車両サイバーセキュリティについて解説

認定認証機関であるDQSによる独立した概要。

ENX VCS（車両サイバーセキュリティ）は、自動車業界の組織を評価するための評価スキームです。サイバーセキュリティ管理システム車両およびそのコンポーネント向けのCSMS（コンシューマー・サプライ・マネジメント・システム）です。TISAX®を運営する団体と同じENX協会によって開発されたENX VCSは、サプライヤーがISO/SAE 21434およびISO/PAS 5112のガイダンスに沿ってCSMSを実施し、UNECE規則第155号（UN R155）の規制要件への準拠をサポートすることを実証できる、世界的に標準化されたテスト基準を提供します。

ENX VCSは、自動車バリューチェーン全体にわたって、製品、部品、ソフトウェア、またはサービスが車両のサイバーセキュリティに貢献する組織にとって重要です。これには、OEM、電子制御ユニットおよびコネクテッドコンポーネントのティア1サプライヤー、ソフトウェアおよびプラットフォームプロバイダー、エンジニアリングサービスプロバイダーなどが含まれます。顧客、特にUN R155型式承認義務の対象となるOEMは、サプライヤーに対し、独立した評価を受けたCSMS（サイバーセキュリティマネジメントシステム）の実証をますます強く求めています。

ENX VCSは2024年6月に開始され、その後段階的に拡大してきました。初期段階での無料登録は2024年末まで実施され、より広範な展開は2025年と2026年に継続されました。ENX VCSはTISAXとともにENXスキームポートフォリオに追加され、現在のTISAXレーベル一般的に、ENX VCS監査の前提条件となる。

ENX VCSがISO/SAE 21434と大きく異なる点の1つは、評価チームに対する厳格な資格要件です。特に、各評価チームには、自動車サイバーセキュリティおよび車両サイバーセキュリティ（VCS）分野における実務経験を有するVCS専門家を含める必要があります。

これらの資格要件は必然的にVCS評価のコストを増加させますが、同時に顧客にとって大きな価値をもたらします。経験豊富なVCS専門家が関与することで、技術的に健全で一貫性のある評価が保証され、面談時の議論がより有意義なものとなり、顧客は自動車業界における実際のサイバーセキュリティ実装に関する評価者の実践的な経験から恩恵を受けることができます。

クライアントは、VCS関連の拠点に対して、「VCS開発」、「VCS本番環境」、「VCS運用保守」の3つのVCSラベルのうち1つ以上を取得できます。これらのラベルにより、組織は顧客やその他の関係者に対して、自社の具体的なサイバーセキュリティ能力を示すことができます。利害関係者契約上責任を負うVCS活動に応じて異なります。

UN R155は2021年1月に発効しました。しかし、遵守が義務付けられる時期は管轄区域によって異なります。欧州連合では、UN R155は2022年7月以降に新たに承認されたすべての車両タイプと、2024年7月以降に新たに生産されたすべての車両に適用されます。中国は独自の国家サイバーセキュリティ規制であるGB 44495:2024を導入しました。これはUN R155の目的と概ね一致していますが、別の規制枠組みを構成しています。これは2026年1月から新たに承認された車両タイプと、2028年1月から新たに生産されたすべての車両に適用されます。

認証機関の視点から見たENX VCSとは何ですか？

認証機関の視点から見ると、ENX VCSは自動車業界の評価スキームであり、ENX協会が承認した監査プロバイダーが、組織のCSMSをISO/SAE 21434の要件、ISO/PAS 5112のガイダンス、およびENX VCSスキームの要件に照らして評価します。この評価結果は、ISO形式の認証書ではなく、ENXポータルを介して交換されるENX VCS監査結果となります。これは、概念的にはTISAXラベルの交換に相当します。

ENX VCSは、ENXスキームポートフォリオの一部としてTISAXと並んで位置付けられています。TISAXはサプライヤーのサイトにおける情報セキュリティに焦点を当て、ENX VCSは車両とそのコンポーネントに関するサプライヤーのCSMSに焦点を当てています。現在のTISAXラベルと確立されたQMSこれらは一般的にENX VCS監査の前提条件です。承認された監査プロバイダーによる第三者評価は、CSMSを証明する業界標準の方法であり、監査結果はENX交換メカニズムを通じて参加OEM顧客によって承認されます。

認証機関として、DQSは適合性を評価するだけで、サイバーセキュリティ管理システムの設計や実装は行いません。独立ENX VCS監査結果に価値があるのは、組織がCSMSを構築・運用し、承認された監査プロバイダーがそれを制度の要件に照らして検証するからです。

ENX VCSの主な特徴を一覧でご紹介します

ENX VCSの背景と推進要因

UN R155および車両型式認証

UNECE規則第155号は、サイバーセキュリティおよびサイバーセキュリティ管理システムに関する車両承認のための統一規定を定めています。車両メーカーは、開発、生産、および生産後のライフサイクル全体を通してサイバーセキュリティに対応するCSMSを運用していることを証明しなければなりません。OEMはCSMSに関する要求事項をサプライヤーに伝達する必要があり、サプライヤーは効果的かつ実証可能なCSMSを運用する必要があります。

ISO/SAE 21434 および ISO/PAS 5112

ISO/SAE 21434（道路車両－サイバーセキュリティエンジニアリング）は、自動車製品のライフサイクル全体にわたるサイバーセキュリティエンジニアリングの技術基準です。ISO/PAS 5112（サイバーセキュリティエンジニアリング監査ガイドライン）は、CSMS実装の監査に関するガイダンスを提供します。ISO/SAE 21434だけでは、UN R155のすべての要件を満たすには不十分です。UN R155はISO/SAE 21434を参照していますが、さらに規制上の要件を追加しています。ENX VCSは、これらの文書を評価基準として使用し、業界全体で監査結果を比較可能かつ交換可能にするスキーム手順を実装しています。

相互承認と重複監査の削減

自動車部品サプライヤーは、複数のOEM顧客からサイバーセキュリティ監査を受ける機会が増えています。ENX VCSは相互承認を基本設計としており、組織は1つの評価を依頼し、ENXポータルを通じて結果を共有することで、重複作業を削減します。TISAXとENX VCSを組み合わせることで、OEMはサプライヤーサイトの情報セキュリティに加え、車両製品および部品のサイバーセキュリティエンジニアリングに関する包括的な情報を得ることができます。

ENX VCSのコア要件

サイバーセキュリティのガバナンスと組織的背景

サイバーセキュリティ文化、ガバナンスの役割、ポリシー、および経営陣のコミットメントを確立する。CSMSは組織のより広範なガバナンスに組み込まれ、品質、情報セキュリティ、および機能安全管理と統合されなければならない。

サイバーセキュリティリスク管理（TARA）

ISO/SAE 21434に準拠した体系的な脅威分析およびリスク評価（TARA）を、車両資産およびそのサイバーセキュリティ関連インターフェースに適用します。特定されたリスクは、文書化された管理策と設計上の決定を通じて評価および対処されます。

製品ライフサイクルにおけるサイバーセキュリティ

サイバーセキュリティ活動は、コンセプト策定、製品開発、開発後（製造、運用、保守、廃止）、および要件管理、設計、統合、検証、妥当性確認などの支援プロセス全体にわたって実施されます。

継続的なサイバーセキュリティ活動

サイバーセキュリティ監視、脆弱性管理インシデント対応や製造後のサポートは、車両のライフサイクル全体を通して継続的に行われる活動です。国連規則R155では、サイバーセキュリティ管理システム（CSMS）の機能を継続的に維持することが明確に求められています。そのため、ENX VCSは、これらのプロセスの初期成熟度だけでなく、組織が長期にわたってこれらのプロセスを維持できる能力も評価します。

有効なTISAXラベルを維持するという要件は、組織の情報セキュリティ体制が、車両のサイバーセキュリティ活動に影響を与える可能性のある進化するIT脅威に対して効果的であり続けることを保証するものであり、この目的を補完するものです。

サプライヤーおよび分散開発管理

サプライチェーンにおけるサイバーセキュリティ管理：サプライヤーへの要件展開、サプライヤーの能力評価、インターフェース契約、および共同サイバーセキュリティ活動。ENX VCSは、OEMがサプライヤー基盤全体にわたるサプライヤーのサイバーセキュリティ能力を証明することを支援します。

監査プロセスと交換

評価は、ENX協会が承認した監査プロバイダーによって実施されます。評価結果は文書化され分類され、サプライヤーの同意およびENX VCSスキームの規則に従って、ENXポータルを通じて参加顧客と共有されます。

関心のある企業はENX参加者として登録することで、サプライヤーのVCSラベルの最新ステータスをリアルタイムで把握できます。これにより、ENXポータルは効果的なサプライヤー管理ツールとして機能し、組織はサプライチェーンのサイバーセキュリティ評価ステータスを確認し、継続的に監視することが可能になります。

ENX VCSの対象グループと適用分野

ENX VCSは、車両サイバーセキュリティに貢献する製品、コンポーネント、ソフトウェア、またはサービスを提供する組織を対象としています。一般的な対象範囲には、OEM（UN R155型式承認の準備および維持）、電子制御ユニット（ECU）、テレマティクスユニット、ゲートウェイ、インフォテインメントシステム、およびコネクテッドコンポーネントのティア1サプライヤー、サイバーセキュリティに関連する半導体、組み込みソフトウェア、およびハードウェアモジュールのティア2サプライヤー、車載およびバックエンドのソフトウェア/インフラストラクチャプラットフォームのプロバイダー、OEMおよびティア1サプライヤーに代わって開発を行うエンジニアリングサービスプロバイダーが含まれます。

OEMおよびティア1顧客は、ENX VCS監査結果とTISAXラベルをサプライヤー認定および継続的なサプライヤー管理の基準として活用しています。この制度は、顧客企業の調達、サイバーセキュリティ、エンジニアリング部門による情報に基づいた調達決定を支援し、複数のOEMにサービスを提供するサプライヤーの監査負担を軽減します。

自動車業界以外の組織は、ENX VCSではなく、ISO/IEC 27001などの業界固有の情報セキュリティおよびサイバーセキュリティのフレームワークを利用するのが一般的です。サプライヤーが自動車業界と関連業界（産業制御、医療機器など）の両方にサービスを提供している場合、並行して認証や評価を受けることがよくあります。

ENX VCSに関連する規格

TISAX®との関係

TISAXは自動車業界向けの情報セキュリティ評価制度であり、サプライヤーのサイトレベルの情報セキュリティ管理システムに重点を置いています。ENX VCSは、車両およびそのコンポーネントに関するサプライヤーのサイバーセキュリティ管理システムに重点を置いています。ENX VCS監査を受けるには、通常、有効なTISAX認証を取得していることが前提条件となります。これら2つの制度はENXポートフォリオの補完的な部分であり、互換性はありません。

ISO/SAE 21434 – 参照エンジニアリング規格

ISO/SAE 21434は、道路車両サイバーセキュリティエンジニアリングに関する国際規格であり、ENX VCSの技術的基盤となっています。ISO/SAE 21434は、単独ではUN R155のすべての要件を満たすには不十分です。ENX VCSは、OEMおよびサプライヤーがUN R155に準拠できるよう、構造化された評価スキームの中でISO/SAE 21434とISO/PAS 5112を活用しています。

UN R155と規制上の背景

UN R155は、サイバーセキュリティおよびCSMSに関する車両の承認要件を定めるUNECE規則です。UN R155は、各国で採用された後、多くの法域で規制法となっています。ENX VCSは、UN R155の要件に準拠したCSMSの実証をサポートしますが、ENX VCSの監査結果自体はUN R155の型式承認を構成するものではなく、型式承認は所轄の型式承認機関の責任となります。

ISO/IEC 27001と情報セキュリティマネジメント

ISO/IEC 27001は、情報セキュリティに関する認証可能な国際マネジメントシステム規格です。その適用範囲は自動車サイバーセキュリティよりも広範ですが、ISO/IEC 27001は、ISO/SAE 21434およびENX VCSの基盤となるマネジメントシステムの考え方と構造的に整合しています。多くの自動車部品サプライヤーは、TISAXラベルおよびENX VCS監査結果と並行して、ISO/IEC 27001認証を維持しています。