自動車産業
ここ数年の間に、乗用車やトラックの技術は著しく向上しました。 センサー技術やリアルタイムデータ分析の進歩によって実現した、前方衝突警告や自動緊急ブレーキといった機能により、私たちの車と私たち自身の安全性が向上しました。
すでに一部の都市で導入されている自動運転車は、人為的ミスのリスクを低減することで、運転者の安全性をさらに高める可能性を秘めています。 しかし、こうした新技術には新たなリスクも伴います。車両の製造にあたっては、こうしたリスクを確実に考慮に入れ、最小限に抑える必要があります。
自動車向けのサイバーセキュリティガイドライン
最近、米国運輸省（DOT）は、これらの新たなリスクに対処するための重要な第一歩として、自動車向けのサイバーセキュリティガイドライン「 」（草案） （新しいタブで開きます） を公表しました。 これらには、車両のファームウェアを変更する機能を制限することや、制御システムをセグメント化することなど、自動車メーカーにとって標準となるべき推奨される実践方法が数多く含まれています。 しかし、これらのガイドラインは強固な基盤を提供しているものの、あくまで任意のものであるため、消費者はメーカーがガイドラインをどの程度真剣に遵守したのか、あるいはそもそも遵守したのかどうかを把握する術がありません。
政府は、自動車メーカーに対して衝突試験の評価結果など、その他の安全性能に関する情報を公表するよう義務付けてきたのと同様に、消費者に対してもこうした透明性を確保すべきです。 人命がかかっている以上、サイバーセキュリティは物理的なセキュリティとは切り離して考えることはできません。
DOTは、EPAが義務付けている燃費（MPG）表示と同様に、車両向けのセキュリティラベルを作成することでこの問題に対処できます。このラベルには、包括的なセキュリティ評価の結果が記載されることになります。 このガイドラインでは同様の試験が推奨されていますが、やはりその結果の開示が義務付けられていないため、消費者は自分の車が実際にどれほど安全か、あるいは安全でないかを把握する術がありません。 これらの評価は義務化されるべきであり、政府認定の第三者機関によって実施されるべきです。その際、車両の全体的なアーキテクチャ、基盤となるコード内の重要なコンポーネント、独自の通信プロトコル、およびセンサーに対する能動的または受動的な攻撃に対して車両がどの程度適切に対応できるかについて検証が行われる必要があります。
評価のための具体的な基準の策定
こうした評価の具体的な基準を策定するため、DOTは自動車メーカーやサイバーセキュリティの専門家からなる作業部会を招集すべきです。 このグループは、これらの評価を実施する資格がある業者を誰が認定すべきか、また、いつ、どのような情報が消費者にとって最も有益であるかについて決定することができます。
米国の大手自動車メーカーをはじめ、多くの顧客がサイバーセキュリティ規制を順守できるよう支援してきた経験から、私は規制による負担を特に意識しており、過度な規制や不適切な規制は、セキュリティを強化するどころか、かえってその妨げになりかねないことを理解しております。 セキュリティ評価の実施を義務付けることは、過度な負担にはなりません。 この基準は、メーカーが自社の車両の安全性を確保するために用いる手法を規定するものではなく、多額の費用を要する要件を課すものでもありません。その一方で、消費者が自分の乗っている車がどれほど安全であるかを理解するために当然得られるべき透明性を提供しています。
DOTは 1967 年に初めて「連邦自動車安全基準」を制定し、「自動車の設計、構造、または性能に起因して発生する事故による不当なリスクから一般市民を保護するとともに、万が一事故が発生した場合においても、死亡や負傷という不当なリスクから一般市民を保護する」ことを確保しました。
結論
サイバーセキュリティも、最終的には、シートベルトやエアバッグと同等の扱いとして、この範疇に組み込まれるべきです。 しかし、当面は、政府が、消費者が十分な情報に基づいた判断を下すために必要な、正確かつ検証済みの情報を提供するという、この短期的かつ中間的な措置を講じるべきです。 これは、メーカーの収益に比較的軽微な影響しか与えずに、車両の安全性を全面的に向上させるために講じることができる最も効果的な対策の一つです。
著者について：最高セキュリティ責任者（CSO）として、デビッド・ダマト氏は、Taniumプラットフォームのモジュール開発に関する戦略的な製品方針を策定するとともに、同社の社内セキュリティプログラムを統括しています。 デビッド氏は、インシデント対応やフォレンジック、脆弱性評価、セキュリティプログラムの開発、セキュリティ運用、ネットワークおよびセキュリティアーキテクチャにわたり、豊富なセキュリティの専門知識をタニウムにもたらしています。 Tanium入社前は、FireEye傘下のMandiantでマネージング・ディレクターを務めており、同社のチームを率いて、フォーチュン 500 社にランクインする100 社以上において、インシデント対応および情報漏洩後の是正措置を主導しました。 マンディアント社では、デビッドは新たなインシデント対応サービスの機能開発や、国内外におけるコンサルティングオフィスの設立においても重要な役割を果たしました。 マンディアート入社以前、デビッド氏はPwCのワシントン連邦政府業務部門においてセキュリティコンサルティングチームを率い、またレイセオン社では、社内ネットワークおよび政府ネットワークの管理に重点を置いたIT関連の職務に従事していました。 デビッドは、業界のイベントやメディアを通じて、自身の専門知識や洞察を頻繁に発信しています。
