自動車業界もセキュリティ対策としてSBOMやIoT-SFFを認識する必要性

国連の枠組みであるWP29とその作業部会による自動車セキュリティの標準化が議論されている。セキュリティは次世代車両の設計、製造には不可欠な技術要素である。自動車セキュリティは、車両ハードに関するものとソフトウェアプロダクツとして見たものと両面で考える必要がある。

たとえば、SBOMという言葉を聞いたことがあるだろうか。また、リスク分析を行うとき、セキュリティ対策を実装するとき、車両をIoTデバイス、平たくいえば「家電」ととらえた視点は非常に重要だ。

自動車にまつわるセキュリティ対策の標準

WP29の議論は、機能安全の規格であるISO 26262と、それを車両に適応させたISO/SAE 21434。そして自動車製造に関するセキュリティマネジメントを規定したUN-R155、OTAを前提としたソフトウェアアップデート機能を規定したUN-R156といった規格が主なトピックとなる。だが、これは自動車を工業製品としてとらえたサイバーセキュリティの指針とベストプラクティスの話だ。

ソフトウェアファーストによる設計が進む、これからの自動車において、純粋にソフトウェア視点、サイバー空間につながるIoTデバイスとしての自動車に対するセキュリティ対策の重要度は増大する。具体的には「SBOM（Software Bill of Materials）とIoT-SSF（IoT Security Safety Framwork）という2つの技術要件だ。

SBOMとは？

SBOMはソフトウェアの部品表であり、そのソフトウェアを構成するライブラリやパッケージ、オープンソースを含む別ソフトウェアの種類や依存関係、ラインセンス関係がわかる一覧表だ。コンポーネントやライブラリの一覧は開発効率を上げるだけでなく、脆弱性管理、そのパッチ対応にも役立ち、全体としてソフトウェアの品質およびセキュリティ向上にもつながる。

なぜなら、ソフトウェアもまた細かいソフトウェア部品で構成されるからだ。発見された脆弱性はどのモジュールなのかを特定する必要がある。それが、自社開発部分なのか、オープンソースやライセンスされたモジュール・ライブラリによるものなのか。それによって、対策、対応、責任範囲が決まってくる。

SBOMは、アメリカでは政府の調達要件として議論・策定が進んでいる。日本でも経済産業省、自工会他がタスクフォースを組んで、日本の自動車産業にどう展開するか、そもそもそれは有効なのか、といった研究、実証実験等を進めている（和平氏）。

製品の品質はアップデートによって担保される

ソフトウェア依存度が急速に高まっている自動車において、ソフトウェアの脆弱性やバグの検知、対応（パッチ）は不可避だ。ソフトウェアの品質はアップデートによって担保される。これはなにもソフトウェアに限ったことではない。自動車もリコールやマイナーな改修によって同じモデルでも部品や機能が適宜アップデートされている。

発見または報告された脆弱性は直ちに修正されなければならない。脆弱性は、さまざまなソフトウェア、ライブラリ、あるいは通信プロトコル（規約）、あるいは運用方法にも発生する。脆弱性が発見されたとき、それが自社が開発したソフトウェアに関係があるのか。どんな影響があるのかを知るには、ソフトウェアを構成するモジュールやコンポーネントのカタログが必要になる。

もちろん、ソフトウェアを構成するプログラムのリスト、リソース管理にはさまざまな方法やツールが存在する。だが、フォーマットや管理情報、その粒度がバラバラだと、業界内での情報共有や交換に支障がでる。SBOMによるフォーマットの基準が整理されていれば、脆弱性情報の共有がしやすく、各社の対応がまちまちとなることもない。

IoTデバイスとしてのセキュリティ

IoT-SSFは、2020年11月に策定され関連文書が公開されている。ベースはISO 31000シリーズで規定されたサイバーフィジカルセキュリティフレームワーク（CPSF）だ。サイバーフィジカル空間でのリスク分析・評価を行い、いくつかのユースケースを想定して必要な対策や活動を整理したものがIoT-SSFだ。

サイバーフィジカルは、デジタルツインなどと表現されることもある。センサーやネットワークによって現実世界の状態がクラウド上にも反映される状態を指す。インターネットの広がりとIoTデバイスや各種センサーがネットワークにつながった状態で、リアル世界の動きや変化がバーチャルな世界にも連動して反映される。逆にバーチャルでのデータの変更がリアル社会に影響を及ぼすことにもなる。

例えば、事故や路面凍結の情報が、実際の走行車両のセンシングデータをもとにクラウドに送られるシステムが存在する。「通れたマップ」などを想像すればよい。このとき得られたデータをもとにカーナビの案内に反映させたとする。クラウド上の道路情報が通信カーナビを経由して現実の走行車両の動きに影響を与えることになる。サイバーフィジカルの視点では、自動車はIoT機器そのものである。

サイバーフィジカルシステムに組み込まれる自動車

サイバーフィジカルは、すでにSFや空想の世界ではなくなっている。IoT-SFFでは、業界、業種、製品やサービスごとにステークホルダーを設定して、セキュリティリスクの評価（重みづけ）する。そのうえで対処すべき脅威を明確にし、具体的な対応策や意思決定を支援する。和平氏によれば、セミナーでは物流倉庫などのAGVによるピッキングのユースケースを紹介しながら、リスクマネジメントの考え方、対策方法、脅威が与えるインパクトの考えかたを示す予定だという。

日本の道路交通法、道路運送車両法では、自動運行装置やコネクテッドカーに対するセキュリティ要件が規定されている。セキュリティ対策を講じていないメーカーや車両は車検が通らなくなる。この規制はいずれすべての新車に適用される。自動運転やコネクテッド機能の有無にかかわらずだ。

SBOMやIoT-SFFは、これからの自動車セキュリティを確保するうえで共通のツールやベストプラクティスになりうるものだ。セキュリティ対策や脆弱性の管理に有意なリテラシーとして自動車業界も認識しておく必要がある。