コネクテッドカー・自動運転・OTA（無線ソフトウェア更新）の普及により、自動車は「走るコンピュータ」となり、サイバー攻撃の対象範囲が急拡大しています。加えて、国連の車両サイバーセキュリティ規則UNECE WP.29 R155が型式認証の要件となったことで、自動車メーカー（OEM）とサプライヤー（Tier1・Tier2）にとってペネトレーションテストは「推奨」ではなく「実務上必須」の取り組みになりました。本記事では、規制の要点・テスト対象範囲・費用相場・ベンダー選定の基準までを整理します。
なぜ今、自動車業界でペネトレーションテストが不可欠なのか
従来の自動車のセキュリティは、物理的な盗難対策が中心でした。しかし現在の車両は、通信モジュール（TCU）・車載インフォテインメント（IVI）・多数のECU・スマートフォン連携アプリ・OTA更新基盤・バックエンドクラウドが相互接続され、外部から侵入可能な攻撃面（アタックサーフェス）が飛躍的に増えています。
実際の研究事例では、車載ネットワーク（CAN）への不正メッセージ注入によるブレーキ・ステアリング制御への影響、キーレスエントリのリレーアタック、テレマティクス経由でのリモート侵入などが実証されてきました。1台の脆弱性が同一車種の全車両に波及しうる点が、自動車セキュリティの深刻さです。
UNECE WP.29 R155とは？CSMSとペネトレーションテストの位置づけ
UNECE WP.29 R155（UN Regulation No.155）は、国連欧州経済委員会が定めた車両サイバーセキュリティに関する規則です。中核となるのがCSMS（Cyber Security Management System：サイバーセキュリティ管理システム）の構築要求で、OEMは開発・生産・運用・廃棄までのライフサイクル全体でサイバーリスクを管理する体制を認証当局に示す必要があります。
日本では道路運送車両法の保安基準を通じて適用され、国土交通省の枠組みのもと、新型車から段階的に、その後は継続生産車へと適用が拡大しています（各国・各段階でスケジュールは異なります）。R155のリスクアセスメントと検証活動の中で、ペネトレーションテストは「対策の有効性を実際の攻撃手法で検証する」重要な工程として位置づけられます。あわせて、OTA更新の管理を求めるR156（SUMS）への対応も論点になります。
自社の車両・車載システム・サプライチェーンにどこまでのペネトレーションテストが必要か、まずは要件・スコープ・費用感を専門家にご相談ください。AEVUSが体制構築から診断設計までご提案します。
ISO/SAE 21434と開発プロセスにおけるセキュリティテスト
ISO/SAE 21434「Road vehicles — Cybersecurity engineering」は、自動車のサイバーセキュリティ・エンジニアリングの国際標準です。R155が「何を満たすべきか（What）」を示すのに対し、21434は「どう作り込むか（How）」を体系化しています。
21434では、脅威分析とリスク評価（TARA）を起点に、コンセプト・開発・検証の各フェーズでセキュリティ活動を実施します。ペネトレーションテストは検証（Verification & Validation）フェーズの中核であり、設計上の想定（TARA）が実装で本当に守られているかを攻撃者視点で確認する役割を担います。設計レビューやコード解析だけでは見抜けない実装上の欠陥を発見できる点が、ペネトレーションテストの価値です。
自動車ペネトレーションテストの対象範囲
自動車のペネトレーションテストは、対象が多層にわたるのが特徴です。主な診断対象は以下の通りです。
- 車載ネットワーク：CAN／CAN-FD／Automotive Ethernet への不正メッセージ注入・なりすまし
- ECU（電子制御ユニット）：ファームウェア解析、セキュアブート／署名検証の不備、デバッグポート（JTAG等）の露出
- TCU・テレマティクス：セルラー通信経由のリモート侵入、通信の暗号化・認証の不備
- IVI（インフォテインメント）：Wi-Fi／Bluetooth、USB、アプリの脆弱性
- キーレス／RKE・デジタルキー：リレーアタック、暗号方式の弱さ
- OTA更新基盤：更新パッケージの改ざん、ロールバック攻撃
- スマートフォン連携アプリ：認証・認可の不備、通信の盗聴・改ざん
- バックエンドクラウド／API：車両とクラウドを結ぶAPIの認可欠陥、過剰なデータ露出
クラウド側のAPIは車両の遠隔操作やデータ収集の起点となるため、車載側と同等に重要です。外部公開された資産の棚卸しから始めると、診断スコープの優先度付けが効率的に進みます。
自動車ペネトレーションテストの費用相場と期間
自動車分野のペネトレーションテストは、対象の複雑さ・専門性から一般的なWebアプリ診断より高額になる傾向があります。以下は市場の一般的な目安であり、対象範囲・車種・実施条件により大きく変動します。正確な費用は個別見積もりが必要です。
診断対象 | 費用の目安 | 期間の目安 |
|---|---|---|
スマホアプリ＋バックエンドAPI | 100万〜400万円 | 3〜6週間 |
TCU・IVI 単体 | 200万〜600万円 | 4〜8週間 |
ECU／車載ネットワーク（ハードウェア解析含む） | 400万〜1,000万円超 | 6〜12週間 |
車両1台まるごと（統合診断） | 1,000万円〜 | 2〜4ヶ月 |
費用を左右する主な要因は、(1)診断対象の階層数、(2)ハードウェア解析の有無、(3)実車・実機の提供可否、(4)R155/21434の文書化要件への対応範囲、の4点です。安価な診断は表層的なスキャンに留まることがあるため、手法・報告書の深さを必ず確認しましょう。
サプライヤー（Tier1・Tier2）が押さえるべきポイント
R155のCSMSはOEMだけでなく、サプライチェーン全体での対応を求めます。部品・ソフトウェアを供給するTier1・Tier2は、自社の担当範囲について脅威分析とセキュリティ検証のエビデンスをOEMに提出できる体制が必要です。
「OEMからセキュリティ要件（CAL：Cybersecurity Assurance Level 等）への適合を求められたが、社内に検証体制がない」というケースでは、外部のペネトレーションテストを活用して客観的なエビデンスを整えるのが現実的です。
自動車セキュリティに強いベンダーの選び方
自動車のペネトレーションテストは、Web診断とは求められる専門性が根本的に異なります。選定時は以下を確認してください。
- 車載ドメインの知見：CAN／Automotive Ethernet、ECU、TCUなどの実務経験があるか
- 規制対応の理解：R155／R156／ISO 21434の要件を踏まえた報告書を出せるか
- ハードウェア解析能力：必要に応じてファームウェア抽出・信号解析に対応できるか
- 報告書の実用性：再現手順・リスク評価・改善提案が具体的か
- 情報管理体制：機密性の高い車両情報を安全に扱える体制・契約か
よくある質問（FAQ）
Q. R155対応のために必ずペネトレーションテストが必要ですか？
A. R155は特定の手法を名指しで義務化してはいませんが、対策の有効性を検証する活動が求められます。ペネトレーションテストは、その検証を客観的なエビデンスとして示す最も実効性の高い手段の一つです。
Q. 実車がなくても診断できますか？
A. スマホアプリ・バックエンドAPI・単体ECUなどは実車なしでも診断可能です。車両統合レベルの診断では実車・実機の提供が精度を高めます。
Q. 開発のどの段階で実施すべきですか？
A. ISO 21434の考え方では、設計段階からセキュリティを作り込み、量産前の検証フェーズでペネトレーションテストを行うのが理想です。早期に実施するほど手戻りコストを抑えられます。
まとめ
自動車業界のサイバーセキュリティは、R155による型式認証要件化を機に「任意の取り組み」から「事業継続の前提条件」へと変わりました。優先アクションを整理すると以下の通りです。
- 適用要件の確認：自社の立場（OEM／Tier1／Tier2）で求められるR155・21434の要件を整理する
- 攻撃面の棚卸し：車載・アプリ・クラウドAPIまで含めた診断対象を洗い出す
- スコープの優先付け：リスクの高い外部接続点（TCU・OTA・API）を優先スコープに設定する
- 検証の実施とエビデンス化：ペネトレーションテストで有効性を検証し、報告書を認証・監査対応の資料として整備する
- 継続的な改善：新たな脅威・車種展開に応じてテストを繰り返し、成熟度を高める
自動車のペネトレーションテストは、車載ドメインと規制の双方を理解した専門家との連携が成否を分けます。
自社の車両・車載システム・サプライチェーンにどこまでのペネトレーションテストが必要か、まずは要件・スコープ・費用感を専門家にご相談ください。AEVUSが体制構築から診断設計までご提案します。
関連記事
ペネトレーションテスト全体の費用相場を知りたい方はこちら：
→ ペネトレーションテスト費用の相場【種別・規模別の見積もり内訳】
外部公開資産の可視化から始めたい方はこちら：
→ ASM（攻撃面管理）とは？外部攻撃面管理の仕組み
製造業のOTセキュリティについてはこちら：
→ 製造業のOTセキュリティ対策ガイド
