは、プロトコル仕様に合わせて、ステートマシンを記述できるようにすることで、UDS(Universal Diagnostic Service、故障診断やリプログラミングを提供する機能)のセキュリティアクセス(チャレンジレスポンス)やセッションを確立することで初めて機能として正しく動作するようなソフトウェア※に対して適切にファジングを行うことができます。
※TCP/IPの3-way handshakeのような標準規格ではない独自のプロトコル(例:CANおよびUDS)の場合は事前に仕様情報の提供を依頼する場合があります。
SDV(Software Defined Vehicle)の普及に向け、日本の自動車産業は「4つの領域」における取り組みが求められています。各領域で対応が必要となる「ビジネス戦略」と「サイバー脅威」、および「望ましいサイバーセキュリティの未来」について、PwCの知見と公開情報をもとに解説します。
PwCは、『2022年グローバル自動車CSMS調査』において、OEMやサプライヤーがこれらのシステムをどの程度実装しているのか、今後さらにどのような取り組みを行っていく必要があるのかについて調査しました。
コネクテッドサーバーを介してのコネクテッドカーに対する攻撃可能性を検証するため、実施したハッキングコンテストにより発見された脆弱性などについて解説します。
脅威分析やリスク評価、セキュリティテストなどさまざまな用途での活用が期待できる「Automotive Threat Matrix」について、その特徴や「MITRE ATT&CK」との違い、活用イメージについて紹介します。
WP29 CSMSに対応する製品開発実践のポイントを紹介する連載「WP29 CSMSに基づくセキュアな製品開発の実践」。第5回はソフトウェアに潜む既知もしくは未知の脆弱性を検出するため、仕様外の動作を検出する「ファジング」について紹介します。
WP29 CSMSに対応する製品開発実践のポイントを紹介する連載「WP29 CSMSに基づくセキュアな製品開発の実践」。第4回は開発の最後に実施する「脆弱性テスト」と「ペネトレーションテスト」に焦点を当てます。
WP29 CSMSに対応する製品開発実践のポイントを紹介する連載「WP29 CSMSに基づくセキュアな製品開発の実践」。今回は次のステップとなる攻撃シナリオに注目し、具体的な攻撃パス分析の手順を解説します。
自動車のデジタル化やサプライチェーンの複雑化などにより、自動車産業のサプライチェーン全体でサイバーセキュリティに対する要求が高まっています。今後リリースされる予定のTISAX VCSについて、確認項目の概要やISO/SAE 21434の要件との関連性について解説します。
脅威分析やリスク評価、セキュリティテストなどさまざまな用途での活用が期待できる「Automotive Threat Matrix」について、その特徴や「MITRE ATT&CK」との違い、活用イメージについて紹介します。
発行間近のAutomotive SPICE® for Cybersecurityの内容や、活用のポイントなどについて解説します。
PwCコンサルティング合同会社は、WP29 サイバーセキュリティ法規に基づくCSMS(Cyber Security Management System)への現在の対応状況について調査を実施しました。本稿では、その結果について解説します。
Download PDF -
欧州におけるデジタル関連規制が急速に発展する中で、法令間の関係の適切な理解と効率的なコンプライアンス対応が課題となっています。金融セクターにおける「NIS2指令」と「DORA」への対応を事例として、課題へのアプローチを解説します。
Download PDF -
デジタル技術の進化や地政学的緊張の高まりの中で、企業は多数のサイバーリスクに直面しています。本レポートでは、法規制、生成AI、サプライチェーン、脆弱性管理、デジタルアイデンティティなどの急激な変化を考慮し、企業が取るべきリスク対応策について考察します。
Download PDF -
各国サイバーセキュリティ法令・政策動向シリーズの第2回目として、インド政府のデジタル戦略と組織体制、セキュリティにかかわる法律および規則とその動向などについて最新情報を解説します。
Download PDF -
2025年1月1日から施行されている中国ネットワークデータセキュリティ条例では、中国サイバーセキュリティ法、データセキュリティ法、個人情報保護法の法執行の度合いを調整・明確化しており、中国で事業を展開する企業にとって注目すべき内容となっています。本稿では同条例の規定内容を解説します。