そっとCSMS支援サービスを眺めてみる -KPMG社のフレームワーク-

さて前回はオリンパス社におけるPSIRT構築事例を見てきました。とりわけ、グローバルでの体制構築の難しさについて言及してみました。

他にも何か調査に値する事例は無いかなあと探していたところですが、やはりまだまだ実績みたいなものはなかなか無いようで、今回はWP29で検討されているCSMSに関する民間サービスを見ていく中で、より一層の理解を深めてみたいと思います。尚、CSMSの概観については下記から順に目を通していただければと思います。

そんなわけで今回取り上げるのは、KPMG社の「車両サイバーセキュリティ管理システム（CSMS）構築支援サービス」です。

https://home.kpmg/jp/ja/home/services/advisory/risk-consulting/cyber-security/cyber-strategy/auto-csms.html

KPMG社さんはいわゆる総合コンサルティングファームという業態かと思います。最近はコンサルティングと言っても、昔のように経営改革の施策を提言する!!みたいなことよりも、DXみたいな名目でITソリューションを提供するのが主だった業務だと聞いてますが、実態はどうなんでしょうか。

さて上記図は「KPMGおよびESCRYPTのW.29対応フレームワーク」という彼らの提案するCSMS/SUMS構築に向けたアプローチとなっているようです。ESCRYPT社というドイツの会社と提携をしているようです。図の1つ1つについて簡単に内容の説明があります。

項番	項目	内容
1-1	プロジェクトマネジメント	プロジェクトゴール、スコープ、マイルストン、作業内容、作業者、作成物に対して、プロジェクトの進捗や課題を管理
2-1	現状把握	現状のISMS、QMS、機能安全における組織やプロセスを把握
2-2	導入計画作成	現状とWP.29のCSMS＆SUMSとのギャップを分析し、CSMS＆SUMSの導入計画を作成
3-1	サイバーセキュリティガバナンス構築	経営のコミットメント、方針・標準・手順の作成・導入、組織とプロセスの定義・導入
3-2	リスク管理プロセス構築	CSMSが要求するリスク管理プロセスの構築
3-3	人材育成	十分なスキルの人員の配置と、CSMS＆SUMSを運用するための教育ツールの導入
3-4	サプライヤとの連携	CSMS＆SUMS運用に係るサプライヤとその機能と責任範囲の整理および連携
4-1	モニタリング	自社やサプライヤへの監査と分析・評価
4-2	継続改善	CSMS＆SUMS適合の妥当性や効率性の検証と、不適合となりうる事項への改善措置

当ブログを順に追っていただいている方はおわかりかと思いますが、これまでCSMSについてやさーしく記載してきた内容を思い出すと、KPMG社さんがやりたいアプローチが良くわかりますね。1や2はともかくとして3についてはCS Regulation 7.2.2.2節の内容に合致する部分が多いですね。個人的には3-1できちんとガバナンスという言葉を利用いただいているところに共感します。単にPSIRT体制を構築すれば良いわけではない、という話は散々やってきましたからね。また3-4でサプライヤとの責任範囲の整理について記述がある点も評価できます。ここが難しく、また逆に考えるとサプライヤにとってチャンスにもなる、という記載を過去記事でしましたね。下記ご参照。

ただし評価できない点もあります。SUMSをしれっとCSMS横並びで記載している点ですね。大きな考え方は近しいと思いますし、組織のあり方のような部分は実際同じもので運用していけると考えますが、当ブログでも記載したRXSWIN(型式認証を受けた車載システムにインストールされたソフトウェアのバージョン情報を集約し管理する概念)などはCSMSの枠組みで検討できるものではありませんね。詳細は下記をご参照ください。

ただ、完璧ではないものの、現在世の中にこの手のサービスが目立って提供されているようには見えませんので、とりあえず取っ掛かりたい企業にとっては相談してみるのも選択肢だろうとは思います。

何であれグローバルで体制構築するのは難しい -オリンパス社のPSIRT-

オリンパス社の事例から

さて前回はだいぶ主題から逸れて、東大の藤本隆宏先生のセミナー聴講について記載しましたが、今回はサイバーセキュリティに話を戻して、事例を見てみたいと思います。参考にするのは下記オリンパス社の取り組みです。

CSMSを概観した際、最後に出てきたのがPSIRT(Product Security Incident Response Team)でしたね。社外へ出している製品やサービスに対してセキュリティインシデントが発生した際に対応するチーム、ということでした。詳細は下記。

グローバル体制構築の難しさ

2019年4月から推進しているということで、わたしのようなセキュリティ音痴からするとだいぶ先取りしていたんだな、と感心させられました。掲載されている絵がわかりやすいのでそのまま引用します。

本来は、ITセキュリティ、製品セキュリティ、データ保護という3つの活動領域を束ねて対応すべきだが、以前はこれらが別々の組織になっていたのが実情だった。

MONOist同記事より

PSIRTたるべく、社内を守るのではなくあくまで顧客を守るということで、上記の考え方をCustomer Centric Securityと名付けたとのこと。また記事内ではさらっと書かれていますが、わたし自身は次のグローバル体制に着目しています。

MONOist同記事より

この手の活動で最も難しく、また一度構築してしまった後に見直しをしずらいのが、グローバルマネジメントだと考えます。同社では日本、米州、欧州、アジアオセアニア、中国の5地域において、前図に描かれているセキュリティの3つの活動領域をそれぞれ担当する責任者を配置しているとのことです。このようなグローバル体制を構築する際に難しい点は、各地域にどこまで権限移譲しどこからは制約するのか、また各地域からどのようにフィードバックを受け他地域へ展開するのか、といったセンターとローカルとのバランスです。

同社の製品がどの程度グローバル共通なのか存じておりませんが、自動車のセキュリティを考える当ブログでは、基本的には共通性が高いモノをイメージします。権限をローカルに移譲し過ぎてしまうと、本来他地域にも展開したかったグローバル共通の対応ができず、各地域バラバラの対応となり、後日同じ製品・領域でインシデントが発生した際にも、中央からの統制はきかせられず、ローカルに任せっきりとなり、最悪の場合は各地域ごとにもぐらたたきが必要となります。逆にセンターでの管理が厳しすぎると、各地域での実際の対応までに時間がどうしてもかかってしまい、各地域から悲鳴が上がってきます。次に似たようなインシデントが起きても、最悪、報告が上がってこなくなります。

絵ではきれいに整然と書けるのですが、そこにいる人を意識すると、各社毎の風土なども考慮しながら、センターとローカルのバランスをどう取るか、初めに充分な議論をすべきと考えます。

オリンパス社のPSIRT

オリンパス社のPSIRTは大まかに4つの機能からなるとのこと。

• 平時対応のための情報収集
• 平時対応のための脆弱性ハンドリング
• 万が一のインシデントが起きた際の有事対応に向けたハンドリング機能
• これらの活動を可視化してPDCAサイクルを回す機能

MONOist同記事より

記事には書かれておりませんが、やはりこれら機能をグローバルで運用管理することは非常に難しいと思います。有事のインシデントハンドリングはともかく、平時の活動やPDCAを回すといった機能は、言うは易しですが、実際はね・・・という感じですね。

ただ同社はPSIRT活動のKPIを見える化しているようで、製品セキュリティに関わる品質保証部門に加えて、開発部門や工場部門などにも展開しているとのことです。下記図にもリージョンを軸とした分析軸もあるようなので、実際、グローバルでKPI管理ができているのかもしれません。情報を共有し品質の向上と同質化を図るのであれば、グローバルで同じ分析軸を用い、各地域を比較できるようにしておくことは効果的と考えます。同じ評価軸であれば勝手な言い分はできませんからね。

MONOist同記事より

さて今回は個別事例としてオリンパス社のPSIRTについて見てきました。同様の体制が自動車メーカー、自動車部品メーカーでも必要であることを考えると、取り組みは待った無しであることがひしひしと実感できますね。

未だCSMS/SUMSへの道半ばではあるが、藤本先生に耳を傾ける

前回までのCSMS/SUMSまとめ

前回までで、これからの自動車業界を取り巻くセキュリティについての大まかに理解するという、目下最大のゴールには辿り着けたと考えています。特にCSMSとSUMSについて、わたしなりの平易な文体で解釈し記載できたことは、わたし自身の理解はもちろんこれからこの分野に触れようとされている方にとって、容易な第一歩になることを期待しています。

CSMSは以下の3つの記事でまとめました。

SUMSはこちらです。

アプリオリに理解できる部分の多かったSUMSはともかくとして、CSMSについては、わたしのようなセキュリティ音痴の者にとって初めて触れる用語も多く、MONOistの記事を参照しつつ粘り強く噛み砕いてみたつもりです。

アフターコロナ時代の日本企業のサプライチェーン

まだまだ詳細な理解には程遠いことは承知ですが、今回は脱線させていただき、年末に拝聴した東大の藤本隆宏先生のセミナーに触れたいと思います。年内最後の下記でも触れましたが、「アフターコロナ時代の日本企業のサプライチェーン」と題するオンラインセミナーに参加しました。

藤本先生の講義を初めて2時間余り聞かせていただきましたが、著作に書かれている内容も要所要所で見つけることで、これまでの自身の理解を改めて見直すことができました。さてセミナーの全容は簡単にまとめることはできないので、幾つかポイントを書き連ねてみたいと思います。

• 売り手良し(利益)、買い手良し(顧客満足)、世間良し(雇用安定で地域貢献)となる「三方良し」の経営哲学と、トヨタ方式の組織能力を組合せて、サステナブルなトヨタ方式を生み出す
• サプライチェーンを、平時は競争力ファーストで、緊急時は災害対策(頑健性)ファーストで維持(代替生産能力/代替設計能力)し、柔軟かつ迅速にスイッチする
• サイバーフィジカルシステム(CPS)を絡めた低空(サイバーフィジカル層)戦の本番が2020年代であり、低空戦は上空(ICT層)のネットワーク力と地上(現場・現物層)の現場知のバランスが重要であり、ネットワーク力の過信は禁物、逆に地上に引き籠っていても商機は少ない

セミナー「アフターコロナ時代の日本企業のサプライチェーン」資料より

内容盛り沢山の講義でしたので、全てを理解しきれたわけではありませんが、わたしなりに重要ポイントと解釈した点は上記となります。サステナビリティが声高に叫ばれているが、そもそも日本は三方良しの経営哲学を持っており、コロナ禍においても充分にその哲学は活かされていることを、工場の停止期間の短さ等を例に取り強調されてました。サプライチェーンにおいては、CPSの利用を強く主張されており、グローバルに需要/在庫/生産能力はもとより地域の情勢や災害状況も加味した、最適化のためのシミュレーションを常に実行できる環境を整えるべきとのことでした。無論自社だけでなく、国内拠点だけでもなく、広くサプライヤーや他国生産拠点等の状況もCPSで捉えておくことで、アフターコロナの頑健かつ柔軟なサプライチェーンを構築すべし、というのがわたしなりの理解でした。

また幸いなことに藤本先生に直接質問させていただく機会を得たので、かねてからわたしが漠然と考えていた懸念を伺ってみました。

GAFAのようなモジュール化を得意とする企業が、日本の製造業、特に自動車会社が培ってきた統合型・擦り合わせ型のものづくりでなければ作れないような製品を駆逐してしまわないでしょうか?

という問いに対して以下のようなポイントを指摘下さいました。

• GAFAは基本的に重さの無いcyber-to-cyberの「上空」企業だが、 ここはオープン・アーキテクチャ、標準インターフェース、補完財間のネットワーク効果、ビジネスエコシステムの巨大化、マッチングによるアセット稼働率向上、マッチングデータ独占などによりメガプラットフォーマーが恐竜化した世界である
• 2020年代に本格化する、上空と地上を連結するcuber-to-physicalの「低空」戦は、上空のネットワーク効果と地上の深いアセット知識のバランスが重要で、今のGAFAのケイパビリティだけでは戦えない(上空出身のプラットフォーマーはアセット知識獲得が、地上出身のマニュファクチャラーは上空のネットワーク力獲得が必要)
• GAFAの内、appleは確かにメガプラットフォーマーだが、売上のほとんどは巨大な補完財であるiPhone等から来るビジネスモデルで、若干トヨタ的な性格もあり、他のGAFAとは性格が異なるので要注意

藤本先生がサプライチェーンにおけるCPS活用を強調されていたこととも重なるかなと思いますが、きれいにロジカルに作り上げられている、もしくは作り上げることが可能な上空のcyber-to-cyberの世界とは違い、複雑で論理的でない部分も多々ある現場・現物の世界へGAFAは降りてくるわけではなく、既存企業との提携は大前提となる、と理解しました。(ただしappleはモノを持っているため要注意!!)

もう10年以上も前にはなりますが、シーメンス社とお仕事をさせていただく機会があったからだと思いますが、確かにこの「低空」を考えた時、真っ先にイメージしたのがシーメンス社であり、MESのパッケージ製品でした。各設備のPLCから情報を抜き取り、治工具の耐久性を確認したり、または醸造タンクの温度の上げ下げが適切に行われたかを確認したり、人が目で確認していたことをITで見える化し実績を分析しネクストアクションへ繋げる、そんなデジタルファクトリーを構築しましょう、みたいな提案をやっていた記憶が思い出されます。随分前からコンセプトだけはあったものの実現手段を見つけられなかったものが、GAFAのような上空に強い企業の登場により、やっと上空・低空・地上の役割分担ができ、現実味が出てきたのだなと思います。

今回はブログタイトルからは脱線してしまいましたが、広く自動車に関わる部分であったのでご容赦下さい。また今回はさらっと流してしまいましたが、サイバーフィジカルシステム(CPS)については、次回以降もう少し事例含めて見ていきたいと思います。