
TISAXの対象範囲の広がり―TISAX VCS 車両サイバーセキュリティ
自動車のデジタル化やサプライチェーンの複雑化などにより、自動車産業のサプライチェーン全体でサイバーセキュリティに対する要求が高まっています。今後リリースされる予定のTISAX VCSについて、確認項目の概要やISO/SAE 21434の要件との関連性について解説します。
2021年1月、国連欧州経済委員会(United Nations Economic Commission for Europe)の自動車基準調和世界フォーラム(WP29)において、自動車のサイバーセキュリティ対応の国連標準であるUNR155が策定されました。これを受け、自動車OEMおよびサプライヤーには、製品ライフサイクル全般を通じたセキュリティプロセス構築とセキュリティ対策の実施が義務づけられています。
PwCは、自動車OEMおよびサプライヤーがUNR155対応において求められる、自動車の企画・開発/設計・実装・テスト、市場運用のセキュリティプロセス構築・高度化・実施を支援します。
2020年、国連欧州経済委員会における自動車基準調和世界フォーラム(WP29)の分科会であるGRVAのサイバーセキュリティ専門家会議で、自動運転車のサイバーセキュリティとソフトウェアアップデート標準が策定されました。このうちCSMS(Cyber Security Management System)の整備を含むサイバーセキュリティの標準がUNR155です。
UNR155は、プロセスとプロダクトの2つの観点での認証が必要となります。プロセス面では、認証当局(日本では独立行政法人自動車技術総合機構の交通安全環境研究所が該当)により、自動車OEMのサイバーセキュリティ体制や仕組みの認証と監査が3年ごと(初期)に行われる予定です。プロダクト面では、認証されたプロセスに沿って車両が開発・生産されているかどうかの実証が求められます。
今後、日本をはじめとする車両などの型式認定相互承認協定の対象国において、車両の型式認定を取得するには、UNR155で求められる組織体制や製品ライフサイクルを通じたリスクベースのセキュリティプロセスを体系的に構築・運用し、当該プロセスが実際の車両に適用されていることを実証する必要があります。
UNR155によって、自動車OEMやサプライヤーは、新たに以下のような対応が求められています。
製品に関わる全プロセスについて、自社内での組織としてのサイバーセキュリティ管理プロセスだけでなく、自社外のサプライチェーンとアフターマーケットサービス全体についてもサイバーセキュリティを担保する必要があります。
開発工程では、特に外部設計、実装、結合/システムテストのフェーズで法規に適合している必要があります。
市場運用ではPSIRT(Product Security Incident Response Team)を軸として、以下の活動が必要となります。
PwCは、自動車OEMおよびサプライヤーがUNR155対応において求められる、自動車の企画・開発/設計・実装・テスト・市場運用のセキュリティプロセス構築・高度化と施策の実施を支援するだけでなく、その実現に必要なセキュリティ人材の育成をサポートします。
UNR155が定めるセキュリティプロセスの構築・高度化に向けて、既存プロセス・組織や役割の把握、標準とのギャップ分析を実施。あるべきセキュア開発・運用プロセスの方向性を定め、社内規程・文書の作成を支援します。
製品開発や運用時のセキュリティ施策について、リスク分析・脅威分析・ペネトレーションテスト・PSIRT運用など、標準準拠に必要となる施策の定義から実運用体制の整備までを支援します。また、必要に応じてPwCが施策の実施も伴走しながらサポートします。
UNR155対応を自社で運用するために必要な人材の育成を支援します。セキュリティに関わる人材像・スキル定義、セキュリティ教育などの企画から従業員向けの製品セキュリティの講義やe-learning化などの実施までを一貫してサポートします。
自動車のデジタル化やサプライチェーンの複雑化などにより、自動車産業のサプライチェーン全体でサイバーセキュリティに対する要求が高まっています。今後リリースされる予定のTISAX VCSについて、確認項目の概要やISO/SAE 21434の要件との関連性について解説します。
脅威分析やリスク評価、セキュリティテストなどさまざまな用途での活用が期待できる「Automotive Threat Matrix」について、その特徴や「MITRE ATT&CK」との違い、活用イメージについて紹介します。
発行間近のAutomotive SPICE® for Cybersecurityの内容や、活用のポイントなどについて解説します。
PwCコンサルティング合同会社は、WP29 サイバーセキュリティ法規に基づくCSMS(Cyber Security Management System)への現在の対応状況について調査を実施しました。本稿では、その結果について解説します。
脅威分析やリスク評価、セキュリティテストなどさまざまな用途での活用が期待できる「Automotive Threat Matrix」について、その特徴や「MITRE ATT&CK」との違い、活用イメージについて紹介します。
WP29 CSMSに対応する製品開発実践のポイントを紹介する連載「WP29 CSMSに基づくセキュアな製品開発の実践」。第5回はソフトウェアに潜む既知もしくは未知の脆弱性を検出するため、仕様外の動作を検出する「ファジング」について紹介します。
WP29 CSMSに対応する製品開発実践のポイントを紹介する連載「WP29 CSMSに基づくセキュアな製品開発の実践」。第4回は開発の最後に実施する「脆弱性テスト」と「ペネトレーションテスト」に焦点を当てます。
WP29 CSMSに対応する製品開発実践のポイントを紹介する連載「WP29 CSMSに基づくセキュアな製品開発の実践」。今回は次のステップとなる攻撃シナリオに注目し、具体的な攻撃パス分析の手順を解説します。
サイバー攻撃の増加により、企業はサプライチェーン全体のセキュリティ対策を強化する必要に迫られています。本稿では、サプライチェーンのデジタルリスクとその対策について、経営層80名、セキュリティ部門200名を対象とした実態調査結果をもとに解説します。
2025年5月17日までに施行される経済安全保障分野におけるセキュリティ・クリアランス制度に関して、特に影響があると見込まれる事業者や事業者の担当者において必要となる対応を、2025年1月31日に閣議決定された運用基準を踏まえて解説します。
SDV(Software Defined Vehicle)の普及に向け、日本の自動車産業は「4つの領域」における取り組みが求められています。各領域で対応が必要となる「ビジネス戦略」と「サイバー脅威」、および「望ましいサイバーセキュリティの未来」について、PwCの知見と公開情報をもとに解説します。
AIやクラウド技術の進歩に伴いアタックサーフェスの拡大が続き、規制環境も常に変化しています。PwCが77カ国のCxOを対象に実施した本調査によると、サイバーセキュリティレジリエンスを構築するにあたり、企業には解消すべきギャップがあることが分かりました。
自動車に関する国際法規であるWP29 UNR155に適合するため、車両OEMとサプライヤーは、適切なサイバーセキュリティ要件を導出し、それを満たす製品を開発することが求められています。PwCが提供する「WP29 Cyber Security Management System(CSMS)支援プラットフォーム」は、セキュアな製品開発において最も重要である脅威分析を効率的に実施するためのウェブツールであり、脅威や攻撃に関する最新の情報を提供します。
Playback of this video is not currently available
車両のデジタル革命によって、次世代のモビリティ社会が形作られる一方で、各国の政策や規制により変化の速度が決定されている面があります。その要因の一つがサイバーセキュリティへの懸念です。
車両サイバーセキュリティに関する国際規格や製品ライフサイクルにおける重要論点の解説やクライアントとの対談を通じ、車両サイバーセキュリティの将来をひもときます。