本稿は、KPMGコンサルティングの「Automotive Intelligence」チームによるリレー連載です。
遠隔ハッキングやゼロディ脆弱性がもたらすリスクに対し、経営はセキュリティ投資をどのように検討すべきでしょうか。セキュリティ投資の本質的な意味と経営判断の重要性について解説します。
CSMS・SUMS未対応車両のリスク
コネクテッド化の加速は「動くエンドポイント」を億単位でインターネットに晒す行為になるでしょう。国連欧州経済委員会（UNECE）の規則第155号（以下、UN-R155）とUN-R156が新型車のみならず既販車にまで適用範囲を広げた2024年7月以降、サイバーセキュリティマネジメントシステム（CSMS）とソフトウェアアップデート管理システム（SUMS）を欠いた車両は主要市場で登録できない状況です。
【図表1：主要な自動車サイバーセキュリティ規制・標準の比較】
出所：KPMG作成
認証に通らなければ販売機会は瞬時に蒸発し、遠隔ハッキングが露見すれば自動車完成車メーカーによっては百万台規模のリコールと株価下落が連動する可能性があります。考え方によっては、この現象は二度と巻き返しが通用しない「複利で効く負のレピュテーションリスク」と考えることができるでしょう。さらに株式市場は、損害額だけでなく「管理能力の欠如」にも注目する可能性があります。オープンソースソフトウェア依存度が高い車両ソフトでは、単一の脆弱性が世界中のフリートを同時にゼロディへ変える可能性があるため、リスクフリーのシナリオは存在しません。
ここでゼロディとは、ソフトウェアやシステムのセキュリティ脆弱性が発見されてから、その脆弱性を修正するパッチが提供されるまでの期間もしくはその脆弱性を利用した攻撃のことを指します。
攻撃の手口も質的に拡散しています。配線へ物理的に侵入する旧来型の盗難ツールが依然有効な一方で、車外からテレマティクス経由でE/Eアーキテクチャ深部に侵入する遠隔攻撃は、地理的制約を消滅させました。さらにユーザーを狙うフィッシングや、乗っ取ったクラウド認証情報の闇取引など、エコシステムそのものが攻撃対象となっています。攻撃者はAIを武器にファジングを自動化し、脆弱車両を世界規模で一斉探索する「スケールする攻撃」を試行し始めている可能性があります。管理指標が「何台やられたか」ではなく、「何秒で検知し、何分で封じ込めたか」に移ることは必然的です。
こうした環境で経営が握るレバーは２つあります。第一に、CSMSとV-SOCを両輪とする統合プログラムへの恒常投資です。CSMSはガバナンスの背骨として脅威分析・リスクアセスメントをライフサイクル全域に埋め込み、SUMSがそのプロセスをOTA運用に橋渡しします。一方V-SOCは、市場投入後の膨大な運行データを監視し、インシデント対応のトリガーと証跡を提供します。どちらか片方でも欠ければ機能しないため、予算科目を「Compliance Project」ではなく、「Security Resilience Capability」と名付け継続費として社内予算に食い込ませることが必要です。
第二に、その投資をコストセンターではなく収益ドライバーへ位相転換する発想が必要となります。セキュアな車両データは保険・金融・都市サービスと統合して新たな課金モデルを生む可能性があります。早期に脆弱性をさらけ出し、パッチを随時適用する「透明な成熟度」をブランド試算と見なす投資家も増えているようです。
経営企画が重視すべきは、単年度P/Lでセキュリティ費用を圧縮しても、次期以降のキャッシュフローを削る負債を積み上げるだけだという事実です。OTAは「致命傷を即日修復できる生命線」であり、同時に「鍵束を奪われれば全車を同時に破壊される急所」でもあります。したがってエンドツーエンド（端から端まで）の信頼の連鎖、すなわち開発末端のキーボード操作から電子制御ユニットのハードウェアセキュリティ、そしてバックエンドの鍵管理までを遮断なく設計しなければ意味がありません。
技術要件で議論が止まりがちですが、本質は俊敏な組織能力の構築にあります。大規模データを解釈できるアナリストや車両ドメインを理解するSOCエンジニアは市場全体で奪い合いとなっていますので、社内での育成計画なしにツールだけ導入しても「誤検知地獄」に沈みます。
では何が勝敗を決めるのでしょうか。それは予防がどんな場面で使われるか、その広がりを把握したうえで、可視性・即応性・学習能力を高める「レジリエンスの速度」となります。未知の脆弱性が常時潜む前提で、検知からパッチ適用までを顧客（もしくはユーザー）に体感させないスピードで回せる企業は、規制当局と市場の双方から長期的な信用を得るでしょう。サイバーリスクが不可避の自然災害に似た位置付けになるほど、復旧の速さとデータ完全性がより求められます。結果として、CSMS・V-SOC・OTAへの投資は顧客ロックイン、転換コスト上昇、サービス課金率向上を通じて売上拡大にも寄与するでしょう。
【図表2：経営企画の役割の変化】
出所：KPMG作成
以上より経営企画の役割としては、単なる法規制チェックリストの管理を超え、「信頼を通貨とするサービス経済」へ企業全体を再設計する司令塔となります。ハードウェア志向の工程管理文化から、開発（Development）、セキュリティ（Security）、運用（Operations）の3つの領域を統合し、ソフトウェア開発ライフサイクル全体にセキュリティを組み込むアプローチであるDevSecOpsとAI防御を組織DNAに埋め込み、セキュリティ投資を未来の売上係数として再定義できるのか。その意思決定こそがSDV自体の競争軸を握るのではないでしょうか。もし対応をためらえば、市場は非常に速いスピードで動き、企業が資本市場から締め出されてしまう可能性があります。
※用語解説
- エンドポイント…ネットワークに接続される最終的な機器や装置のこと。
- E/Eアーキテクチャ…電子制御ユニットや通信ネットワークを含む車載電装システム全体の設計構造。
- ファジング…ソフトウェアの脆弱性を見つけるためのテスト手法。ここでは攻撃者側がその手法を活用して、脆弱車両を探し出す。
- V-SOC…Vehicle Security Operation Center、車両やクラウドからのログを24時間監視し、侵入兆候を検知・分析・対応する専門組織。
※本稿は以下のサイトを参考にしています。
執筆者
KPMGコンサルティング
プリンシパル 轟木 光
