欧州自動車市場をめざす自動車業界に求められるサイバーセキュリティ監査・評価とは。その最新トレンドに向けて UL Japan が動き出した。UL Japan は、欧州自動車市場をめざす日系企業向けのサイバーセキュリティソリューションを国内で提供開始した。
まず、欧州の規制動向について。国連欧州経済委員会（UNECE：The United Nations Economic Commission for Europe）の作業部会である自動車基準調和世界フォーラム（WP.29：World Forum for Harmonization of Vehicle Regulations）で、「車両のサイバーセキュリティおよびソフトウェアアップデート」に関する法規基準が採択された。
この採択を受け、欧州で2022年7月以降に販売される新車は、同基準に合致し、製品が規制、技術、安全に関連する要件に適合していることを示す型式認証の取得が必須になる。自動車安全・環境基準の国際調和と認証の相互承認を多国間で審議する唯一の場、WP.29は、日本も積極的に参画している。
また国連欧州経済委員会は、この新たな法規基準への適合に向け、自動車の設計から廃車まで、すべてのライフサイクルステージでのサイバーセキュリティ対策を求める国際規格 ISO/SAE 21434 を参照規格としている。こうした動きから、自動車メーカー（OEM）やサプライヤーなどは、セキュリティ対策の準備・導入が法的に義務化される。
いっぽう自動運転分野では、2020年4月に改正道路交通法が施行され、公道上でレベル3の自動運転（条件付運転自動化）が解禁。高速・大容量通信の5G商用化にあわせ、接続技術を利用した車載器などが増加する。また、車車間通信（V2V）、路車間通信（V2I）に加え、車歩行者間通信（V2P）、車ネットワーク間通信（V2N）の技術も進化するなどで、国内自動車業界全体でサイバーセキュリティ対策がいっそう求められる。
UL Japan はこうした規制動向や自動運転分野の進捗にあわせ、サイバーセキュリティ監査・評価の新サービスを国内自動車業界に提供。国連欧州経済委員会（UNECE）「サイバーセキュリティおよびソフトウェアアップデート」に関する法規基準への準拠を支援。サイバーセキュリティ欧州型式認証に向けた次のような支援を展開する。
・サイバーセキュリティ管理システムのフレームワーク
・ソフトウェアアップデート管理システムのフレームワーク
・WP.29の法規基準並びにISO/SAE 21434規格にもとづくギャップ分析
・脅威分析とリスクアセスメントのフレームワーク
・サイバーセキュリティ監査
・セキュリティ試験（侵襲的・非侵襲的な侵入テストと脆弱性分析）
・オートモーティブ サイバーセキュリティ プロフェッショナル（UL CCSP: Certified Cybersecurity Professionals）の認定
自動車サイバーセキュリティトレーニングは、2日間のコースを実施。エンジニア・開発者に自動車分野のセキュリティのプロセス・関連規格とそのインパクトについて理解を深めるプログラムで支援する。
ギャップ分析は、 法規・規格要求事項の理解促進、 法規・規格要求事項にもとづく組織体制分析、 既存の組織体制との比較による課題把握などをめざし、 改善内容提案、体制構築提案、ロードマップ策定へとつなげる。
CSMS・SUMS構築は、法規・規格に準拠したCSMS構築、法規に準拠したSUMS構築、セキュリティ監査を学び、セキュリティプロセス・ポリシーやガイドラインの構築・発行へとつなげる。
リスクマネジメントフレームワーク構築では、ISO/SAE 21434より参照されるISO 31000:2018にもとづくリスクマネジメント体制構築、リスク特定・評価・低減のためのリスクマネジメント戦略策定を学び、リスクを特定・評価・低減するためのプロセス、ポリシー、テンプレートを含むガイドラインや、組織内にリスクマネジメントの文化を根付かせるためのポリシー・プロセスを発行・策定する。
脅威分析・リスク評価フレームワーク（TARA）構築支援では、資産・攻撃サーフェス・ダメージシナリオ・脅威の特定、各種脅威レーティングにもとづいたセキュリティ試験フレームワーク策定を学び、セキュリティ体制評価レポート（資産・攻撃サーフェス・ダメージシナリオ・脅威の種類・脅威評価）発行へとつなげる。
監査・試験サービスでは、監査サービスによる型式認証準備支援や、試験サービスによる製品・システムのセキュリティ構築支援によって、サイバーセキュリティ監査（WP.29, ISO/SAE 21434要求事項にもとづいた監査、型式認証実施前の事前確認）、システム・コンポ―ネントに対する試験（カスタムペネトレーションテスト、脆弱性分析）などを実施していく。
UL Japan事業開発部の川口昇部長は、「日本でのサービス提供は東京オフィスを中心に行うが、特にオランダのライデンには自動車関連のスタッフが多くいるため、オランダ、シンガポール、日本で連携していく予定だ。OEMだけでなく、ティア1、ティア2の部品メーカーやデバイスメーカーからも含め、既に数十件の問い合わせを受けている」とコメントした。
