目次

• 自動車業界を取り巻くサイバーセキュリティ
• コネクテッドカーに対するサイバー攻撃
• 自動車サイバーセキュリティの国際標準化
• 求められる自動車へのセキュリティ対策
• まとめ

自動車業界を取り巻くサイバーセキュリティ

デジタルトランスフォーメーションが社会に浸透し、あらゆるモノがインターネットに繋がるIoT技術の実用化が当たり前となってきました。ICT端末としての機能を搭載するコネクテッドカーもその代表例として挙げられます。車がインターネットに接続することで、単なる移動・運搬手段としてだけでなく、さまざまなサービスや機能を提供することができるようになります。
技術の発展に伴い、重要となってくるのはセキュリティの問題です。一般的なITにおけるサイバー攻撃の被害としては主に金銭的・社会的損失が挙げられますが、人や物を運ぶ自動車では、人的被害や公共の安全に対する影響も及ぼしかねません。このため、自動車業界ではサイバーセキュリティに関する法令・規制の整備が急速に進められています。OEMやサプライヤは、サイバーセキュリティを考慮した車両開発やプロセスの整備、およびサイバー攻撃への対策が求められます。

コネクテッドカーに対するサイバー攻撃

自動車におけるセキュリティ対策の必要性が問われるきっかけとなったのは、2015年に米国で研究者らによって行われた自動車へのハッキング実験（※1）です。既に市場に出回っている車両への遠隔操作実験が成功し、140万台ものリコールに発展しました。研究者らはこの実験で、車載の無線通信サービス経由で走行中の自動車をハッキングし、約16キロ離れた遠隔地からエンジンやハンドルを操りました。本件は研究目的でのハッキングでしたが、悪意を持った攻撃者から攻撃を受けた場合、人命にかかわる交通事故へつながりかねません。インターネットに接続された車両は立派な「デバイス」であり、サーバーやPC、スマホと同様に、サイバー攻撃の脅威にさらされています。自動車が他の自動車、人、インフラと相互接続するV2Xという言葉が一般的となってきたように、コネクテッドカーは多くのモノに接続されており、車内システムに侵入するために利用される脆弱性も増加します。（図1を参照）

図1：自動車とつながるモノと車両への攻撃経路

自動車サイバーセキュリティの国際標準化

こうした背景から、自動車業界ではセキュリティ要件の標準化や規制の強化が活発に行われています。2021年1月には、国連（UNECE WP29（※2））にてサイバーセキュリティ（CSMS：Cyber Security Management System）およびソフトウェア更新（SUMS: Software Update Management System）に関する法規UN-R155およびUN-R156が発行されました。これにより、WP29の協定国では、車両の開発から使用までの間に、指定のガイドラインに沿ったサイバーセキュリティ対策を確保するしくみの導入が必須となります。
日本においても、国内法規にUN-R155を引用し、車両の型式承認（※3）を受ける前にCSMSの適合認定を受ける必要があります。認可機関による審査が通らない場合、自動車の販売に規制が設けられます。規制の対象は、車両の種類によって異なります。（図2を参照）

図2：日本国内における自動車の販売規制スケジュール

求められる自動車へのセキュリティ対策

ITの世界では、サイバー攻撃手法が高度化し、従来の防御中心のセキュリティ対策では攻撃者の侵入を防ぎきることが困難な状況となっています。そこで昨今では、侵入されることを前提に、いち早く検知し、対応するためのセキュリティ対策の重要性が高まっています。
この考え方は自動車におけるセキュリティ対策においても適用され、UN-R155においても、自動車メーカーが順守するべきサーバーセキュリティ要件として「車両の継続的な監視、検知、IR（※4）機能を持つこと」が定義されています。

本要件に対応するためのソリューションとして挙げられるのが、車載ネットワークを監視する侵入検知システム（IDS：Intrusion Detection System）と、IDSが発するアラートに対応する車両セキュリティ・オペレーション・センター（VSOC：Vehicle SOC）の2つです。SOCとはITに対するサイバー攻撃の検知や分析、対策を講じる組織を指しますが、監視対象を車両に広げたSOCがVSOCとなります。
自動車がサイバー攻撃を受けると、IDSが車載ネットワーク（CAN BUS）への侵入を検知します。IDSが検知したアラートは、VSOCのオペレーションコンソールに伝わり、車両データを活用したAI分析によってセキュリティリスクが検出されます。NTTデータでは、NTT研究所と共同開発した独自のCAN bus IDS技術と、全世界で所有する既存のIT-SOCプラットフォームを活用し、VSOCサービスを確立しています。（※6、※7、※8を参照）

図3：CAN bus IDSとVSOCの利用イメージ

まとめ

自動車業界でのデジタルトランスフォーメーションが進めば進むほど、サイバー攻撃を受けるリスクは増え、サイバーセキュリティは自動車メーカーにとって重要なテーマとなっています。自動車へのサイバー攻撃は人命にかかわる可能性もあり、自動車のセキュリティ対策は、車両の保護だけでなく、運転手や乗客の安全確保にも不可欠です。そのため、自動車業界では、サイバーセキュリティの国際標準化が現在進行形で進められています。目まぐるしく変化する規制を遵守するために、自動車メーカーは素早い対応が求められる状況です。本稿では自動車メーカーが順守すべき要件の例として「監視・検知・IR」を取り上げましたが、ITセキュリティと同様に、車両開発のライフサイクル全体においても多層的なセキュリティ対策が必要となります。しかしながら、自動車メーカーが独自でVSOCをはじめとする仕組みを構築し、検証を行い、車両全体に展開していくには、相当の時間と人材の確保が必要になります。
NTTデータでは、豊富なITとサイバーセキュリティの知見に基づくコンサルティング（※9）から、グローバルプラットフォームを活用した車両およびITインフラの監視サービス、車載ソフトウェアを含む車両を対象としたセキュリティテストサービス（※10）等のトータルセキュリティサービスをご提供し、自動車業界におけるセキュリティの確保に貢献いたします。