2018年からの1年間でコネクテッドカーに対するサイバー攻撃が倍増した。イスラエル発のサイバーセキュリティ企業、Cybellum（サイべラム）で日本カントリーマネージャーを務める奥田正和氏は「コネクテッドカーのセキュリティは喫緊の課題ですが、対処していくスピードを上げる必要があります」と語る。コネクテッドカーが抱えるリスクとは何か。安全性はどう守られるべきなのか。同氏に詳しく話を聞いた。
コネクテッドカーのサイバーセキュリティとは
コネクテッドカーには数多くのソフトウェアが使用されている。そのため、ソフトウェアのセキュリティを守ることが重要になる。
奥田氏は「ソフトウェアの守り方は色々あります。ファイアウォールなど、防御の壁を増やすようなアプローチもありますが、ソフトウェアそのものにバグや脆弱性があったのでは、壁を足すだけでは守りきれません。そこで当社はコネクテッドカーの中のソフトウェアをスキャンし、脆弱性を見つけるツールを提供しています」と話す。
Cybellum プロダクト・セキュリティ・アセスメントのインターフェース
同氏によると、担当エンジニアは多くの場合「堅牢なソフトウェアはどんなものか」「ハッカーに攻撃される脆弱性はどんなものか」を理解しており、対応方法もわかっているという。問題は、コネクテッドカーに搭載されるソフトウェアの数が多く、すべての脆弱性に対応しきれないことなのだ。
専門家が脆弱性を発見した際、発見した脆弱性を登録するCommon Vulnerabilities and Exposures （CVE）、National Vulnerability Database（NVD）などのデータベースがある。こうした場所には年間2〜3万件の新規脆弱性が報告される。
奥田氏は「このペースで脆弱性が見つかるので、どこかの会社がソフトウェアを出したら、規模にもよりますが数カ月で数十件程度の脆弱性が見つかります。ハッカーたちは公表された脆弱性を使った攻撃も仕かけてきます。一方で、ソフトウェアには『未発見、未公表のすでに存在している脆弱性』もあります。また、1つの脆弱性を直すには数カ月〜数年かかることもあります。新しい脆弱性も後から出てきます。『脆弱性ゼロ』の日はありません。ソフトウェア提供企業は公表された脆弱性に優先的に対応しつつ、未公表の脆弱性にも対応していかなくてはなりません」と話す。
理想的には、開発段階から脆弱性データベースを参考に脆弱性が混入しないよう開発を進め、製品が出荷されてからもデータベースを見続け、公表された脆弱性が製品に該当しないかをチェックし続けることが望ましいという。
自動車サイバーセキュリティ規制
開発段階と自動車のライフタイム（開発以降のあらゆる時期）を通した脆弱性対策は、自動車サイバーセキュリティ規制（UNECE WP.29 R155）でも定められている。これは、国連欧州経済委員会の作業部会である自動車基準調和世界フォーラム（WP29）が策定したものだ。
奥田氏は「この規制で重要なのは、『自動車のサイバーセキュリティを担保する社内プロセスを保持すること』です。これを企業目線で具体的に落とし込むと、サイバーセキュリティの専門チームや専任者を設置する、開発プロセスとレビュープロセスを策定する、出荷後も脆弱性を監視し続ける、ということになります。組織とプロセスが全体的に規制されるのです」と説明。
自動車サイバーセキュリティ規制は、自動車における「安全性」の概念の変化も反映している。自動車はもはや「安全性を担保して出荷すれば良い物」ではない。自動車メーカーは企画・開発・生産から廃棄までセキュリティを監視しなければならないのだ。
さらに、この規制のステークホルダーは最終生産メーカーを筆頭に、部品メーカーやベンダーなど、サプライチェーン全体におよび、規制に対する対応の有無の説明責任は最終生産メーカーが負う。
セキュリティはコストなのか
自動車サイバーセキュリティ規制は、自動車のセキュリティをライフタイム全般にわたり担保するもので、ユーザーの利益になるものだ。だが、自動車メーカー側の負担は大きくないだろうか。
「その側面は否定できません。運転支援機能や自動運転機能のように、先端技術を追加して安全性を高めても、セキュリティ対策に関しては今はそうした付加価値を値段に転嫁しにくい状況です。『最先端のセキュリティに対応しているので、このクルマは10万円高くなります』というのは難しいのではないでしょうか」と奥田氏。
しかし、十分なセキュリティ対策を行わず、自動車がサイバー攻撃に遭い、損失や危険な事象が発生した場合、自動車メーカーの評判は落ちてしまう。
奥田氏は「攻撃が発生すれば『セキュリティをしっかりしておいてよかった』という話になりますが、そうでない時にはセキュリティはコストに見えてしまいます」とセキュリティの重要性を指摘する。
コネクテッドカー向けセキュリティの差別化
では、自動車メーカーはソフトウェアの脆弱性をどう発見すれば良いのか。
「多くの脆弱性はソースコードの中にあるので、エンジニアが集まってコードをレビューすれば、脆弱性を見つけることは可能です。ですが、今日の激増するソフトウェア量を考えるとこのやり方は非現実的です。実際には、当社が提供しているような、製品に組み込まれているソフトウェアコンポーネント群をスキャンし、脆弱性を見つけるサービスを活用して効率化を目指すのが望ましいです」と奥田氏。
しかし、ソフトウェアをスキャンするサービスならなんでもいいというわけではない。
奥田氏は「現在、多くのIT企業がソフトウェアチェッカーを提供しています。ですが、自動車の組み込みソフトウェアに十分に対応しているものはほんの一部です。組み込みソフトウェアは必ずしもサーバやPC上で動くものではないので、自動車用ではないソフトウェアチェッカーは、自動車のソフトウェアチェックに対応できない部分も多いのです」と力説する。
では、こうした企業はどうやって差別化しているのだろうか。
奥田氏によると、現在、自動車向けソフトウェアチェッカーを提供している主要な企業は、基本的に類似した技術を提供しており、差別化要素の1つが対応している半導体の種類、OSなどだそうだ。
また、ソフトウェアは使用される製品によって構造が変わってくる。そのため、ソフトウェアチェッカー提供企業の得手不得手も分野によって現れるという。
自動車業界のソフトウェア活用では、ソースコードとバイナリコードという観点も重要だ。ソースコードは、プログラミング言語で書かれたコンピュータプログラムで「どんな動作をさせたいか」を表現する。機械はソースコードをそのまま実行できないため、ソースコードは機械が読み込むことができるバイナリコードに変換される。
奥田氏は「自動車の最終生産メーカーがすべてのソースコードを保持していることは非常に稀です。自動車はサプライヤーから集めてきた多様なパーツで成り立つため、各部のソースコードが最終メーカーの手元にすべて届くとは限らないのです。むしろソースコードが送られてこない方が普通かもしれません」と話す。
しかし、最終メーカーの手元には、自動車の全体統制のために必要な全体のバイナリコードがある。そのため、実際にスキャンできるのは、バイナリコードになる。自動車のソフトウェアをスキャンするには、バイナリコードのスキャン技術と精度が重要になる。
奥田氏は「当社はバイナリコードのスキャンに対応していますが、ソースコードにしか対応していない企業もあります。バイナリコード対応の有無も差別化のポイントになりますね」と補足した。
対策すべきリスク
Uswitchの調査によると、2018年から2019年にかけてコネクテッドカーに対するサイバー攻撃が99％増加した。奥田氏はこれをどう見るのか。
「コネクテッドカーへの攻撃は、危惧されていたよりは増加していないと考えています。『実現可能な攻撃』に関する議論が活発化していますが、『実現可能な攻撃』と『実際に生じる攻撃』は別物です」と奥田氏。「『実際に生じる攻撃』は金銭的利益が発生するところで起こります。そのため、車載コンテンツ配信システムや、移動情報から得るドライバーの個人情報は狙われやすいでしょう。また、それを使ったランサムウェア攻撃もあり得ます。逆にいうと、コネクテッドカーを攻撃して、ドライバーを殺傷するようなことは金銭的利益があまり見込めないので、起こりにくいと考えられます」と話す。
コネクテッドカーを狙ったランサムウェア攻撃は誰に起こり得るのか。奥田氏はトラック運送会社など、コネクテッドカーを事業で利用している企業や組織が狙われるとみている。会社のコネクテッドカーが攻撃によりロックされてしまうと、一時的に売り上げが立てられなくなる。それなら身代金を払って一刻も早く自社のコネクテッドカーを仕事に回した方が良い、と決断する企業が出てきても不思議ではない。
奥田氏は「損失が身代金より大きいなら、払う方が良い、と考える企業はあるでしょう。今危惧されているのはこういった攻撃です」と話す。
コネクテッドカーは情報の宝庫だ。ドライバーの個人情報、家族の情報、移動情報などが蓄積される。これらの情報はそのまま売ることもできるし、銀行システムの攻撃にも悪用できる。
「自動車メーカーからすると、自社製品のセキュリティが破られたら、自社の評判が落ちます。また、過失が認められれば訴訟にも発展するかもしれません」と奥田氏は補足する。
とはいえ今のところ、コネクテッドカーのセキュリティの重要性の認知は、自動車メーカーやその周辺のエコシステムに限られており、一般の自動車ユーザーの間にはあまり浸透していない。そのため「この車はセキュリティ対策が優れています」というアピールが魅力的に映らない。
奥田氏は「自動車ユーザーのみなさんにセキュリティの大切さをお伝えできれば、車の魅力としてセキュリティをアピールすることもできます。ドライバーのみなさんを守るためにも、セキュリティ理解の促進は重要な課題です」と話した。