CASE時代における自動車産業のサイバーセキュリティ対策の重要性と必要性

Pipeline Co. Ltd.
2023年7月1日
読了時間: 17分

1. はじめに

自動車産業は、コネクテッド（Connected）、自動運転（Autonomous）、シェアリング（Shared）、電動化（Electric）を意味する「CASE」という、かつてない大変革期を迎えています。この変革の根底には、自動車のデジタル化とネットワークへの接続性の劇的な向上が存在します。これにより、新たな価値と利便性が創出される一方で、サイバーセキュリティという喫緊の課題が浮上しています。現代の自動車は、単なる移動手段から高度なIT機器へと進化し、その安全性と信頼性はサイバーセキュリティ対策に大きく依存するようになりました。

ここでは、このCASE時代において自動車産業のサイバーセキュリティ対策がなぜ不可欠であるのか、その多角的な必要性を詳細に解説します。具体的には、現代の自動車が直面するサイバー脅威の性質、過去の具体的な攻撃事例とその影響、国際的な規制動向、業界全体の取り組み、そして将来的な課題を体系的に分析することで、自動車産業におけるサイバーセキュリティ対策の戦略的かつ実践的な重要性を明確に示します。

2. CASE時代における自動車の進化と新たなサイバーセキュリティ課題

CASE時代において、自動車は従来の機械的な製品から、高度なソフトウェアとネットワークに依存する複雑なIT機器へと根本的に変化しています。この進化は、新たな利便性をもたらす一方で、これまでにないサイバーセキュリティ上の脆弱性を生み出しています。

自動車のIT機器化とコネクテッドカーの普及

現代の自動車は、ステアリング、アクセル、ブレーキといった車両の根幹をなす重要な機能の多くが電子的に制御されるようになりました。これにより、その信頼性と安全性がソフトウェアや電子システムに直接的に依存する構造へと変貌しています。さらに、インターネットとの常時接続を前提とした「コネクテッドカー」のコンセプトが普及し、情報提供、エンターテイメント、遠隔操作など、多様なサービスが提供されることで、利便性は飛躍的に向上しています。

この変化は、自動車の安全性の定義を拡張するものです。従来の自動車安全は主に機械的故障や衝突安全性に焦点を当てていましたが、車両の主要機能がソフトウェアによって制御されるようになったことで、今後はソフトウェアの脆弱性やサイバー攻撃による機能不全も「安全性」の範疇に含まれるようになりました。つまり、サイバーセキュリティは単なる情報保護の領域に留まらず、人命に関わる「機能安全」の新たな側面として、自動車の物理的安全性と直接的に結びつく不可欠な要素となっています。

V2X接続性による新たな脆弱性

コネクテッドカーは、Vehicle to Infrastructure（V2I）、Vehicle to Vehicle（V2V）、Vehicle to Cloud、そしてこれらを統合したVehicle to Everything（V2X）といった多岐にわたる接続性を有しています。これらの接続点は、それぞれが潜在的な弱点となり、悪意あるハッカーに悪用されるリスクを内包しています。例えば、Statisticaの予測では、2025年までに全自動車の70%がインターネットに接続されると見込まれており、これによりサイバーセキュリティの重要性は指数関数的に高まることが示唆されています。

V2X接続の多様化は、ハッカーが侵入できる経路、すなわち「攻撃対象領域」が劇的に増えることを意味します。さらに、V2Xは車両単体だけでなく、信号機や道路情報板といったインフラ、他の車両、クラウドシステムといった外部環境との連携を前提とするため、サイバーリスクが車両内部に限定されず、モビリティエコシステム全体に波及する可能性が高まります。このため、サイバーセキュリティ対策は、車両内部のシステム保護だけでなく、外部との通信プロトコル、クラウドインフラ、さらには連携する全ての外部システムまでを考慮した、広範かつ複合的なアプローチが必須となります。単一の脆弱性が、広範囲なシステム障害や連鎖的な事故を引き起こす可能性も増大しています。

IoT市場の拡大とサイバーセキュリティリスクの比例的増大

自動車業界のIoT市場は急速に拡大しており、2023年の1,312億ドルから2028年には3,220億ドルへと、年間成長率19.7%で成長すると予測されています。この市場規模の拡大は、自動車が扱うデータ量やシステム連携の複雑性を増大させ、それに比例してサイバー攻撃の標的としての魅力とリスクも増大させています。コネクテッドカーの普及は、サイバーセキュリティリスクを車両単体からエコシステム全体へと拡大させ、対策の複雑性を飛躍的に高める要因となっています。

3. 現実的な脅威：自動車サイバー攻撃の実証事例と影響

サイバーセキュリティの脆弱性は、理論上の懸念に留まらず、自動車産業において現実に深刻な影響を及ぼしています。過去の具体的な攻撃事例は、サイバー脅威が人命、事業継続、そして企業の信頼性に直接的に関わる重大なリスクであることを明確に示しています。

遠隔からの車両制御ハッキング

2015年には、セキュリティ研究者がインターネットに接続されたJeep Cherokeeのエンターテインメントシステム「Uconnect」の脆弱性を悪用し、遠隔からステアリング、トランスミッション、その他の重要システムを制御することに成功しました。この実証は、コネクテッドカーのセキュリティリスクが現実的な脅威であることを自動車業界に強く認識させ、大きな衝撃を与えました。

翌2016年には、中国のKeen Security Labsの研究チームが、約19km離れた場所からTesla Model Sを遠隔ハッキングし、車両のCAN（Controller Area Network）バスを標的として、ミラー、ドアロック、さらには走行中のブレーキまでも制御可能であることを実証しました。Tesla社は迅速にパッチを適用して対応しましたが、この事例は、コネクテッドカーの潜在的な脆弱性が人命に関わる重大な結果を招きうることを浮き彫りにしました。これらの事例は、サイバー攻撃が単なるデータ漏洩やシステムダウンに留まらず、直接的に人命の危険（車両制御の喪失）を引き起こしうることを明確に示しています。

サプライチェーン攻撃による生産停止

2022年2月には、トヨタ自動車のサプライチェーンに連なる小島プレス工業がマルウェア被害を受けました。この攻撃によりランサムウェアが感染し、サーバーやパソコン端末の一部でデータが暗号化されました。このサプライヤーへの攻撃は、トヨタの国内全14工場28ラインの一時停止という深刻な影響を招き、約13,000台の生産が見送られる事態となりました。

この事例は、自動車業界のサプライチェーンが持つ脆弱性と、一社のセキュリティ侵害が業界全体に甚大な経済的影響を及ぼしうることを示しています。現代の自動車産業は、複雑なサプライチェーンによって成り立っており、部品供給からソフトウェア開発まで多岐にわたる企業が連携しています。この相互依存性の高さは、サプライチェーン内の「最も弱いリンク」が全体のリスクとなる構造を生み出します。したがって、自動車メーカーは自社のセキュリティ対策だけでなく、サプライヤー、パートナー企業、さらにはその先のサプライヤーに至るまで、サプライチェーン全体のエンドツーエンドのセキュリティ体制を構築し、リスク管理を徹底する必要があることが示唆されます。

大手自動車メーカーへの不正アクセスと個人情報流出

2023年7月には、マツダ株式会社がサーバー機器を経由した不正通信を検知し、アプリケーションサーバーの脆弱性を悪用したアカウント情報管理システムへの不正アクセスが確認されました。この結果、マツダおよびグループ会社の社員、協力会社社員、取引先担当者など計104,732件の個人情報が流出した可能性が判明しました。

この種の攻撃は、企業の信頼性、ブランドイメージ、そして顧客との関係に深刻な影響を与えるリスクを示しています。これらの事例が示すように、自動車産業におけるサイバーセキュリティ対策は、ITセキュリティの範疇を超え、製品の「機能安全」と企業の「事業継続計画（BCP）」の核心部分として位置づけられるべきです。サイバーリスクは、企業の存続を左右するレベルのリスクに昇格したと認識されています。

4. 国際的な規制と標準の動向：遵守の必要性

自動車産業におけるサイバーセキュリティ対策の重要性は、国際的な規制と標準の整備によっても強く裏付けられています。これらの枠組みは、単なる推奨事項ではなく、市場参入のための必須条件となりつつあります。

UN-R155：国際的な自動車サイバーセキュリティ規制

UN-R155（国連サイバーセキュリティ及びサイバーセキュリティ管理システムに関する規則）は、車両のサイバーセキュリティリスクを管理するための国際的な法規制です。この規制は2021年1月22日に発効し、2022年7月以降に発売される一部の新型車から段階的に適用が始まり、2024年7月以降はすべての新車に適用されます。

UN-R155の最も特徴的な点は、車両の型式審査（認可）を受ける前段階として、「CSMS（サイバーセキュリティ管理システム）適合証明」を自動車メーカーに義務付けていることです。これは、メーカーが車両のライフサイクル全体にわたって適切なセキュリティプロセスを確立し、維持していることを証明するためのものであり、3年ごとの監査が求められます。この法規制の存在は、自動車メーカーが特定の市場（特に欧州や日本などUN-R155を採用する国・地域）で新車を販売するためには、サイバーセキュリティ対策が単なる推奨事項ではなく、法的な義務であり、市場参入のための「必須条件」となったことを意味します。サイバーセキュリティへの投資は、もはやコストセンターではなく、事業継続と市場競争力を維持するための戦略的投資であると言えます。非準拠は、製品の販売停止、リコール、ブランドイメージの失墜といった直接的な事業リスクに繋がる可能性があります。

ISO/SAE 21434：自動車セキュリティの国際標準

ISO/SAE 21434は、車両の企画・開発から生産、廃棄に至る製品ライフサイクル全体を通じたセキュリティ確保の要求事項をまとめた国際標準規格です。この規格はリスクベースのアプローチを基本とし、コンセプトフェーズでの網羅的なリスク識別から、製品開発フェーズでの設計・実装、そして製品ライフサイクルを通じたリスクコントロールまでをカバーしています。これは、自動車メーカーやサプライヤーが、車両のセキュリティを設計段階から考慮し、開発プロセス全体でセキュリティリスクを継続的に評価・管理するための具体的な指針を提供することを目的としています。

UN-R155とISO/SAE 21434の相互補完的な関係性

UN-R155とISO/SAE 21434は、相互補完的な関係にあります。UN-R155が「何をすべきか」という法的な要件を定めているのに対し、ISO/SAE 21434は、その要件を「どのように実現すべきか」という具体的な技術的指針やプロセスを提供します。UN-R155の技術的な要件の多くはISO/SAE 21434を参照しており、これにより自動車メーカーやサプライヤーは一貫したアプローチでセキュリティ対策を実施することが可能になっています。

この連携は、自動車メーカーが開発プロセスの初期段階からセキュリティを組み込む「Security by Design」のアプローチを強制するものです。これは、脆弱性を後から修正するのではなく、設計段階でリスクを特定し、対策を講じるというパラダイムシフトを促します。結果として、自動車のセキュリティは、単一の技術的要素ではなく、製品の企画、設計、開発、製造、運用、廃棄に至るまでの一貫したプロセス管理と継続的なリスク評価が求められるようになります。これにより、業界全体のセキュリティ成熟度が向上し、よりレジリエントな製品が市場に投入されることが期待されます。

5. 業界全体の取り組みと対策フレームワーク

国際的な規制や標準の整備に加え、自動車産業は業界団体や個々の企業レベルで、サイバーセキュリティ対策を強化するための具体的な取り組みを進めています。これらの取り組みは、業界全体のセキュリティレベルの底上げと、実効性のある防御体制の構築に貢献しています。

JAMA・JAPIAの自動車産業サイバーセキュリティガイドラインとその影響

日本自動車工業会（JAMA）と日本自動車部品工業会（JAPIA）は、自動車産業全体のサイバーセキュリティレベル向上を目指し、共同で「自動車産業サイバーセキュリティガイドライン」を策定しました。2022年3月には改訂版（ver2.1）が公開されています。

このガイドラインは、自動車業界に関わる全ての企業を対象とし、「自己評価チェックシート」を通じて各企業のセキュリティレベルの評価と向上を促しています。2023年には3,000社以上がこのチェックシートに回答し、「全体的に2022年度より平均点が向上した」と報告されており、ガイドラインが業界全体のセキュリティ意識と対策レベルの向上に貢献していることが示されています。

この共同ガイドラインの策定と普及は、サプライチェーン全体にわたる企業のセキュリティレベルのばらつきを認識し、業界団体が主体となって「共助」の精神で全体の底上げを図っていることを示します。個々の企業が孤立して対策するのではなく、共通のフレームワークと評価基準を用いることで、サプライチェーン全体の脆弱性を減らそうとする動きです。これは、サイバーセキュリティが競争領域ではなく、協力領域であるという認識の表れであり、業界全体のセキュリティ成熟度を高める上で極めて有効なアプローチです。

自動車メーカーおよびセキュリティ企業による実装例

自動車メーカーやセキュリティ企業は、国際規制や業界ガイドラインに準拠し、実効性のあるサイバーセキュリティ対策を実装するために様々なアプローチを進めています。

例えば、Horiba Miraのような専門企業は、自動車メーカーがUN-R155やISO/SAE 21434といった国際規格に準拠するための包括的なサービスを提供しています。これには、規制準備プログラム、ピアツーピアトレーニング、エンジニアリングコンサルティング、検証・評価サービスなどが含まれ、規制遵守と実効性のあるセキュリティ対策の両面を支援しています。

また、NCC Groupの事例では、ある自動車メーカーのコネクテッドカー開発において、車両のインフラストラクチャ、ウェブアプリケーション、モバイルアプリケーションなど、複数の側面からセキュリティ評価を実施し、開発の重要段階で脆弱性対策を強化することに成功しています ^。これは、車両単体だけでなく、それに連携するクラウドサービスやモバイルアプリケーションといった「外部システム」にも及ぶ、全方位的なアプローチの重要性を示しています。

これらの実装事例は、自動車メーカーが自社だけでサイバーセキュリティの全領域をカバーすることが困難であるため、外部の専門知識やサービスを積極的に活用している実態を示しています。複雑化するサイバー脅威と規制要件に対応するためには、専門性の高い外部ベンダーとの連携が不可欠であり、車両のライフサイクル全体、さらには関連するデジタルエコシステム全体を対象とした継続的なセキュリティ評価が求められます。

6. 今後の展望と継続的な課題

サイバー攻撃のリスクは年々増加の一途をたどっており、自動車産業は今後も継続的に高度化する脅威に直面することが予想されます。NICT（国立研究開発法人情報通信研究機構）の観測によれば、サイバー攻撃関連通信数は2015年から2022年の間に約8.3倍に増加しています。また、東京商工リサーチの調査では、「ウイルス感染・不正アクセス」による情報漏えい・紛失事故が最多記録を更新し続けており、自動車産業もこの広範な脅威の拡大に直面しています。

このような状況下で、自動車業界は以下の主要な課題に継続的に取り組む必要があります。

自動車業界が直面する主要な課題

車両の複雑化に伴うセキュリティ対策の難易度上昇: 現代の自動車はソフトウェアと電子制御の塊であり、その複雑性は増す一方です。この複雑性が、新たな脆弱性を生み出し、セキュリティ対策の設計、実装、検証を極めて困難にしています。これは、サイバー脅威が一時的なものではなく、常に変化し、高度化し続ける「永続的な課題」であることを示しています。
サプライチェーン全体でのセキュリティ確保: 前述のトヨタの事例が示すように、サプライチェーンのどこか一箇所に脆弱性があれば、それが全体の生産活動や事業に深刻な影響を及ぼします。自動車産業は多層的なサプライチェーンに依存しており、その全体におけるセキュリティレベルの均一化と強化が喫緊の課題です。
「セキュリティ×セーフティ」の両立: サイバー攻撃が直接的に車両の物理的制御を奪い、人命に関わるリスクをもたらす可能性があるため、サイバーセキュリティは従来の機能安全（セーフティ）と不可分な関係にあります。この二つの側面を同時に、かつ高いレベルで確保することが求められます。
既存の車両と新たな技術の統合におけるセキュリティ課題: 既存の車両プラットフォームやレガシーシステムに、コネクテッド機能や自動運転技術といった新たな技術を統合する際、互換性やセキュリティのギャップが生じる可能性があります。これらを安全に統合するための対策が重要です。

これらの課題に対応するためには、自動車産業は、単に攻撃を「防ぐ」だけでなく、攻撃を受けた際に被害を最小限に抑え、迅速に復旧できる「レジリエンス（回復力）」を組織全体で構築する必要があると言えます。継続的なリスク評価、脅威インテリジェンスの活用、インシデント対応計画の強化が不可欠となります。

OTセキュリティの統合的アプローチの重要性

自動車製造プロセスや工場設備を制御するOT（運用技術）システムも、サイバー攻撃の標的となりつつあります。ある自動車メーカーの事例では、OTセキュリティの課題として、資産インベントリや脆弱性・リスクの可視性不足、運用上の影響理解の欠如、緩和指示の不足、OT-ITセキュリティ態勢の可視性欠如などが指摘されています。

これらの課題に対し、セキュリティリスクの特定と評価、多様なソースからのデータ相関、リアルタイムでの変更監視、セキュリティ運用の効率化、組織全体での標準化といった統合的なアプローチが進められています。自動車はIT機器化し、製造プロセスはOTシステムに依存しています。これらがネットワークで繋がることで、IT領域の脆弱性がOT領域に波及し、物理的な生産活動や車両の機能に直接的な影響を及ぼすリスクが高まります。従来のITセキュリティとOTセキュリティの境界が曖昧になり、複合的な攻撃経路が生まれるため、自動車産業はITとOTのセキュリティを個別に管理するのではなく、組織全体で統合的なセキュリティ戦略を策定し、資産インベントリ、脆弱性管理、リアルタイム監視、インシデント対応を横断的に実施する必要があるのです。これにより、工場から車両、クラウドまで、エンドツーエンドのセキュリティ態勢を確立し、新たな複合リスクに対応することが可能となります。

7. 結論：CASE時代におけるサイバーセキュリティ対策の不可欠性

CASE時代における自動車産業のサイバーセキュリティ対策は、単なる技術的な課題ではなく、安全で信頼性の高いコネクテッドカーや自動運転技術の実現に不可欠な要素です。サイバーセキュリティが確保されなければ、これらの革新的なモビリティ・ソリューションが社会に受け入れられることはありません。

過去の攻撃事例が明確に示しているように、サイバーセキュリティの脆弱性は理論上の問題ではなく、現実的な脅威であり、人命の安全、企業の事業継続、そして顧客からの信頼に重大な影響を及ぼす可能性があります。車両の遠隔制御、生産ラインの停止、個人情報の大規模流出といった事態は、企業の存続そのものを脅かすリスクとなります。これは、サイバーセキュリティがCASE技術の「社会受容性」を確保するための基盤となることを意味します。コネクテッドカーや自動運転技術が社会に普及し、その恩恵を享受するためには、一般市民がそれらの技術を「安全で信頼できる」と認識し、受け入れることが不可欠です。サイバー攻撃による事故やプライバシー侵害の懸念があれば、社会的な抵抗や規制強化に繋がり、技術の普及が阻害されるでしょう。

UN-R155やISO/SAE 21434といった国際規制・基準、そしてJAMA・JAPIAによる業界ガイドラインの整備が進む中、自動車メーカーとそのサプライヤーは組織的かつ体系的なアプローチでセキュリティ対策を強化しています。しかし、技術の進化に伴い新たな脅威が常に登場するため、継続的なリスク評価とセキュリティ対策の更新が不可欠です。

サイバー脅威の複雑性と広範な影響を考慮すると、個々の企業が単独で防御を完結させることは不可能であるため、サプライチェーン全体、競合他社、規制当局、セキュリティベンダーなど、エコシステム全体での「共創的防御」の概念が不可欠となります。特に、開発の最初の段階からセキュリティを考慮した設計（Security by Design）の採用や、サプライチェーン全体を含む業界全体での協力体制の強化が、今後の自動車産業の持続的な発展には不可欠となるでしょう。自動車産業は、競争領域と協力領域を明確に区別し、サイバーセキュリティにおいては情報共有、ベストプラクティスの共有、共同での脅威分析といった協調的なアプローチを強化することで、業界全体の防御力を高める必要があります。これは、サイバーセキュリティが単なるコストではなく、業界全体の持続可能性と成長を支える「共通の投資」であるという認識を深めることにつながります。