UN-R155

UN-R155について

国連欧州経済委員会（UNECE）の持続可能な輸送部門内の作業部会「車両規則の調和世界フォーラム（World Forum for Harmonization of Vehicle Regulations）」（WP.29）によって作成された規制枠組みのこと指します。「WP.29」では、技術の進歩を規制枠組みに統合し、将来的により安全で環境に配慮した車両が製造されることを目指しています。その一環として、2021年1月にUN-R155が導入されました。

UN-R155には、車両にサイバーセキュリティ管理システム（CSMS）の存在が必要とされます。つまり、CSMSは、車両の開発プロセスとライフサイクル全体にわたって、適切なサイバーセキュリティの実践と措置が適用されていることを確保するものです。

影響範囲について

UNECEのWP.29で作成されたこの規制枠組みは、欧州連合、英国、日本、韓国を含む54の加盟国に適用されます。また、特定の地域や国では、製造業者（OEM）がその市場に参入する前にUN-R155やその他のWP.29規制に従うことが求められる場合があります。

UN-R155は、製造業者を対象としていますが、車両の開発、生産、および後生産の段階でCSMSが必要であるため、サプライチェーン全体に影響を与えます。

また、自動車メーカーとその他の関係者がより安全なコネクテッドカーエコシステムを作り上げ、さらなる開発と可能性に向けた余地を残すことを支援する前進的な取り組みと捉えることができます。

UN-R155の準拠について

UN-R155は、CSMSが存在しており、サイバーセキュリティが適切に実現されているかどうかを評価するための一般的な目標に基づく要件を示しています。この規制によって企業に課せられる主な課題は、徹底的なリスク評価を実施する必要があることと、車両のライフサイクル全体でサイバー攻撃を特定し、対処する必要があることです。

このため、UN-R155には、69件の攻撃経路やリスクをリストアップし、メーカーが自社の車両を保護するために考慮すべき重点項目を定義した「付属書5」が含まれています。これらの重点項目には、以下のものが含まれます。

• バックエンドサーバ： バックエンドサーバに関連する脅威の例には、スタッフによる特権乱用やサーバーへの不正なインターネットアクセスが含まれます。
• 通信チャネル： 車両の内部通信チャネルに関わる脅威には、メッセージスプーフィング、コードインジェクション、情報の傍受が含まれます。
• アップデート手順： 車両のアップデート手順に由来し、またはそれに関連するリスクには、アップデートプロセス前のソフトウェアの操作や、アップデート展開を阻害するサービス拒否（DoS）攻撃が含まれます。
• ヒューマンエラー： この重点項目は、定義されたセキュリティ手順に従わない場合や、サイバー攻撃の手口に騙される場合など、人為的な行動によってもたらされるリスクが含めまれます。
• 外部接続： 外部接続のリスクは、車両が外部環境とどのようにやり取りし、通信するかに関係します。これには、車両のセンサー、外部インタフェース、およびリモート機能への攻撃が一般的に含まれます。
• データまたはコード： データまたはコードに関連する脅威は、車両が格納、収集、および使用するデータや情報に影響を与えます。例には、オーナーの個人情報への不正アクセス、車両データの偽造、および悪意のあるソフトウェアの導入が含まれます。
• 脆弱性対処： この重点項目は、保護措置がそれらに対するシステムの防御を不十分にすれば悪用される可能性がある脆弱性に関係しています。このようなリスクには、暗号技術、ハードウェア、およびソフトウェアの侵害が含まれます。