UNR155適用で自動車業界に求められる対応とは（J-Auto-ISAC）

UNR155適用で自動車業界に求められる変化とは

奥山：
最初に、自動車のサイバーセキュリティ法規を取り巻く状況の変化について教えてください。2021年1月に策定された「UNR155」（※1）は、日本の自動車業界にどのような影響を与えていますか。

井上：
UNR155が策定されたことで、2022年7月以降に発売される新型車に対し、製品ライフサイクル全般を通じたセキュリティプロセス構築とセキュリティ対策が義務づけられるようになりました。これにより自動車メーカーやサプライヤは、UNR155で求められるサイバーセキュリティ体制の構築や運用だけでなく、UNR155で定められたプロセスが該当車両の開発や運用時に適用されていることを説明する必要があります。

もちろん、これまでも自動車メーカーは「Tier1」と呼ばれる大手サプライヤーなどとともに車両セキュリティ対策に取り組んできました。しかし、UNR155が策定されたことで、セキュリティ対応はさらに一歩進んだと感じています。

奥山：
UNR155は自動車メーカーやサプライヤに対し、製品出荷後のインシデントに対応することも求めています。井上さんは自動車業界におけるインシデント対応の必要性を、どのように捉えていらっしゃいますか。

井上：
ITシステムを狙ったサイバー攻撃と比較し、車載システムに対する攻撃はそれほど多く報告されていません。しかし、車載システムに対する脅威・脆弱性情報は日々報告されています。これらの情報を軽んじた結果、車載システムがハッキングされるような事態が生じれば、人命にかかわる大事故につながりかねません。

そうした観点からも自動車メーカーは、製品出荷後に発覚した脅威・脆弱性にも対応していかなければなりません。そのためには自社の車両に対する情報をリアルタイムで検知できるような体制を構築し、情報収集能力を強化する必要があると考えています。

納富：
サイバー攻撃に対峙するには、攻撃や脆弱性情報の収集・分析が不可欠です。自動車業界には日本自動車工業会（JAMA）や日本自動車部品工業会（JAPIA）など多くの業界団体がありますが、こうした団体でも車載セキュリティの情報を共有しているのでしょうか。

井上：
JAMAにおいても会員企業同士で脅威・脆弱性情報を共有する試みを実施していましたが、基本的には各自動車メーカーが独自に脅威・脆弱性情報を収集していました。「サプライヤを含めた自動車業界全体で情報共有をすべきだ」という意見は以前からありました。そうした背景から誕生したのが、「J-Auto-ISAC」です。

セキュリティプロセスを意識した技術アプローチとは

奥山：
少し話を戻しますが、先ほど「J-Auto-ISAC設立の目的は、加盟社の担当者が直接会って話ができる “場”を作ること」というお話がありました。率直な疑問なのですが、会員企業の皆さんは自社製品の脆弱性や自社で発生したインシデント情報を提供してくれるのでしょうか。

井上：
確かに会員の皆さんの中には直接の競合相手もいます。そもそも論なのですが、自動車業界には「業界全体で情報を共有しながら対策を講じる」という文化がまだ根付いていません。ですから、「情報提供をしてください」といっても、それだけではうまくいかないでしょう。ですが、現在のサイバー攻撃は複雑化・巧妙化しており、1社だけで対応するのは困難です。今後は、業界で情報を共有、知見を出し合って素早く適切な対応を決め、対策を行うことが重要だと思います。

UNR155の適用により、車両セキュリティに関する情報共有の必要性は高まります。ですから経営層には「車両セキュリティは自動車業界全体で取り組む課題であり、そのための情報共有は重要である」ことを理解してもらうことが大切です。

奥山：
UNR155の適用にあたり、セキュリティ対策にかかるコスト増への対策と、セキュリティプロセスを意識した効率的な開発・製造・管理が求められるようになります。これを実現するための技術的なアプローチを教えてください。

井上：
いろいろなアプローチがあると思いますが、検討を始めた2つのアプローチがあります。1つはSTIX（Structured Threat Information eXpression）などの機械処理できるフォーマットの活用です。STIXはセキュリティ関連組織での情報交換を目的に、脅威情報を標準化・構造化した形式で記述する規格です。脅威情報を迅速に共有・分析するための手段として注目されており、効率的に情報を収集していくという観点からも、その活用が期待されています。

ただし、STIXなどの利用には課題もあります。その1つが車両セキュリティに必要な情報の欠落です。ですから、車両セキュリティに必要な情報を記述できるフォーマットの整合も必要です。理想は、車両セキュリティに必要な情報と関連する脅威情報を統一フォーマットで記述できることです。

納富：
迅速に対応するという観点からも、フォーマットの統一は重要ですね。

井上：
もう1つは、共有された脆弱性情報が自社製品に該当するかをすぐに判断できる環境の構築です。考えられる手法の一つとしては、SBOM（Software Bill Of Materials：ソフトウェア部品表）の導入が挙げられます。SBOMはシステムで使用しているソフトウェアの構成要素を一元的に可視化するものです。

SBOMが整っていれば、その脆弱性を含んだソフトウェアが自社の車載システムに利用されているのかどうかを瞬時に確認できます。すでに米国ではSBOMを活用する動きはありますし、近々日本でも本格的に導入されるのではないかと思います。ただし、SBOMの運用にも課題はあります。

納富：
どのような課題があるのでしょうか。

井上：
その1つはコストです。SBOMは高額なツールからほぼ無償で利用できるものまでさまざまです。その点、自動車は人命がかかっていますから、一定以上のクオリティの製品を使用する必要があります。そうなるとどうしても高価なツールを導入することになってしまいます。

さらにSBOMは導入して終わりではありません。登録する際のルールを策定し、維持管理する必要があり、それにも一定の時間とコストと教育が必要です。特に、人的リソースが少ないTier 2やTier 3のサプライヤにもSBOMを導入してもらうためには、彼らにとって負担にならないような運用を考える必要があります。