自動車セキュリティとソフト更新の国際基準が成立、2022年へ対応急務：車載セキュリティ（1/2 ページ）

[齊藤由希，MONOist]

　国連の自動車基準調和世界フォーラム（WP29）が2020年6月24日に開催され、自動車のサイバーセキュリティとソフトウェアアップデートに関する国際基準（UN規則）が成立した。車両の型式認可を受ける際に、国際基準を満たす体制であることを示す必要がある。サプライチェーンや製造後の自動車の使用期間の全体像を見た対応が求められており、自動車メーカーだけでなく、サプライヤーの参加や自動車のユーザーの理解も不可欠だ。

　この国際基準では、全ての自動運転レベルに共通してサイバーセキュリティとソフトウェアアップデートの法規が適用される。無線ネットワークによるアップデート（OTA：Over-The-Air）に限らず、ソフトウェアアップデート全般が対象となる。また、乗用車だけでなくトラックやバン、トレーラー、農業機械なども、この規制の対象だ。

　今回成立した国際基準は2021年1月から施行され、欧州や日本など各国で対応が義務化される。日欧では2022年7月以降に発売される新型車が対象となる見通しだ。PwCコンサルティングによれば、欧州では、EUを離脱する英国を含めて、WP29のサイバーセキュリティとソフトウェアアップデートの国際基準に準拠した国内法を施行するとみられる。一方、北米自動車メーカーはサイバーセキュリティのUN規則そのものではないが、WP29が参照するISO/SAE 21434に注視しており、自動車メーカーとサプライヤーは各市場で同様の対応が求められる。

　2022年発売の新型車が対象となると、すでに自動車メーカーからサプライヤーに具体的な要求が伝わっている時期だ。PwCコンサルティングによると、ティア1サプライヤーの中でも、以前から詳しく準備している会社と今まさに対応を学んでいる会社があり、ティア2サプライヤーにも温度感があるという。

基準値を満たすことではなく、対策やプロセスが評価対象

　WP29のサイバーセキュリティ規則とソフトウェアアップデート規則は、自動車メーカーなどの「組織」に関する要件と、「車両」に関する要件で構成されている。組織の要件に適合する場合、認可当局から適合証が発行される。適合証は最長3年間有効だ。自動車メーカーが車両の型式認可を受ける場合には、認可当局に適合証を提出しなければならない。組織と車両に関する要件は、基準値を満たすことを求めたものではなく、対策やプロセスの適切さが評価される。

　自動車メーカーは、リスクを処理し、サイバー攻撃から自動車を保護するための組織的なプロセス、責任や管理を明確化した「サイバーセキュリティ管理システム（CSMS）」によって、開発、製造、販売後の各段階においてセキュリティが十分に考慮されていることを証明しなければならない。リスクや脅威、脆弱性の特定と評価を行い、それぞれに対する軽減策を検討、実施することが求められる。

サイバーセキュリティの組織面に関するUN規則（クリックして拡大） 出典：国土交通省

　車両については、サプライチェーン全体を通じた必要な情報収集と検証、車両やシステムの設計における適切な安全策や、車両やシステムのリスク評価と重要な部品を保護する軽減策の実施が求められる。また、アフターマーケットにおけるソフトウェアやサービス、アプリ、データの保存や実行のための環境を保護する対策も必要だ。

サイバーセキュリティの車両に関するUN規則（クリックして拡大） 出典：国土交通省