自動車セキュリティに「ここまでやればOK」はない、“相場観”の醸成が必要だ：車載セキュリティ（1/3 ページ）

[一之瀬 隼，MONOist]

　MONOist編集部は2020年11月10日、オンラインで「自動運転時代の車載セキュリティセミナー」を開催した。自動運転やコネクテッドの技術が導入されていく中で、車載製品のセキュリティに対する考え方や開発の助けとなる技術について紹介した。

セーフティとセキュリティの違いとは？

名古屋大学の高田広章氏

　基調講演は、名古屋大学 未来社会創造機構 モビリティ社会研究所の教授であり、同大学院情報学研究科付属組込みシステム研究センター長である高田広章氏が「車載システムのサイバーセキュリティの考え方」をテーマとした講演を行った。

　車載システムのサイバーセキュリティに関しては、2010年ごろから研究者によって脆弱（ぜいじゃく）性が指摘されてきた。そうした脆弱性が市販車において顕在化し、大きなインパクトを与えたのは、2015年のクライスラーの大規模リコールだ。ホワイトハッカーによって、車両のアクセルとブレーキを外部からコントロールできることが明確になり、リコールを余儀なくされた。それ以降も、テスラやレクサスなど、大手自動車メーカーの車両に対するハッキング成功が報告されている。

　車載システムに対するサイバーセキュリティが放置できない課題として認知されるようになり、世界中で対策に関する基準が制定されている。国内では、2020年4月に発効した自動運航装置の法案基準に、不正アクセス防止やサイバーセキュリティ確保の適合証明に関する内容が記載されている。また、国際基準としては、国連WP29（自動車基準調和世界フォーラム）で、サイバーセキュリティとソフトアップデートに関する国際基準が成立した。これは、ISO/SAE21434を参照しており、自動運行装置のレベルごとにサイバーセキュリティ確保に使うべき技術が示されている。

　サイバーセキュリティを語る際には、「似たような言葉である安全性との違いを明確にしておく必要がある」と高田氏は指摘した。これらの言葉は似たような印象を受けるが、開発においては明確に区別されている。最も大きな違いは、リスクが生じる状態に移行する理由だ。安全性では、リスクが生じる状態に移行する理由として、製品の故障やミスを焦点を当てていた。一方、サイバーセキュリティでは、外部および内部からの攻撃による状態の変化を想定している。

　もう1つの違いは「何を守るか」である。車載システムのサイバーセキュリティでは、人の生命や健康に対するリスクだけではなく、金銭やエネルギーなど、さらに広い範囲の資産を守る必要がある。開発の期間やコストを考えると全てのリスクに対して対策を行うことは現実的ではなく、「許容できないリスク」への対策を行う必要がある。ここで重要になってくるのがセキュリティ要求分析である。

過剰な対策や対策不足に陥らないために

　セキュリティ要求分析とは、セキュリティを確保するために取るべき手段を抽出するための分析作業で、攻撃の可能性の洗い出しと危険性の評価を行う。その上で、許容できないリスクに対して、セキュリティ対策を検討、追加し、再度リスクの評価を行う。この分析なしに対策を行うと、過剰な対策によるコスト増加や対策不足によるセキュリティの欠陥が生じてしまう。

　セキュリティ要求分析では、守るべき資産の特定、脅威分析、リスク評価、セキュリティ機能策定と要件定義が行われる。このリスクは、一般的には「重大度×発生確率」で示されるが、サイバーセキュリティでは「重大度×脆弱性×脅威」で表現される。ただ、脅威は、攻撃の可能性を網羅したり技術が進歩したりすることで変化するため、リスクとして明確に評価するのは難しい。

　これ以外にも、車載システムのサイバーセキュリティの開発にはさまざまな課題がある。例えば、現時点では「セキュリティの対応をどの程度まで実装すればよいか」という基準は存在しない。対策をすればするほどコストアップするが、製品価格への転嫁は難しい。そのため、過剰な対策は企業の競争力低下につながる。高田氏は「今後、ISO/SAE21434をベースに、対策の“相場観”が共有されることを期待したい」と語る。さらに、ソフトウェアの複雑化によるサプライチェーンリスクへの対策や、今後期待されるクラウドやV2Xとの連携に関する課題も存在する。

　今後は、サイバーセキュリティの対策に対する“相場観”の醸成や開発に携わる技術者の育成、さらには実際に自動車を利用するユーザーへの啓発など、さまざまな取り組みが必要である。