自動車業界におけるデジタル変革が本格化しています。自動車の設計は、可能な限りメカニカルな要素からエレクトロニクスへの移行が進んでいます。E/E(エレクトリカル/エレクトロニクス)コンポーネントの搭載が増加することで、自動車はより高性能になり、安全性も向上します。しかし、同時にサイバー攻撃のリスクも高まります。このため、国連は最新のサイバーセキュリティ管理システム(CSMS)の導入を義務付けるUN R 155規則を採択し、2024年7月から完全施行されることになりました。

ISO/SAE 21434規格「道路運送車両-サイバーセキュリティ・エンジニアリング」には既にガイドラインが存在し、公式の要求事項として参照されていますが、実際には不十分な点があることが指摘されています。これに対応するため、ENX協会はVCS審査(Vehicle Cyber Security Audits)という新しい認証を開発しました。弊社のブログ記事では、自動車業界の企業がISO/SAE 21434に単に準拠するだけでなく、この審査プログラムが新しい規制へのより確実な適合を証明する理由について詳しく解説しています。

自動車業界のサイバーセキュリティに関する新規制の重要性

新たな自動車サイバーセキュリティ規制により、2024年7月から新たに製造されるすべての自動車には拘束力のある要件が適用されます。この要件を満たさない場合、各モデルシリーズは型式承認を受けることができません。サイバーセキュリティマネジメントシステム(CSMS)の導入を義務化したことで、すべての車両コンポーネントを含む包括的なサイバーセキュリティが実現されることを当局は目指しています。

車両に搭載されるコンポーネントの多くは、自動車メーカーのサプライチェーンから供給されています。UN R 155規則は、これらのメーカーが供給する部品のサイバーセキュリティに対して責任を負うことを定めています。しかし、メーカーが部品のサイバーセキュリティに影響を与えるためには、サプライヤーとの契約上の合意を通じて行うことしかできません。そのため、自動車メーカーはリスク管理の一環として、長期的に必要なサイバーセキュリティを保証し維持するために、明確な契約とサプライヤーに対する適切な審査に依存しています。

新規制はどのような問題に対処するのか?

立法者によるUN R 155(およびソフトウェア更新に焦点を当てたUN R 156)の導入は、道路運送車両におけるソフトウェア制御コンポーネントとサイバーセキュリティに関連する複雑な問題に対処することを目的としています。以下のような重要な問題に注意を喚起しています:

  • ソフトウェアの安全性の保証
    ソフトウェアが安全に設計、開発、実装されていることをどのように保証できるかが重要です。これには、ソフトウェア開発プロセス全体を通じた厳格なセキュリティ基準の適用が必要です。
  • 生産プロセスにおけるソフトウェア管理
    生産プロセスにおいて、コンポーネントが意図されたソフトウェア・バージョンのみを搭載することをどのように確保するかが課題です。また、関連する生産システムは、コンポーネントに適切なソフトウェア保護をどのように実装するかも重要です。
  • 長期的なセキュリティの監視と是正
    コンポーネントのセキュリティイベントが記録され、脅威が10年後でも更新によって効果的に是正されることをどのように監視するかが求められます。これには、長期的なサイバーセキュリティの監視体制と定期的なソフトウェア更新のプロセスが必要です。

ISO 21434 認証が解決策となるか?

これらの疑問に答えるために、UN R 155は、自動車メーカーにISO/SAE 21434に準拠したサイバーセキュリティ管理システム(CSMS)の確立を求めています。この規格における「サイバーセキュリティ」という用語は、自動車産業において特に道路走行車両のコンピュータシステム、ネットワーク、およびそれらのデータの保護を指します。これには、自動車で使用されるデジタルシステムのセキュリティと完全性を確保するための対策と戦略が含まれます。

サイバーセキュリティを確保するために、この規格は次のプロセスと手順を規定しています。

セキュリティ設計
自動車のコンピュータシステムが安全に設計されていることを確認します。

製品開発と保守
製品のライフサイクル全体において、セキュリティが維持されるよう管理します。

リスク検出と危険防止
潜在的な脅威やリスクを早期に発見し、適切な対策を講じます。

製品廃棄と継続的プロセス
製品の廃棄においてもセキュリティが損なわれないようにし、継続的にプロセスを改善します。

このように、ISO/SAE 21434は、脅威とリスク分析(TARA)と呼ばれるサイバーセキュリティにおけるリスク評価のプロセスモデルを含む、CSMSの包括的なアーキテクチャモデルを提供しています。

以下に、UN R 155の要求事項を満たすために純粋なISO/SAE 21434認証に反対する論拠を示します。

自動車サイバーセキュリティ:2024年7月からの新規制

デジタル化の進展に伴い、サイバー攻撃のリスクは急速に高まっています。自動車メーカーは、その技術とデータの価値から多くの点でサイバー犯罪者にとって魅力的な標的となっています。自動車メーカーを保護するためにどのような規制が設けられているのか、ぜひ当社のブログ記事をお読みください。

To the blog article

ISO/PAS 5112を使用した審査の要件

ISO/SAE 21434は、CSMS(サイバーセキュリティ管理システム)の審査方法に関して多くの解釈の余地を残しています。そのため、ISO/PAS 5112は、組織のサイバーセキュリティとCSMSの審査プロセスを標準化するために重要です。

ISO/PAS 5112は、以下の点で審査プロセスを支援します。

  • 審査プログラムの管理
    審査プログラムを効果的に管理するための一般的なガイドラインを提供します。
  • 審査の計画と実施
    審査を計画し、実施するために必要な情報を組織に提供します。
  • CSMS審査員の能力定義
    CSMS審査員に求められる能力を明確に定義します。
  • 規格の実施検証
    ISO/SAE 21434の規格がどのように実施されているかを検証する方法を説明します。

ISO/PAS 5112を活用することで、組織はCSMSの審査プロセスをより標準化し、一貫性のあるサイバーセキュリティ管理を実現できます。

ENXがVCS審査を開発した理由

自動車業界におけるサイバーセキュリティ審査プログラムは、標準化を目指す取り組みにもかかわらず、依然として大きな差異が存在しています。複数の契約パートナーが深く統合されたサプライチェーンを背景に、異なる審査プログラムが自動車メーカーにとって大きな問題を引き起こしています。自動車メーカーは、サプライヤーによるサイバーセキュリティ管理システム(CSMS)の審査結果を、自社のリスク管理に役立てる必要があります。

このニーズを認識し、ENXは、世界的に標準化された審査プログラムであるVCS(Vehicle Cyber Security)を導入し、自動車業界と協力してソリューションを開発しました。ENXは、会員ネットワークを活用して、審査プログラムを自動車業界特有の要件に適合させています。

さらに、ISO/SAE 21434だけではUN R 155のすべての規制要件を満たすには不十分です。UN R 155は、CSMSのプロセスの一例としてISO/SAE 21434を挙げていますが、CSMSの能力を継続的に維持することも要求しています。

  • UN R 155、第7.2.2.3章
    自動車メーカーによる対応を必要とするサイバー脅威および脆弱性は、合理的な期間内に対処されなければなりません。
  • UN R 155、第7.2.2.4章
    自動車製造者は、CSMSに適用される手順により、監視が定期的に行われることを実証しなければなりません。

上記の要件を長期的に現実的に満たすためには、情報セキュリティマネジメントシステム(ISMS)がCSMSと並行して運用され、全社的な情報セキュリティが恒久的に確保される必要があります。このため、VCSでは、開発拠点がTISAXアセスメントに合格していることを常に求めています。これにより、審査を受けたサプライヤーは、リスクを意識したリスク回避の管理を通じて、デューディリジェンス義務の履行を持続的に証明することができます。

ISO 27001 - 情報セキュリティマネジメントシステム

ISO/IEC 27001は、情報セキュリティの全体的なまねシステムを導入するための主要な国際規格です。このISO規格は最近改訂され、2022年10月25日に再発行された。

ISO 27001についてはこちら

VCS取得のメリット

VCS(Vehicle Cyber Security)は、自動車のサイバーセキュリティにおいて、ISO 21434とISO/PAS 5112を1:1で実装することを可能にし、以下のようなさまざまなメリットを提供します。

ISO 21434とISO/PAS 5112の1:1実装

まず良いニュースとして、自動車のサイバーセキュリティに関してISO 21434とISO/PAS 5112をフォローしている企業は、すでに正しい道を歩んでいると言えます。この2つの規格の要件は、数学的に言えば、VCS仕様の正真正銘のサブセットであり、2つのISO規格のすべての要求事項はVCSに1:1で含まれています。

VCSは、ISO審査と同等の手順モデルを提供し、すべての審査プロバイダーがグローバルに同等のプロセスを保証するため、特定の「審査プロバイダー基準と評価要件」(ACAR VCS 1.0)および拘束力のあるVCSA審査カタログ1.0を発行しました。これには特に以下が含まれます:

  • CSMS規則の組織審査
    主に文書審査とプロセス審査を通じて、組織のCSMS規則を評価します。
  • リスク志向のサンプル作成
    コンポーネントのサイバーセキュリティを扱うプロジェクトのリスク志向のサンプルを作成します。
  • プロジェクトのサンプル評価
    CSMS規則がVCSプロジェクトで一貫して適用されているかを確認するために、エンジニアリングチームのメンバーとの面談や作業結果のレビューを行います。

標準化されたコンピテンシー

ACARは、審査員および専門家のための世界的に標準化された能力要件および役割説明を定義しています。

  • VCS主任審査員
  • VCSエキスパート

VCS専門家は常にVCS審査チームの代表者であり、インタビュー段階では専門家がエンジニアリングチームとの会話を引き継ぎ、活動や作業結果について専門的な評価を行います。

役割指向の審査

VCSは、TISAX®の伝統に基づき、VCSラベルの新システムを導入することで、サイバーセキュリティ関連コンポーネントを提供するサプライヤーが果たしうるさまざまな役割も考慮しています。これにより、サプライヤーは、それぞれの役割に適したVCSA評価カタログの要件を満たすだけで済みます。

  • VCS開発
  • VCS製造
  • VCSオペレーション&メンテナンス

同等の取り組み

VCSラベルは3年間有効で、サーベイランス審査は不要です。一方、ISO/SAE 21434に準拠した審査では、3年間の(再)認証審査と年2回のサーベイランス審査が必要であり、これには旅費がかかります。

敏捷性

ISO規格とは対照的に、VCSは、新しい要件に対応する際の俊敏性にも優れています。ACAR規則は通常1年に1度改訂され、すべてのVCS審査プロバイダーがこれを実施する必要があります。

 

vcs-iso21434-grafik-dqs-schmeken-s.jpg

VCS:方向性を定める賢明な方法としての結論

まとめると、VCS審査プログラムは、ISO/SAE 21434とISO/PAS 5112の要求事項に準拠した審査の実施を世界的に改善するための強力なツールです。この新しいラベルにより、世界的な比較可能性が向上し、認証プロセスとUN R 155のサイバーセキュリティ要求事項の実施に対する信頼性が大幅に高まります。

DQSは、認証のための信頼できるパートナーです

DQSは、ドイツで最も経験豊富なマネジメントシステム認証サービスプロバイダーの一社として、ENXと長年にわたる協力関係を築き、新しい審査プログラムの開発にも直接関与してきました。プログラム発行までの長い開発期間中、DQSは数多くのトライアル審査を通じて貴重な経験を積み、VCS仕様に基づくCSMSの審査に理想的な体制を整えています。

DQSの専門知識をご活用いただき、VCSとその意義を理解してください。DQSは、35年以上の経験と世界中に2,500人以上の審査員を擁し、データ保護と情報セキュリティに関するあらゆる質問にお答えする、有能で信頼できる認証パートナーです。

questions-answers-dqs-question mark on wooden dice on table
Loading...

VCS審査についてご質問はございませんか?

ISO 27001、IATF 16949、VCS、TISAX®の認証を取得するためには、各規格に特有の要件を満たす必要があります。これらの認証取得についてお問い合わせをお待ちしております。

著者名
ホルガー シュメケン

TISAX®とVCSのプロダクト・マネージャー、ISO/IEC 27001の審査員であり、30年以上の経験を持つソフトウェア・エンジニアリングのエキスパートであるホルガー・シュメケンは、情報セキュリティ副責任者も務めています。ビジネス情報学の修士号を取得し、ドイツの重要インフラストラクチャ(KRITIS)に対する拡張監査能力を有しています。

Loading...

関連記事・イベント

こちらもご覧ください
Blog
experience-with iso-27001-dqs-enterbrain-software-ag server cabinets
Loading...

ISO27001からの学び - ENTERBRAIN Softwareのケーススタディ

Blog
technical-measures-information-security-dqs-servers-cabinet-with-grid-door-and-lockable-door-handle
Loading...

情報セキュリティにおける技術的対策

Blog
ikt-security-for-business-continuity-dqs-in the system control centre a woman gives instructions via
Loading...

事業継続のためのICTセキュリティ - ISO 27001の管理5.30