自動車業界におけるソフトウェア・セキュリテイ・テストの改善方法
自動車産業ではセキュリティは安全性そのものです。そして車載ソフトウェアのセキュリティ・テストも、他のセキュリティ・テストの例にもれず、シフトレフトが重要です。
これは自動車産業のサイバー・セキュリティ活動に関する3部構成のインタビューの第3部です。第1部では、自動車サイバー・セキュリティの課題について紹介しました。第2部では、コネクテッドカーのセキュリティのリソースと優先順位について触れました。
シノプシスとSAE Internationalは、自動車業界のサイバー・セキュリティ・プラクティスの現状に関する独立調査機関によるアンケートを委託しました。アンケートを実施したPonemon Instituteは、車載コンポーネントのセキュリティ業務に携わる、またはセキュリティの評価を担当する593人のプロフェッショナルに質問を行いました。
シノプシスの戦略的対策を担当する主任セキュリティ・エンジニア、Chris ClarkとSAE Internationalの技術プログラムを担当するプロジェクト・マネージャー、Tim Weisenberger氏が、今月リリースされた最終報告「最先端の自動車セキュリティ：自動車業界のサイバー・セキュリティ・プラクティスに関する調査」の注目点についてシノプシスの上級セキュリティ・ストラテジスト、Taylor Armerdingと話し合います。
一般的なセキュリティ管理策は十分ではありません
このレポートではファイアウォールとゲートウェイが車載ソフトウェアの最も一般的なセキュリティ管理策であるとしています。なぜそれが問題なのでしょうか？
Chris：自動車メーカーはIT業界が行ったことに注目しました。最初のステップの1つは、あるレベルのファイアウォール、つまり自動車の「入り口」への侵入防止策の設定です。今日の最先端の自動車は、ほとんどがゲートウェイすなわち出入口に強力な防御と監視が施されています。
しかし攻撃者は遠からず防御策を回避する方法を見つけます。その意味で、これはまず手始めの対策としては良いのですが、期待するほど効果的ではなく、最終的に目標とするものでもありません。テクノロジーが進歩し、自動車内にはより多くの自律機能が存在するようになると、私たちは、OEM企業が多数の自動車のサイバー・セキュリティをより効果的に管理できるように自己修復や、より進んだ監視などの技術に着目する必要が生じてきます。
Tim：壁を高くすることですべてが解決するわけではありません。Chrisが先に述べたように、多層防御が正しいアプローチです。ファイアウォールやゲートウェイなどは、セキュリティ管理策の1つにすぎません。しかしひとたびネットワークの内側に入れば、インフォテイメント・システムなどの無害なものからブレーキやアクセルなどの安全に不可欠なシステムまで、文字通りすべてのものとの通信が可能になるわけです。つまり、私たちは内部のネットワークをどのようにして守るのかを検討しなければなりません。そして、メッセージ認証、鍵管理、堅牢な通信のセキュリティの確保が必要になります。
車載ソフトウェアのセキュリティ・テストを最適化するシフト・レフト
セキュリティ・テストを製品リリース・プロセスの遅い段階で行うとどのような問題が生じるのでしょうか？
Tim：何もしないよりはましです。しかし、それではセキュリティ・リソースを効果的に使用しているとは言えません。遅い段階でテストを実施すると非常に高くつきます。既に設計とビルドが済んだものの中であれこれチェックとテストを行うことになるからです。
Chris：セキュリティ・テストの追加は高くつく、というのはいつも聞く言葉です。実施にコストはかかりますが、プログラミングの観点から見るとそれはクラシックなホッケー・スティック曲線を描きます。開始時は非常にコストが高く時間もかかります。だれもがテストを適性なスピードでしかも本来行われるべき場所で行うからです。しかしながら、左方向へのシフトを開始すると、すなわちテスト時期をだんだんに早めてゆくと、コストが削減されるのがわかります。最後には、サイバー・セキュリティが、自動車の安全テストのような単なる標準プロセスの1つになり、投入した時間と費用は後で実を結びます。
車載ソフトウェアのセキュリティを向上させる方法
サイバー・セキュリティにおいて、業界で実施できて最も成果が期待できる変革のうち、最も優先順位が高いのは何でしょう？
Tim：それは単純に、膨大な開発プロセスや重要リソースの投入を必要としない「簡単に実施できる変革」を行うということだと思います。資金が少なく、人員も足りない。社内にある人員が適切なスキルセットを有していないと感じたら彼らにトレ―ニングを受けさせてください。セキュアなコーディングなどの重要なスキルを身につけるためのとても効果的なトレーニングがあります。
Chris：まずは一歩下がって自分の持っているものを確認してください。自分がどこにいて、知識レベルがどの程度で、どのような能力があり、何を提供できるのかを理解する必要があります。それがわかったら、リスクに基づいて重要な領域に取り組んでください。これにはBSIMM [Building Security In Maturity Model] が有効です。業界のどのような人達がソフトウェア・セキュリティ活動をしているかが分かり、上手に機能しているのは何か、していないものは何かが分かります。セキュリティ活動は、ある日「私たちはこれからセキュリティに取り組みます」と宣言し、その週の終わりに完了するようなものではないからです。それは長く続く成長と進化です。
Tim：もし私が、ある会社のサイバー・セキュリティ・チームの責任者に、アドバイスをするとしたら、このレポートを持ち帰ってよく読み、問題がどこにあるか、同業者は問題についてどのように言っているかを理解してから、解決の優先順位の検討を始めなさいと言います。それは会社ごとに違うと思われます。
次のステップ
Chris：ここから学ぶべき最も重要なポイントの1つはセキュリティは継続的に発展するプロセスであるということです。組織はアンケートを見て慌てたりすべきではありません。業界の人々が本当に関心を寄せ、変革を望み、その変革を実施できる適切なパートナーを捜していることに気付く必要があります。業界への脅威ではなく、成長のチャンスであると認識する必要があります。
Tim：SAEでは、自分たちがモビリティ産業での最高のまとめ役であると感じています。私たちはSynopsysからこのアンケートの実施を委託されて嬉しく思っています。なぜなら、この調査は自動車業界ではいまだかつて実施されたことがないからです。私たちは今、自分たちの直観を検証する経験的なデータを持っています。ここから次のステップは、業界がこれを吸収したら、業界全体を牽引することができるソリューションを見つけることです。自分たちをよりセキュアに、より安全にするにはどうしたらよいか？
