
TISAXの対象範囲の広がり―TISAX VCS 車両サイバーセキュリティ
自動車のデジタル化やサプライチェーンの複雑化などにより、自動車産業のサプライチェーン全体でサイバーセキュリティに対する要求が高まっています。今後リリースされる予定のTISAX VCSについて、確認項目の概要やISO/SAE 21434の要件との関連性について解説します。
自動車に関する国際法規であるWP29 UNR155に適合するため、車両OEMとサプライヤーは、適切なサイバーセキュリティ要件を導出し、それを満たす製品を開発することが求められています。PwCが提供する「WP29 Cyber Security Management System(CSMS)支援プラットフォーム」は、セキュアな製品開発において最も重要である脅威分析を効率的に実施するためのウェブツールであり、脅威や攻撃に関する最新の情報を提供します。
Playback of this video is not currently available
法規性に対応した製品を開発するためには、想定される脅威を特定し、そのための攻撃シナリオを検証することが重要です。また、それらの脅威および攻撃を防ぐためのサイバーセキュリティ要求を導出する「脅威分析」も必要不可欠です。
しかし、抜け漏れのない脅威分析を行うためには、それを証明できるだけの分析プロセスを確立する必要があり、そのためにはISO21434などのガイドラインを参照しながら自社の既存開発プロセスに合わせて検討を行うことが求められます。また、漏れのないセキュリティ要求を導出するためには、想定される脅威や、それを実現するための攻撃シナリオを網羅的に検証する必要があります。全ての資産・攻撃シナリオ・攻撃経路の組み合わせを検証するためには、膨大な数の組み合わせを検証しなければいけません。また、攻撃シナリオや攻撃経路を導出し、適切なセキュリティ対策を検討するためには専門的な知識が幅広く必要であり、常に最新の攻撃手法を収集し続ける必要があります。
PwCはセキュア開発において最も重要な要素である「脅威分析」の効果的な実行を支援するためのツールを提供しています。このツールを使うことで、ISOなどで定義された標準的なプロセスに沿って、事前に定義された脅威シナリオや攻撃パスをプルダウンメニューから選択することで効率的に分析することができます。また、このツールには最新の脅威情報や攻撃手法が組み込まれており、開発者がこうした情報を収集する手間を省くことができます。
PwCは、クライアントがこのツールを迅速かつ低コストで導入できるよう、ウェブアプリケーション(SaaS)として提供しています。
ツール内で定義されたプロセスおよびアウトプットは、業界標準であるISO21434で定義された活動や成果物(ワークプロダクト)をカバーしているため、利用者はツールに沿って分析を行うことで、透明性と説得力を持った脅威分析を行うことができます。
全ての資産、インタフェース、攻撃手法を組み合わせることで導出される膨大な数の脅威パターンをツール内に事前に定義してあるため、利用者はメニューから該当する製品や機能を選択するだけで分析を実行できます。また、定義された脅威シナリオや攻撃パスはPwCにより検証されているため、分析品質の向上が期待できます。
PwCはさまざまなソースから攻撃や脅威に関する最新の情報を継続的に収集および分析し、このプラットフォームのデータベースを更新しています。クライアントはこのデータを利用することで、自ら情報を収集・分析する手間を省くことができます。
自動車のデジタル化やサプライチェーンの複雑化などにより、自動車産業のサプライチェーン全体でサイバーセキュリティに対する要求が高まっています。今後リリースされる予定のTISAX VCSについて、確認項目の概要やISO/SAE 21434の要件との関連性について解説します。
脅威分析やリスク評価、セキュリティテストなどさまざまな用途での活用が期待できる「Automotive Threat Matrix」について、その特徴や「MITRE ATT&CK」との違い、活用イメージについて紹介します。
発行間近のAutomotive SPICE® for Cybersecurityの内容や、活用のポイントなどについて解説します。
PwCコンサルティング合同会社は、WP29 サイバーセキュリティ法規に基づくCSMS(Cyber Security Management System)への現在の対応状況について調査を実施しました。本稿では、その結果について解説します。
脅威分析やリスク評価、セキュリティテストなどさまざまな用途での活用が期待できる「Automotive Threat Matrix」について、その特徴や「MITRE ATT&CK」との違い、活用イメージについて紹介します。
WP29 CSMSに対応する製品開発実践のポイントを紹介する連載「WP29 CSMSに基づくセキュアな製品開発の実践」。第5回はソフトウェアに潜む既知もしくは未知の脆弱性を検出するため、仕様外の動作を検出する「ファジング」について紹介します。
WP29 CSMSに対応する製品開発実践のポイントを紹介する連載「WP29 CSMSに基づくセキュアな製品開発の実践」。第4回は開発の最後に実施する「脆弱性テスト」と「ペネトレーションテスト」に焦点を当てます。
WP29 CSMSに対応する製品開発実践のポイントを紹介する連載「WP29 CSMSに基づくセキュアな製品開発の実践」。今回は次のステップとなる攻撃シナリオに注目し、具体的な攻撃パス分析の手順を解説します。