ゼロデイ脅威は自動車にも及ぶのか？

00:00 自動車サイバーセキュリティ入門

本日の『The Garage 』では、AutoTech Detroit会場からVicOne社と共にライブ収録を行っています。VicOne社は、サイバーセキュリティ業界をリードするトレンドマイクロの自動車部門です。本日の自動車サイバーセキュリティに関するマスタークラスでは、自動車に対するサイバーセキュリティ脅威の性質や、SDV（ソフトウェア定義車両）がサイバー脅威の状況をどのように改善できるかについて話し合います。 また、VicOneとトレンドマイクロが、企業が自社製品や車両に対するゼロデイ脅威を発見できるよう支援するために活用している、極めてユニークなプログラムについても解説します。さらに、AI がサイバーセキュリティにおいていかに「諸刃の剣」であるかについても触れます。

さあ、行こう。

00:45 ゲストの紹介

The Garage へようこそ。私は、Sonatus の最高マーケティング責任者（CMO）のジョン・ハインラインです。現在、デトロイトで開催中のAutoTechから生中継でお送りしています。本日のゲストは、VicOneのウィリアム・ダルトンさんです。

ウィリーさん、the garage へようこそ。ここに来られて嬉しいです。お会いできて、そしてこのポッドキャストにご出演いただけて、本当に嬉しく思っています。まずは自己紹介をお願いします。

ご自身のことやこれまでの経歴についてお聞かせください。はい。私はウィリアム・ダルトンと申します。今週、AutoTechに参加でき、皆さんと話す機会を得られて、大変光栄です。

私の経歴は多岐にわたります。最初はエンジニア、つまりソフトウェアプログラマーとしてキャリアをスタートさせました。電子機器の受託製造業界で7年間、その仕事に携わりました。その間、製造管理システムを構築してきました。

そして2004年、トレンドマイクロにデータベース管理者として入社しました。そう、もう20年以上前のことですね。ええ、20年以上前です。

そして、ほぼ毎年、あるいは2年ごとに、何らかの形で役割を変えてきました。最初はエンジニアリング部門でキャリアをスタートさせ、その後テクニカルマネジメントに転じ、VicOneでは現在のCEOであるマックス・チェン氏と共に、いくつかのグローバルプロジェクトに携わりました。 そして、この20年間、2年ごとに、技術系から運営系、さらにはビジネス系の役割へと職務を変えてきました。そして2年半前、トレンドマイクロの子会社であるVicOneで、マックスと共に、自動車業界における課題解決に注力する機会を得ました。

それはいいですね。VicOneについては後ほど詳しくお話ししますが、まずはあなたに関する面白いエピソードを一つ教えてください。はい、もちろん。別に、そんなに面白い話じゃないんですけどね。

最近は多くの人がそうしていると思いますが、私も自分でビールを醸造しています。アイルランド出身の人にとっては、おそらく珍しいことではないでしょう。でも、私は自分のパブを経営していて、実際にアップサイクルもしています。ですから、何か捨ててしまうものがあるたびに、それを活用する方法を模索しています。そして長年にわたり、パブに飾るさまざまなアイテムを集めてきました。

あるものはベッドだったり、あるものは古びた家具の端切れだったりする。そして、それは……ある意味では、寄せ集めのようなものなんだ。それに、僕はよく友達を家に招いている。

その結果、ビールをより安く作る方法を見つけ、話題になるようなものを生み出し、その過程で実際に何かを学ぶ必要が出てきました。というわけで、私に関するちょっとした豆知識です。先ほどその写真を見せてくれましたね。アップサイクリングについて話しても、人々はなかなかイメージが湧かないようです。でも、もし写真を共有していただければ、エピソードに組み込んで、視聴者の皆さんに実際に見ていただけるようにします。

これは、見事な木工技術が光る、誰もが羨むような美しい空間ですね。この面白いエピソードの由来については、今年の初めにもお話ししましたが、改めて紹介させてください。何年も前にアメリカのオレゴン州で働いていた頃、ビールの醸造を覚えたんです。それから数年間、自家醸造を楽しんでいました。科学的な要素も少しあるから、すごく楽しいんですよね。そうでしょう？

間違いがたくさんあるね。うん、本当にたくさんあるよ。醸造と蒸留（ほとんど的地方では違法だけど）の違いで良い点は、醸造なら命を落とすことはないってことだね。

ただまずいだけだよ。まずいよ。うん。蒸留って、もし間違えたら命を落とすこともあるし……僕の友達はまだ生きてるけど。

その通りです。でも、彼らには厳しい練習が何度かありました。

素晴らしい。素晴らしい。

03:49 VicOneの背景

いいですね。それでは、VicOneについて、その創業の経緯や、どのようなことに注力しているのか教えてください。

つまり、VicOneは2022年5月に設立されましたが、その背景には、トレンドマイクロが自動車分野で行ってきた長年にわたる研究があります。 そして、2017年にこの調査を開始した際の知見の一つとして、特にSDVの登場、電動化、規制の変更に伴い、自動車分野におけるサイバーセキュリティの課題を解決する方法は、エンタープライズ分野とは大きく異なるということに気づいたのです。そうですね。 そこで同社は、この分野に投資し、独自のスピードで運営され、顧客との関わり方も異なり、実際に異なる製品群を提供する独立した会社を設立するという、意識的な決断を下しました。

そこで私たちは、さまざまな顧客プロファイルを対象に、実証実験（PoC）や価値実証（PoV）を行いながら、本格的な市場分析を一連として実施し、自動車業界向けに実際に活用可能な一連のソリューションを構築しました。そして2022年5月にそれをリリースしました。その間、顧客のニーズに合わせた製品の変更や改良を通じて、驚異的な成長を遂げることができました。というのも、この取り組みには常に共同設計の要素が組み込まれているからです。

もちろんです。それが車両に組み込まれているか、車外にあるか、あるいはプロセスや当社の運用慣行、あるいはお客様の規制上の要件や要件と統合されているかなど、状況は様々です。そのため、一般的には非常にきめ細やかなアプローチをとっています。また、これらの製品を市場に投入する過程で、数多くのパートナーシップを築いてきました。

SDV分野から、オンボードシステム、オフボードシステムに至るまで、あらゆる分野を網羅しているだけでなく、顧客のニーズに応じて幅広い機能を提供するソリューションやソリューションプロバイダーも含まれています。ですから、これまで本当に楽しく、そして目まぐるしい日々でした。そうですね。顧客の課題を理解し、それを解決していくという、これまでの道のりは非常に興味深いものでした。

それは素晴らしいですね。

05:42 ソフトウェア定義型車両への移行

そうなんです。このポッドキャストでは、SDVや車載ソフトウェアについてよく話題にしています。顧客や業界関係者と話をしていると、SDVへの移行に対して、ある意味で躊躇が見られることがあります。ソフトウェアが増えることで、攻撃対象領域が拡大してしまうのではないかと懸念しているのです。その懸念は確かに一理あると思います。

SDVへの移行やサイバーセキュリティについて、どのようにお考えですか？これはいずれにせよ起こる流れです。エンタープライズ分野でも、すでにその兆しが見られています。ソフトウェア定義ネットワーク（SDN）、ソフトウェア定義WAN（SD-WAN）、ソフトウェア定義データセンター（SDDC）、ソフトウェア定義ストレージ（SDS）といった事例がすでに存在しています。

あらゆるものがソフトウェア定義化されつつあります。ソフトウェアがあらゆるものを飲み込んでいるのです。その理由は、言うまでもなく、ソフトウェアのデリバリーサイクルやデリバリーメカニズム、更新頻度、そして製品の安全性を維持したり、機能を追加したり、合理的なコスト構造を実現したりするための反復プロセスにおいて、莫大な効率化がもたらされるからです。したがって、ユースケースとしては非常に一時的なものです。

そうですよね？ つまり、その時点で何が必要かによって、その要件を維持したり満たしたりするために必要なリソースを活用するわけです。ですから、多くの点でコスト効率が格段に良くなります。ですから、これは実現するでしょう。

つまり、現在電気自動車に求められているのは、変更に対応するための定期的なソフトウェア更新です。そして実際、このアーキテクチャの変更により、車両が生産を終えた後でも、実際に新しい変更を車両に反映させることが可能になります。そのためには、従来のソフトウェア提供方法、あるいはソフトウェアとハードウェアの結合が強く行われていた方法からの根本的な転換が必要となります。 この場合、実際には独立して動作している多くのソフトウェアを抽象化し、さらにハードウェアへの抽象化レイヤーを設けることになります。

つまり、自動車メーカーだけでなく消費者にももたらされるメリットは計り知れないほど大きく、これがまさに消費者が求めるものとなるでしょう。したがって、この動きは消費者が牽引することになるのです。アップデートが可能だという点については、あなたが指摘した通り非常に興味深いですね。というのも、最も有名な車両ハッキング事例のいくつか、例えばジープ・チェロキーのハッキングなど、多くの人が耳にしたことがあるでしょう。これらはソフトウェア定義車両ではありません。

それらは従来の自動車です。だから、「やばい。ソフトウェア定義の自動車を作ったら、ハッキングされちゃうじゃないか」と思うかもしれません。まあ、従来の自動車だってハッキングされる可能性はありますが、ソフトウェア定義ではない自動車の不具合を修正するのは、はるかに大変なんです。

ソフトウェア定義車両（SDV）であれば、改善を加えることができます。パッチを適用することも可能です。また、こうした脅威に対して、はるかに迅速に対応することができます。したがって、SDVについては、攻撃対象領域が拡大する可能性はあるものの、攻撃に対してより迅速に対応する能力も高まっているという点で、一部の人々の認識は誤解であると思います。

それは御社が取り組んでいることの一つですね。

その通りです。

08:08 ソフトウェア定義車両におけるサイバーセキュリティ

ええ。つまり、CESでパートナー企業と共同で実証実験を行い、実際に遠隔で…フラッシュメモリのアップデートに成功したんです。

その車……そして実際、リスクを軽減することにもつながります。ですから、これは、これは現実のことなんです。そして、あなたの指摘に戻ると、従来の車両に対する攻撃、つまり私たちが目にしている攻撃は、エンタープライズ分野で見られるものと同じ種類の攻撃なんです。

これらは同じ種類の脆弱性です。私たちが目にする問題も同じ種類のものなのです。つまり、それらは依然として、チップレベルの問題であり、ソフトウェアレベルの問題でもあるのです。

つまり、システムにパッチが適用されていないだけでなく、アクセス管理も適切に行われていないのです。ですから、これは企業分野で見られるのと同じような問題であり、実は自動車分野でも同様の問題が見られます。そして、それがソフトウェア定義型であろうと従来型であろうと、その点は変わりません。わかりました。

わかった。

08:59 サイバーセキュリティソリューションの導入

では、ソリューションを展開する際、それらはクラウド上、車載システム、あるいはその両方に展開されるのでしょうか？その点について教えてください。つまり、あらゆる場面で展開されるということですね。

そこで、オンボードとオフボードの両方を行っています。 そして、これは本当に必要だと考えています。なぜなら、オフボード処理のみを行っている場合、車両がクラウドから切り離された時点で――これは攻撃の際、攻撃者が行う手順の一つとして確実に発生することですが――制御を失ってしまうからです。一方、ソリューションを車両に組み込むことで、一定レベルの制御を維持し、そうした攻撃を軽減することが可能になります。そこで、当社のIDSソリューションを導入することになります。

私たちはそれを「xCarbon」と呼んでいます。IDSとは侵入検知システムのことです。侵入検知。正確にはIDPSですね。いいですね。侵入検知と防止の仕組みです。

いいですね。つまり、私たちはTrendから技術を持ち込んだわけです。先ほど、Trendから参入した際にお話ししたポイントの一つに、私たちが持ち込んだ3つの明確な要素、すなわちIP、人材、そして戦略的な財務的自立性がありました。そのIPの一部がIDPS技術であり、これは長年にわたり企業のデータセンターで稼働し続けています。

そして、これはまさにワイヤーフレーム、インライン保護、すべてのパケットに対するディープパケットインスペクションであり、業界最大手の多国籍企業や自動車メーカーのデータセンター向けに、すべてのパケットを検査するものです。 データセンターにおいて、当社のIDPS技術を採用している自動車メーカーは、トップ10のうち8社に達していると思います。この技術は長年にわたり稼働しており、その一部を車両にも応用してきました。したがって、ネットワーク層やCAN層で対応したい場合でも、ホストレベルを確認したい場合でも、車両内で発生するあらゆる種類の攻撃を実際に把握することが可能です。

つまり、異常な挙動を分析し、車両内で発生しているさまざまなシグナルを調査して、脅威アクターによって適用されたさまざまなTTP（ツール、手法、慣行）を特定すれば、実際に車両内でそれらを軽減し、阻止することができます。したがって、車両内での判断が妥当な場合もあれば、車外での判断が妥当な場合もあります。 つまり、複数の車両に対する攻撃というマクロな状況を把握したい場合、単一の車両だけではそれができません。そうですね。

つまり、この2つを組み合わせる必要があるわけです。そして、先ほど申し上げたように、当社には車載型の侵入検知メカニズムがあり、それらを報告して車外へ送信します。また、IDPSも備えており、実際に車内でそれらの判断を行うことも可能です。 さらに、ソフトウェアのテストや検証プロセスをすべて経る必要なく、車両にルールセットやパッチを適用する機能も備えています。

実際には、本番の前にその問題を緩和することも可能です。いわば「応急処置」のような解決策です。つまり、テストや検証のプロセスを完了させるのに十分な時間を確保するために、応急処置を講じるわけです。そうですね。暫定的な緩和策ですね。

その通りです。そして、車外側の処理についてですが、やはりマクロレベルの意思決定を行う必要がある場合は、通常、当社の車両用SOCである「xNexus」で行われます。これは、ご存知の通り、車両からのテレメトリデータを受け取ります。あらゆる種類の信号を受け取ることは可能ですが、通常、私たちは必要な情報のみを送信するようにしています。

つまり、現在OEM各社が直面している課題の一つは、膨大な情報をオフボードに送信するという戦いを強いられていることです。これは多額のコストがかかります。なぜなら、基本的にすべてのデータを送信し、オフボードシステムでAI モデリングを用いてノイズを解析しなければならないからです。一方、当社ではその処理をオンボードで行っています。そうです。そして実際には、関連するデータのみをオフボードに送信しているのです。

これにより、コストが削減され、実際にそれらを扱うアナリストの作業時間も短縮されます。さらに、これに当社の脅威分析能力を組み合わせることで、脅威情勢に関する豊富な実績を活かし、それをソリューションにも組み込んでいます。つまり、脅威情報を重ね合わせて分析するわけです。要するに、実環境で実際に発生している事象を把握するということです。

一部の脅威アクターは悪意のある行為を行っています。そこで、当社はそれらを車両データや脆弱性管理システムからの情報と照合・統合します。つまり、サプライチェーンを分析する際、資産とは車両のアーキテクチャを指します。その後、脅威と資産、そして車両から得られる情報を相互に関連付けることで、全体像を包括的に把握することができるのです。

そうすれば、そうした状況から守るための適切な仕組みを整えることができます。その情報をVSOCのアナリストに提供すると、アナリストはそれをまとめてPSIRTチームに引き継ぎ、PSIRTチームが基本的にその問題を軽減し、実際に長期的な修正策を講じることになります。 これが、基本的に私たちの取り組み方です。ちなみに、VSOCとは「車両セキュリティオペレーションセンター」のことで、通常はOEMによって運営されています。ええ。

脅威を監視している人ですね。ええ。それは「車両SOC」とも呼べますし、「製品SOC」と呼ぶこともできます。うん。ですから、組織内のどの部門に属するかによって、IT部門寄りの場合は、通常「VSOC」と呼ばれます。

製品セキュリティの側面であれば、いわば製品セキュリティ運用センターのようなものでした。あるいは、クロス検知・対応システムと呼ぶこともできますね。そうです。基本的には、さまざまなシステムからの情報を収集し、それをOEM内の運用体制と統合する仕組みです。それは素晴らしいですね。

これはまるでサイバーセキュリティのマスタークラスみたいですね。素晴らしい。このあたりで切り上げましょう。また、EVSE保護のためのソリューションもご用意しています。

つまり、車両の充電については、それがもう一つの攻撃経路であることはわかっています。無線経由であれ、充電側経由であれ、クラウドのバックエンド経由であれ、API層経由であれ、IVIシステム経由であれ、あるいは車両本体上であれ、攻撃対象領域は爆発的に拡大しています。さらに、多くの新しい技術も導入されつつありますよね？

つまり、SDVやそこで行われている抽象化について話しているわけですね。ゾーンコントローラーのドメインコントローラーに対して統合アーキテクチャを採用することで、ワークロードの抽象化と分離が実現されます。そうですよね。そこで、ハイパーバイザーやコンテナセキュリティといった要素が導入されるわけですが、これらにはすべて、さらなる課題も伴います。

そこで、私がこれまで述べてきた、車両のセキュリティに関する従来の課題がここで浮上してくるわけです。そして、まさにそこに「パーフェクト・ストーム」が生じるのです。ハードウェアや組み込みソフトウェアといった従来の要素に加え、SDV（ソフトウェア定義車両）や、それを実現するために必要な技術が絡み合っているのです。これは、誰かが活用するのに絶好の機会と言えるでしょう。

14:55 サイバーセキュリティソリューションの統合

先ほど、ソリューションの実行環境について、クラウドで実行する場合もあれば、車載環境で実行する場合もあるとおっしゃっていましたね。ここで、車載環境について少しお伺いしたいのですが、どのようなリソースを……車載環境のどこで実行しているのでしょうか？どのようなリソースを使用しているのでしょうか？そこで、OEMであれティア1であれ、どこで実行するのが最適かについて、設計段階での協議を行うことになります。

つまり、実際にはアーキテクチャ次第です。アーキテクチャにはさまざまな種類があります。一般的に、TCUに搭載されているものや、ADASシステム、あるいはIVI分野に搭載されているものなどが見られます。

そこで、ベンダーと協力して、その実現に向けた最適な方法を模索することになります。通常、これにはかなりの時間がかかりますが、当社はすでに主要なチップメーカー数社と、事前統合に向けた多くの提携関係を築いています。例えば、NXPの場合、同社の「GoldBox」ソリューションとの統合を実現しています。

そして、基本的に、これによりティア1サプライヤーやOEM各社が、ハードウェアアクセラレーション機能の一部を導入・活用するまでの市場投入期間を短縮することができます。場合によっては、統合作業の負担を実際に軽減できることもあります。通常、当社にとってはこれは非常に迅速なプロセスです。例えば、新しいアーキテクチャや新しいチップメーカー、あるいはSoCを導入したい場合でも、2～3週間で対応を完了させることができます。

これは本当に素晴らしいプロセスです。そして、当然のことながら、彼らと協力する場合、統合プロセスには少し時間がかかりますが、その検証は本当に、本当に迅速に行われます。ええ、そう、それが私たちがOEMや組み込み分野の企業と協力するやり方です。それから、質問の一部を聞き逃してしまいましたが……

問題はリソースですね。ああ、そうですね。わかりました。当社の環境負荷は非常に低いんです。これは、この分野の他の競合他社との差別化を図る上で、当社独自の強みの一つとなっています。

そのワークロードを実行するために、実際には必要最小限のリソースしか使用しておらず、それによってそのアプリケーション上で実行することが可能です。しかし、チップのハードウェア機能の一部と統合することも可能です。そこで、再びNXPを例に挙げましょう。仮に、NXPがNPUを搭載しているとしましょう（実際、搭載しています）。

また、例えばパケット検査などをワイヤースピードで実行したい場合、その内部のメモリ領域の一部を活用して、高速で処理を行うことが可能です。これには、一部の方には懸念があるかもしれませんが。 つまり、特定の要件に応じてハードウェアの機能の一部を活用する能力は備わっているのです。しかし、先ほども述べたように、これはすべて個々のユースケースや、実際にそのサービスのセキュリティチームが定めるセキュリティ要件次第です。これが重要なポイントです。

また、Sonatus も同様の取り組みを行っています。例えば、当社はNXPと提携しており、同社との共同生産を行っています。また、パケットアクセラレーションやパケット転送アクセラレーションといった特定の機能を活用しており、どのチップベンダーやECUを使用しているかにかかわらず、そのリソースを活用することは非常に賢明な選択です。そこで、私たちは

昨日話していたんだけど、君、君……

17:36 Pwn2Own

御社とトレンドマイクロの間で、企業が自社製品に含まれるゼロデイ脅威を特定できるよう支援する、この素晴らしいプログラムがあります。

このプログラムについて教えてください。本当に素晴らしいですね。ええ。すごい話ですよ。「Pwn2Own」というイベントで、私たちはこの2年間、自動車業界初のPwn2Own専門イベントを主催してきました。

そして、このイベントはここ2年間、毎年1月に日本と東京で成功裏に開催されています。自動車業界にとっては、実に大きな成果を上げています。そこで、Pwn2Ownそのものについて、少しその経緯を説明させていただきます。要するに、これは世界トップクラスの倫理的ハッカーたちに報奨金を支給するバウンティプログラムなのです。

ホワイトハットハッカー。そう。そう。善玉たちだね。そう。そして、基本的には、ゼロデイ脆弱性を発見する競争をするんだ。

18:23 ゼロデイ脆弱性の理解

ゲストの方のために、ゼロデイ脅威とは何かを説明していただけますか。ゼロデイ脆弱性とは、パッチを当てるまでの時間が「ゼロ」であることを表す脆弱性のことです。これらはこれまでに確認されたことがないため、今すぐ対処する必要があります。そうですね。つまり、これらはこれまでに特定されていなかった、新たな脅威や新たな弱点、つまり脆弱性なのです。

そして、それはベンダー側であれ、一般のユーザー側であれ、いずれにせよ当てはまります。その「ゼロからの時間」、つまりゼロデイが存在する限り、それらは悪用される可能性があります。そして、その時間を可能な限り短縮し、パッチを適用してリスクを可能な限り軽減することは、誰にとっても利益となることです。これが「ゼロデイ」という用語の意味です。

つまり、私たちは「Pwn2Own」イベントの主催者というわけではありません。ZDI（Zero Day Initiative）という団体は、一般的にエクスプロイトを購入するバグ報奨金プログラムを運営しています。しかし、「Pwn2Own」イベントは、ゼロデイエクスプロイトを特定することを目的としています。私たちは2007年から、このイベントを成功裏に開催し続けていると思います。 つまり、トレンドマイクロでは長年にわたりこの取り組みを行ってきており、最近では「Pwn2Own Automotive」向けにVicOneと共同で実施しています。

そして、先ほども申し上げた通り、これはまさに最高峰の成果です。例を挙げると、昨年はわずか3日間で49件のゼロデイ脆弱性が特定されました。これを業界全体と比較してみると、自動車業界全体で1年間に特定されたゼロデイ脆弱性は38件にとどまっています。 意欲が高く、高度なスキルを持ち、十分なインセンティブを与えられた人材が、管理された環境下でわずか3日間でこれほど多くの脆弱性を特定できたという事実から、いくつかのことが推測できます。

第一に、この分野には「手近な成果」となるものが数多く存在します。実際、結果からも明らかなように、私たちが確認しているリスクやこれまでに利用されてきた攻撃手法は、非常に伝統的なタイプのものです。

20:14 Pwn2Own コンテストへの取り組み

2つ目は、ある種の警鐘となる点ですが、いずれ、2つのことが同時に起こり、業界に劇的な変化が訪れるでしょう。第一に、悪意のある者が悪用するための技術的な参入障壁が低くなるということです。そして、ある意味では、すでにその兆しが見え始めています。

しかし、おそらくもっと説得力があるのは、彼らが収益化の機会を見出したとき、そこでこそ状況が一変するという点でしょう。いいですか？ では、もう一度、話を少し「Pwn2Own」に戻しましょう。ポイント1の目的は、第一に、私たちがベンダーと提携することです。

つまり、ベンダーというのは、例えばテスラが前回の「Pwn2Own Automotive」のメインスポンサーだったように、ハッカーたちに実際に攻撃の標的として狙うための車両を丸ごと提供してくれるんです。ちなみに、攻撃に成功すれば、その車をそのまま持ち帰ることができます。

うん。その話、詳しく聞かせて。すごく興味深いね。うん。だって、まあ、まず第一に、改造された車の転売価値って、あまり高くないから。

そうですよね？ だから、彼らに車両を提供するのは理にかなっていると思いますが、そうすることで彼らにやる気を起こさせる良い動機付けにもなります。それに、EVSEのサプライヤーの中には、テスト用に部品を送ってくれるところもあります。ただ、ソリューションのほとんどはパブリックドメインで入手可能です。

そこで彼らはハッキングを試みる。そして、実際に見てみると、こうしたグループの多くは互いに競い合っていることがわかる。そうだろう？　中には、土壇場まで弱点を見つけ出そうと試み、ベンダーがその前の週にパッチを当てないことを願っている者さえいる。そうすれば、イベント当日に実際に攻撃を実行できるからだ。

彼らは、誰が先に行うかを決めるために抽選制度を導入しています。そして、攻撃がどのように機能するかを実演するためにスクリプトを実行します。その内容は、私たちやベンダーによって検証されます。そして、成功すれば、賞金を受け取ることができます。

そして、参加者はポイントを獲得します。優勝者は「Pwn2Ownのマスター」と呼ばれることになります。ですから、この大会は本当に、本当に熾烈な戦いとなります。賞金は、状況に応じて80万から150万以上まで幅広く用意されています。これは紛れもない本物の賞金です！

はい。本当に、つまり、彼らはまさに精鋭中の精鋭です。他の誰にも見つけられない脆弱性を発見できる人たちです。本当に、本当に高度なスキルを持つ人たちです。

また、参加するのはグループの場合もあれば、個人の場合もあります。ですから、この大会には非常に有名なグループが数多く出場しています。これは一種のサーキットのようなものですが、Pwn2Ownはそのサーキットにおける「聖杯」のような存在です。さて、私たちがやっていることは、脆弱性を特定したら、その理由、つまりなぜこれを行うのかということです。

そうですよね？ つまり、報奨金は実際にベンダーと私たちから支払われるわけです。それで、それを折半するんです。そして、その知的財産権は私たちが取得することになります。

そこで、使用された攻撃手法（TTP）や、エクスプロイトの手口を把握し、そこから導き出されたさまざまな要素を自社製品に組み込み、顧客を保護できるようにします。その後、ベンダーと連携して情報開示のプロセスを進めます。その目的は、責任ある開示を行うことにあります。私たちは長年にわたり、エンタープライズ分野でこの取り組みを成功させてきており、これは広く知られた慣行として、あらゆる関係者に採用されています。

そうですね。

23:10 自動車の脆弱性に関する情報開示

また、通常は90日前の通知となります。自動車業界における課題は、情報開示に関して安全面での考慮事項が他とは大きく異なる点にあります。さらに、情報開示の仕組みも非常に複雑です。

さて、安全性の面については、皆さんご理解いただけていると思います。ご存知のように、悪意のある者が、安全性や人命に関わる車両を悪用する可能性があるという問題があります。また、複雑さの面では、OEM向けの供給体制には非常に多くの階層が存在します。最終的にはOEMが責任を負いますが、ティア1サプライヤーやティア2サプライヤーなどが存在し、ライフサイクルも長いのです。

これらの車両の中には、場合によっては20年、25年もの間、道路を走っているものもあります。そして、このハードウェアやソフトウェアのコンポーネントを開発したエンジニアリングチームは、今も活動しているのでしょうか？ 彼らは今もソースコードを扱って共同作業を行っているのでしょうか？ パッチをリリースする能力はあるのでしょうか？ 運用面やコストの観点から、これはどのような意味を持つのでしょうか？

彼らは、既存の業務を抱えながら、どれくらいのスピードでそれを実行したり、優先順位をつけたりできるのでしょうか？その影響や補償はどうなるのでしょうか？わかりますよね？つまり、彼らが考慮しなければならない、こうした運用上の課題やリスク、法的リスク、保険上のリスクなどが山ほどあるわけです。

つまり、これは簡単に解決できるような状況ではないため、OEMやサプライヤーと緊密に連携し、彼らがそのリスクを実際に軽減するための仕組みを特定した上で、それを公表する必要があります。

24:46 他の業界におけるサイバーセキュリティ上の脅威

トレンドマイクロ在籍時……というのも、最近VicOneに移るまで長年にわたりトレンドマイクロに在籍されていたわけですが、そこで他の業界に関するいくつかの事例を私たちに話してくださいましたね。サイバーセキュリティ上の脅威が他の業種にどのような影響を及ぼし得るかについて、実に恐ろしい話もいくつかありました。それらの事例をいくつか紹介していただけますか？

そうですね。では、事例の話に入る前に、自動車業界において特に考慮すべき点の一つとして、「決定論的な情報開示」が挙げられると思います。私がコーディネーターや情報開示に関する課題について話す際、それはある意味で決定論的な性質を持っています。というのも、OEMやティア1サプライヤーがペネトレーションテストを実施しなければならないことは周知の事実ですし、彼らには独自のバグ報奨金プログラムもあるからです。

彼らには、アーキテクチャやソフトウェア、そしてコンポーネント自体におけるリスクを特定するための独自の方法や手段があるかもしれません。しかし、その開示を行うタイミングについては、彼らのスケジュールに委ねられているわけですよね？ さて、先ほど私は2つの転換点について話しました。

技術的な参入障壁が低くなり、収益化が容易になるのはいつでしょうか？ それが実現すれば――そして、いずれ必ず実現するでしょう――ある時点で、事態はもはや決定論的なものではなくなると思います。そうなれば、今日の世界ですらすでに困難な、極めて複雑な状況下で、極めて迅速に反応し、意思決定を行わなければなりません。しかも、時間的プレッシャーや世間の厳しい視線がのしかかる中で、それを成し遂げなければならないのです。

そうですよね？ それで、状況が一変したわけです。さて、ご質問に戻りますが、私は実際に多くの人々を見てきました。アイルランドは小さな国ですが、CISO（最高情報セキュリティ責任者）を務める友人もたくさんいて、さまざまな状況を知っています。個人も企業も、常にハッキングの被害に遭っているんです。うん。

そのほとんどは公表されていません。CISOを務める友人が私に電話をかけてきて、「困ったことになった」と言った具体的な会話が3件、記憶に残っています。ある事例では、ある人物が文字通り入社して数週間しか経っていないのに、その組織の業務が世界中ですべて停止してしまいました。別の事例では、医療機関が影響を受けました。

つまり、そういう事態が起きたとき、それがCISOとしてのあなたの成否を分けることになるでしょう。確かに。それは一生忘れられない経験になるはずです。極めて短い時間の中で、極度のプレッシャーのもと、数多くの質の高い判断を下さなければならないのです。

そして、多くの場合、どれほど多くの仕事をこなそうとも、どれほど多くの机上演習を行おうとも、どれほど多くのリハーサルを準備しようとも、この種の事態には実際には備えきれないものです。それに、この事態に対処するために彼らが抱える個人的なストレスもあります。わかりますか？ 公的機関であれば、公的な責務も負わなければなりませんからね。

つまり、外部の第三者が介入してきて、何か提案をしてくる状況に直面しているわけです。例えば、取締役会が誰かを推薦して、何が起きたのかを解明し、答えを出そうとするかもしれません。誰もが定期的に進捗報告を求めてきます。そして、この問題を解明しようと奮闘する自社のチームは、ストレスを抱え、燃え尽きてしまうでしょう。まさに悪夢のような状況です。

私もそれを身をもって経験しました。ですから、これはあまり頻繁に経験したいことではありません。CISOなら誰でも、人生で少なくとも一度は経験することになると思いますが、決して心地よい状況ではありませんね。そうですね。

そうなると、人々は消極的になりがちで、「ああ、やばい。車にソフトウェアを搭載すべきじゃないし、こんなことすべきじゃない」なんて思ってしまうんです。でも実際には、解決策はあります。こうした問題を解決するためのベストプラクティスが、エンタープライズITの世界には存在するのです。

技術はますます進歩しています。トレンドマイクロはその最先端を走り続けています。そこで、自動車業界について考えてみると、こうした取り組みを自動車業界にどのように取り入れるべきか、業界に対して具体的にどのような提言をされますか？はい。

つまり、こうした要求は、いずれにせよ実現することになるでしょう。つまり、問題は、セキュリティの観点からこれを行うべきかどうか、ということです。行うべきです。なぜなら、経済的メリット、商業的メリット、市場投入までの時間の短縮、運用上のメリットといった利点が、リスクを上回っているからです。問題は、そのリスクをどのように管理するかということです。

また、ソフトウェア定義型ソリューションがエンタープライズ分野に浸透する中で、こうした課題がうまく管理されている例も見てきました。こうしたリスクを軽減し、先手を打つ方法は存在します。 つまり、予防的なセキュリティ対策に注力すればするほど、起こりうるシナリオの把握、設計段階からのセキュリティ組み込み、インシデントに対処するための強固な運用メカニズムの構築に投資することになります。さらに、攻撃のライフサイクル全体を通じて、その全過程においてどのような緩和策を講じるかについても検討する必要があります。そして、これらすべての領域で万全の対策を講じていることを確認することが重要です。

「ソフトウェア定義車両」も例外ではありません。これは、セキュリティを確保するためのもう一つの手段に過ぎません。ですから、私のアドバイスは、その導入に関する戦略を変える必要はないということです。ただ、適切にセキュリティ対策を講じるようにしてください。

そうですね。

29:45 車両サイバーセキュリティにおけるAI の役割

でも、ご存知の通り、昨今大きな話題となっているのが人工知能です。もちろん、世界中のさまざまな分野で普及が進んでいますが、自動車分野でも同様です。サイバーセキュリティの観点から、自動車におけるAI のメリットとデメリットについて教えてください。

そこで、この話を「Pwn2Own」イベントに結びつけてみたいと思います。そうでしょう？ 最近、今年のPwn2Ownの王者となったSinaが登場しました。彼は個人で出場しており、Synacktivのようなチームや、他にも多くのグループと競い合っています。これらのグループには、脆弱性を特定しようと奮闘している、非常に高いスキルと実力を持つメンバーが多数所属しています。

そこで私は、AI について彼に質問を投げかけました。彼は、AI の専門家ではないと前置きしつつ、次のように答えました。「私は、反復的な作業や、時間がなくて手が回らないけれど、これらすべての攻撃や状況を実際に把握するためにどうしてもこなさなければならないような作業をオフロードするのに役立つ、AI モデルを開発しています。」 そして彼は、ホワイトハットハッカー——ホワイトハットハッカー——であり、AI を使ってホワイトハットハッキングにおける生産性を高めていると語りました。まさにその通りです。

そして、そうやって彼は組織と対抗できるのです。そこで私が考えたのは、「この男は、いわゆる倫理的ハッキングを行っている人物だ。もし彼が悪意のある人物だったらどうだろう？」ということでした。そうなれば、彼らはAI を活用して、自分たちの企てをさらに成功させることもできるでしょう。

つまり、それが一方の側面ですね。そうですよね？ しかし一方で、AI を活用した保護機能も確認できます。つまり、さまざまなモデルを用いて行動パターンを特定したり、異常検知モデルを活用したりといった点です。フィルタリングや、車両から発生するさまざまなイベントについても、その活用例が見て取れます。

相関関係や、観察されるさまざまな行動パターンに関して、そのことがわかります。先ほど「オンボード」や「オフボード」について話しましたが、異なるシステムからのデータについても同様です。それらを単に孤立したデータ群として見るのではなく、全体として捉え、各システムにまたがるさまざまな活動を確認したい場合もあるでしょう。こうしたさまざまな分析において、人間だけでは到底処理しきれない作業を、「AI 」を活用することで効率化することができます。

わかる？ 車両本体から走行記録を読み取るってこと。わかる？ 従来のルールセットだけにとどまらず、そこから先へ進むためには、別の方法が必要になるんだ。

わかりますか？ つまり、AI といったサイトが必要になるわけです。攻撃側にはAI が使われるのは明らかですが、防御側にはAI を使うこともできます。問題は、この競争で誰が勝つのか、そして誰が最も迅速に適応できるのか、ということです。

32:13 まとめと今後の展望

AI がサイバーセキュリティにおいて「諸刃の剣」であるという点について、実に興味深い視点ですね。

ウィリー、本当に素晴らしいお話しでした。とても幅広い話題に触れられましたね。本当に多くのことを学びました。お越しいただき、ありがとうございました。

そして、皆様とご一緒できることを大変嬉しく思っています。Sonatus を通じて、今後もさらに皆様と協力できることを楽しみにしております。また、本番組にご出演いただき、ありがとうございました。本当にありがとうございます。今日のエピソードを気に入っていただけましたら、ぜひ「いいね！」とチャンネル登録をして、このようなエピソードをもっとご覧ください。

また、YouTubeや「Sonatus 」のウェブサイト、Apple Podcasts、Spotifyでも当番組をご覧いただけます。『The Garage 』の次回エピソードで、またお会いできるのを楽しみにしています。