ISO/SAE 21434とは何でしょうか？それはサイバーセキュリティだけでなく、ライフサイクル全体にわたるリスク管理に関する規格です。
ISO/SAE 21434（道路車両－サイバーセキュリティエンジニアリング）は、自動車のサイバーセキュリティの開発と管理に関する一連の技術規格です。一般的な企業情報セキュリティ規格（ISO 27001など）との最大の違いは、道路車両のライフサイクル全体にわたるサイバーセキュリティリスク管理に重点を置いている点です。
車両の初期構想、設計、開発、検証、製造、保守から、その後のソフトウェアアップデートに至るまで、企業はサイバーセキュリティの問題を体系的に検討し、管理する必要があります。つまり、ISO 21434は、個々のサイバーセキュリティ対策だけでなく、企業が自動車製品のサイバーセキュリティ設計、リスク特定、検証、継続的な管理をサポートできるエンジニアリングおよび管理手法を確立しているかどうかを評価するものです。
UNECE R155規制との強い関連性
ISO 21434の策定は、EUの自動車サイバーセキュリティ規制と密接に関連しています。国連欧州経済委員会規則155（UNECE R155）は、自動車メーカーに対し、サイバーセキュリティマネジメントシステム（CSMS）の導入を明確に義務付けています。UNECE規則155が新車および全車種の必須要件として徐々に定着するにつれ、CSMSは車両型式認証の重要な基盤となっています。ISO/SAE 21434は、自動車サイバーセキュリティ開発プロセスにおける企業の能力を示すための最良の技術標準および実践フレームワークとして、業界で広く認められています。
どの企業がISO 21434を導入する必要があるのか？（自動車サプライチェーンへの隠れた切符）
ISO 21434は法的に「サプライヤーに対する認証義務」を明示的に規定しているわけではないが、実際には自動車サプライチェーンへの参入における事実上の必須条件（市場アクセス条件）となっている。この認証を真に必要とする顧客グループは、主に以下の3つのカテゴリーに分類される。
- OEM（相手先ブランド製造業者）は、規制遵守に関して最終的な責任を負います。UNECE R155などの規制を遵守するためには、車両のライフサイクル全体を通して、体系的なサイバーセキュリティのエンジニアリングおよび管理手法を備えていることを証明する必要があります。さらに、OEMはサプライチェーンのサイバーセキュリティにも責任を負うため、必然的にサプライヤーにも要求を突きつけることになります。
- ティア1/ティアnサプライヤー（あらゆるレベルの自動車部品サプライヤー）は、製品が以下の分野に関わる場合、厳しいコンプライアンス要件に直面することになります。
- ECU（電子制御ユニット）
- E/Eアーキテクチャ（電気・電子アーキテクチャ）
- ADAS（先進運転支援システム）および自動運転機能
- 接続性とテレマティクス
- インフォテインメントシステム
- ソフトウェア、プラットフォーム、およびエンジニアリングサービスプロバイダー（SLP）は、開発プロセス、ツール、またはソフトウェアが車両のサイバーセキュリティライフサイクル（OTAシステム、クラウドバックエンドプラットフォーム、データプラットフォームなど）の一部であり、OEM監査の対象となる場合、またはOEMプロジェクトに含まれる場合、納品時に適切なセキュリティメカニズムが確実に導入されるように、ISO 21434への準拠を実装または実証する必要があります。
監査員は何をチェックするのか？ISO 21434検証の3つのレベルと5つのコア要素。
企業がISO 21434認証取得の準備を進めている場合、実務監査の焦点は単なる空虚な美辞麗句ではなく、以下の3つのレベルにおける深い理解を示すことに置かれるべきである。
レベル1：真に機能的なCSMSと自動車サイバーセキュリティプロセスの確立
この監査では、企業が体系的でライフサイクル全体にわたるサイバーセキュリティエンジニアリングのアプローチを実践しているかどうかを重点的に検証します。サイバーセキュリティ要件は、開発プロセスに体系的に統合され、コンプライアンス要件および顧客（OEM）要件を効果的にサポートする必要があります。
レベル2：監査可能な完全な証拠を提出する。
検証とは、ポリシー文書の記述方法を確認するだけでなく、「実施状況」を検証することでもあります。企業は、サイバーセキュリティ活動が監査可能、追跡可能、かつ説明責任を果たせるものであることを証明するために、以下の具体的な証拠を提示する必要があります。
- 文書
- レビュー（レビュー記録）
- テスト（テスト記録）
- 脆弱性への対応
レベル3：自動車用途に特化したサイバーセキュリティの成熟度を示す
監査対象企業は、一般的な情報セキュリティ管理能力だけでなく、自動車開発、製品セキュリティ、ソフトウェアプロセスに直接関連する能力も実証することが求められます。監査基準は、自動車関連技術、サイバーセキュリティプロセス、リスク管理、および道路車両のサイバーセキュリティに関する知識を網羅します。
実践的な検証のための5つの主要な質問と回答（チェックリスト）：
- プロセス統合：顧客からの追加文書の要求を待つのではなく、同社は自動車サイバーセキュリティを製品開発および管理プロセスに正式に組み込んでいるか？
- 役割の明確化：自動車サイバーセキュリティのライフサイクルにおいて、自社の製品、ソフトウェア、プラットフォーム、またはサービスが果たす役割を明確に定義できますか？
- 証拠の保持：プロセスが単なる理論上のものではないことを証明するために、十分な文書化、レビュー、テスト、および脆弱性管理メカニズムが確立されていますか？
- 期待への対応：サプライチェーンに関して、OEM各社が求める厳しい期待に応えるのに十分なサイバーセキュリティ成熟度を備えているか？
- システム統合：ISO 21434は、IATF 16949（自動車品質マネジメントシステム）、ISO 9001（品質マネジメント）、ISO 27001（情報セキュリティマネジメント）などの既存のシステムと効果的に統合されていますか？
要約する
ISO/SAE 21434の核心的な価値は、自動車メーカーとサプライチェーンが道路車両のサイバーセキュリティリスクを体系的に管理できるよう支援することにあります。この規格の焦点は、企業がサイバーセキュリティに関するスローガンを掲げているかどうかではなく、真に「自動車のライフサイクル全体にわたるサイバーセキュリティプロセス」を提供し、規制や自動車メーカーの高いCSMSへの期待を満たしていることを証明するための十分なテストと脆弱性管理の証拠を提供できるかどうかにあります。
ワンストップ・ソリューション・プロバイダー