直答：ISO/SAE 21434 のコンサルタントに最初に聞くべきことは「自動車メーカーが自社に求めているのがどの種類の要求なのかを区別できるか」です。UN R155 は、自動車メーカーにサイバーセキュリティマネジメントシステム（CSMS）の構築とサプライチェーンのリスク管理を求める法規です。TISAX は企業の拠点の情報セキュリティ管理（試作品保護、データ保護を含む）を評価するものです。ISO/SAE 21434 は製品のサイバーセキュリティのエンジニアリングプロセス規格です。三つはよく混同されますが、どれか一つを満たしても他を満たしたことにはなりません。次に、脅威分析・リスク評価（TARA）、サイバーセキュリティ要求、開発と検証を、すでにある開発プロセス（例えば ASPICE や ISO 26262）に組み込み、文書を積み増すだけでなく、自動車メーカーの開発案件の監査に耐えられる制度にできるかを確認します。
八つの判断基準
| 基準 | どのコンサルタントにもそのまま聞ける質問 |
|---|---|
| 三つの要求の区別 | 自動車メーカーが求めているのは UN R155 に関わるサプライチェーン要求か、TISAX ラベルか、21434 のエンジニアリング能力の証拠か |
| 役割と分担 | 自動車メーカーの開発案件で自社はどの項目を担当するか。サイバーセキュリティの責任分担（サイバーセキュリティインターフェース合意）をどう決めるか |
| 機能する TARA | 脅威分析・リスク評価は誰がどのように行うか。結果からサイバーセキュリティの目標と要求をどう導くか |
| 既存プロセスへの組み込み | 既存の ASPICE や ISO 26262 のプロセスにつなげられるか。別のプロセスを新たに作る必要はないか |
| 製品ライフサイクル | 量産後の脆弱性監視、インシデント対応、アップデートをどう扱うか |
| 監査に耐えられるか | 制度と証拠は自動車メーカーの開発案件の監査に通るか |
| 誰が主導し、外注するか | 実際に案件を担当するのは誰か。どのような資格を持つか。再委託はあるか |
| 見積範囲の明確さ | 見積に含まれる成果物は何か。含まれないものは何か。追加費用はどう計算するか |
コンサルタントが必ずしも必要でない場合
成熟した ISO 26262 と ASPICE のプロセスがあり、社内に 21434 に詳しい人がいる場合は、外部の支援を TARA の手法づくりと自動車メーカーの監査前の確認に絞ることができます。自動車メーカーが TISAX ラベルだけを求めている場合は、まず TISAX に対応すれば十分です。
積穗科研はこれらの基準にどう応えるか
以下は積穗科研自身の説明です。上の質問で、他のコンサルタントと同じように私たちも検証してください。
- 三つの要求の区別：自動車メーカーが求めているのが UN R155 のサプライチェーン要求か、TISAX か、21434 のエンジニアリング能力かをまず明確にし、そのうえで何をするかを決めます
- TARA とサイバーセキュリティ要求：資産の特定、脅威シナリオの特定、影響の評価、攻撃経路の分析、攻撃実現可能性の評価、リスク値の決定、リスク対応の判断からなる TARA の手法を整え、サイバーセキュリティの目標と要求を導きます
- 既存プロセスへの組み込み：既存の ASPICE や ISO 26262 の開発の枠組みに組み込み、サイバーセキュリティ分析の結果を安全のハザード分析にフィードバックします
- 監査に耐えられるか：証明書を一枚取ることではなく、自動車メーカーの開発案件の監査に通ることを目標にします
- TISAX との一体設計：同じチームが TISAX も支援しています。顧客の許諾を得て公開している TISAX の支援実績には Yi Fong Metal Industrial があります（Yi Fong の事例）
- 誰が主導するか：副社長・取締役クラスのコンサルタントが最初から最後まで支援し、外注しません
関連する質問
- ISO/SAE 21434 は義務か 規格そのものは法律ではありませんが、EU では UN R155 が 2022 年 7 月から新型車に、2024 年 7 月から新たに登録されるすべての新車に適用されており、自動車メーカーのサイバーセキュリティ管理の義務は契約を通じてサプライチェーンに引き継がれます。自動車のサプライチェーンに参入するサプライヤーにとって、21434 は事実上の参入条件になりつつあります。ISO/SAE 21434 車載サイバーセキュリティ導入支援
- TISAX があれば 21434 は不要か サイバーセキュリティに関わる車載の電気・電子（E/E）システム、部品、ソフトウェアを開発・供給しているなら、通常は必要です。TISAX は企業の拠点の情報セキュリティ管理（試作品保護、データ保護を含む）を評価し、21434 は製品のサイバーセキュリティのエンジニアリングプロセスを定めるもので、互いに代わりにはなりません。実際の要求は自動車メーカーの見積依頼と契約で決まります。台湾で TISAX コンサルタントを選ぶには
- 21434 には認証が必要か ISO 自身は認証を行わず、証明書も発行しません。市場では認証機関が独自のスキームでマネジメントシステムやプロセスの適合性の認証を提供しており（一部は各国の認定機関の認定を受けています）、要員資格の認証もあります。より重要なのは、自動車メーカーの開発案件の監査に通ることです。ISO/SAE 21434 車載サイバーセキュリティ導入支援
コンプライアンスは三位一体、コンサルタントの価値は統合にある
CRA、TISAX、ISO 27701、AI Act はどれも単独の技術課題ではなく、プロセス・セキュリティ技術・法令遵守の三つが同時に成立して初めて完成します。一つだけ補っても、残り二つの欠落は審査・通報・顧客デューデリジェンスの場面で露呈し、結局やり直しになります。
| 側面 | 答えるべき問い | その側面だけ補った場合によくある欠落 |
|---|---|---|
| プロセス（マネジメントシステム） | 誰が、何を、いつ行うか。実施の証拠はどこにあり、どう継続的に改善するか | ツールは揃っているが定期的に運用する人がおらず、審査時に記録が出せない |
| セキュリティ技術 | 管理策をどう設計し、有効性をどう検証するか | 文書は整っているが、システムが実際にはそのとおり動いていない |
| 法令遵守 | どの法規が適用され、自社の役割は何か。期限と罰則は何か | 管理策は作ったが、法規や役割を取り違えており、義務が網羅されていない |
積穗科研のコンサルティングチームはこの三つの側面を同時にカバーし、法規判定からプロセス設計、技術的管理策までを一括で設計します。一つの証拠セットで複数の法規と顧客要求に対応できます。