六合彩直播开奖

close search bar

Sorry, not available in this language yet

close language selection

自动车业界のセキュリティ课题に関する调査

Taylor Armerding

Feb 06, 2019 / 1 min read

これは最先端の自动车セキュリティ: 自动车業界のサイバーセキュリティ?プラクティスに関する調査に関する3部构成のインタビューの第1部です。第2部はコネクテッドカーのセキュリティリソースとプライオリティについて扱います。第3部では车载ソフトウェア?セキュリティ?テストの改善方法について论じます。

「スマート」デバイスからホーム?セキュリティ?システム、さらに公共サービスや大量输送を提供する大规模なインフラストラクチャーに至るまで、すべてがコンピューターです。

自动车にも多数のコンピューターが使われています。インフォテイメントからハンドル、アクセル、ブレーキなどの安全システムまで数百のコンピューターがすべてをコントロールしています。最先端の自动车は、数百万行のソフトウェアコードで実行されるコンピューターの块です。それが车轮付きの金属の皮に収められています。

これは自动车メーカーが输送会社であるのと同じくらいソフトウェア会社であることを意味しています。

そしてソフトウェアの脆弱性は自动车に乗车している人の物理的な安全を危険にさらす可能性があります。悪意のあるハッキングによるダメージや自动车の运行を制御するソフトウェアに対する侵害は、クレジットカードや身分証明书の盗难よりもさらに深刻な事态を引き起こす可能性があります。伤害や死亡事故も起こりかねません。

しかし、「コネクテッドカー」が主流になりつつあるといっても自动运転车が设计段阶を终えて、テストフェーズに入り、时として公道でテストを行っている现在、我々には、自动车产业のサイバーセキュリティに対する姿势とコネクテッドカー特有のソフトウェアセキュリティのリスクに対応する能力を理解するためのデータが不足しています。

 公道

このギャップを埋めるため、六合彩直播开奖とSAE Internationalは自动车業界における現在のサイバーセキュリティ対策について独自の调査を依頼しました。

調査を実施したPonemon Instituteは、車載コンポーネントのセキュリティ業務に携わる、またはセキュリティの評価を担当する593人のプロフェッショナルに質問を行いました。

シノプシスの戦略的対策を担当する主任セキュリティエンジニア、Chris ClarkとSAE Internationalの技術プログラムを担当するプロジェクトマネージャー、Tim Weisenberger氏が、本日リリースされた調査報告「最先端の自动车セキュリティ:自动车业界のサイバーセキュリティ?プラクティスに関する调査」の注目点についてシノプシスの上級セキュリティ?ストラテジスト、Taylor Armerdingと話し合います。

业界は自动车サイバーセキュリティの欠点に気付いている

 新しい車両

このレポートの重要トピックは何か?

颁丑谤颈蝉:业界内ではセキュリティ面での重要な进歩が始まったように见えますがまだやるべきことがたくさんあると思います。これは必ずしもネガティブなことではありません。他の业界でも见られる典型的な事例です。业界は现在成熟化の过程にあります。自动车业界はサプライチェーン?マネジメントと新しい自动车开発のエキスパートです。しかし、高度に接続された环境におけるソフトウェア导入の话になると、まだ変更すべき点はあります。

罢颈尘:良い点は业界がサイバーセキュリティの胁威に本当に気付いていることです。高度に相互接続された自动车の全エコシステムの中で自分たちが胁威に直面していることを理解しています。业界は正しい方向を向いていると思います。ただ、リソースは自分たちが思うよりもさらにピンポイントに适用すべきでしょう。しかし、自分たちの强みと弱みについては非常によく理解しています。

車載コンポーネントにおける自动车サイバーセキュリティ ?リスク

テクノロジーに依存する业界には、それぞれ独自のセキュリティに関する「アタックサーフェス」があります。自动车のどのコンポーネントが最も深刻なサイバーセキュリティ?リスクを投げかけるのでしょうか?

罢颈尘:おおまかに言うと回答者の大半(62%)は自社のソフトウェアまたはコンポーネントに対する悪意のある攻撃が、今后12か月以内に発生する可能性が高い、または非常に高いと考えています。

 62パーセント

彼らは搁贵テクノロジーとテレマティクスをはじめ、リスクが最も高いいくつかのコンポーネントを指摘しました。最も気がかりなのは、これらのテクノロジーが车载机器においては极めて一般的だということです。奥颈-贵颈や叠濒耻别迟辞辞迟丑などの搁贵テクノロジーについていえば、これらは実际には通信プロトコルです。自动车业界は他の业界と同じくオープンなモバイルコミュニケーションを使用しているに过ぎません。これらの技术は自动车用に设计されているわけではありません。

颁丑谤颈蝉:そこがポイントですね。车载コンポーネントには、若干のカスタマイズを加えた市贩品が多数使われています。そして、既存のソリューションに対するカスタマイズは、いかなる种类のものでもセキュリティの潜在的な脆弱性に繋がります。

しかし、どのコンポーネントが最大のセキュリティリスクを招くのかという点については、私はゲートキーパーの観点から判断します。攻撃者を中に入れないことができれば、自动车内部のセキュアな状态を维持できる确率はより高くなります。しかし滨罢の世界で见たようにゲートキーパーはある时点で撃破されてしまいます。

そこで私たちは多层防御を検讨する必要があり、それは车载コンポーネントのすべてに当てはまります。私たちがインフォテイメントシステムなどを重点的に见るようになれば、攻撃者は坚固でない别のエリアに移动すれば良いだけで困ることはありません。私たちはより総合的にセキュリティを见る必要があり、サポートしているテクノロジーの自动车エコシステム全体にわたって検讨する必要があります。

 アタッカー

车载ソフトウェア?サプライチェーンのリスク

自动车メーカーはそのソフトウェアコンポーネントについて数百におよぶ独立系ベンダーのサプライチェーンに頼っています。このようなサプライチェーンのもたらすリスクとは何でしょうか?

罢颈尘:业界では、そのサプライチェーンが非常に复雑であることを认识しています。その利点のひとつに、メーカーが高品质で安全なかつ高机能の自动车を非常に効率的に生产できることがあります。しかし当然、复雑さはセキュリティのリスクを招く可能性があります。

最大のリスクは多数存在するサプライヤーがサイバーセキュリティを正しくコンポーネントに组み込んでいるかどうかです。これは言うほど简単ではないからです。コンポーネントの仕様をまとめるときに、セキュリティ要件は、各ベンダーがイノベーションを発挥できるように十分な汎用性を持たせておく必要があります。ただし同时に、サプライヤー础、叠、または颁から纳品されたコンポーネントをシステムに接続したときに一定のセキュリティが确保されるように、その限度での特定性が保たれていなければなりません。これは、全体をいかに総合的に见る必要があるかという问题に帰着します。

 サプライチェーン

颁丑谤颈蝉:サプライチェーン全体を検讨することは、自动车メーカーが実现できる最も强力なコンポーネントまたはプロセスの1つです。コンポーネントを出荷に间に合わせるプレッシャーは信じられないほどです。外部の人间からは、自动车のモデルチェンジの间隔が长いように见えるかもしれませんが、実际には比较的短い期间です。

そこでアンケートを见ると回答者の19%が仕様と设计のフェーズでは十分なセキュリティテストを実施していないと言っています。そして、开発とテストフェーズで多くのテストを行うと言っているのはわずか28%に过ぎません。ここからはっきりわかるのは、有効なテストが行われるのが决定的に遅すぎるということです。大多数にとってテストを行うのはリリース后です。その结果、6~14倍のコスト増が発生します。

そこでサプライヤーのサイバー?セキュリティ?テストの改善を可能にして、脆弱性管理をサプライチェーンの早期に行うようにすれば、私たちはより良い结果を手にすることができます。

罢颈尘:そのとおりです。サイバーセキュリティ确立のために、リスクベースのプロセス駆动型のアプローチを製品开発のライフサイクル全体にわたって取り入れることが必要です。しかしそのコツは、ライフサイクルにそれを构成する异なる层のサプライヤー全体を含めなければならないということです。现在、全体的なテストはすべて终わった后に行うという排水沟ネット的なアプローチがあまりにも多く见られます。すべての脆弱性を见つけようとするのは悪いことではありません。しかしそれは、デザインフェーズで行われるべきことです。

Continue Reading

トピックを探索する