自動車メーカーとサプライヤーはどう連携してセキュリティに取り組むべきか：WP29サイバーセキュリティ最新動向（1）（3/3 ページ）

本連載では、2019年9月の改訂案をベースにOEMに課されるWP.29 CS Regulationsのポイントを解説し、OEMならびにサプライヤーが取り組むべき対応について概説する。目次は下記の通り。

[竹森敬祐、松並勝、溝口誠一郎（DNV GLビジネス･アシュアランス･ジャパン），MONOist]

7.3節 車両型式認証の要件

　CSMSプロセスに基づき開発・生産された自動車に対する型式認証の要件について、7.3節で述べられている。

7.3.2　和訳	認証機関または技術サービスは、OEMが車両型式に関連して、以下の必要な措置をとったことを確認すること。 （a）サプライチェーンを通じて、この規則に基づき必要とされる必要な情報を収集し検証したこと。 （b）リスク評価に基づく設計情報を含む車両型式に適用されたリスク評価、テスト結果および軽減策を文書化したこと。 （c）車両型式の設計において適切なセキュリティ対策を実施したこと。

　7.3.2節は、OEMがサプライチェーン全体を通じて、CSMSプロセスで作成される情報の収集と検証を行い、文書化を図っていくことを求めている。また、適切なセキュリティ対策の実施が求められている。

7.3.3　和訳	OEMは、車両型式、車両システム、車両システム間の相互作用についてのリスク評価を説明しなければならない。
7.3.4　和訳	OEMは、自身のリスク評価において特定された脅威から車両型式の重要な要素がどのように保護されているかを説明しなければならない。そのような要素を保護するために相応の軽減策を実装しなければならない。
7.3.5　和訳	OEMは、アフターマーケットのソフトウェア、サービス、アプリケーションまたはデータの保存と実行のための車両型式上の専用環境（が提供される場合、それ）を保護するための適切かつ相応の措置を講じたことを説明しなければならない。
7.3.6　和訳	OEMは、実装されたセキュリティ対策の有効性を検証するために、どのようなテストを実施したのかおよびそれらテストの結果を説明しなければならない。

　7.3.3節から7.3.6節では、車両型式を取得するにあたり、自動車システムや自動車全体としてのリスク評価、セキュリティ対策の設計や実装、実施したテストの内容と結果などの説明を求めている。特に、これからのコネクテッドカーを想定した7.3.5節では、第三者が運営するアフターマーケットのSWやサービスから、自動車が悪影響を受けないように実施した措置について説明を求めている。これらの説明は、7.3.2節と同様に、OEMとサプライヤーが連携して対応することになる。

　次回以降は、CSMSプロセス構築に関わるWP.29 CS Regulation 7.2.2.2（a）から（g）に注目することとし、第2回で組織の構築とルールの策定を、第3回で開発フェーズにおけるCSMSプロセスの構築を、第4回で生産・生産終了後フェーズにおける脆弱性対応プロセスの構築について考えていく。

（次回へ続く）

→連載「WP29サイバーセキュリティ最新動向」バックナンバー