出荷後の車両や部品の脆弱性に、あなたの会社はどう行動すべきか：WP29サイバーセキュリティ最新動向（3）（3/3 ページ）

リスク分析フェーズ

　入電された脆弱性情報の信ぴょう性が高く、対応を進めることになると、社内の製品・情報セキュリティ委員会や関係部署へ一報を入れ、OEMとサプライヤーのPSIRT間の連携を図っていく。このためにも、表3-1に示すような連絡票を準備しておくと良い。ここには、関係部署と担当者、メールアドレス、役割などを記しておく。

　脆弱性の対象が開発フェーズの自動車にとどまる場合は、生産フェーズ前までに対応が図られるよう、開発部門やサプライヤーと調整を進める。生産フェーズ後の自動車が対象となる場合は、脆弱性を突く攻撃が、道路を走る自動車へ行われないよう、迅速な対応に重点を置くこととする。このため、分析結果が完璧にそろわない段階でも、関係者に対して小まめな情報共有を行うことを心掛け、AUTO-ISACとも適宜連携を進めたい。

　リスク分析では、脆弱性の影響を受けるシステムやHW/SW部品のリスト、その影響度や脆弱性を突く攻撃の成立条件などを、関係する開発部門やサプライヤーを交えて分析する。このとき、自動車の多層防御の仕組みを把握しているOEMは、攻撃の成立条件の精査役を担うことになる。リスク分析の結果、出荷済み自動車への影響が小さく受容できると判断される場合には、その理由を記録し、次回の開発フェーズにおいて対策が図られるようなプロセス作りが求められる。

　リスク分析の結果、リスクの低減に向けてパッチ作成などの対策を図る場合には、その有効性の評価と正しく機能するかのテストを、開発部門やサプライヤーが連携して進めていく。もし自動車の利用方法で攻撃の成立条件を回避する有効な手段を図れるのであれば、その回避策についても所有者へ周知を進める。こうしたリスク評価や有効性テストの内容は、必要に応じて発見者に確認すると良い。

公表フェーズ

　パッチなどの対策の準備が整うと、販売店やOTA（Over-The-Air）などを通じたSU（Software Updates）に向けて準備を整える。公表の時期について、車内関係者やサプライヤーと調整するとともに、他のOEMやサプライヤーの準備状況をAUTO-ISACなどを通じて確認するとともに、社内関係者やサプライヤーと調整する。公表については、既存の修正対応の手順に乗るなど、確実に対策が進むように図っていく。必要に応じて、当局や関係機関へも報告する。

　最後に振り返りとして、脆弱性が組み込まれてしまった原因を特定し、再発防止に向けた改善策を検討し、CS活動へのフィードバックを行う。また、入電から公表までの一連の作業において、反省点があればそれを振り返り、今後のPSIRT活動が迅速かつ有効に機能するよう改善を図る。

（次回へ続く）

→連載「WP29サイバーセキュリティ最新動向」バックナンバー