自動車セキュリティのプロが語る｜安全・安心なモビリティ社会に向け、自動車業界が取り組むべきポイントとは？

JARI 伊藤：自動車のサイバーセキュリティに関して、欧州では2008年から2011年にかけて、EUプロジェクトの一環として、車載システムの脅威分析を目的としたEVITAプロジェクト（E-safety vehicle intrusion protected applications）などで、脅威の検討やHSM（Hardware Security Module）の開発が進みました。また、米国ではベストプラクティス、バグバウンティ、Auto-ISACなどの取り組みで先行していたため、最新動向を調査し、JARIが発行する「産業動向調査報告書」で報告していました。

ハードウェア開発も含めて先行して検討が進んでいたのが「車車間・路車間通信」^[1]のセキュリティでした。2010年代半ばまでは、車載ネットワークのセキュリティに関しては、必要性は認めながらもまだリスクは現実的ではない、という受け止め方だったと思います。

大きな契機となったのは、自動車の制御システムで広く使用されるCANプロトコル（Controller Area Network）の悪用に関するワシントン大学の研究や、アメリカで毎年開催されているセキュリティカンファレンスBlack Hatにおける2015年のジープ・チェロキーのハッキングに関する発表でした。

JARI 伊藤：自動車の電気・電子システムは長年、「悪い人はいない」前提で作られてきました。身分証明書を見せなくても、「今の速度はこれです」と伝えてきた情報をそのまま受け取り、正しいかも確認せずに使う仕組みで、コンピュータの世界で言うハッキングをやろうと思えばいくらでもできました。そこから国連規則やISOなどの国際規格が定められるまでには、業界としてさまざまな努力が重ねられてきました。

JARI 伊藤：EVITAプロジェクトの中で、ECUのセキュリティを高める仕組みとしてHSMの仕様が規定されました。しかし、関係者に感触を尋ねても、「一体いくらするのか、そんなもの使えるはずがない」という反応でした。また、HSMは、改ざんされていないソフトウェアが正しく起動することを担保するセキュアブートという仕組みをサポートしていましたが、起動に時間がかかり過ぎることが課題でした。自動車はエンジンをかけたらすぐ動かないと困りますから。

JARI 伊藤：セキュリティと利便性のバランスは大切だと思います。個人ユーザーの立場からすると、「鍵をどこかに無くしたら、車はもう動きません」となっても困ります。それに対して答えを用意しなければなりませんが、その答えが悪用される可能性がある——この板挟みに対する答えは単純には見い出しにくく、もう一工夫必要でしょう。

JARI 伊藤：その意味で、国連協定規則や国際規格が策定され、「どういった事柄を考えるべきか」「どこまでやるべきか」の枠組みが示されたのはとても意義のあることだと思います。

JARI 伊藤：2020年6月に国連欧州経済委員会（UNECE）のWP29（自動車基準調和世界フォーラム）というユニットで「サイバーセキュリティシステムに係る協定規則（第155号）：UN-R155」が合意されました。これにより、組織が守るべきサイバーセキュリティ管理システムと、その組織で作られる車両型式に対する要件が決まりました。

日本は「58協定」に加盟しており、同じく加盟国であるヨーロッパで型式認証を取得した自動車部品などは日本でも利用できます。この協定の加盟国はUN規則を国内法に反映させる約束になっており、前述の協定規則第155号もこの枠組みに組み込まれます。このため、サイバーセキュリティ管理システムについても、日本とヨーロッパでは相互に認証される方向になると思います。

一方、58協定に加盟していない国の代表格がアメリカです。アメリカは、スペックを定めた「車両等の世界技術規則協定（98協定）」には加盟しているのですが、日本のような型式認証制度はありません。

アメリカでは2015年のジープ・チェロキーのハッキングに関するデモの翌年、NHTSA（National Highway Traffic Safety Administration：米国運輸省道路交通安全局）がSAE（Society of Automotive Engineers：米国自動車技術者協会）と定例で開催している「Government-Industry Meeting（政府機関と業界団体との会議）

」に合わせて、主要な自動車メーカーと、Jeepのハッキングを報告した研究者の一人を招き、「サイバーセキュリティラウンドテーブル」という会議を開催しました。

この場でNHTSAの長官が強調したのは、「セキュリティの世界は日進月歩であり、今ベストな基準を作っても、明日それで十分とは限らないため、法律で規制するのは難しい分野です。だから、業界側が責任を持って、最適だと思われる対策をしっかりやりなさい」ということでした。国やNHTSAとしてはベストプラクティスを提示するものの、あくまでも責任は業界にあるという立場ですね。

もう一つ大きく異なる制度をとっているのが中国です。中国の場合、自動車の安全だけでなくナショナルセキュリティの観点も加わり、車のデータの越境移転に関しても規制されるなど、かなり事情が異なると思います。

JARI 伊藤：セキュリティに限った話ではありません。以前は環境汚染物質の利用が課題になりました。また欧州ではGDPRというデータ保護に関する規則が策定され、車のデータについても欧州内にデータセンターを設け、対応する必要があります。

JARI 伊藤：サイバーセキュリティは攻撃側と防御側の戦いで、防御できるスキルを持った人材がどうしても必要です。その意味で、NDIASさんのように自動車もセキュリティもカバーしている会社やそこにいる方々は貴重であり、そういう人たちをもっと増やしていくことが重要だと思います。同時に、セキュリティは蟻の一穴から崩れると言われますから、メーカー側も組織全体でレベルアップが必要だと思います。

過去の「機能安全」^[2]に関する取り組みが参考になるかもしれません。機能安全に関してはISO 26262という規格が10年以上前に発行され、「自動車業界としてどう対応すべきか」が課題となりました。そこで自動車メーカーを中心にJARIも加わって共同研究を行い、この知見を基に、業界の要請を受けて機能安全に関するトレーニングを開始しました。

それから10年以上経った現在では入門コース、技術者コース、それからアセッサ養成コースという機能安全のトレーニングをJARIで実施しており、まだまだニーズがあります。こうした経験から考えてサイバーセキュリティについても、深い専門知識が求められる技術者だけでなく、一般の方々に対しても継続的に人材育成を進めていくことが重要だと思います。

機能安全の場合、一度作り込んでしまえばあまり変化はありませんが、サイバーセキュリティは日進月歩で変わっていきます。継続的なトレーニングの必要性はさらに高いように思います。

JARI 伊藤：ISOの規格においても、サプライヤー選定の際に脆弱性対応能力の審査を求める項目があります。その基準は今後、どんどん高まっていくでしょうね。

JARI 伊藤：はい。ご要望をいただき、機能安全と同様にHORIBA MIRA社から教材に関して協力を得て、2023年2月から「入門コース」を開始しました。自動車関連の技術者だけでなく、全ての部門の方々に、基本的な用語から、自動車がどのように攻撃される可能性があるのか、自動車ならではの難しさ・IT業界との違いを紹介した上で、国連協定規則、国際規格であるISO/SAE 21434でどのような事柄が規定されているかといった最低限知っておくべき知識を、事例を交えて提供する内容です。

我々としては、もっといろいろなレベルの教育が必要だと考えています。たとえば、設計担当者がセキュリティに関する指摘を受けた時に、脅威をきちんと理解した上で適切な修正方法を提示し、指導できるセキュリティの専門家もいるでしょう。こうした高度な分野では、NDIASさんのような企業による専門的なプログラムが必要になると考えます。

JARI 伊藤：ドイツでは、情報セキュリティに関してサプライヤーの対応状況を測る基準「ISA（情報セキュリティ評価カタログ）」がISO/IEC 27002をベースに作られており、組織がこの基準にどの程度対応できているかの情報を調達側とでやりとりするTISAXという仕組みが整いました。国内でも自工会と部工会（JAPIA）がセキュリティガイドラインを策定しており、その中でレベルも定義されていますので、業界各社が対応すべき事項のレベル感の共有に使えると期待しております。

JARI 伊藤：もう一つ大事なのは、最近の車は自動運転に向けてどんどん進化し、機能が追加されていることです。その結果、新たな脆弱性が入ってくるリスクも高まっています。

また自動車の平均使用期間は10年弱ですが、それ以上同じ車に乗り続ける人もいらっしゃいます。マイクロソフトではOSのサポート期限を設けていますが、車で果たしてそれができるのか、そういった車のセキュリティをどう確保するのかの検討もこれからの課題でしょう。ですので、見通しは決してバラ色ではありませんね。

JARI 伊藤：業界のサイバーセキュリティに関する取り組みに対してさらなる底上げに一定の役割を果たしていきたいと思います。これまで機能安全の分野で多くの方々に基本的な知識、そして専門的な知識を身につけていただいた実績がありますが、同じようにセキュリティについても知識を持った人材を増やすお手伝いができたらと思っています。