自動車メーカーが UN R155、TISAX、ISO/SAE 21434 を同時に挙げています。CISO はどう分担しますか？
三つは混同されがちですが、実務上は並行する三つの供給者要求です：
| 要求 | 性質 | 対象 |
|---|---|---|
| UN R155 | 法規。完成車の型式認証要件 | 自動車メーカーの車両サイバーセキュリティ管理システム（CSMS）とサプライチェーンの責任 |
| TISAX | 情報セキュリティ評価 | 自社拠点の情報保護能力（試作品保護、データ保護を含む） |
| ISO/SAE 21434 | エンジニアリングプロセス規格 | 製品をどう安全に開発するか |
TISAX に合格しても 21434 の能力があることにはならず、その逆も同様です。R155 は自動車メーカーが負い、部品メーカーには多くの場合契約を通じて要求されます。
ISO/SAE 21434 は義務ですか？CISO はこの投資の必要性をどう説明しますか？
規格自体は法的義務ではありません。ただし EU では、完成車の型式認証要件である UN R155 が 2022 年 7 月から新型車に、2024 年 7 月からすべての新規生産車に適用されており、適合しなければ自動車メーカーは型式認証を取得できません。自動車メーカーの CSMS 義務は契約を通じてサプライチェーンに及びます。
車載サプライチェーンに参入する企業にとって、21434 は事実上の参入要件です。自動車メーカーはこれを基準に供給者のセキュア開発能力（TARA、サイバーセキュリティコンセプト、開発と検証、インシデント対応）を審査し、対応する仕組みがない Tier 1・Tier 2 供給者は開発案件に入れません。実際の要求は自動車メーカーの見積依頼と契約によります。
21434 には公式の証明書がありません。CISO は自動車メーカーにどう能力を示しますか？
ISO 自体は認証も証明書の発行も行いません。市場では認証機関が独自のスキームでマネジメントシステムやプロセスの適合性認証を提供し、要員資格認証もあります。より重要なのは、自動車メーカーの開発案件監査に通ることです。
CISO が準備するのは、抜き取り確認に耐える成果物です：
- TARA の記録
- TARA から導いたサイバーセキュリティ目標と要件
- 開発と検証の証跡
- インシデント対応手順
目標は証明書を得ることだけでなく、自動車メーカーの監査に耐える仕組みをつくることです。
TARA は誰が行いますか？CISO と研究開発部門はどう分担しますか？
TARA は 21434 の技術的な中核で、資産の特定、脅威シナリオ、攻撃実現可能性と影響の評価、リスク対応の決定を行い、そこからサイバーセキュリティ目標と要件を導いて、V モデルの開発と検証を通じて展開します。
- まず、自動車メーカーの開発案件で自社がどの項目を担当し、双方のセキュリティ責任をどう分担するか（サイバーセキュリティインターフェース合意）を明確にします。
- ASPICE や ISO 26262 のプロセスを持つ組織は、21434 を既存の開発フレームワークに段階的に組み込めば、別の仕組みを立ち上げる必要はありません。
- 26262 は「故障による危害」を、21434 は「攻撃による危害」を扱います。統合導入では、セキュリティ分析の結果を安全上の危害分析にフィードバックします。
量産後も CISO は何を管理しますか？車載製品に EU CRA は適用されますか？
21434 はコンセプト、開発、生産、運用、保守、廃棄までのライフサイクル全体を対象とするため、量産後の脆弱性監視、インシデント対応、更新にも責任者が必要です。
CRA の判断：型式認証車両に搭載される ECU は CRA の対象外で（第 2 条第 2 項 (c)）、そのセキュリティは完成車の型式認証要件である UN R155／R156 が規律します。アフターマーケット製品や単独で販売されるコネクテッド車載製品は、引き続き CRA への適合が必要です。ISO 26262 をセキュリティの証明とみなしたり、車載 ECU に CRA が必要だと誤解したりすると、自動車メーカーのサプライチェーンセキュリティ審査で欠落が露呈します。
TISAX を取得済みです。21434 はどの文書を共有できますか？
TISAX と 21434 は統合して支援できます。要点は：
- セキュリティ方針の枠組みを共有する
- 供給者管理の要求を統一する
- リスク評価のプロセスを重複させない
TISAX 支援プロセスの中の 21434 統合（オプション）は、セキュリティ方針の枠組みとリスク評価の下地を共有し、二重の構築を避けるものです。ただし両者は互いに代替できません。共有できるのは組織レベルの文書で、製品の TARA、サイバーセキュリティ要件、開発と検証の証跡は 21434 に沿って構築する必要があります。
積穗科研は CISO の ISO/SAE 21434 対応をどう支援しますか？
積穗科研のやり方（上の質問で私たちも検証してください）：
- 副社長・取締役クラスのコンサルタントが自ら担当し、外注しない
- 自動車メーカーが求めるのが UN R155 のサプライチェーン要求か、TISAX か、21434 のエンジニアリング能力かをまず明確にする
- TARA の方法を整備してセキュリティ目標と要件を導き、既存の ASPICE または ISO 26262 の枠組みに組み込む
- 自動車メーカーの開発案件監査に通ることが目標。同じチームが TISAX も支援し、実名実績に億豐金屬工業がある
ほかの役割から見たこのサービス
同じ役割のほかのサービス
- CISO が ISO 27001 を導入するとき：取締役会報告、ESG 加点、認証範囲をどう決めるか
- CISO が見る ISO 27701 と GDPR：越境データ、従業員データ、72 時間報告をどう管理するか
- CISO が向き合う NIS2：対象事業体か、複数国の拠点、取締役会、報告をどう整理するか
- CISO が向き合う DORA：EU の金融顧客にサービスを提供するとき、契約・報告・テストで何を準備するか
- CISO が向き合う EU CRA：主導者、24 時間報告、SBOM、予算をどう整理するか
- CISO が ISO/IEC 29147 を導入するとき：脆弱性の受付窓口、CVD 方針、CRA 報告をどうつなぐか
- CISO の ISO/IEC 30111 導入：脆弱性対応プロセスを CRA 報告にどうつなぐか
- CISO の IEC 62443 対応：どのパートを選び、EU CRA とどう関係するか
- CISO の TISAX 準備：評価レベル、ISA2027、期間をどう決めるか
- CISO の ISO 22301 導入：ICT 復旧、RTO、訓練をどう準備するか
- CISO の ISO 42001 導入：AI ガバナンスは 27001 と何を共有できるか
- CISO と EU AI 法：AI システムのセキュリティ、ログ、人による監督に何を備えるか
- CISO の営業秘密保護：通用する情報区分とアクセス記録をどう設計するか