CTO の ISO/SAE 21434 導入：TARA を既存の開発プロセスにどう組み込むか

自動車メーカーの 21434 要求はどこから来るのか？研究開発は必ず対応すべきか？

ISO/SAE 21434 そのものは法的義務ではありません。要求の出どころは UN R155 で、これは完成車（自動車メーカー）の型式認証要件として、メーカーに車両サイバーセキュリティマネジメントシステム（CSMS）の構築とサプライチェーンの管理を求めています。EU では 2022 年 7 月から新型車に、2024 年 7 月からすべての新規生産車に適用されています。

メーカーの CSMS の義務は契約を通じてサプライチェーンに伝わり、部品メーカーの多くは自動車メーカーとの契約で求められます。メーカーは 21434 でサプライヤーのセキュリティ開発能力（TARA、サイバーセキュリティコンセプト、開発と検証、インシデント対応）を審査します。車載サプライチェーンに入りたい一次・二次サプライヤーにとって、21434 は事実上の参入要件です。実際の要求は自動車メーカーの見積依頼と契約によります。

TARA はどう進め、研究開発は何を作るのか？

TARA（Threat Analysis and Risk Assessment）は 21434 の技術的な中核で、手順は次のとおりです。

1. 資産の特定
2. 脅威シナリオの特定
3. 影響度の評価
4. 攻撃経路の分析
5. 攻撃実現可能性の評価
6. リスク値の決定
7. リスク対応の決定

ここからサイバーセキュリティの目標と要求を導き、V モデルの開発と検証に一貫して反映します。CTO が確認すべき点は二つです。TARA を誰がどの方法で行うか、そして結果がどのように追跡可能なサイバーセキュリティ要求となり、検証段階で試験されるかです。

ASPICE や ISO 26262 が既にある。研究開発プロセスを作り直す必要はあるか？

ありません。ASPICE や ISO 26262 のプロセスがある組織は、既存の開発の枠組みに 21434 を段階的に追加でき、サービスページでは段階的導入のコストは抑えられると説明しています。

二つの規格は V モデルを共有し、明示的に相互参照しています。統合する場合、セキュリティ分析の結果を安全上のハザード分析に反映します。なお ISO 26262 は機能安全の規格であり、これをサイバーセキュリティの証明とみなすと、UN R155 に基づく自動車メーカーのサプライチェーン審査で弱点が露呈します。

自動車メーカーとのセキュリティ責任の分担と、開発案件監査で研究開発が準備するものは？

まず自動車メーカーの開発案件で自社が担当する項目を明確にし、双方のサイバーセキュリティ責任の分担（サイバーセキュリティインターフェース合意）をメーカーと取り決めます。

監査面では、ISO 自体は認証も証明書の発行も行わず、21434 には公式の認証制度がありません。市場では認証機関が独自のスキームでプロセス適合性の認証や要員資格の認証を提供しています。より重要なのは自動車メーカーの開発案件監査に合格することであり、研究開発が準備すべきものは、証明書だけではなく、運用されている製品サイバーセキュリティエンジニアリングのプロセスと記録（TARA、サイバーセキュリティ要求、開発と検証、インシデント対応）です。

量産後の脆弱性監視、インシデント対応、アップデートも研究開発の責任か？

計画が必要です。21434 は車両の電気電子（E/E）システムの構想、開発、生産、運用、保守から廃棄までのライフサイクル全体を対象とし、インシデント対応も自動車メーカーがサプライヤーのセキュリティ開発能力を審査する項目の一つです。

CTO は体制設計の段階で、量産後の脆弱性監視、インシデント対応、アップデートをどう扱い、誰が担うかに答えられる必要があります。型式認証を受けた車両に搭載される ECU のサイバーセキュリティは UN R155／R156 が規律します。これは完成車の型式認証要件で自動車メーカーが負い、部品メーカーの多くは契約で求められるため、責任範囲をメーカーとの合意に書き込むべきです。

21434、TISAX、EU CRA の境界はどこか？製品ラインごとに分けて計画すべきか？

TISAX に合格しても 21434 の能力があるとは限らず、その逆も同じで、自動車メーカーのデューデリジェンスでは通常両方を確認します。EU CRA については、型式認証を受けた車両の ECU は CRA の対象外ですが（第 2(2)(c) 条）、アフターマーケット製品や単独で販売されるコネクテッド車載製品は引き続き CRA の対象です。CTO は製品ラインごとに、型式認証車両に搭載するものは 21434、アフターマーケットや単独販売のコネクテッド製品は CRA にも対応する、と分けて整理すべきです。

積穗科研は CTO の ISO/SAE 21434 対応をどう支援するか？

副社長・取締役クラスのコンサルタントが最初から最後まで自ら担当し、外注しません。進め方：

• 三つの要求を区別：自動車メーカーが求めるのが UN R155 のサプライチェーン要求か、TISAX か、21434 のエンジニアリング能力かを明確にしてから、何をするかを決めます。
• TARA とセキュリティ要求：TARA の手法を整え、サイバーセキュリティの目標と要求を導きます。
• 既存プロセスへの組み込み：既存の ASPICE や ISO 26262 の開発の枠組みに組み込み、セキュリティ分析の結果を安全上のハザード分析に反映します。
• 監査に耐える：証明書の取得だけでなく、自動車メーカーの開発案件監査への合格を目標にします。
• TISAX と合わせて計画：同じチームが TISAX も支援しています。顧客の許諾を得て公開している実名実績には億豐金屬工業股份有限公司（TISAX 評価支援）があります。

詳しく：ISO/SAE 21434 車載サイバーセキュリティエンジニアリング、21434 コンサルタントの選び方、CTO が研究開発プロセスに組み込む要求、TISAX 評価支援。無料のメカニズム診断を申し込む