Cyber Security

ＣＳ型式審査マニュアル
2021年1月22日施行版
・UN Regulation No. 155 on uniform provisions concerning theapproval of vehicles with regards to cyber security and cybersecurity management system

審査エビデンスおよび審査方法について
CS/OTA国内採用WG
CS/SU規則検討小WG

CS/SU残課題検討小WG

1

Cyber Security

更新履歴• 2021年1月22日

2021年1月22日施行版として新規作成。

• 2022年4月5日

運用時の課題に対応した結果を反映し更新（本資料中、青文字斜体で反映を実施。）
modified：資料中変更が行われたページを示す。

insertion：資料中追加が行われたページを示す。

2

CS/SU規則検討小WG参加団体

Cyber Security• 独立行政法人 自動車技術総合機構交通安全環境研究所自動車認証審査部情報セキュリティ審査センター• 一般社団法人

日本自動車工業会

エレクトロニクス部会 電子プラットフォーム分科会、

ソフトウェア・OTA分科会、IＣＴ部会 サイバーセキュリティ分科会、安全環境法規認証部会 国内認証業務分科会• 日本自動車輸入組合• 一般社団法人

日本自動車部品工業会自動運転基準検討部会

3

本マニュアルについて

Cyber Security

本マニュアルは、 2021年1月22日より国内に直接引用されている“協定規則第155号の技術的な要件”およびその関係告示等の審査に関る提出書面および審査の手順および手法について明確化を図るものである。
なお、本マニュアル活用に関しては以下を留意のこと。
・本マニュアルに示した方法は、エビデンスの一例であり、その方法を限定するものではない。他の試験方法や詳細な方法については、国交省および審査部と協議の上、決定することができる。
・適用する試験項目及び試験手順については、審査部と十分協議の上、決定することができる。
・本マニュアルで想定しない事例が生じた場合には国交省および審査部と協議の上、試験方法等決定することができる。

4

検討方針

Cyber Security

modified

１）目的
解釈文書を参照して、審査時に確認するエビデンスおよび審査方法の明確化を目的とする。
（UNでのテストフェーズにならい、法文解釈の一義化ではなくエビデンスの明確化による審査レベルの安定化も考慮する）
２）検討根拠は以下の基準等とする。
・協定規則第155号の技術的な要件
・解釈文書
WP29 GRVA以下のインフォーマルグループ（Task Force on Cyber Security andsoftware updates (CS/OTA)）にて作成され、WP29で承認された解釈文書（ WP29-182-05e.docx ）３）解釈文書の扱い
審査マニュアル各項の要件に応じた提出文書が提出されたことを確認したうえで、現地審査（インタビュー等）を含め総合的に基準への適合性を判断する。
なお本マニュアルの提出文書は、UNR155解釈文書のUnfulfilled/Fulfilled他各項目を含むよう記述しているため、審査マニュアルに則った文書が提出されていれば新たな文書提出を求めるものではない。
5

CS 同一性能 とは≪本内容は「7.3. 車両型式に関する要件」に係る。 ≫Cyber Security

insertion

解釈
参考和訳

例示

分類
新たな
アーキ
アーキテクチャの開発には、が必要
テクチャの開発

セキュリティ軽減策
アーキテクチャの開発には、 広範囲な電子システムに影響を与えるセキュリティ軽減策の追加・変更が必要
・ としての新規のアーキテクチャを適用
・車外接続の新たな物理的インタフェース追新規
加追加

新技術の導入に 既存サブシステムのセキュリ ・パーソナライズなどのため、新たよるリスク評価結 ティが影響を受けているため、 な外部インタフェースを追加
果の変更
が必要
（
近距離無線通信）・新たな追加によるネットワークトポロジの変更
サブシステムを追 既存のサブシステムの置き換 ・通信
ユニットを 広範囲な電子システムに影響を与え
加、再配置による え、もしくは新たなサブシステ
通信ユニットに交換 追加 ないセキュリティ軽減策の追加・変更リスク評価結果の ムを追加する。これによりの通信が可能マイナーな変更
アーキテクチャの に若干の ・を（ハードウェアセ
変更が加えられるため、キュリティモジュール）を備えた
・適用済みのセキュリティ軽減策が必要 新しいに交換と同等以上のセキュリティ軽減策に置換又は追加・適用済みのセキュリティ軽減策と同じ軽減策を有するを追加
リスク評価結果に 既存のサブシステムを置き換
交換
セキュリティ軽減策影響小・変化なし
変化なし
えてもアーキテクチャの新しい最先端のプロセッサ、メモが変わらないため、リ増加は不要。これは
通常の状況である。

適用整理告示

部品名 項目
セキュリティに係わる新たなシステム構成の採用
車載ネットワーク通信方式の変更（例：）
車載ネットワーク構成の変更（例：ボディ系と走行制御系のネットワーク分離構成の変更）

新規の追加、メッセージ認証の追加、新規暗号方式の追加
追加

性能が
同一で
ない

車外無線通信の物理的なインタフェース追加
近距離無線通信の追加

廃止

ゲートウェイ、セキュリティ対策ソフトウエア等の廃止

廃止（同等以上の軽減策に置換又は追加 の例）
へ、セキュアブート等を追加、暗号強度の向上
既に車両システムに実装済のメッセージ認証を、
未実装の
へ機能追加
検知ログ記録機能の強化
変更（同じ軽減策を有するを追加 の例）
パワーユニット変更 エンジン
等 による同じセキュリティ軽減策を持つ
変更・追加

セキュリティ関連のハードウェア・ソフトウェアの小変更
新しい最先端のプロセッサ、メモリ増加
サプライヤの変更

変更
なし

変更

性能が
同一
変更
追加

変更（セキュリティ軽減策の変更無し）
セキュリティ関連でない
等の変更
パワートレイン変更 排気量変更、トランスミッション変更等
による
置換

変更
廃止

6

CS 同一性能とは（バックエンド側） ≪本内容は「7.3. 車両型式に関する要件」に係る。 ≫分類

New Type

Extension ofexisting type

No impact

Cyber Security

説明

バックエンド側を変更する場合であって車両でセキュリティ方策に新規の物がある
場合（車両側NewTypeに対応するバックエンド側でのセキュリティ軽減策の追加・変更がある場合）
バックエンド側を変更する場合であって車両でセキュリティ方策に変更がある場合（車両側Extensionに対応するバックエンド側でのセキュリティ軽減策の追加・変更がある場合）
バックエンド側を変更する場合であって車両でセキュリティ方策の変更が無い場合

insertion

適用整理告示

性能が
同一でない

性能が
同一

7

Cyber Security

modified

7.3.1.
The manufacturer shall have a valid Certificate of Compliance for the Cyber Security Management System relevant to thevehicle type being approved.

However, for type approvals first issued before 1 July 2024 and for each extension thereof, if the vehicle manufacturer candemonstrate that the vehicle type could not be developed in compliance with the CSMS, then the vehicle manufacturer shalldemonstrate that cyber security was adequately considered during the development phase of the vehicle type concerned.“
メーカーは、認可対象の車両型式に関する有効なサイバーセキュリティ管理システム適合認定書を有しているものとする。

ただし、2024年7月1日より前に最初に発行された型式承認およびその延長ごとに、車両メーカーがCSMSに準拠して車両タイプを開発できなかったことを証明できる場合、車両メーカーは、当該車両タイプの開発段階でサイバーセキュリティが適切に考慮されたことを証明するものとする。

解釈
型式認証は、能力基準適合証明書を保有していることが前提となる・能力基準適合証明書
原則、車両型式適合性審査時にはサイバーセキュリティ管理システムの適合性審査を終えていること。
※OEM協業の定義や対応の考え方については、以下の通りとする。
①両社のMS認可が取得済であることを前提とする。
②この場合、MSとしては両者それぞれ、審査済みで内容が確認されていることより、新ためてのMS申請・審査は、必要無いこととする。
③そのうえで、各社間の契約に基づき、UN-R155で要求される責任領域について、協業の業務分担がどのようになっているかを車両
型式審査の際に、説明する。（具体的な説明方法については、協業ケースに応じ、適宜審査部、国交省と相談して決定する。）④ 2024年7月1日より前の認可（その拡大申請含む）においては、両社のMS認可が前提とならない可能性があるため、どのように検討するかは都度、審査部、国交省と相談して決定する。
⑤OEM協業とは「車両型式の審査に際し、複数のMSを参照するケース」を指す。

提出文書

8

緩和期間の要件整理

Cyber Security

insertion

緩和期間中の型式認可の説明として下記のような様々なケースが考えられる。
緩和期間中及びその後の型式要件時には、CSMSの一部やAnnex5非対応などの対応が可能であるが、以下の要件に従うものとする。
なお、適用時期は適用整理告示に従う。
緩和期間
能力審査

緩和期間後

▼ CSMS許可証申請▼ CSMS許可証更新（3年毎更新）（3年毎更新）▼ CSMS許可証申請

型式審査

CSMS*1：
CSMS緩和は、開発フェーズのみ適用可能
生産および生産後フェーズは緩和対象外

NewType＜車型B＞
・CSMS許可証が必要
・緩和期間のため、CSMS*1やAnnex5非対応がある場合は当局に説明が必要
Extension＜車型A＞
・CSMS許可証が必要
・緩和期間のため、CSMS*1やAnnex5非対応がある場合は当局に説明が必要＜車型D＞
・型式要件開発した車両（これも可能）＜車型C＞
・型式要件に準拠した最初の車両

9

判断の目安（WP29解釈文書より引用）

Cyber Security

modified

7.3.1.における全ての書面が適切に提出されたことを確認したうえで、現地審査（インタビュー等）を含め総合的に基準への適合性を判断する。この際、以下の判断の目安については適合性判断の一助となるものであるが、これが判断基準の全てではない。（あくまで一例である）提出文書に不足があり内容を確認する上での適合性判
断の参考として当該部分の追加提出を求める場合がある。
以降、“判断の目安”については同様に扱う。
7.3.1.
Explanation of the requirement
The intention of this requirement is to ensure that there is a valid
Certificate of Compliance for CSMS to enable type approval to be given
for any new vehicle type and that it is appropriate to the vehicle type.

この要件の意図は、新しい車両型式への型式認可の付与を可能にする有効なCSMS適合認定書が存在すること、および、それが当該車両型式に適切であることを確保することである。

The following clarifications should be noted(a)"relevant to the vehicle type being approved." means the CSMS should
be applicable to the vehicle type being approved.

(a)「認可対象の車両型式に関する」とは、CSMSが認可対象の車両型式に適用されるべきであることを指す。

Examples of documents/evidence that could be provided
The following could be used to evidence the validity of the CSMS
certificate:(b)The Certificate of Compliance for CSMS to demonstrate it is still valid;(c)Confirmation that the CSMS is appropriately applied to the vehicle typeand any information required to provide assurance.

CSMS認定書の有効性の証明には下記が使用できると考えられる：(b)依然として有効であることを証明するCSMS適合認定書。
(c)CSMSが当該車両型式および保証の提供に必要な一切の情報に対し適切に適用されていることの確認。

10Cyber Security

7.3.2.
The vehicle manufacturer shall identify and manage, for the vehicle type being approved, supplier-related risks.
車両メーカーは、認可対象の車両型式に関して、サプライヤー関連リスクを特定および管理するものとする。

解釈なし（次項以降で説明すること）

提出文書
なし

11

判断の目安（WP29解釈文書より引用）

Cyber Security

7.3.2.
Explanation of the requirement
This requirement specifically references gaining sufficient informationfrom the supply chain and is linked to 7.2.2.5. The intention of thisrequirement is to ensure that information presented (together with thatfrom the manufacturer) is sufficient to allow an assessment to be
conducted of the requirements 7.3.3. to 7.3.6.

この要件は、サプライチェーンから十分な情報を得ることについて具体的に述べており、
7.2.2.5に関連付けられる。この要件の意図は、（メーカーからの情報とともに）提示された情報が7.3.3から7.3.6の要件のアセスメントを実施するのに十分であることを確保することである。

The following clarifications should be noted(a)"supplier-related risks" - The aim is that it can be shown that risks
from suppliers are able to be known and can be managed. It is acceptedthat it is difficult to cascade requirements down in the supply chain
beyond Tier 2 suppliers and ensure they are legally binding.

(a)「サプライヤー関連リスク」－狙いは、サプライヤー由来のリスクを知ることができ、かつそれが管理可能であると証明できることである。サプライチェーンのティアツーサプ
ライヤーより下の組織へ要件を伝達してその法的拘束力を確保するのは難しいことは認められている。

Examples of documents/evidence that could be provided
The following standards may be applicable:(b)ISO/SAE 21434.
The following could be used to evidence the processes used:(c)Evidence in the form of contract sections with suppliers that deal withthe requirements of this regulation.

下記の規格を適用してもよい：(b)ISO/SAE 21434。
使用プロセスの証明には下記が使用できると考えられる：(c)本規則の要件を扱っているサプライヤーとの契約条項という形の証拠。

12

Cyber Security

7.3.3.
The vehicle manufacturer shall identify the critical elements of the vehicle type and perform an exhaustive risk assessment for thevehicle type and shall treat/manage the identified risks appropriately. The risk assessment shall consider the individual elementsof the vehicle type and their interactions. The risk assessment shall further consider interactions with any external systems. Whileassessing the risks, the vehicle manufacturer shall consider the risks related to all the threats referred to in Annex 5, Part A, as
well as any other relevant risk.
車両メーカーは、車両型式の必要不可欠な要素を特定し、車両型式に関する網羅的なリスクアセスメントを実施するものとし、特定されたリ
スクを適切に処理／管理するものとする。リスクアセスメントでは、当該車両型式の個々の要素およびそれらの相互作用を考慮するものとする。リスクアセスメントではさらに、外部システムとの相互作用を考慮するものとする。リスクアセスメントにおいて、車両メーカーは、
Annex5、パートAで言及されたすべての脅威に関連するリスク、ならびにその他一切の関連リスク考慮するものとする。

解釈

実際の車両（システム）に対するリスクアセスメント

提出文書「その対策で問題ないと考えうる根拠」＝根拠を示すことは難しいため、適用する対策は世の中一般的な対策に基づく。エビデンスとしては、その出典を明らかにして記載するイメージ。基本的な考え方は上記の通りであるがセキュリティレベルが非常に高いため、以下の対応とする。ただし、②にて提示した文書は（必要に応じて改定される可能性がある場合は、審査時の改訂版について）OEM内で確実に保管すること、また保管方法を説明のこと。（確実な保管が出来ない場合は提出書面とすること）①提出書面
・車両を構成しているコントローラ一覧（セキュリティ対象のみ）
・各々のコントローラに対して、以下の実施状況をまとめたもの。（実施の未済をまとめた一覧表でよい）
ⅰ) 車両の必要不可欠な要素（保護すべき資産）の特定ⅱ) リスクアセスメントの実施状況（型式に関連するすべてのリスクについて）→Annex5パートAの各項目を考慮したことを併せて説明すること。（当該型式において、Annex5の脅威で該当する項目の一覧を提出のこと。ただし、該当しない
項目についてはその理由を簡潔に説明のこと。）
ⅲ)リスク管理（型式に関連するすべての管理）の実施状況。
→ⅰ）ⅱ）についてその実施状況や内容が妥当であるかを社内管理する方策の実施未済をまとめた一覧表でよい。
②確認書面（提示された資料については資料番号、改定等書面を特定できる情報を審査部側で記録する）
・7.2.2.2のb)およびc)に該当する文書について、中身を記載したエビデンス（＝上記ⅰ,ⅱ,ⅲ,の具体的な実施結果が記載された書面）を①で提示された全てのコントローラについて提示すること。
※バックエンド側については車両内と同様の考え方を基本とするが、コントローラ一一覧の提出は不要とする。ただし、バックエンド側を構成するシステムの13
概略図を提出し、ここで説明されたシステムについて、適用する軽減策と、7.2.2.2b)c)に相当する対策が適用されていることを確認した結果を説明すること。

判断の目安（WP29解釈文書より引用）

Cyber Security

7.3.3.
Explanation of the requirement
The intention of this requirement is that the vehicle manufacturers shallidentify the critical elements of a vehicle type with respect to cybersecurity and provide justification for how risks related to them aremanaged.
The manufacturer should be able to provide justification for why they
have identified elements of a vehicle type as critical (or not).

この要件の意図は、車両メーカーがサイバーセキュリティに関する車両型式の必要不可欠な要素を特定し、それらに関連するリスクを管理する方法が正当であるという根拠を提供することである。
メーカーは、車両型式の要素を必要不可欠なもの（または必要不可欠でないもの）として特定した理由の正当性を説明することができるべきものとする。

The following clarifications should be noted(a)Critical elements may be elements contributing to vehicle safety,
environment protection or theft protection. They could be parts which
provide connectivity. They may also be parts of the vehicle architecture
which are critical for sharing information or cyber security (e.g. gateways
could be also considered critical);(b)The intention of this requirement is to ensure that risks shall beappropriately processed / managed by considering all threats including
Annex 5, Part A and judging the necessity of countermeasures based on
the results of risk analysis and risk evaluation;(c)The intention of this requirement is to allow the vehicle manufacturer
to demonstrate the application of the relevant process in requirements
7.2.2.2. and 7.2.2.4. of the CSMS to the vehicle type;(d)The approval authority or technical service shall refer to Annex 5 of the
Cyber Security Regulation to aid their assessment of the manufacturer’s
risk assessment;(e)The consideration of risks should consider the requirements of 7.3.4.
and the requirement for proportionate mitigations;(f)The consideration of the threats and mitigations of Annex 5 within arisk assessment may lead to ratings like “not relevant” or “negligible risks”.

(a)必要不可欠な要素としては、車両安全、環境保護または盗難防止に寄与する要素が挙げられる。それらは接続性を提供する部品であることも考えられる。また、それらは情報共有またはサイバーセキュリティに必要不可欠な車両アーキテクチャの構成要素であることも考えられる（例えば、ゲートウェイも必要不可欠とみなすことができると考えられる）。
(b)この要件の意図は、すべての脅威（附則5、パートA を含む）を考慮に入れ、リスク分
析およびリスク評価の結果に基づき対策の必要性を判断することによって、リスクの適切な処理／管理を確保することである。
(c)この要件の意図は、CSMSの7.2.2.2および7.2.2.4の要件における関連プロセスが車両型式に適用されていることを車両メーカーが証明できるようになることである。
(d)認可当局または技術機関は、メーカーのリスクアセスメントを評価するための補助資料として、サイバーセキュリティ規則の附則5を参照するものとする。
(e)リスクを考慮するときは、7.3.4.の要件および相応な軽減策に関する要件を考慮すべきものとする。
(f)リスクアセスメントにおいて附則5の脅威および軽減策を考慮してから「関連していな
い」または「無視できるリスク」などの格付けを行ってもよい。

14

判断の目安（WP29解釈文書より引用）

Cyber Security

7.3.3.
Examples of documents/evidence that could be provided
The following standards may be applicable:(g)ISO/SAE 21434 describes the way to define the concept. This also
includes the consideration of critical elements based on risk treatment
decisions. The results are documented in “Cybersecurity goals” and“Cybersecurity concept”. If further describes exhaustive risk assessment
in clause 8 “Risk assessment methods”. This is documented in Threat
analysis and risk assessment;(h)ETSI TS 103 645 may be used for demonstrating the security ofInternet of Things elements of a vehicle;(i)BSI PAS 1885 may be used.
The following could be used to evidence this requirement:(j)The vehicle type claimed;(k)An explanation of why elements within the vehicle type are critical;(l)What security measures are implemented, including information on how
they work;(m)Information on any security measures should permit the Technical
Service/ Approval Authority to both be assured that they do what the
manufacturer intends and that vehicles in production will use the samemeasure as presented to the Approval Authority/Technical Service for thevehicle type. Confidentiality of specifics and how these are handledshould be agreed and recorded.

下記の規格を適用してもよい：(g)ISO/SAE 21434は、コンセプトを定める方法について述べている。これは、リスク処理の決定に基づき必要不可欠な要素を考慮することも含む。結果は「サイバーセキュリ
ティ目標」および「サイバーセキュリティコンセプト」に記載されている。それは、さらに8項「リスクアセスメント方法」で網羅的なリスクアセスメントについて述べている。
これは脅威分析およびリスクアセスメントに記載される。
(h)車両のIoT要素のセキュリティを証明するためにETSI TS 103 645を使用してもよい。
(i)BSI PAS 1885を使用してもよい。
この要件の証明には下記が使用できると考えられる：(j)対象となる車両型式。
(k)当該車両型式内の要素が必要不可欠である理由の説明。
(l)実施されているセキュリティ措置（それらがどのように役立つかに関する情報を含む）。
(m)セキュリティ措置に関する情報によって、技術機関／認可当局がメーカーによって意図されたことを実施すること、および、当該車両型式に関して認可当局／技術機関に提示された措置と同じ措置が生産車両で使用されることを、技術機関／認可当局がともに確信できるようになるべきものとする。特定情報の機密性およびこれらの取り扱い方法については、合意および記録すべきものとする。

15

Cyber Security

modified

7.3.4.
The vehicle manufacturer shall protect the vehicle type against risks identified in the vehicle manufacturer’s risk assessment.
Proportionate mitigations shall be implemented to protect the vehicle type. The mitigations implemented shall include all mitigations
referred to in Annex 5, Part B and C which are relevant for the risks identified. However, if a mitigation referred to in Annex 5, Part B orC, is not relevant or not sufficient for the risk identified, the vehicle manufacturer shall ensure that another appropriate mitigation is
implemented.
In particular, for type approvals prior to 1 July 2024, the vehicle manufacturer shall ensure that another appropriate mitigation is
implemented if a mitigation measure referred to in Annex 5, Part B or C is technically not feasible.

In particular, for type approvals first issued before 1 July 2024 and for each extension thereof, the vehicle manufacturer shallensure that another appropriate mitigation is implemented if a mitigation measure referred to in Annex 5, Part B or C istechnically not feasible.
The respective assessment of the technical feasibility shall be provided by the manufacturer to the approval authority.
車両メーカーは、車両メーカーのリスクアセスメントで特定されたリスクから車両型式を保護するものとする。車両型式を保護するために相応な軽減策を実施するものとする。実施する軽減策には、Annex5、パートBおよびCで言及された軽減策のうち、特定されたリスクに関連するすべての軽減策を含めるものとする。ただし、Annex5、パートBまたはCで言及された軽減策が、特定されたリスクに関連していないまたは十分でない場合、車両メーカーは、他の適切な軽減策が実施されることを確保するものとする。
とりわけ、2024年7月1日より前の型式認可の場合、車両メーカーは、Annex5、パートBまたはCで言及された軽減策が技術的に実現可能でない場合には他の適切な軽減策が実施されることを確保するものとする。

特に、2024年7月1日より前に最初に発行された型式承認およびその延長ごとに、車両メーカーは、付属書5、パートBまたはCで言及されている緩和策が技術的に実行可能でない場合、別の適切な緩和策が実施されることを保証するものとします。
メーカーは、各技術的実現可能性アセスメントを認可当局に提供するものとする。

解釈

実際の車両（システム）に対する軽減策

提出文書「その対策で問題ないと考えうる根拠」＝根拠を示すことは難しいため、適用する対策は世の中一般的な対策に基づく。エビデンスとしては、その出典を明らかにして記載するイメージ。基本的な考え方は上記の通りであるがセキュリティレベルが非常に高いため、以下の対応とする。ただし、②にて提示した文書はOEM内で確実16に保管すること、また保管方法を説明のこと。（確実な保管が出来ない場合は提出書面とすること）

Cyber Security

提出文書（続き）①提出書面
・車両を構成しているコントローラ一覧（セキュリティ対象のみ）
・各々のコントローラに対して、以下の実施状況をまとめたもの。（実施の未済をまとめた一覧表でよい）
ⅰ）車両型式保護のための軽減策の実施状況（リスクアセスメントの結果必要と判断された全ての軽減策について）→Annex5パートBおよびCの各項目を考慮したことを併せて説明すること。（当該型式において該当する脅威に対するAnnex5で規定された軽減策の適否一覧を提出のこと。ただし、軽減策を適用しない項目についてはその理由を簡潔に説明のこと。）②確認書面（提示された資料については資料番号、改定等書面を特定できる情報を審査部側で記録する）
・7.2.2.2のd)に該当する文書について、中身を記載したエビデンス（＝上記ⅰの具体的な実施結果が記載された書面）を①で提示された全てのコントローラについて提示すること。
※バックエンド側については車両内と同様の考え方を基本とするが、コントローラ一一覧の提出は不要とする。ただし、バックエンド側を構成するシステムの概略図を提出し、ここで説明されたシステムについて、適用する軽減策と、7.2.2.2d)に相当する対策が適用されていることを確認した結果を説明すること。

17

判断の目安（WP29解釈文書より引用）

Cyber Security

7.3.4.
Explanation of the requirement
The intention of this requirement is to ensure that vehicle manufacturers
implement appropriate mitigation measures in accordance with theresults of their risk assessment.
The manufacturer should provide reasoned arguments and evidence forthe mitigations they have implemented in the design of the vehicle type
and why they are sufficient. This may include any assumptions made, forexample about external systems that interact with the vehicle.
The technical mitigations from Annex 5, Parts B and C shall be considered
wherever applicable to the risks to be mitigated. The Manufacturer may
present a rationale not only for a listed mitigation from Annex 5 being “notrelevant or not sufficient”, but also may present a rationale, that anothermitigation other than the ones listed in Annex 5 is appropriate to therespective risk. That rationale may be substantiated by a risk assessment
and risk rating showing the appropriateness of the alternative mitigation.
This is to allow the adoption of new or improved defensive technologies.

この要件の意図は、車両メーカーがそれらのリスクアセスメントの結果に基づき適切な軽減策を実施することを確保することである。
メーカーは、車両型式の設計で実施した軽減策の理にかなった根拠および証拠ならびにそれらが十分である理由を提供すべきものとする。これには、（例えば車両と相互に作用す
る外部システムに関して）立てた前提を含めてもよい。
附則5、パートBおよびCの技術的軽減策は、軽減すべきリスクに適用可能なときは必ず考慮されるものとする。メーカーは、附則5の軽減策の中から「関連していないまたは十分でない」とした軽減策に関する論理的根拠だけでなく、該当するリスクには附則5に記載された軽減策以外の他の軽減策が適切であるということの論理的根拠を提示してもよい。
その論理的根拠は、当該代替軽減策の適切性を示すリスクアセスメントおよびリスク格付を用いて立証してもよい。これは、新しい防御技術または改良された防御技術の採用を可能にするものである。

The following clarifications should be noted
The following clarifications should be noted:(a)The design decisions of the manufacturer should be linked to the risk
assessment and risk management strategy. The manufacturer should be
able to justify the strategy implemented;(b)The term “proportionate” should be considered when choosing whether
to implement a mitigation and what mitigation should be implemented. If
the risk is negligible then it may be argued that a mitigation would not benecessary;(c)Protection from identified risks means to mitigate the risk.

(a)メーカーによる設計の決定は、リスクアセスメントおよびリスク管理ストラテジーに関連付けられているべきものとする。メーカーは、実施したストラテジーの正当性を説明することができるべきものとする。
(b)「相応」という用語は、軽減策を実施すべきか否かを、また、実施すべき軽減策を選択するときに考慮すべきものとする。当該リスクが無視できる場合には、軽減策は不要であると論じてもよい。
(c)特定されたリスクからの保護とは、当該リスクを軽減することを指す。

18

判断の目安（WP29解釈文書より引用）

Cyber Security

7.3.4.
Examples of documents/evidence that could be provided
The following standards may be applicable:(d)ISO/SAE 21434 describes the identification of risk and the deduced
Cybersecurity goals and concept based on the identified risks. The results
are documented in [WP-09-04] Cybersecurity goals and [WP-09-07]
Cybersecurity concept;(e)BSI PAS 11281: 2018 and other standards regarding claims, arguments
and evidence may be used to justify the design decisions of the
manufacturer.
The following could be used to evidence the mitigations used:(f)Evidence that mitigation measures were introduced according to thenecessity of measures, this includes:(i)the reason, if mitigation measures other than Annex 5 Part B and C
are applied;(ii)the reason, if mitigations listed in Annex 5 are not applied;(iii)the reason, if mitigation measures are determined to beunnecessary.

下記の規格を適用してもよい：(d)ISO/SAE 21434は、リスクの特定ならびに特定されたリスクに基づき推定されるサイ
バーセキュリティ目標およびコンセプトについて述べている。結果は、[WP-09-04]「サイバーセキュリティ目標」および[WP-09-07]「サイバーセキュリティコンセプト」に記載されている。
(e)メーカーによる設計決定の正当性を説明するためにBSI PAS 11281: 2018および主張、論拠および証拠に関するその他の規格を使用してもよい。
使用する軽減策の証明には下記が使用できると考えられる：(f)措置の必要性に応じて軽減策が導入されていることの証拠。これは下記を含む：(i)附則5のパートBおよびC以外の軽減策が適用されている場合は、その理由。
(ii)附則5に列挙された軽減策が適用されていない場合は、その理由。
(iii)軽減策は不要であると判断された場合は、その理由。

19

Cyber Security

modified

7.3.5
The vehicle manufacturer shall put in place appropriate and proportionate measures to secure dedicated environments on thevehicle type (if provided) for the storage and execution of aftermarket software, services, applications or data.
車両メーカーは、アフターマーケットのソフトウェア、サービス、アプリケーションまたはデータの保管および実行のための車両型式上の専用環境（設けられている場合）を保護するために適切かつ相応な措置を実施するものとする。
解釈
アフターマーケット製品・サービスに対する対策を説明(サービスについてはコネクティッドを活用するサービスを含む。）アフターマー

ケット製品・サービス自体を審査対象とするのではなく、それら装着時に対象車両が適切に保護されていることを目的とする。
またOEMで認めていないサービスはお客様責任であることを明確に通知する（オーナーズマニュアル等を活用）
この場合でも、7.2.2.2に則りOEMが想定可能な範囲内で適切な処置を車両側で実施すること。
提出文書

7.2.2.1以下のCSMSのエビデンスでフォーマットが示された文書について、型式審査ではフォーマットだけではなく中身が記載されたエビデンスを確認するイメージ
基本的な考え方は上記の通りであるがセキュリティレベルが非常に高いため、以下の対応としたい。
①提出書面・システムアーキ図（アフター製品の接続範囲（対策している範囲）を示す）
・書面の概要（対策が実施されているかどうかのみ記載、OMなどでユーザに注意喚起している場合は記載）②以下の書面を立会い時に確認する。
・アフターマーケット製品等装着時に対象車両が適切に保護されていることを示す書面。具体的には7.2.2.2の各項で本リスクが適切に取り扱われていることを確認できること。（7.2.2.2の中で本項の説明を実施しても良い）
注：申請型式内における選択仕様（メーカオプション）はアフターマーケット品には含まない。（車両型式の一部として扱う）

20

判断の目安（WP29解釈文書より引用）

Cyber Security

7.3.5.
The following clarifications should be noted(a)"appropriate and proportionate measures" requires that the
manufacturer is able to justify how risks associated with any dedicatedenvironment, as defined in their risk assessment, are managed;(b)Dedicated environments can be on the vehicle. If the vehicle interacts
with servers or services located off the vehicle (for example in the cloud)then the risks to the vehicle originating from them, with respect to theircyber security, should be considered.

(a)「適切かつ相応な措置」について、メーカーは、リスクアセスメントで定めた専用環
境と関連付けられたリスクを管理する方法の正当性を説明できなければならない。
(b)専用環境は車両上に設けることができる。車両が車両外に（例えばクラウドに）位置するサーバまたはサービスと相互に通信する場合には、自社のサイバーセキュリティに関してそれらから生じる車両へのリスクを考慮すべきものとする。

Examples of documents/evidence that could be provided
The following standards may be applicable:(c)ISO/SAE 21434 describes on a process base steps to make conclusion
for the architecture. This aspect is to be considered in [WP-08-03] Threat
scenarios.
The following could be used to evidence this requirement:(d)A description of the dedicated environment;(e)What security measures are implemented, including information on
how they work;(f)Information on any security measures should permit the Approval
Authority/Technical Service to both be assured that they do what the
manufacturer intends and that vehicles in production will use the samemeasure as presented to the Approval Authority/Technical Service for thevehicle type. Confidentiality of specifics and how these are handledshould be agreed and recorded;(g)Annex 5 of the cyber security Regulation shall be referred to.

下記の規格を適用してもよい：(c)ISO/SAE 21434は、アーキテクチャに関する結論を出すためのプロセスに基づく手順について述べている。この側面は、[WP-08-03]「脅威シナリオ」で考慮される。
この要件の証明には下記が使用できると考えられる：(d)専用環境の説明。
(e)実施されているセキュリティ措置（それらがどのように役立つかに関する情報を含む）。
(f)セキュリティ措置に関する情報によって、認可当局／技術機関がメーカーによって意図されたことを実施すること、および、当該車両型式に関して認可当局／技術機関に提示された措置と同じ措置が生産車両で使用されることを、認可当局／技術機関がともに確信できるようになるべきものとする。特定情報の機密性およびこれらの取り扱い方法について
は、合意および記録すべきものとする。
(g)サイバーセキュリティ規則の附則5を参照するものとする。

21

Cyber Security

modified

7.3.6
The vehicle manufacturer shall perform, prior to type approval, appropriate and sufficient testing to verify the effectiveness ofthe security measures implemented.
車両メーカーは、型式認可の前に、実施するセキュリティ措置の有効性を検証するために適切かつ十分なテストを行うも
のとする。

解釈
特定されたリスクに対する対策の有効性を確認したテスト内容と結果について書面及び実機にて確認する提出文書「適用した対策が有効に機能していることを確認できる書面」
基本的な考え方は左記の通りであるがセキュリティレベルが非常に高いため、以下の対応としたい。
①提出書面
・車両を構成しているコントローラ一覧（セキュリティ対象のみ）
コントローラ名称、主な機能・適用した対策が有効に機能していることの確認状況をまとめたもの。
②以下の書面を立会い時に確認する。
・「適用した対策が有効に機能していることを確認できる書面」（社内試験結果、サプライヤレポート等）

本確認は実機試験に先立って実施する場合がある。

実機試験
・試験選定：前もってOEMが試験選定案（試験内容及び試験体（車両（システム）、部品、等））及び事由を車両の装置構成やリスクアセスメントの結果などから技術的に書面等で説明し、合意のもと審査を行う。
・実機試験：特定されたリスクに対する対策が有効に機能していることを確認できる実機デモを行う。

22

判断の目安（WP29解釈文書より引用）

Cyber Security

7.3.6.
Explanation of the requirement
The test results should be valid at time of type approval. The Technical
Service may perform security tests to confirm the results.

テスト結果は、型式認可時に有効であるべきものとする。技術機関は、結果を確認するためにセキュリティテストを実施してもよい。

The following clarifications should be noted(a)The aim of any security measures will be to reduce the risks. Testingshould support justification for the security measures implemented.

(a)一切のセキュリティ措置の狙いはリスクを減らすことである。テストによって、実施するセキュリティ措置の正当性を裏付けるべきものとする。

Examples of documents/evidence that could be provided
The following standards may be applicable:(b)Manufacturers may describe the verification and validation measure
implemented in accordance with ISO/SAE 21434 in form of [WP-09-08]
Verification report of cybersecurity concept, [WP-10-03] Verification
report for the refined cybersecurity specification, [WP-11-02] Validation
report.
The following could be used to evidence this requirement:(c)What is tested and why (e.g. what measures of success for the test
look like);(d)Methodology used and why (e.g. this may include notes on the extent
and effort contained within the testing);(e)Who has performed the tests and why (e.g. in-house, a supplier or an
external organization and any relevant information regarding their
qualification/experience);(f)Confirmation of its successful outcome (this may include the pass/failcriteria and result of the test).

下記の規格を適用してもよい：(b)メーカーは、ISO/SAE 21434に従って実施する検証および妥当性確認措置について、[WP-09-08]「サイバーセキュリティコンセプトの検証報告書」、[WP-10-03]「詳細なサイバーセキュリティ仕様に関する検証報告書」、[WP-11-02]「妥当性確認報告書」を用いて説明してもよい。
この要件の証明には下記が使用できると考えられる：(c)何をテストしたのか、およびその理由（例えば、テストの合格基準はどのようなものか）。
(d)使用方法およびその理由（例えば、これには、テスト内に含まれる規模および努力に関する注記を含めてもよい）。
(e)誰がテストを実施したのか、およびその理由（例えば、社内、サプライヤーまたは外部
組織、および実施者の資格／経験に関する関連情報）。
(f)その合格結果の確認（これには、合格／不合格判定基準およびテスト結果を含めてもよい）。

23Cyber Security

7.3.7.The vehicle manufacturer shall implement measures for the vehicle type to:(a) Detect and prevent cyber-attacks against vehicles of the vehicle type;(b) Support the monitoring capability of the vehicle manufacturer with regards to detecting threats,vulnerabilities and cyber-attacks
relevant to the vehicle type;(c) Provide data forensic capability to enable analysis of attempted or successful cyber-attacks.
車両メーカーは、車両型式に関して下記の措置を実施するものとする：（a）当該車両型式の車両に対するサイバー攻撃を検知および防止するための措置。
（b）当該車両型式に関連している脅威、脆弱性およびサイバー攻撃の検知に関する車両メーカーの監視能力を支えるための措置。
（c）未遂に終わったサイバー攻撃または成功したサイバー攻撃の分析を可能にするデータフォレンジック能力を提供するための措置。

解釈(a)サイバー攻撃を検知および車両を保護するために相応な対策車両に搭載されていること。リスクアセスメントの結果に応じて措置を講じること。（例：GWによるフィルタリング、メッセージ認証など）(b)攻撃の試行や攻撃被害があった際に、車両メーカーが分析に必要なログを記録する機能を有すること。
(c)ｂのログを取り出す機能を有すること（例：DLC経由、サーバー経由）

提出文書(a)サイバー攻撃の検知および車両を保護するために相応な対策について以下を説明のこと。
（7.3.4の説明に以下を含めて説明してもよい）・検知
リスクアセスメントにて軽減策が必要と判断された攻撃について検知して、車両を保護するための相応な対策の概要を説明すること。
・軽減策
検出された攻撃について相応な対策が取られていることを説明すること。
24

Cyber Security

提出文書（続き）(b)保管され分析に使用されるログデータの一覧およびデータに含まれるパラメータの概要。および当該データを選定した
根拠の概要説明。ログデータの保管場所（車、バックエンド等）についての説明を含む。
(c)ログ等を取り出す方法の概要および取り出した結果のサンプル。ログ取り出しの方法は、ログの保存場所から通信を経て解析担当部署へ情報が伝達するまでの経路を説明すること。（ただし、CSMS側で情報を受け受け取る窓口が規定されている場合は、そこまでの説明で良い）また、サンプルについては実際に使用される帳票などで説明すること。
また、当該型式に特化する解析担当部署における分析法および結果に基づく対応方法がある場合にはその説明。
（特化する項目がない場合には省略して良い）25

判断の目安（WP29解釈文書より引用）

Cyber Security

7.3.7.
Explanation of the requirement
The intention of this requirement is to ensure that there are specificmeasures implemented for the vehicle type to monitor for changes in thethreat landscape, detect and prevent cyber-attacks and have thecapability to forensically support the analysis of any attempted or
successful attack.

この要件の意図は、脅威状況の変化を監視し、サイバー攻撃を検知および防止し、未遂に終わった攻撃または成功した攻撃の分析の裏付けをフォレンジックに行う能力を有するために、車両型式に実施する特定の措置があることを確保することである。

The following clarifications should be noted(a)Measures with regard to this clause may be implemented on thevehicle type or in its operational environment, e.g. the backend, themobile network “for the vehicle type”;(b)Measures should primarily look to prevent cyber-attacks being
successful, with reference to 7.3.4. and 7.3.5. to protect against risks
identified in the risk assessment;(c)Measures to prevent cyber-attacks being successful against all
vehicles of a vehicle type may additionally be delivered asynchronously,
i.e. after the actual event of a cyber-attack and its analysis;(d)Data forensic capability may include the ability to provide and analyselog data, diagnostic error codes, vehicle operational information, backend
information to investigate cyber-attacks;(e)Data forensic capability may include a circular buffer of persisting log
data that supports investigatory procedures.
It is noted that paragraph 1.3., and compliancy with data privacy laws, areparticularly relevant to this requirement.

(a)この項に関する措置は、車両型式に実施しても、その運用環境（例えば、「当該の車両
型式用」のバックエンド、モバイルネットワーク）に実施してもよい。
(b)措置は、リスクアセスメントで特定されたリスクからの保護に関する7.3.4および7.3.5を参照しながら、主にサイバー攻撃の成功を防止することを目指すべきものとする。
(c)車両型式のすべての車両に対するサイバー攻撃の成功を防止するための措置を非同期的に（すなわち、実際のサイバー攻撃イベントおよびその分析の後に）追加実施してもよい。
(d)データフォレンジック能力には、サイバー攻撃を調査するためのログデータ、診断エ
ラーコード、車両運用情報、バックエンド情報を提供および分析する能力を含めてもよい。
(e)データフォレンジック能力には、調査手順を支える持続的ログデータの環状バッファを含めてもよい。
1.3項、およびデータプライバシーに関する法律の遵守はとりわけこの要件に関連していることに留意する。

26

判断の目安（WP29解釈文書より引用）

Cyber Security

7.3.7.
Examples of documents/evidence that could be provided
The following standards may be applicable:(f)ISO/SAE 21434. A list of sources for cybersecurity monitoring isprovided in clause 7.3. The results of analysis and how to document it isdescribed in [WP-07-04] Vulnerability analysis.
The following could be used to evidence this requirement:(g)Attack prevention measures applied to the vehicle type;(h)Demonstration of how a vehicle type’s preventive measures andmonitoring activities perform;(i)Demonstration of how forensic analysis is performed.

下記の規格を適用してもよい：(f)ISO/SAE 21434。サイバーセキュリティ監視に関する資料のリストは7.3項に記載されている。分析の結果およびそれを文書化するための方法は、[WP-07-04]「脆弱性分析」に記載されている。
この要件の証明には下記が使用できると考えられる：(g)車両型式に適用される攻撃防止措置。
(h)車両型式の防止措置および監視活動の実施状況の証明。
(i)フォレンジック分析実施方法の証明。

27

Cyber Security

7.3.8.
Cryptographic modules used for the purpose of this Regulation shall be in line with consensus standards. If thecryptographic modules used are not in line with consensus standards, then the vehicle manufacturer shall justify their use.
本規則の目的のために使用する暗号モジュールは、コンセンサス標準に沿うものとする。使用する暗号モジュールがコンセ
ンサス標準に沿っていない場合には、車両メーカーは、その使用が正当であることを証明するものとする。

解釈
リスクアセスメントの結果、暗号モジュールを使用する場合は、各社の独自暗号方式ではなく、堅牢性が認められている一般的な暗号方式を使用すること。
各社の独自暗号方式を使用する場合は、その妥当性を説明するものとする。
（例：FIPS、CRYPTREC、SP800-57、SP800-140、NESSIE）

提出文書
・当該型式で使用している暗号方式の一欄表。以下の記載を含むこと。
暗号方式、一般的な暗号か独自暗号かの区分。
一般的な暗号とした場合は、一般的と見なせる根拠の説明（ISO、JIS、他何らかのSTDや業界標準など当該暗号が審査時において業界標準的な強度を持つことを説明すること。）
独自暗号とした場合にはその暗号方式の概要とその妥当性の説明。
（リスクアセスメントの結果から適切な暗号方式を選定していることを技術的に説明すること。選定の手法はOEMの考え方によるもので良い。ただし、安全上重要な伝送内容に関わらず暗号強度が不足していると推定される場合（例：電子政府
推奨暗号等と比較して明らかに暗号強度が低い等）には、当該暗号を使用する理由を更に詳細に確認する。
なお、本要件で確認する暗号方式の対象は、7.3.4（リスクアセスメント）の結果、脅威の軽減策として通信の暗号化が必要だと判断され当該機能が導入されたものとする。
補足：リスクアセスの結果、リスクが高いと分析された箇所に適切な（堅牢性のある）暗号が使われているかを確認する。
28
逆に、リスクが低い部分で特段暗号化の必要は無い箇所に、任意で使用されている暗号については審査対象としない。

判断の目安（WP29解釈文書より引用）

Cyber Security

7.3.8.
The following clarifications should be noted:
A consensus standard may be an internationally recognised standard, or it
may be a national standard that is commonly used, e.g. FIPS.

コンセンサス標準として、国際的に認められている規格であってもよいし、一般に使用されている国内規格（例えばFIPS）であってもよい。

Explanation of the requirement
The intent of this requirement is to ensure encryption methods used canbe justified.

この要件の意図は、使用する暗号化方法の正当性が説明できることを確保することである。

Examples of documents/evidence that could be provided
Where encryption measures are implemented, based on the results of risk
analysis and risk assessment, the manufacturer should be able to:(a)Explain whether the encryption algorithm or measure complies with acurrent consensus standard; and(b) Explain the reason for the choice of encryption and why it adequately
mitigates the risk identified.

リスク分析およびリスクアセスメントの結果に基づき暗号化措置を実施する場合、メーカーは下記を行うことができるべきものとする：(a)当該暗号化アルゴリズムまたは措置が現行のコンセンサス標準に適合しているか否かを説明すること。
(b) 暗号化の選択に関する理由、および特定されたリスクをそれが十分に軽減する理由を説明すること。

29

補足

Annex5Annex 5

List of threats and corresponding mitigations
脅威および対応する軽減策のリスト
This annex consists of three parts. Part A of thisannex describes the baseline for threats,vulnerabilities and attack methods. Part B of this
本附則は3部から成る。本附則のパートAは、脅威、脆弱性および攻撃方法のベースラインを定める。
1 annex describes mitigations to the threats which are 本附則のパートBは、車両型式に向けられた脅威に対する軽減策を定める。パートCは、車両外の領
intended for vehicle types. Part C describes域（例えばITバックエンド）に向けられた脅威に対する軽減策を定める。
mitigations to the threats which are intended forareas outside of vehicles, e.g. on IT backends.
Part A, Part B, and Part C shall be considered for risk
車両メーカーが実施するリスクアセスメントおよび軽減策においては、パートA、パートBおよび
2 assessment and mitigations to be implemented by
パートCを考慮するものとする。
vehicle manufacturers.
The high-level vulnerability and its corresponding
examples have been indexed in Part A. The same
高レベルの脆弱性およびそれに対応する例は、パートAにおいて索引付けされている。パートBおよ
3 indexing has been referenced in the tables in Parts B びパートCの表においても、各攻撃／脆弱性とそれに対応する軽減策のリストを関連付けるために、
and C to link each of the attack/vulnerability with a 同じ索引付けが参照されている。
list of corresponding mitigation measures.
The threat analysis shall also consider possible
脅威分析においては、生じ得る攻撃の影響も考慮するものとする。これらはリスク重大度の確定おattack impacts. These may help ascertain the
よび追加リスクの特定に役立つ可能性がある。生じ得る攻撃の影響には、下記が含まれる可能性がseverity of a risk and identify additional risks.
ある：
Possible attack impacts may include:(a) 車両の安全な操作に影響が及ぶ。
(a) Safe operation of vehicle affected;(b) 車両機能が停止する。
(b) Vehicle functions stop working;4(c) ソフトウェアが改変され、性能が変更される。
(c) Software modified, performance altered;(d) ソフトウェアは変更されるが操作への影響はない。
(d) Software altered but no operational effects;(e) データ完全性の侵害。
(e) Data integrity breach;(f) データ機密性の侵害。
(f) Data confidentiality breach;(g) データ可用性の損失。
(g) Loss of data availability;(h) その他（犯罪行為を含む）。
(h) Other, including criminality.

30

補足

Annex5 PartA

Annex 5

1. High level descriptions of threats and relating vulnerability or attack method are listed in Table A1.
1. 脅威の高レベルの記述ならびに関連している脆弱性または攻撃方法のリストを表A1に示す。
Table A1 List of vulnerability or attack method related to the threats
High level and sub-level descriptions of vulnerability/ threat

車両を攻撃する手段まBack-end servers used たはデータを抽出する
1as a means to attack a 手段としてバックエン
vehicle or extract data ドサーバーが利用される

4.3.1 Threats
regarding backend servers
related tovehicles in thefield

フィールドの車両に関連するバックエン
ドサーバーに関する脅威

Services from backバックエンドサーバー
end server being
からのサービスが中断
2
disrupted, affecting the され、車両の動作に影
operation of a vehicle 響を与える

Vehicle related data
held on back-end
3servers being lost or
compromised (“databreach”)

バックエンドサーバーに保持されていた車両
関連データが損失または危殆化される（データ漏洩）

Example of vulnerability or attack method
スタッフによる特権の悪用（インサイダー
1.1Abuse of privileges by staff (insider attack)
攻撃）
サーバーへの不正なインターネットアクセ
Unauthorized internet access to the server
ス（例えば、バックドア、パッチが適用さ(enabled for example by backdoors,
1.2
れていないシステムソフトウェアの脆弱性、
unpatched system software vulnerabilities,
SQL攻撃またはその他の手段によって可能
SQL attacks or other means)となる）
Unauthorized physical access to the server サーバーへの不正な物理的アクセス（例え
1.3(conducted by for example USB sticks or ば、USB、またはサーバーに接続する他のother media connecting to the server)
媒体によって行われる）
Attack on back-end server stops it
バックエンドサーバーへの攻撃による機能
functioning, for example it prevents it from 停止。例えば、サーバーと車両との相互作
2.1
interacting with vehicles and providing
用ならびに車両が依存しているサーバーにservices they rely on
よるサービスの提供が妨げられる。
社員・職員による特権の悪用（インサイ
3.1Abuse of privileges by staff (insider attack)ダー攻撃）
クラウドにおける情報損失。取扱いに注意
Loss of information in the cloud. Sensitiveを要するデータがサードパーティクラウド
data may be lost due to attacks or
3.2
サービス提供者により保管されているとき
accidents when data is stored by thirdに攻撃または自己によりデータが損失されparty cloud service providers
る可能性がある。
サーバーへの不正なインターネットアクセ
Unauthorized internet access to the server
ス（例えば、バックドア、パッチが適用さ(enabled for example by backdoors,
3.3
れていないシステムソフトウェアの脆弱性、
unpatched system software vulnerabilities,
SQL攻撃、またはその他の手段によって可SQL attacks or other means)
能となる）
Unauthorized physical access to the server サーバーへの不正な物理的アクセス（例え
3.4(conducted for example by USB sticks or ば、USB、またはサーバーに接続する他のother media connecting to the server)
媒体によって行われる）
Information breach by unintended sharing 意図的でないデータ共有による情報漏洩
3.5
31
of data (e.g. admin errors)（例：管理者のエラー）

補足 Annex5 PartA

Annex 5High level and sub-level descriptions of vulnerability/ threat
Spoofing of messages 車両が受信したメッセー
4 or data received by the ジまたはデータのなりす
vehicle
まし

4.1

4.2

5.1

4.3.2 Threats tovehiclesregarding theircommunication
channels

Communication
channels used to
conduct unauthorized
5 manipulation, deletionor other amendments
to vehicle heldcode/data

車両に保存されている
コード／データの不正な改ざん、削除またはその他の改変を行うために通信路が利用される通信路に係る
車両への脅威

5.2
5.3

5.4

5.5
Communication
channels permit
信用できない／信頼でき
untrusted/unreliable
ないメッセージの受け入
messages to be
れを許可する通信路、ま6
accepted or are
たはセッションハイ
vulnerable to session ジャック／リプレイ攻撃
hijacking/replay
に対して脆弱な通信路
attacks
Information can be
情報が容易に開示される
readily disclosed. For
可能性がある。例えば、
example, through通信の盗聴によって、まeavesdropping on
7
たは取扱いに注意を要す
communications orるファイルやフォルダへ
through allowingの不正アクセスを許可す
unauthorized access to
ることによって。
sensitive files or folders

6.1
6.2

6.3

7.1

7.2

insertion

Example of vulnerability or attack method
Spoofing of messages by impersonation (e.g. なりすましによるメッセージ偽装（隊列走行
802.11p V2X during platooning, GNSS
中の802.11p V2X通信、GNSSメッセージなmessages, etc.)
ど）シビル攻撃（あたかも路上に多くの車両が存
Sybil attack (in order to spoof other vehicles
在しているかのように他の車両になりすます
as if there are many vehicles on the road)
ため）Communications channels permit code
通信路がコード注入を許可する。例えば、改injection, for example tampered software
ざんされたソフトウェアバイナリが通信スト
binary might be injected into the
リームに注入される可能性がある。
communication streamCommunications channels permit
通信路が車両に保存されているデータ／コー
manipulate of vehicle held data/code
ドの改ざんを許可する。
通信路が車両に保存されているデータ／コーCommunications channels permit overwrite
ドの上書きを許可する。
of vehicle held data/code
Communications channels permit erasure of
通信路が車両に保存されているデータ／コー
vehicle held data/code
ドの消去を許可する。
Communications channels permit
通信路が車両へのデータ／コードの導入
introduction of data/code to the vehicle（データ／コードの書き込み）を許可する。
(write data code)
Accepting information from an unreliable or 信頼できない、または信用できないソースか
untrusted source
らの情報を受け入れる。
Man in the middle attack/ session hijacking 中間者攻撃/セッションハイジャック
Replay attack, for example an attack against リプレイ攻撃。例えば、通信ゲートウェイに
a communication gateway allows the
対する攻撃により攻撃者がゲートウェイのattacker to downgrade software of an ECU ファームウェアまたはECUソフトウェアをダor firmware of the gateway
ウングレードすることが可能になる。
Interception of information / interfering
情報の傍受/干渉放射/通信の監視
radiations / monitoring communications

Gaining unauthorized access to files or data ファイルまたはデータへの不正アクセス32

補足 Annex5 PartA

Annex 5High level and sub-level descriptions of vulnerability/ threat

Denial of service
attacks via
8 communication
channels to disrupt
vehicle functions

4.3.2 Threats tovehiclesregarding theircommunication
channels

通信路に係る
車両への脅威insertion

Example of vulnerability or attack method

8.1

Sending a large number of garbage data tovehicle information system, so that it isunable to provide services in the normalmanner8.2

ブラックホール攻撃。車両間通信を妨害する
Black hole attack, in order to disrupt
ために、攻撃者が車両間のメッセージをブ
communication between vehicles the
ロックする。
attacker is able to block messages between
the vehicles

車両機能を妨害するための通信路を介したDoS攻撃

An unprivileged user is
非特権ユーザーが車両シ
able to gain privileged
An unprivileged user is able to gain
9
ステムへの特権アクセス 9.1
access to vehicle
privileged access, for example root accessを取得できる
systems
Viruses embedded in
通信媒体に埋め込まれた
communication media
Virus embedded in communication media
10
ウイルスが車両システム 10.1
are able to infectinfects vehicle systemsに感染する可能性がある
vehicle systems
11.1 Malicious internal (e.g. CAN) messages

車両情報システムが正常な方法でサービスを提供できないように、当該システムに対しゴミのようなデータを大量に送信する。

非特権ユーザーが特権アクセスを取得できる。
例えば、ルート権限。

通信媒体に組み込まれたウイルスが車両シス
テムに感染する。

悪意のある内部メッセージ（例：CAN）

悪意のあるV2Xメッセージ
Malicious V2X messages, e.g. infrastructure
Messages received by 車両によって受信される
例：インフラ対車両、または車車間メッセー
11.2 to vehicle or vehicle-vehicle messages (e.g.
the vehicle (forメッセージ（例えば、
ジ（例：CAM、DENM）
CAM, DENM)
example X2V or
X2Vまたは診断メッセー
11 diagnostic messages), ジ）または車両内で送信悪意のある診断メッセージor transmitted within it, されるメッセージに悪意 11.3 Malicious diagnostic messages
contain maliciousのあるコンテンツが含ま
Malicious proprietary messages (e.g. thosecontent
れている
悪意のある専用メッセージ（例：通常はnormally sent from OEM or
11.4
OEMまたはコンポーネント/システム/機能
component/system/function supplier)
サプライヤから送信されるメッセージ）

33

補足 Annex5 PartA

Annex 5High level and sub-level descriptions of vulnerability/ threat

4.3.3. Threats tovehicles
更新手順に関regarding their する車両へのupdate脅威
procedures

12

Misuse or compromise 更新手順の不正利用まof update procedures たは危殆化

Example of vulnerability or attack method
Compromise of over the air software
update procedures. This includes
OTAソフトウェア更新手順の危殆化。これ
12.1 fabricating the system update program or はシステム更新プログラムまたはファーム
firmware
ウェアの偽造を含む。
Compromise of local/physical software
update procedures. This includes
12.2 fabricating the system update program or
firmware13

サイバー攻撃を助長化する
意図しない人間の行動に係る車両への脅威ローカル/物理的ソフトウェア更新手順の危殆化。これはシステム更新プログラムまたはファームウェアの偽造を含む。

The software is manipulated before theupdate process (and is therefore
更新手順は損なわれていなくても、更新手
12.3 corrupted), although the update process is 順前にソフトウェアが改ざんされている
intact（したがって破損している）
Compromise of cryptographic keys of the
12.4 software provider to allow invalid update

4.3.4 Threats tovehiclesregardingunintended
human actions
facilitating acyber attack

insertion

It is possible to denylegitimate updates

正規の更新が拒否される可能性がある

Legitimate actors are
正規の行動主体が意図
able to take actions
せずにサイバー攻撃を
15 that would unwittingly
助長化するような行動
facilitate a cyberをとることができる
attack

無効な更新を許可するためのソフトウェア
提供者の暗号鍵の危殆化。

Denial of Service attack against update
重要なソフトウェア更新のロールアウトおserver or network to prevent rollout of
よび/または顧客固有機能のロック解除を妨
13.1 critical software updates and/or unlock of
げるための、更新サーバーまたはネット
customer specific features
ワークに対するDoS攻撃。

Innocent victim (e.g. owner, operator or
maintenance engineer) being tricked into
15.1 taking an action to unintentionally loadmalware or enable an attack
Defined security procedures are not
15.2 followed

罪のない被害者（例：所有者、操作者またはメンテナンス技術者）が騙されて、意図せずにマルウェアをロードする行動または攻撃を可能にする行動をとる。
定められたセキュリティ手順に従っていな
い。

34

補足 Annex5 PartAHigh level and sub-level descriptions of vulnerability/ threat
Manipulation of the
車両機能のコネクティ
connectivity of vehicle
ビティの改ざんによっ
functions enables aて、サイバー攻撃が可
cyber-attack, this can
能になる。これにはテ
include telematics;
16
レマティクス、リモー
systems that permit
ト操作が可能なシステ
remote operations; andム、および短距離無線
systems using short
通信を利用したシステ
range wireless
ムが含まれる
communications
4.3.5 Threats toHosted 3rd party
車両システムを攻撃す
vehicles
外部接続およsoftware, e.g.
る手段として、ホスト
regarding their び接続部に係
entertainment
されているサードパー
external
る車両への脅 17
applications, used as a ティソフトウェア
connectivity and 威means to attack（例：娯楽アプリケー
connections
vehicle systems
ション）が利用される
車両システムを攻撃す
Devices connected to
る手段として、外部イ
external interfaces e.g.
ンターフェース（例：18 USB ports, OBD port,
USBポート、OBDポー
used as a means toト）に接続された装置
attack vehicle systemsが利用されるAnnex 5

insertion

Example of vulnerability or attack method
Manipulation of functions designed to
リモートキー、イモビライザー、充電パイ
16.1 remotely operate systems, such as remote ルなど、システムを遠隔操作するための機
key, immobilizer, and charging pile
能の改ざん
Manipulation of vehicle telematics (e.g.
manipulate temperature measurement of 車両テレマティクスの改ざん（例：温度測16.2
sensitive goods, remotely unlock cargo
定を改ざんし、貨物ドアを遠隔解除する）
doors)
16.3

Interference with short range wirelesssystems or sensors

短距離無線システムまたはセンサへの干渉

改ざんされたアプリケーションまたはソフ
Corrupted applications, or those with poor
トウェアセキュリティが不十分なアプリ
17.1 software security, used as a method to
ケーションを、車両システムを攻撃する方
attack vehicle systems
法に使用する
External interfaces such as USB or other USBまたはその他のポートなどの外部イン
18.1 ports used as a point of attack, for example ターフェースが、例えばコード注入の攻撃
through code injection
場所として利用される
Media infected with a virus connected to a
18.2
ウイルスに感染した媒体を車両に接続する
vehicle system
Diagnostic access (e.g. dongles in OBD
例えば（直接的または間接的に）車両パラ
port) used to facilitate an attack, e.g.
メータを改ざんするなどの攻撃を容易化す
18.3
manipulate vehicle parameters (directly or るために、診断アクセス（例：OBDポート
indirectly)のドングル）が利用される

35

補足 Annex5 PartA

Annex 5High level and sub-level descriptions of vulnerability/ threat

19

Extraction of vehicle
data/code

車両データ／コードの抽出Example of vulnerability or attack method
Extraction of copyright or proprietary software 著作権または所有権のあるソフトウェアを車両
19.1
from vehicle systems (product piracy)
システムから抽出する（製品の著作権侵害）
Unauthorized access to the owner’s privacy
個人ID、支払いアカウント情報、アドレス帳情information such as personal identity, payment
19.2
報、位置情報、車両の電子IDなど、所有者のプ
account information, address book information,
ライバシー情報へ不正にアクセスする
location information, vehicle’s electronic ID, etc.
Extraction of cryptographic keys
19.3
暗号鍵を不正に取り出す
Illegal/unauthorized changes to vehicle’s
electronic ID
Identity fraud. For example, if a user wants to20.2 display another identity when communicatingwith toll systems, manufacturer backend
Action to circumvent monitoring systems (e.g.
hacking/ tampering/ blocking of messages
20.3
such as ODR Tracker data, or number of runs)
20.1

20

Manipulation of vehicle
data/code

車両データ／コードの改ざん

4.3.6 Threats to 車両データ/
vehicle data/code コードへの脅威

21 Erasure of data/code

データ／コードの消去

22 Introduction of malware マルウェアの導入
Introduction of new
23 software or overwrite
existing software

新しいソフトウェアの導入または既存のソフト
ウェアの上書き

Disruption of systems or システムまたは操作の途
24
operations
絶25

Manipulation of vehicle
parameters

車両パラメータの改ざん

insertion

Data manipulation to falsify vehicle’s driving
20.4 data (e.g. mileage, driving speed, driving
directions, etc.)
Unauthorized changes to system diagnostic
20.5
data
Unauthorized deletion/manipulation of system
21.1
event logs
Introduce malicious software or malicious
22.2
software activity
23.1

Fabrication of software of the vehicle control
system or information system

車両の電子IDを違法/不正に変更する
ID詐称。例えば、通行料金徴収システム、製造業者のバックエンドと通信する際に、ユーザー
が他のIDを表示させたい場合。
監視システムを回避する行動（例：ODRトラッ
カーデータや実行回数のようなメッセージのハッキング/改ざん/ブロッキング）
車両の運転データを偽るためにデータを改ざんする（例：走行距離、車速、走行方向等）
システム診断データを不正に変更する
システムイベントログの不正な削除/改ざん
悪意のあるソフトウェアまたは悪意のあるソフ
トウェアアクティビティを導入する
車両制御システムまたは情報システムのソフト
ウェアの偽造Denial of service, for example this may be
DoS攻撃。例えば、大量のメッセージが送りつ
triggered on the internal network by flooding a けられた結果、CANバスのあふれ、またはECU
24.1
CAN bus, or by provoking faults on an ECU via a に障害が発生することによって、引き起こされ
high rate of messaging
る可能性がある
Unauthorized access of falsify the configuration ブレーキデータやエアバッグ展開しきい値など、
25.1 parameters of vehicle’s key functions, such as 車両の主要機能の設定パラメータを改ざんする
brake data, airbag deployed threshold, etc.
ために不正にアクセスする
Unauthorized access of falsify the charging
充電電圧、充電電力、バッテリ温度などの充電
25.2 parameters, such as charging voltage, charging パラメータを偽装するために不正にアクセスすpower, battery temperature, etc.
る36

補足 Annex5 PartA

Annex 5High level and sub-level descriptions of vulnerability/ threat

Cryptographic
technologies can be26
compromised or are
insufficiently applied

暗号技術が危殆化または不十分に適用される可能性がある

Example of vulnerability or attack method
Combination of short encryption keys and
暗号鍵が短く、長期間鍵の更新を行わない
long period of validity enables attacker to
26.1という状況の組み合わせにより、攻撃者はbreak encryption
暗号を破ることができる
Insufficient use of cryptographic algorithms
機密性の高いシステムを保護する際に不十26.2 to protect sensitive systems
分な暗号アルゴリズムを利用する
Using already or soon to be deprecated26.3 cryptographic algorithms

4.3.7 Potential
vulnerabilities
that could be
exploited if not
sufficiently
protected or
hardened

十分な保護または堅牢化されていない場合に悪用される可能性がある潜在的な脆弱性

Parts or supplies could
部品または供給品が危
be compromised to27
殆化されて車両が攻撃
permit vehicles to be
される可能性がある
attackedinsertion

Hardware or software, engineered to27.1 enable an attack or fails to meet design
criteria to stop an attack

すでにまたは間もなく非推奨となる暗号ア
ルゴリズムを使用する攻撃が可能となるように設計された、または攻撃を停止するための設計基準を満たしていないハードウェアまたはソフトウェア

Software bugs. The presence of software
ソフトウェアバグ。ソフトウェアバグの存
bugs can be a basis for potential
在は、悪用可能な潜在的脆弱性の根拠にな
exploitable vulnerabilities. This is
り得る。これはとりわけ、既知の悪いコー
particularly true if software has not been
28.1
ド／バグが存在しないことを検証し、かつ
tested to verify that known bad code/bugs
未知の悪いコード／バグの存在のリスクを
is not present and reduce the risk of減らすためのテストを、ソフトウェアに対
unknown bad code/bugs being present
し実施していない場合に当てはまる。
Software or hardware ソフトウェアまたは28 development permits ハードウェアの開発が、
vulnerabilities
脆弱性を許容する開発の残り（例：デバッグポート、JTAG
Using remainders from development (e.g.
ポート、マイクロプロセッサ、開発証明書、
debug ports, JTAG ports, microprocessors,
開発者パスワード・・・）を利用すると、
28.2 development certificates, developer
ECUへのアクセスが可能となる、または、
passwords, …) can permit access to ECUs
攻撃者がより高い特権を取得することが可or permit attackers to gain higher privileges
能となる。

37

補足 Annex5 PartA

Annex 5High level and sub-level descriptions of vulnerability/ threat

Example of vulnerability or attack method
Superfluous internet ports left open,
providing access to network systems

不要なインターネットポートが開放されており、ネットワークシステムへのアクセスが可能となる。

Circumvent network separation to gain
control. Specific example is the use of
unprotected gateways, or access points(such as truck-trailer gateways), tocircumvent protections and gain access to29.2
other network segments to perform
malicious acts, such as sending arbitrary
CAN bus messages

ネットワーク分離を回避し、制御を奪取する。
具体例は、任意のCANバスメッセージの送信などの悪意のある行為をするため、保護を回避して他のネットワークセグメントへのアクセスを取得するために、保護されていないゲートウェイまたはアクセスポイン
ト（トラック-トレイラーゲートウェイなど）を使用することである。

29.1

Network design
29 introduces
vulnerabilities

4.3.7 Potential
vulnerabilities
that could be
exploited if not
sufficiently
protected or
hardened

十分な保護または堅牢化されていない場合に悪用される可能性がある潜在的な脆弱性

ネットワーク設計が脆弱性をもたらす意図しないデータ転送
Unintended transfer of31が発生する可能性があdata can occur
る

insertion

Information breach. Personal data may be
情報漏えい。車両のユーザ変更の際にパーleaked when the car changes user (e.g. is
ソナルデータが漏えいする可能性がある
31.1 sold or is used as hire vehicle with new（例：車両が販売されたり、もしくは新た
hirers)な人に使用されたときなど）
Manipulation of electronic hardware, e.g.
unauthorized electronic hardware added to 電子ハードウェアの不正操作。例：中間者
a vehicle to enable "man-in-the-middle"
攻撃を可能にするために車両に不正な電子
attackハードウェアを追加するなど。

Physical manipulation システムの物理的改ざ
32 of systems can enable んが攻撃を可能にする
an attack
可能性がある

Replacement of authorized electronic
hardware (e.g., sensors) with unauthorized 正規の電子ハードウェア（例：センサ）を
32.1
electronic hardware
不正な電子ハードウェアと交換する。
Manipulation of the information collectedby a sensor (for example, using a magnet toセンサーが収集した情報の改ざん（例：ギtamper with the Hall effect sensor
アボックスに接続されたホールセンサーを
connected to the gearbox)
改ざんするために磁石を使用する）

38

補足

Annex 5B, C

Annex 5

解釈Part B. Mitigations to the threats intended for vehicles.

パートB 車両に向けられた脅威に対する軽減策

1. Mitigations for “Vehicle communication channels”
Mitigations to the threats which are related to "Vehicle communication channels" are listed in Table B1.

1. 車両通信路に関する軽減策
車両通信路に関する脅威に対する軽減策のリストを表B1に示す

Table B1 Mitigation to the threats which are related to "Vehicle communication channels"
Table A1
reference

4.1

4.2

Threats to "Vehicle communication
channels"

Ref

Mitigation

脅威と軽減策の解釈

車両が受信したメッセージまたはデータ（隊列走行中の802.11p V2X通信、
Spoofing of messages (e.g. 802.11p V2X
GNSSメッセージなど）がなりすまされる脅威を想定して、車両は受信した
during platooning, GNSS messages, etc.) by
The vehicle shall verify the authenticity メッセージの真正性と完全性を検証するものとする。
impersonation
M10 and integrity of messages it receives （例：V2X,規格による真正性を確保する等、各々の通信規格/方式に従ったセ
なりすましによるメッセージ偽装（隊列走行
キュリティ対応をすること。その上でV2X,GNSS等の通信規格/方式で守り切
車両は、受信したメッセージの真正性と中の802.11p V2X通信、GNSSメッセージなれないなりすましが発生した場合にリスク事象にならないことを示すこ
完全性を検証するものとする
ど）と。）
車両が受信したメッセージまたはデータに対するシビル攻撃（あたかも路上
Security controls shall be implemented
Sybil attack (in order to spoof other vehiclesに多くの車両が存在しているかのように他の車両になりすます）の脅威を想for storing cryptographic keys (e.g.,
as if there are many vehicles on the road)
定して、暗号鍵の保管に対してセキュリティ車両は受信したメッセージの真
use of Hardware Security Modules)
M11
正性と完全性を検証するものとする。
シビル攻撃（あたかも路上に多くの車両が存
暗号鍵の保管に対してセキュリティ対策 （例：想定脅威の対象である路車間/車車間通信に用いる暗号鍵は、セキュリ
在しているかのように他の車両になりすますを実施するものとする（例：HSMの使ティ対策を実施するものとする（例：HSMの使用など）、車車間/路車間通信ため）用）のなりすましが発生した場合にリスク事象にならないことを示すこと）
通信路が車両に保存されているデータ/コードへのコード注入を許可（例えば、
The vehicle shall verify the authenticity 改ざんされたソフトウェアバイナリが通信ストリームに注入される可能性）
Communication channels permit code
M10 and integrity of messages it receives の脅威を想定して、車両は、受信したメッセージの真正性と完全性を検証す
injection into vehicle held data/code, for
車両は、受信したメッセージの真正性と るものとする。
example tampered software binary might be
完全性を検証するものとする（例：SSL/TLS、ファームウェアの署名検証など）
injected into the communication stream

5.1
通信路が車両に保存されているデータ/コー
ドへのコード注入を許可する。例えば、改ざんされたソフトウェアバイナリが通信スト
リームに注入される可能性がある。

通信路が車両に保存されているデータ/コードへのコード注入を許可（例えば、改ざんされたソフトウェアバイナリが通信ストリームに注入される可能性）の脅威を想定して、システムはリスクを最小限にするために、設計によるセM6 システムはリスクを最小限にするために、
キュリティを実装するものとする。
設計によるセキュリティを実装するもの （例：レギュレーション7.2項に従った開発を行った結果を車両に実装するこ
とする
39
と）
Systems shall implement security bydesign to minimize risks

Annex 5
Table A1
reference

Threats to "Vehicle communication
channels"

Ref

Mitigation

通信路が車両に保存されているデータ／コードの改ざんを許可する脅威を想定して、システムのデータ/コードを保護するために、アクセス制御技術と設計を適用するものとする。
（例：OTAや有線リプロに対して、アクセス制御、ファームウェアの署名検証。Diag通信に対して、リスク事象となるリクエストを受け付けないように制限を掛ける）Communication channels permit
manipulation of vehicle held data/code
5.2
通信路が車両に保存されているデータ／コードの改ざんを許可する。
Communication channels permit overwriteof vehicle held data/code
5.3

通信路が車両に保存されているデータ／コー
ドの上書きを許可する。
Communication channels permit erasure ofvehicle held data/code

5.4
21.1

通信路が車両に保存されているデータ／コー
ドの消去を許可する。

通信路が車両に保存されているデータ／コードの上書きを許可する脅威を想定して、システムのデータ/コードを保護するために、アクセス制御技術と設計を適用するものとする。
Access control techniques and designs （例：OTAや有線リプロに対して、アクセス制御、ファームウェアの署名検証。Diag通信に対して、リスク事象となるリクエストを受け付けないように
shall be applied to protect systemdata/code
制限を掛ける）
M7
通信路が車両に保存されているデータ／コードの消去を許可する脅威を想定
して、システムのデータ/コードを保護するために、アクセス制御技術と設計を適用するものとする。
（例：OTAや有線リプロに対して、アクセス制御、ファームウェアの署名検証。Diag通信に対して、リスク事象となるリクエストを受け付けないようにシステムのデータ/コードを保護するた 制限を掛ける）
めに、アクセス制御技術と設計を適用す
通信路が車両に保存されているデータ／コードの書き込みを許可する脅威をるものとするCommunication channels permit
introduction of data/code to vehicle
systems (write data code)
通信路が車両へのデータ／コードの導入（データ／コードの書き込み）を許可する。

想定して、システムのデータ/コードを保護するために、アクセス制御技術と設計を適用するものとする。
（例：OTAや有線リプロに対して、アクセス制御、ファームウェアの署名検証。Diag通信に対して、リスク事象となるリクエストを受け付けないように制限を掛ける）Accepting information from an unreliable or
untrusted source

The vehicle shall verify the authenticity 不正なソースからの情報を受け入れる脅威を想定して、受信するメッセージ
and integrity of messages it receives の真正性および完全性を検証するものとする。

5.5

6.1

脅威と軽減策の解釈

信頼できない、または信用できないソースからの情報を受け入れる。

M10（例：SSL/TLS、MACなど、接続先との認証機能を備えること）
車両は、受信するメッセージの真正性および完全性を検証するものとする

40

Annex 5
Table A1
reference

Threats to "Vehicle communication
channels"

6.2

Man in the middle attack / session hijacking

6.3

Ref

Mitigation

脅威と軽減策の解釈

中間者攻撃やセッションハイジャックの脅威を想定して、受信するメッ
The vehicle shall verify the authenticity セージの真正性および完全性を検証するものとする。
中間者攻撃/セッションハイジャック（例：SSL/TLS、MACなど、接続先との認証機能を備えること。）
and integrity of messages it receives
リプレイ攻撃（例えば、通信ゲートウェイに対する攻撃により、攻撃者がReplay attack, for example an attack against
ゲートウェイのファームウェアまたはECUソフトウェアをダウングレード
a communication gateway allows the
M10する）の脅威を想定して、受信するメッセージの真正性および完全性を検
attacker to downgrade software of an ECU
車両は、受信するメッセージの真正性およ 証するものとする。
or firmware of the gateway
び完全性を検証するものとする（例：SSL/TLS、MACなど、接続先との認証機能を備えること。）
リプレイ攻撃。例えば、通信ゲートウェイに対する攻撃により攻撃者がゲートウェイのファームウェアまたはECUソフトウェアをダ
ウングレードすることが可能になる。

7.1

Interception of information / interferingradiations / monitoring communications
情報の傍受/干渉放射/通信の監視

7.2

8.1

Confidential data transmitted to or fromthe vehicle shall be protected

通信メッセージの盗聴の脅威を想定し、車両と車外の間で送受信する機密データを保護するものとする。
M12
車両に送信されるまたは車両から送信され （例：SSL/TLSなど）
る機密データを保護するものとする。

Through system design and access
車両システムのファイルまたはデータへの不正アクセスに関する脅威を想control it should not be possible for
定し、権限のない者が個人データまたはシステムの重要なデータにアクセ
unauthorized personnel to accessスできないようにするものとする。
personal or system critical data. Example （例：個人データのような機微情報、およびシステムの重要データに対す
of Security Controls can be found inるアクセス制御など）
Gaining unauthorized access to files or data M8 Security Controls can be found in OWASP
システム設計およびアクセス制御によって、権限のない者が個人データまたはシステム
ファイルまたはデータへの不正アクセスの重要なデータにアクセスできないようにするものとする。セキュリティコントロー
ルの例は、OWASPを参照。
Sending a large number of garbage data to
DoS攻撃の脅威を想定し、通信途絶時および復帰時の車両システムのふる
Measures to detect and recover from avehicle information system, so that it is
まいを考慮した設計をするものとする
denial of service attack shall be employedunable to provide services in the normal（例：通信途絶のフェールセーフ設計で対応。復旧はフェールセーフで安mannerM13
全状態になった後、DoSがなくなり次第（通信回復次第）、正規メッセー
DoS攻撃の検知と復旧のための措置を講じ
車両情報システムが正常な方法でサービスをジを受信で自動復旧）
るものとする
提供できないように、当該システムに対しゴミのようなデータを大量に送信する。
41

Annex 5
Table A1
reference

8.2

Threats to "Vehicle communication
channels"
Black hole attack, disruption ofcommunication between vehicles byblocking the transfer of messages to othervehiclesRef

M13

脅威と軽減策の解釈

ブラックホール攻撃を想定し、通信途絶時および復帰時の車両システムのふるまいを考慮した設計をするものとする。
Measures to detect and recover from a （例：通信途絶のフェールセーフ設計で対応。復旧はフェールセーフで安全状態になった後、ブラックホール攻撃がなくなり次第（通信回復次第）、正denial of service attack shall be
規メッセージを受信で自動復旧）
employed
ブラックホール攻撃：メッセージ転送をブロックすることによる通信が届か

ブラックホール攻撃。車両間通信を妨害するために、攻撃者が車両間のメッセージをブロックする。

9.1

Mitigation

DoS攻撃の検出と復旧のための措置を講
なくなること。
じるものとする

具体的には、攻撃ノードがメッセージを受信して応答パケットを偽装して送信することで、正規の受信ノードがメッセージを受信できなくなる。

An unprivileged user is able to gain
privileged access, for example root accessMeasures to prevent and detect
unauthorized access shall be
employed

例えば、ルート権限。

置を講じるものとする

通信路経由で、ルート権限などの特権を取得される脅威を想定し、不正アクM9セスを防止し検知するための措置を講じるものとする。
非特権ユーザーが特権アクセスを取得できる。
不正アクセスを防止し検知するための措 （例：TLS/SSL）

Measures to protect systems against
embedded viruses/malware should be
通信媒体に組み込まれたウィルスが車両システムに感染する脅威を想定し、considered
10.1
M14
ウィルス/マルウェアからシステムを保護する措置を講じるものとする。
埋め込まれたウィルス/マルウェアから通信媒体に組み込まれたウイルスが車両シス（例：ファームウェアの署名検証、セキュアブート）システムを保護する措置を講じるものとテムに感染する。
する
Measures to detect malicious internal 悪意のある車両内通信メッセージを受信する脅威を想定し、悪意のある車両
messages or activity should be内メッセージやふるまいを検出する措置を講じるものとする。
Malicious internal (e.g. CAN) messages
considered（例：メッセージフィルタリング、MAC
Virus embedded in communication media
infects vehicle systems

11.1

M15
悪意のある内部メッセージ（例：CAN）

補足説明（ふるまい）

悪意のある内部メッセージやふるまいを・静的なフィルタリングでの悪意メッセージの検出。
検出する措置を講じるものとする

・正規のECU間でのメッセージ認証を経由したメッセージしか受信・動作しないことで悪意のあるふるまいを検出
42Annex 5
Table A1
reference

Threats to "Vehicle communication
channels"

Malicious V2X messages, e.g. infrastructure
to vehicle or vehicle-vehicle messages (e.g.
11.2 CAM, DENM)
悪意のあるV2Xメッセージ
例：インフラ対車両、または車車間メッセー
ジ（例：CAM、DENM）

Malicious diagnostic messages

11.3

Mitigation

脅威と軽減策の解釈

悪意のあるV2Xメッセージを受信する脅威を想定し、受信するメッセージの真
正性と完全性を検証する措置を講じるものとする。
（例：車両メーカーが公共インフラに対して独自に対策をすることはできない。このため、各々の通信規格/方式に応じたセキュリティ対応をすること。
V2Xなりすましが発生した場合にリスク事象にならないことを示すこと）
悪意のある診断メッセージを受信する脅威を想定し、受信するメッセージの真正性と完全性を検証する措置を講じるものとする。
（例：重要なメッセージ（リプロ）に対して、・認証
The vehicle shall verify the authenticity
・フィルタ
and integrity of messages it receives
M10・改ざんチェック

Malicious proprietary messages (e.g. thosenormally sent from OEM orcomponent/system/function supplier)

リプロ以外でリスクのあるメッセージに対して、
・認証
・リスク事象に至る診断メッセージを禁止
車両は、受信するメッセージの真正性と ・不正な値についてはアプリケーションでチェック・破棄）
悪意のある専用メッセージを受信する脅威を想定し、受信するメッセージの完全性を検証するものとする
真正性と完全性を検証する措置を講じるものとする。
（例：デバックポートの削除、量産時に特殊モードを削除、アクセス制御）

悪意のある専用メッセージ（例：通常はOEMまたはコンポーネント/システム/機能サプラ
イヤから送信されるメッセージ）

proprietary messages：テストや開発、生産時のために使用するメッセージと解釈

悪意のある診断メッセージ

11.4

Ref

43

Annex 5
2. Mitigations for "Update process"
Mitigations to the threats which are related to "Update process" are listed in Table B2.

2.更新プロセスに関する軽減策
更新プロセスに関する脅威に対する軽減策のリストを表B2に示す

Table B2 Mitigations to the threats which are related to "Update process"
Table A1
reference

Threats to "Vehicle communication channels"

Ref

Mitigation

脅威と軽減策の解釈

OTAソフトウェア更新手順の危殆化（システム更新プログラムまたはCompromise of over the air software update
ファームウェアの偽造を含む）を想定し、セキュアなソフトウェア更新手
procedures. This includes fabricating the
順を採用するものとする。
system update program or firmware
12.1（例：OTAによるソフトウェア更新手順において、相互認証や改ざん検知、
OTAソフトウェア更新手順の危殆化。これはシ重要なOTA制御プログラムの改ざん対策などのセキュリティ対策を実施す
ステム更新プログラムまたはファームウェアのSecuresoftwareupdateprocedures
偽造を含む。
る）shallbeemployedCompromise of local/physical software update
ローカル/物理的なソフトウェア更新手順の危殆化（システム更新プログラ
procedures. This includes fabricating the
ムまたはファームウェアの偽造を含む）を想定し、セキュアなソフトウェ
system update program or firmware
ア更新手順を採用するものとする。
12.2
M16
ローカル/物理的ソフトウェア更新手順の危殆化。
（例：重要なソフトウェアについては標準的なソフトウェア更新手順におこれはシステム更新プログラムまたはファーム
いて、認証や改ざん検知、重要な制御プログラムの改ざん対策などのセウェアの偽造を含む。
キュリティ対策を実施する）
セキュアなソフトウェアアップデートプ
The software is manipulated before the update
更新手順の前にソフトウェアが改ざんされている脅威を想定し、セキュア
ロセスを採用するものとする
process (and is therefore corrupted), although
なソフトウェア更新手順を採用するものとする。
the update process is intact（例：ソフトウェア/ファームウェアの署名検証）
12.3
更新手順は損なわれていなくても、更新手順前にソフトウェアが改ざんされている（したがって破損している）
Security controls shall be implemented 無効な更新を許可するための暗号化の危殆化を想定し、暗号鍵の保管に対してセキュリティ対策を講じるものとする。
for storing cryptographic keys

Compromise of cryptographic keys of thesoftware provider to allow invalid update
12.4（例：暗号鍵に関する運用規定の遵守）

M11
無効な更新を許可するためのソフトウェア提供者の暗号鍵の危殆化。

暗号鍵の保管に対して、セキュリティコ
ントロールを講じるものとする

44

Annex 5
Table A1
reference

Threats to "Vehicle communication channels"
Denial of Service attack against update serveror network to prevent rollout of critical software
updates and/or unlock of customer specificfeatures13.1
重要なソフトウェア更新のロールアウトおよび/または顧客固有機能のロック解除を妨げるための、更新サーバーまたはネットワークに対するDoS攻撃。

Ref

Mitigation

脅威と軽減策の解釈

Security Controls shall be applied to back-end バックエンドサーバーへの攻撃による機能停止に対して、
systems. Where back-end servers are critical to バックエンドシステムのセキュリティ対策を行う。
the provision of services there are recovery
またシステム停止時の復旧手順を予め備えておく。
measures in case of system outage. Example（例：OWASP Top10対策、バックアップ・リストア手順確立）
Security Controls can be found in OWASP
M3 セキュリティコントロールをバックエンドシステ
ムに適用するものとする。バックエンドサーバー
がサービス提供に不可欠である場合、システム停止を想定した復旧手段を備えるものとする。
セキュリティコントロールの例は、OWASPを参照。

45

Annex 5
3. サイバー攻撃を助長する意図しない人間の行動に関する軽減策
3. Mitigations for "Unintended human actions facilitating a cyber attack"Mitigations to the threats which are related to "Unintended human actions facilitating a cyber attack" are listed in Table B3.
サイバー攻撃を助長する意図しない人間の行動に対する軽減策のリストを表B3に示す

Table B3 Mitigations to the threats which are related to "Unintended human actions facilitating a cyber attack"
Table A1
reference

Threats to "Vehicle communication channels"

Ref

Mitigation

脅威と軽減策の解釈

Innocent victim (e.g. owner, operator or
Measures shall be implemented for
意図せずマルウェアをロードする行動または攻撃に関与してしまう脅威
maintenance engineer) is tricked into taking an
defining and controlling user roles andを想定して、所有者、操作者またはメンテナンス技術者に対して、アクaction to unintentionally load malware oraccess privileges, based on the principle セス権限定義や管理する方策を講じるものとする。
enable an attackof least access privilege（例：上記関連者に対する最小のアクセス権限設定）
15.1
M18
罪のない被害者（例：所有者、操作者またはメ
最小のアクセス権限の原則に基づいて、
ンテナンス技術者）が騙されて、意図せずにマユーザ役割とアクセス権限を定義および管ルウェアをロードする行動または攻撃を可能に理するための方策を実装するものとするする行動をとる。
Organizations shall ensure security
正規の行動主体が、定められたセキュリティ手順に従っていない脅威を
procedures are defined and followed
想定して、管理が必要なセキュリティ手順を定義し管理するものとする。
including logging of actions and access（例：開発時の機密情報などに対する運用マニュアル定義、運用記録な
related to the management of the security ど）
15.2 Defined security procedures are not followed
M19 functions
組織は、セキュリティ手順が定義され、セキュリティ機能の管理に関連する行動およ
定められたセキュリティ手順に従っていない。
びアクセスのログを含んで遵守されている
ものとする

46

Annex 5
4. Mitigations for "External connectivity and connections"4. 外部接続および接続部に関する軽減策
Mitigations to the threats which are related to "external connectivity and connections" are listed in Table B4.
外部接続および接続部に対する軽減策のリストを表B4に示す

Table B4 Mitigation to the threats which are related to "external connectivity and connections"
Table A1
reference

Threats to "Vehicle communication channels"

Ref

Mitigation

Manipulation of functions designed to remotely
operate vehicle systems, such as remote key,
immobiliser, and charging pile
16.1
リモートキー、イモビライザー、充電パイルなど、システムを遠隔操作するための機能の改ざん
Manipulation of vehicle telematics (e.g.
Security controls shall be applied to
M20 systems that have remote accessmanipulate temperature measurement of
16.2 sensitive goods, remotely unlock cargo doors)
車両テレマティクスの改ざん（例：温度測定を改ざんし、貨物ドアを遠隔解除する）
リモートアクセスを持つシステムにセInterference with short range wireless systems
16.3 or sensors
短距離無線システムまたはセンサへの干渉

脅威と軽減策の解釈

リモートキー、イモビライザー、充電パイルなど、システムを遠隔操作するための機能の改ざんの脅威を想定して、セキュリティ対策を適用するものとする（例：各々の通信に対応した認証）

車両テレマティクスの改ざんによる脅威を想定して、セキュリティ対策を適用するものとする（例：各々の通信に対応した認証）

キュリティコントロールを適用するもの 短距離無線システムまたはセンサへの干渉による脅威を想定して、セキュ
リティ対策を適用するものとするとする（例：各々の通信に対応した認証、センサや接続認証が無いものに関してはフェールセーフ対策やシステムの冗長化）
Software shall be security assessed,
改ざんされたアプリケーションやソフトウェアが利用される脅威を想定しauthenticated and integrity protected. て、ソフトウェアは、セキュリティアセスメントおよび認証されて真正性と完全性を保護されているものとする。

Corrupted applications, or those with poorsoftware security, used as a method to attack
17.1 vehicle systems

改ざんされたアプリケーションまたはソフト
ウェアセキュリティが不十分なアプリケーショ
ンを、車両システムを攻撃する方法に使用する

Security controls shall be applied to
車両にホストされることを意図もしくは予測されるサードパーティソフト
minimise the risk from third party
ウェアからのリスクを最小化するためにセキュリティコントロールを適用
software that is intended orするものとする。
foreseeable to be hosted on the vehicle
M21 ソフトウェアは、セキュリティアセスメ （例：ファームウェアの署名検証、配信アプリと車両システムソフトウェ
ントおよび認証され、完全性が保護され アのメモリ分離、ネットワーク分離）
るものとする。
車両にホストされることを意図もしくは予測されるサードパーティソフトウェア
からのリスクを最小化するためにセキュ
リティコントロールを適用するものとす
47
るAnnex 5
Table A1
reference

Threats to "Vehicle communication channels"

Ref

Mitigation

外部インターフェース（例：USBポート、OBDポート）に接続された装置が利用されて、例えばコード注入の攻撃場所として利用される脅威を想定
して、外部インタフェースにセキュリティ対策を適用するものとする。
（例：不正機器に対するアクセス制御、ネットワーク分離）

External interfaces such as USB or other ports
used as a point of attack, for example throughcode injection
18.1
USBまたはその他のポートなどの外部インターフェースが、例えばコード注入の攻撃場所として利用される
Security controls shall be applied toexternal interfaces

Media infected with viruses connected to thevehicle18.2

脅威と軽減策の解釈

M22

外部インターフェース（例：USBポート、OBDポート）に接続された装置が利用されて、ウィルスに感染した媒体を車両に接続される脅威を想定して、外部インタフェースにセキュリティ対策を適用するものとする。
（例：不正機器に対するアクセス制御、ネットワーク分離）

ウイルスに感染した媒体を車両に接続する※18.1と同じ
Diagnostic access (e.g. dongles in OBD port)
used to facilitate an attack, e.g. manipulate
vehicle parameters (directly or indirectly)
18.3 例えば（直接的または間接的に）車両パラメー
タを改ざんするなどの攻撃を容易化するために、
診断アクセス（例：OBDポートのドングル）が利用される

外部インタフェースにセキュリティコン 外部インターフェース（例：USBポート、OBDポート）に接続された装置
トロールを適用するものとするが利用されて、車両パラメータを改ざんするなどの攻撃を容易化するためするに、診断アクセス（例：OBDポートのドングル）が利用される脅威を想定

して、外部インタフェースにセキュリティ対策を適用するものとする。
（例：リスク事象となるリクエストを受け付けないように制限を掛ける、
ネットワーク分離）48

Annex 5
5. Mitigations for "Potential targets of, or motivations for, an attack "5. 攻撃の潜在的標的または動機に関する軽減策
Mitigations to the threats which are related to "Potential targets of, or motivations for, an attack " are listed in Table B5.
攻撃の潜在的標的または動機に対する軽減策のリストを表5に示す

Table B5 Mitigations to the threats which are related to "Potential targets of, or motivations for, an attack"
Table A1
reference

Threats to "Vehicle communication channels"

Ref

Mitigation

脅威と軽減策の解釈

Access control techniques and designs
車両に保管されたデータ（著作権または所有権のあるソフトウェア）
shall be applied to protect systemが不正アクセスされることで漏洩する脅威を想定して、システムのdata/code. Example Security Controls can データ/コードを保護するために、アクセス制御技術と設計を適用する
be found in OWASP
ものとする。
19.1
M7
システムのデータ/コードを保護するために、（例：リスク事象となるデータ/コードに対する暗号化、ECUデバック
著作権または所有権のあるソフトウェアを車両
アクセス制御技術と設計を適用するものとすシステムから抽出する（製品の著作権侵害/ソフ
ポートのアクセス制御）
る。セキュリティコントロールの例は、
トウェア流出）OWASPを参照
Unauthorized access to the owner’s privacy
Through system design and access control 車両に保管されたデータ（所有者のプライバシーデータ）が不正アク
information such as personal identity, payment
it should not be possible for unauthorized セスされることで漏洩する脅威を想定して、システム設計およびアクaccount information, address book information,
personnel to access personal or system
セス制御によって、権限のない者がアクセスできないようにするもの
location information, vehicle’s electronic ID,
critical data. Examples of Security Controls とする。
etc.
can be found in OWASP（例：リスク事象となるデータに対する暗号化、データへのアクセス
19.2
M8
システム設計およびアクセス制御によって、制限）
個人ID、支払いアカウント情報、アドレス帳情
権限のない者が個人データまたはシステムの報、位置情報、車両の電子IDなど、所有者のプ
重要なデータにアクセスできないようにする
ライバシー情報へ不正にアクセスするものとする。セキュリティコントロールの例
は、OWASPを参照。
Security controls shall be implemented for 車両に保管されたデータ（暗号鍵）が不正アクセスされることで漏洩
storing cryptographic keys e.g. Security
する脅威を想定して、暗号鍵の保管に対してセキュリティ対策を実施
Extraction of cryptographic keys
Modules
するものとする。
19.3
M11
暗号鍵の保管に対してセキュリティ対策を実 （例：セキュリティモジュール）
暗号鍵を不正に取り出す
施するものとする（例：セキュリティモ
ジュール）
Extraction of copyright or proprietary softwarefrom vehicle systems (product piracy / stolen
software)49Annex 5
Table A1
reference

Threats to "Vehicle communication channels"

Illegal/unauthorised changes to vehicle’s
20.1 electronic ID
車両の電子IDを違法/不正に変更する

Ref

Mitigation

脅威と軽減策の解釈

車両に保管されたデータ/コード（車両の電子ID）が不正アクセスされることで改ざんされる脅威を想定して、アクセス制御技術と設計を適用するものとする。
Access control techniques and designs（例：リスク評価結果に応じた対策として、データへのアクセス制
shall be applied to protect systemdata/code. Example Security Controls can 限）
M7 be found in OWASP

Identity fraud. For example, if a user wants todisplay another identity when communicating
20.2 with toll systems, manufacturer backend
ID詐称。例えば、通行料金徴収システム、製造業者のバックエンドと通信する際に、ユーザー
が他のIDを表示させたい場合。
Action to circumvent monitoring systems (e.g.
hacking/ tampering/ blocking of messages
such as ODR Tracker data, or number of runs)
20.3
監視システムを回避する行動（例：ODRトラッ
カーデータや実行回数のようなメッセージのハッキング/改ざん/ブロッキング）
Data manipulation to falsify vehicle’s driving
data (e.g. mileage, driving speed, driving
directions, etc.)
20.4
車両の運転データを偽るためにデータを改ざんする（例：走行距離、車速、走行方向等）
Unauthorised changes to system diagnostic
data
20.5
システム診断データを不正に変更する

車両に保管されたデータ/コード（通行料金収受システム、ユーザーIDなど）が不正アクセスされることで改ざんされる脅威を想定して、アシステムのデータ/コードを保護するために、クセス制御技術と設計を適用するものとする。
アクセス制御技術と設計を適用するものとす（例：リスク評価結果に応じた対策として、データへのアクセス制限、る。セキュリティコントロールの例は、
HSM）
OWASPを参照

Access control techniques and designs
shall be applied to protect systemdata/code. Example Security Controls canbe found in OWASP.
Data manipulation attacks on sensors ortransmitted data could be mitigated bycorrelating the data from different sourcesof information

車両に保管されたデータ/コード（監視システム：ODRトラッカーデー
タや実行回数など）が不正アクセスされることで改ざんされる脅威を想定して、アクセス制御技術と設計を適用するものとする。
（例：リスク評価結果に応じた対策として、データへのアクセス制限）

車両に保管されたデータ/コード（車両の運転データ：走行距離、車速、走行方向等）が不正アクセスされることで改ざんされる脅威を想定して、アクセス制御技術と設計を適用するものとする。
M7（例：リスク評価結果に応じた対策として、データへのアクセス制
システムのデータ/コードを保護するために、限）アクセス制御技術と設計を適用するものとす EDR、オドメーターなどを想定る。セキュリティコントロールの例は、車両に保管されたデータ/コード（システム診断データ）が不正アクセ
OWASPを参照
スされることで改ざんされる脅威を想定して、アクセス制御技術と設センサーまたは送信データに対するデータ改計を適用するものとする。
ざん攻撃は、さまざまな情報ソースからのデータを相互に関連付けることにって軽減で （例：リスク評価結果に応じた対策として、データへのアクセス制限）
きる
DTCクリアなどを想定
50

Annex 5
Table A1
reference

Threats to "Vehicle communication channels"

Unauthorized deletion/manipulation of system
21.1 event logs
システムイベントログの不正な削除/改ざん

22.2

Introduce malicious software or malicious
software activity
悪意のあるソフトウェアまたは悪意のあるソフ
トウェアアクティビティを導入する

Fabrication of software of the vehicle control
system or information system
23.1
車両制御システムまたは情報システムのソフト
ウェアの偽造Ref

Mitigation

脅威と軽減策の解釈

車両に保管されたデータ/コード（システムイベントログ）が不正アクセスされることで削除/改ざんされる脅威を想定して、アクセス制御技
術と設計を適用するものとする。
（例：リスク評価に応じた対策として、データへのアクセス制限）
OEMやサプライヤが解析のために保管しているイベントログ
車両に保管されたデータ/コード（悪意のあるソフトウェアまたは悪意のあるソフトウェアアクティビティ）が導入されることでマルウェア
Access control techniques and designsが導入される脅威を想定して、アクセス制御技術と設計を適用するもshall be applied to protect system
M7 data/code. Example Security Controls can のとする。
（例：リプロ時のアクセス制御、ファームウェアの署名検証、セキュ
be found in OWASP.
アブート）
システムのデータ/コードを保護するために、車両に保管されたデータ/コード（車両制御システムまたは情報システ
アクセス制御技術と設計を適用するものとす ムのソフトウェア偽造）が上書きされることで、新たなソフトウェアの導入、または既存のソフトウェアが上書きされる脅威を想定して、る。セキュリティコントロールの例は、
アクセス制御技術と設計を適用するものとする。
OWASPを参照（例：リプロ時のアクセス制御、ファームウェアの署名検証、セキュ
アブート）

Denial of service, for example this may be
車載ネットワークに対して、大量のメッセージが送りつけられた結果、triggered on the internal network by flooding a
CANバスのあふれ、またはECUに障害が発生する脅威を想定して、通CAN bus, or by provoking faults on an ECU via
Measures to detect and recover from a
信途絶時の車両システムのふるまいを考慮した設計をするものとする
a high rate of messaging
denial of service attack shall be employed （例：通信途絶のフェールセーフ設計で対応）
24.1
M13
DoS攻撃。例えば、大量のメッセージが送りつけられた結果、CANバスのあふれ、またはECUに
DoS攻撃の検出と復旧のための措置を講じる
8.1＝M13と同じ軽減策
障害が発生することによって、引き起こされるものとする可能性がある

51

Annex 5
Table A1
reference

Threats to "Vehicle communication channels"

Ref

Unauthorized access to falsify configuration
parameters of vehicle’s key functions, such as
brake data, airbag deployed threshold, etc.
25.1

ブレーキデータやエアバッグ展開しきい値など、車両の主要機能の設定パラメータを改ざんする
ために不正にアクセスする

Unauthorized access to falsify charging
parameters, such as charging voltage, charging
power, battery temperature, etc.
25.2
充電電圧、充電電力、バッテリ温度などの充電パラメータを偽装するために不正にアクセスする

Mitigation

Access control techniques and designs
shall be applied to protect systemdata/code. Example Security Controls canbe found in OWASP

脅威と軽減策の解釈

車両に保管されたデータ/コード（車両の主要機能の設定パラメータ：
ブレーキデータやエアバック展開しきい値など）が不正アクセスされることで改ざんされる脅威を想定して、アクセス制御技術と設計を適用するものとする。（例：データへのアクセス制御）

M7システムのデータ/コードを保護するために、
アクセス制御技術と設計を適用するものとす 車両に保管されたデータ/コード（充電パラメータ：充電電圧、充電電
力、バッテリ温度など）が不正アクセスされることで改ざんされる脅る。セキュリティコントロールの例は、威を想定して、アクセス制御技術と設計を適用するものとする。
OWASPを参照（例：データへのアクセス制御）

52

Annex 5
6. Mitigations for "Potential vulnerabilities that could be exploited if not sufficiently protected or hardened“

6. 十分に保護または堅牢化しない場合に悪用される可能性がある潜在的脆弱性に関する軽減策

Mitigations to the threats which are related to "Potential vulnerabilities that could be exploited if not sufficiently protected or hardened" are listed in Table B6.
十分に保護または堅牢化しない場合に悪用される可能性がある潜在的脆弱性に対する軽減策のリストを表6に示す

Table B6 Mitigations to the threats which are related to "Potential vulnerabilities that could be exploited if not sufficiently protected or hardened"
Table A1
reference

Threats to "Vehicle communication channels"

Ref

Cybersecurity best practices for softwareand hardware development shall befollowed

Insufficient use of cryptographic algorithms toprotect sensitive systems
機密性の高いシステムを保護する際に不十分な暗号アルゴリズムを利用する
Using deprecated cryptographic algorithms
26.3
非推奨となる暗号アルゴリズムを使用する
Hardware or software, engineered to enable anattack or fail to meet design criteria to stop an
attack
27.1
攻撃が可能となるように設計された、または攻撃を停止するための設計基準を満たしていない
ハードウェアまたはソフトウェア

脅威と軽減策の解釈

暗号鍵が短く、長期間鍵の更新を行わないことで暗号技術が危殆化される脅威を想定して、ソフトウェアおよびハードウェア開発のベスト
プラクティスに従うものとする。
（例：十分な鍵長、推奨暗号方式の使用）

Combination of short encryption keys and long
period of validity enables attacker to breakencryption
26.1
暗号鍵が短く、長期間鍵の更新を行わないという状況の組み合わせにより、攻撃者は暗号を破ることができる

26.2

Mitigation

M23

機密性の高いシステムに対して不十分な暗号アルゴリズムを利用することで暗号技術が危殆化される脅威を想定して、ソフトウェアおよび
ハードウェア開発のベストプラクティスに従うものとする。
（例：推奨暗号方式の使用）

ソフトウェアおよびハードウェア開発のサイ 非推奨の暗号アルゴリズムを利用することで暗号技術が危殆化される
バーセキュリティベストプラクティスに従う 脅威を想定して、ソフトウェアおよびハードウェア開発のベストプラ
ものとする
クティスに従うものとする。

（例：推奨暗号方式の使用）
十分な保護または堅牢化されていないために、部品または供給品が危殆化されて車両が攻撃される脅威を想定して、ソフトウェアおよび
ハードウェア開発のベストプラクティスに従うものとする。
（例：CSMSに従った設計開発の実施、リスク評価に応じた対策の実装）

53

Annex 5
Table A1
reference

Threats to "Vehicle communication channels"

Ref

The presence of software bugs can be a basis for potential
exploitable vulnerabilities. This is particularly true if software has
not been tested to verify that known bad code/bugs is notpresent and reduce the risk of unknown bad code/bugs being
present
28.1

ソフトウェアバグの存在は、悪用可能な潜在的脆弱性の根拠になり得る。これはとりわけ、既知の悪いコード／バグが存在しないことを検証し、かつ未知の悪いコード／バグの存在のリスクを減らすた
めのテストを、ソフトウェアに対し実施していない場合に当てはまる。
Using remainders from development (e.g. debug ports, JTAG
ports, microprocessors, development certificates, developer
passwords, …) can permit an attacker to access ECUs or gain
higher privileges

28.2

開発の残り（例：デバッグポート、JTAGポート、マイクロプロセッ
サ、開発証明書、開発者パスワード・・・）を利用すると、ECUへのアクセスが可能となる、または、攻撃者がより高い特権を取得す M23
ることが可能となる。

Mitigation

ソフトウェアに対する不十分なテストの結果、ソフトウェアバ
グによる脆弱性の脅威を想定して、ソフトウェアおよびハード
ウェア開発のサイバーセキュリティベストプラクティスに従う
ものとする。
（例：・セキュアコーディング（CERT-C等）
・侵入テスト・脆弱性スキャン
Cybersecurity best practices for ・ファジングテスト
・既知の脆弱性を確認）
software and hardware
development shall be followed. 開発時の専用環境（デバッグポート、JTAGポート、マイクロプロセッサ、開発証明書、開発者パスワードなど）を利用した
Cybersecurity testing with
ECUアクセスや特権取得される脅威を想定して、ソフトウェア
adequate coverage
およびハードウェア開発のサイバーセキュリティベストプラク
ティスに従うものとする。
（例：開発用機能の無効化、アクセス制限）

Superfluous internet ports left open, providing access to network
systems
29.1
不要なインターネットポートが開放されており、ネットワークシス
テムへのアクセスが可能となる。
Circumvent network separation to gain control. Specific example
is the use of unprotected gateways, or access points (such astruck-trailer gateways), to circumvent protections and gain
access to other network segments to perform malicious acts,
such as sending arbitrary CAN bus messages
29.2 ネットワーク分離を回避し、制御を奪取する。
具体例は、任意のCANバスメッセージの送信などの悪意のある行為をするため、保護を回避して他のネットワークセグメントへのアクセスを取得するために、保護されていないゲートウェイまたはアクセスポイント（トラック-トレイラーゲートウェイなど）を使用することである。

脅威と軽減策の解釈

ソフトウェアおよびハードウェ
ア開発のサイバーセキュリティ
ベストプラクティスに従うものとする
適切なカバレッジのサイバーセ
キュリティテスト

ネットワーク設計の不備（不要なインターネットポート開放による、ネットワークシステムへの不正アクセス）による脅威を想定して、ソフトウェアおよびハードウェア開発のサイバーセ
キュリティベストプラクティスに従うものとする。
（例：メーカーの意図しないネットワークポート閉鎖）
ネットワーク設計の不備（ネットワーク分離の回避）による脅威を想定して、ソフトウェアおよびハードウェア開発のサイバーセキュリティベストプラクティスに従うものとする。また、システム設計およびシステム統合におけるサイバーセキュリ
ティベストプラクティスに従うものとする。
（例：メッセージ認証、GWフィルタリング、接続先に対するアクセス制御）54

Annex 5
7. 車両からのデータ損失/データ漏洩に関する軽減策
7. Mitigations for "Data loss / data breach from vehicle "Mitigations to the threats which are related to "Data loss / data breach from vehicle" are listed in Table B7.
車両からのデータ損失/データ漏洩に対する軽減策のリストを表7に示す

Table B7 Mitigations to the threats which are related to "Data loss / data breach from vehicle"
Table A1
reference

Threats to "Vehicle communication channels"

Ref

Information breach. Personal data may bebreached when the car changes user (e.g. issold or is used as hire vehicle with new hirers)

車両のユーザ変更（転売や、別ユーザの使用）によってパーソナル
データが漏えいする脅威を想定して、パーソナルデータの保管に関してデータの完全性と機密性を保護するベストプラクティスに従うものとする。
M24
パーソナルデータの保管に関してデータの完 （例：廃棄や車両所有者が変更された場合に、全性と機密性を保護するベストプラクティス ・プライバシーデータを消去する機能の実装に従うものとする
・それを実行する手順を明示した文書を作成し、ユーザー及びディーラー等の関係者に通達すること）

31.1 情報漏えい。車両のユーザ変更の際にパーソナルデータが漏えいする可能性がある（例：車両が販売されたり、もしくは新たな人に使用されたときなど）

Mitigation

脅威と軽減策の解釈

Best practices for the protection of data
integrity and confidentiality shall befollowed for storing personal data.

8. 攻撃を可能にするシステムの物理的な改ざんに関する軽減策
8. Mitigations for "Physical manipulation of systems to enable an attack"Mitigation to the threats which are related to "Physical manipulation of systems to enable an attack" are listed in Table B8.
攻撃を可能にするシステムの物理的な改ざんに対する軽減策のリストを表8に示す

Table B8 Mitigations to the threats which are related to "Physical manipulation of systems to enable an attack"
Table A1
reference

32.1

Threats to "Vehicle communication channels"
Manipulation of OEM hardware, e.g.
unauthorised hardware added to a vehicle toenable "man-in-the-middle" attack
電子ハードウェアの不正操作。例：中間者攻撃を可能にするために車両に不正な電子ハード
ウェアを追加するなど。

Ref

Mitigation
Measures to prevent and detect
unauthorized access shall be employed

M9

脅威と軽減策の解釈システムの物理的改ざん（車両に不正な機器取付、不正なハードウェ
アと交換、センサーが誤操作する改ざん）による脅威を想定して、不正アクセスを防止および検知するための措置を講じるものとする。

不正アクセスを防止および検知するための措置を講じるものとする

55

Part C. Mitigations to the threats outside of vehicles

パートC車外の脅威に対する軽減策

1. Mitigations for "Back-end servers"
Mitigations to the threats which are related to "Back-end servers" are listed in Table C1.

Annex 5
1. バックエンドサーバーに関する軽減策
バックエンドサーバーに対する軽減策のリストを表C1に示す

Table C1 Mitigations to the threats which are related to "Back-end servers
Table A1
reference Threats to "Vehicle communication channels"

1.1 & Abuse of privileges by staff (insider attack)3.1 スタッフによる特権の悪用（インサイダー攻撃）
Unauthorised internet access to the server(enabled for example by backdoors,
unpatched system software vulnerabilities,
SQL attacks or other means)

Ref

Mitigation

脅威と軽減策の解釈

スタッフによる特権の悪用に対して、
Security Controls are applied to back-end systems to
特権・ID管理（ロールベース、職務分離）、操作ログ収
minimise the risk of insider attack
M1 インサイダー攻撃のリスクを最小化するために、セキュリ
集管理により抑止を図る
ティコントロールをバックエンドシステムに適用するものとするSecurity Controls are applied to back-end systems tominimise unauthorised access. Example Security Controls
can be found in OWASP

1.2 &
M2
3.3 サーバーへの不正なインターネットアクセス
不正アクセスを最小化するために、セキュリティコントロー（例えば、バックドア、パッチが適用されていルをバックエンドシステムに適用するものとする。セキュリないシステムソフトウェアの脆弱性、SQL攻撃
ティコントロールの例は、OWASPを参照。
またはその他の手段によって可能となる）

サーバーへの不正なインターネットアクセスに対して、サーバの脆弱性対策、アプリケーション対策、通信制御を行う。
（例：公開脆弱性対策、通信制御、OWASP Top10の対策）

Unauthorised physical access to the server
Through system design and access control it should not be サーバーへの不正な物理的アクセスにたいして、(conducted by for example USB sticks or
possible for unauthorised personnel to access personal or システム設計およびアクセス制御による、個人またはシsystem critical data
ステムの重要データへのアクセス制限を行う
1.3 & other media connecting to the server)
M8
3.4 サーバーへの不正な物理的アクセス（例えば、システム設計およびアクセス制御によって、権限のない者がUSB、またはサーバーに接続する他の媒体に個人データまたはシステムの重要なデータにアクセスできなよって行われる）
いようにするものとする。
Security Controls are applied to back-end systems. Where バックエンドサーバーへの攻撃による機能停止に対して、
back-end servers are critical to the provision of services
バックエンドシステムのセキュリティ対策を行う。
there are recovery measures in case of system outage.
またシステム停止時の復旧手順を予め備えておく。
Example Security Controls can be found in OWASP（例：OWASP Top10対策、バックアップ・リストア手
M3 セキュリティコントロールをバックエンドシステムに適用す 順確立）
バックエンドサーバーへの攻撃による機能停止。
るものとする。バックエンドサーバーがサービス提供に不可
例えば、サーバーと車両との相互作用ならびに欠である場合、システム停止を想定した復旧手段を備えるも車両が依存しているサーバーによるサービスののとする。
提供が妨げられる。
56
セキュリティコントロールの例は、OWASPを参照。
Attack on back-end server stops it
functioning, for example it prevents it frominteracting with vehicles and providing
services they rely on
2.1

Annex 5
Table A1
reference

Threats to "Vehicle communication channels"

3.2

Loss of information in the cloud. Sensitive data
may be lost due to attacks or accidents whendata is stored by third-party cloud service
providers
クラウドにおける情報損失。取扱いに注意を要す
るデータがサードパーティクラウドサービス提供
者により保管されているときに攻撃または自己によりデータが損失される可能性がある。

3.5

Information breach by unintended sharing of data
(e.g. admin errors, storing data in servers ingarages)
意図的でないデータ共有による情報漏洩（例：管理者のエラー、ガレージにあるサーバーにデータ
を保管）

Ref

Mitigation

Security Controls are applied to minimise risks associated with クラウドにおける情報損失に対して、
cloud computing. Example Security Controls can be found in クラウド側で用意されているセキュリティ機能のOWASP and NCSC cloud computing guidance
利用および利用しているセキュリティ機能がアクM4 クラウドコンピューティングに関連するリスクを最小化するた ティブにされているか定期的に確認する
めに、セキュリティコントロールを適用するものとする。セキュリティコントロールの例は、OWASPおよびNCSCクラウド
コンピューティングガイダンスを参照。

M5

Security Controls are applied to back-end systems to prevent 意図的でないデータ共有による情報漏洩に対して、
data breaches. Example Security Controls can be found in
データの管理者のミスを防止する仕組みによる
OWASP
データの漏洩防止。

（例：システム設計での織込み、運用操作ルー

データ漏洩を防止するために、バックエンドシステムにセキュ ル）
リティコントロールを適用するものとする。セキュリティコン
トロールの例は、OWASPを参照。

2. Mitigations for "Unintended human actions"
Mitigations to the threats which are related to "Unintended human actions" are listed in Table C2.
Table C2 Mitigations to the threats which are related to "Unintended human actions"
Table A1
reference

Threats to "Vehicle communication channels"

Innocent victim (e.g. owner, operator or
maintenance engineer) is tricked into taking anaction to unintentionally load malware or enable
an attack
15.1
罪のない被害者（例：所有者、操作者またはメン
テナンス技術者）が騙されて、意図せずにマルウェアをロードする行動または攻撃を可能にする行動をとる。
Defined security procedures are not followed
15.2
定められたセキュリティ手順に従っていない。

脅威と軽減策の解釈

Ref

Mitigation

2. 意図しない人間の行動に関する軽減
意図しない人間の行動に対する軽減策のリストを表C2に示す
脅威と軽減策の解釈

Measures shall be implemented for defining and罪のない被害者（例：所有者、操作者またはメンテナ
controlling user roles and access privileges, based on the ンス技術者）が騙されて、意図せずにマルウェアを
principle of least access privilege
ロードする行動または攻撃を可能にする行動に対して、
M18

最小のアクセス権限の原則に基づいて、ユーザ役割と最小のアクセス権限の原則に基づいて、ユーザ役割とアク アクセス権限を定義および管理するための方策を実装
セス権限を定義および管理するための方策を実装するもの
するものとする。
とする（例：操作者の役割定義、アクセス権限管理）

Organizations shall ensure security procedures are
定められたセキュリティ手順違反に対して、
defined and followed including logging of actions and
組織は、セキュリティ手順が定義され、セキュリティ
access related to the management of the security
機能の管理に関連する行動およびアクセスのログを含
M19 functions
んで遵守されているものとする。
組織は、セキュリティ手順が定義され、セキュリティ機能（例：ログ管理）の管理に関連する行動およびアクセスのログを含んで遵守57されているものとする

Annex 5
3. Mitigations for "Physical loss of data"
Mitigations to the threats which are related to "Physical loss of data" are listed in Table C3.

modified

3. データの物理的な損失に関する軽減策
データの物理的な損失に対する軽減策のリストを表C3に示す

Table C3 Mitigations to the threats which are related to "Physical loss of data loss"
Table A1
reference

Threats to "Vehicle communication channels"
Damage caused by a third party. Sensitive data

TableA1に定義されていない脅威
may be lost or compromised due to physical30.1

damages in cases of traffic accident or theft

第三者によって引き起こされる損害。
交通事故や盗難の場合、物理的な損傷によって機密データが損失または危殆化される可能性がある。

Ref

Mitigation

脅威と軽減策の解釈

交通事故や盗難などの物理的な損傷によって機密データが損失または危殆化される脅威を想定して、パーソナル
データの保管に関してデータの完全性と機密性を保護するベストプラクティスに従うものとする。（例：リスク評価結果に応じた対策として、データ暗号化、アクセス
制御）
DRMが、車両の安全に影響を与える可能性がないと考えます。

Loss from DRM (digital right management)
conflicts. User data may be deleted due to DRM
issuesBest practices for the protection of data integrity and
30.2
DRM（デジタル著作権管理）コンフリクトによる M24 confidentiality shall be followed for storing personal
損失。DRMの問題によりユーザーデータが削除さ
data. Example Security Controls can be found in
れる可能性がある。
ISO/SC27/WG5The (integrity of) sensitive data may be lost due
パーソナルデータの保管に関してデータの完全性と機密 IT機器の故障に対して、
to IT components wear and tear, causing
性を保護するベストプラクティスに従うものとする。セ データが失われない対策を行う。
potential cascading issues (in case of key
キュリティコントロールの例は、ISO/SC27/WG5を参 （バックアップ、二重化）
alteration, for example)
照。
30.3
ITコンポーネントの摩耗や消耗により、機密デー
タ（の完全性）が失われ、潜在的なカスケードの問題を引き起こす可能性がある。（例えば、鍵を変更する場合）TableC3の取り扱い
TableC3については該当するTableA1（脅威）の項目が存在しないため、以下取り扱いとする。
OEMの全車両においてTableC3のMitigationを適用する必要性が無いと判断される場合、その内容を能力基準適合証明なお、審査において説明すること。
この説明がなされた場合、型式審査7.3.4.においてTableC3は考慮済みとして扱う。（型式審査時の説明は不要とする）
なお、本マニュアル発行時点で、既に能力基準適合証明審査を受審済みの場合は、別途国交省、審査部と相談して対応する。 58