「ReVisionモビリティサミット」（2021年3月10日、11日）においてマツダMDI＆IT本部主査・Global Security Office 山サキ（サキの字は崎の旁の上の部分が「立」）雅史氏が、自動車セキュリティとOTAに関する講演を行った。
マツダと自動車セキュリティはあまり結びつかないかもしれないが、CASE車両の動きを追っている者ならその疑問はむしろ愚問だ。マツダは20年11月にCX-30のイヤーモデルの機能改良について、ソフトウェアアップデートによる対応をアナウンスしている。翌21年2月に、出荷済みの既存オーナー車両に対してECUソフトウェアの入れ替え開始している。
作業はオーナーが工場に車両を持ち込む必要があるため、完全なOTA（無線ネットワークを利用したリモート更新）ではないが、アップデート方法はOTAの機能を利用する。そもそも、これが可能になったのは、昨年の道路交通法および車両運送法の改正により、レベル3自動運転とそれに関するセキュリティ要件の整備がされたからだ。
ホンダはレベル3自動運転車両の型式指定を昨年11月に取得し翌3月に「トラフィックジャムパイロット」（レベル3自動運転としてシステムが走行制御中、ドライバーはスマホ操作や動画視聴が可能になる）したが、この自動運転をささえる技術と要件として、OTAによるソフトウェアアップデートとセキュリティ基準のクリアが欠かせない。
自動運転機能に限らず、今後のCASE車両において出荷後のソフトウェアアップデート機能（OTA）は、車両の品質管理、安全性の維持に不可欠な要素であり、その前提となる車両設計、開発、製造、運用過程でのセキュリティ対策が必須となる。
マツダはCASE車両について、その土台ともいえるセキュリティ機能とOTAの市場投入を先行させたわけである。「ReVisionモビリティサミット」のようなエンジニア向けのカンファレンスでマツダが自動車セキュリティについて発表するのは必然である。
講演を行った山サキ氏も、国連下部組織WP29の自動運転専門部会（GRVA）、J-Auto-ISACの活動にかかわっている。ISACとは業界ごとのセキュリティ関連の情報共有フレームワークで、金融、医療、通信など主だった業界に必ずといっていいほど存在する団体または協議会だ。自動車業界ではOEM、サプライヤーなどでJ-Auto-ISACを組織している。
講演では、自動車業界を取り巻くサイバーセキュリティの歴史と現状が語られ、新しい車両運送法 保安基準で定められたセキュリティ要件の解説、J-Auto-ISACの活動内容などが紹介された。
自動車のサイバー攻撃というと、プリウス、テスラ、ジープチェロキーなどのECUへのサイバー攻撃が思い浮かぶ。また、山サキ氏によれば、ダークウェブ（通常のブラウザやルーターではたどり着けない深層ウェブ）では、自動車関連のハッキング情報がやりとりされ、ときには車種を特定したハッキング情報の依頼、製品やシステムの部外秘の認証情報（ログイン情報・PINコードなど）が公開されていることもある。
これらの情報は、ダークウェブの中で公開されているフォーラムなどで確認できるが、実際のハッキング情報や攻撃依頼の詳細は、当事者同士のダイレクトメッセージやクローズドチャットに潜ってしまうので調査しきれないと山サキ氏はいう。
幸い、フォーラムで言及されている車両への実際の攻撃や被害は確認されていない。また、公表されたものも含めて、各社へのハッキング実験の多くがECUやCANへの直接接続が必要なものだ。ただし、ジープチェロキーの事例はインターネット経由での攻撃実験が成功しており、クライスラーはリコールを余儀なくされ、北米や国連の場でも関連法の整備が進んだ。WP29のレギュレーション議論にも影響を与えたという。
現在、実害を伴う自動車のハッキング事件は発生していないが、OTAや自動運転が広がることで、その可能性を無視するわけにはいかない。WP29 GRVAでもサイバーセキュリティ（UNR155）とソフトウェア更新（UNR156）が整備されたのもそのためだ。UNR155では、自動車メーカーにまずリスクマネジメント（リスクを分析し評価・分類する）をベースとしたセキュリティ体制の整備とポリシー、対策手法の確立を求める。監視体制やインシデント対応につていも要件があり、適合証明を必要とする。UNR156でもソフトウェアのバージョン管理や安全な更新方法、適正なコードの証明書などが規定され、やはり適合証明を取得する。
これらの規定は、昨年の4月には国内法（道路交通法や車両運送法）に盛り込まれている。これが可能だったのは、WP29の各種作業部会の中で日本の委員が策定のイニシアティブをとり、国内法を並行して整備できたからだ。
講演の最後に山サキ氏は、「OTAは、これから70％を締めるといわれるコネクテッドカーのセキュリティ機能を高めるだけでなく、ソフトウェアアップデートによる出荷後の機能アップなど、自動車の付加価値とビジネスモデルに変化を与えるものだ」とし、その重要性を説いた。
