サイバー合同会社(DTCY)の現在の求人・情報はこちらからご覧いただけます。今、自動車のIT化が注目されている。自動運転をとっても、現在は高速道路の1レーン1車線のみで可能だが、2018年には高速道路全般に広がり、2020年には一般道でもできるようになるといわれる。2023年頃には一般の人も自動運転対応の車を購入可能なレベルになると予想されるほどだ。車から外部への通信だけでなく、外部から車への通信が可能になるといったように技術が発展していくに伴い、避けて通れなくなるのがセキュリティだ。自動車業界はもちろん、コンサルティングファーム、セキュリティベンダーなどが揃ってそこに注目し、人材補強も活発に行っている。サイバー合同会社(DTCY)もその1社だ。自身もセキュリティ業界での勤務経験を持つリーベルのコンサルタント・高田祥が、DTCYのチームを率いるシニアマネジャーの高橋宏之氏にじっくりと話を訊いた。国内SI企業で省庁関連の大規模システム開発やERP製品導入を経験後、デロイトトーマツコンサルティングに入社し、ビジネスプロセス改善やCIO向けアドバイザリー業務に従事。サイバー(DTCY))に転籍後は、セキュリティ全般のコンサルティング業務に従事。近年は、自動車業界向けのセキュリティ管理に係るエキスパートとして、情報システム領域および自動車セキュリティ領域に関する様々なコンサルティング案件に関与。大手通信会社、メディア系テクノロジー企業で脆弱性診断や社内SOC構築、SIEM導入、グループを横断するセキュリティコンサルタントなどを経験後、リーベルに入社。現在人材コンサルタントとして、セキュリティ業界はもちろん、SIerやコンサルティングファームなどIT人材に特化した転職支援を行う。「コネクティッド社会」の到来により自動車セキュリティに注目が集まる高田:お忙しいところありがとうございます。サイバー(以下、DTCY)さんの取り組みについて伺っていきたいのですが、まずは背景として、なぜ今、自動車のセキュリティに対する注目が高まっているのかをお話しいただけますか?高橋氏:わかりました。Things)化なんですよね。いろいろなものがどんどんインターネットにつながってきて、コネクティッドカーといわれるものが出てきたように、車もまたそうなってきたと。System)やスマートシティといった言葉もよく聞かれますが、今後ますます、家電やエネルギー、あるいは街全体がインターネットで高度に管理されるようになる。いわゆる「コネクティッド社会」が到来しつつあるわけです。その中核の1つとなるのが自動車なんです。世の中に広く普及しているというのはありますが、それに加えて、自動車から取れる情報には、いろいろな活用用途がある。今なら位置情報などでしょうが、今後は、例えばハンドルから運転者の情報を吸い上げて、健康状態を監視する、更にはその状態を踏まえて運転機能を自動制御するみたいなことも出てくると思います。自動運転なども今後普及するでしょうし。高田:そうなると、そうした自動車から得られるセンシティブな情報を守るためのセキュリティにも、当然関心が高まってくると。高橋氏:そのとおりです。「コネクティッド社会の中心の1つに自動車がある」というのが、自動車セキュリティに注目が高まっている最大の要因でしょう。日本の産業でも、自動車は重要ですもんね。高橋氏:もともと日本は自動車産業中心に栄えてきたところがありますし、世界的に見ても力を持っていますから。そこのセキュリティに関わるのは、デロイトにとっても大きなミッションです。高田:では続いて、DTCYさんがどのような体制で自動車セキュリティに携わっていらっしゃるのかを教えてください。どのくらいの規模で、グローバルにはどのような形で展開されているのでしょう?高橋氏:デロイト全体としては、大きく北米・ドイツ・日本の3極で動いています。総勢100名を超える体制で推進していますが、成長領域ということで人員増強していく必要があり、採用活動に力を入れています。高田:それぞれどんな特徴がありますか?高橋氏:ドイツは「インビークル」と呼ばれる車の中身のセキュリティに強みを持っています。欧州のOEMは先進的な技術力を持っていますし、メガサプライヤーもありますので。北米は従来からの情報システム領域分野に加え、産業制御システムのセキュリティにも力を入れています。日本は「ガバナンス」を得意としています。経営層がどうやってセキュリティをウォッチするのか、みたいなところです。最近では「インテリジェンス」にも力を入れています。したそれぞれの強みを活かしながら3極で連携してやっています。高田:よくわかりました。デロイトさんは他の部門でもグローバルで協力体制をとっていると伺っていましたが、自動車セキュリティの分野でもそうなんですね。コンサルティング(DTC)さんにも、自動車業界を担当しているセクターがありますよね。そことの連携はどのようにされているのでしょう?高橋氏:もちろんかなり密に連携していますよ。端的に言えば、DTCはビジネスドリブン、我々はセキュリティドリブンとなります。「AIを使ったビジネスに自動車がどう関わってくるのか?」とか「どこの地域でどのような車に消費者ニーズがあるのか?」といったビジネス的なことについては、DTCの自動車セクターが非常に強いんです。第1フェーズの、例えば、「20xx年の自動車の使われ方」のような大きな青写真はDTCのチームに描いてもらい、それから「そういう使われ方をするのならこういうリスクがあります。詳細な脅威分析をしましょう」といった形で我々が出ていって引き継ぐ、みたいなことはよくありますね。Manufacturer)、すなわち最終製品を製造する自動車メーカーと、そこに部品などを供給するサプライヤーの2つがあります。仕事の中心となるのはOEMですが、当然、コネクティッド時代においてサプライヤーが開発する電子機器は非常に重要な存在となるため、実際の検討過程においては、一気通貫さらには全体視点でプロセスを考察することが多いです。高田:そうなんですね、よく分かりました。自動車セキュリティでも「グローバル力」がデロイトの強み高田:自動車の情報セキュティは、まだ新しい分野であるとはいえ、競合のコンサルティング会社でも力を入れてきています。他社と比べて、この分野でデロイトさんはどんな強みを持っているのでしょう?高橋氏:当社の強みはやはり「グローバル力」ですよね。他社は、北米・ドイツ・日本の3極連携みたいなものはできにくいと思うんです。日本でのみ自動車セキュリティに力を入れていても、世界の最先端技術の動向についていくのは難しいところもありますし。WGの運営活動に携わっているというのが、当社ならではの特徴です。高田:ちなみに先ほど、3極体制の中で、日本のデロイトはガバナンスを得意としている、とのことだったのですが、なぜそこに強みを持っているのでしょう?高橋氏:経緯としては、2015年末に経済産業省が「サイバーセキュリティ経営ガイドライン」を策定したり、さらにはその以前には、サイバーセキュリティ基本法が制定されたりして、自動車業界でも経営目線でのセキュリティ対策がより強く求められるようになったことが挙げられますね。高橋氏:あと、デロイトとして、技術に偏ったところだけでなく、プロセスやガバナンスなどを包括的に見るサービスを展開していきたいという意向もありますし。デロイトが一番強いのはそういうところですから。高田:確かにそうですね。自動車セキュリティのガバナンスで今、DTCYに求められている役割とは?高田:もう少し噛み砕いて伺いたいのですが、自動車セキュリティのガバナンスで、経営者の興味のあるトピックとは、例えばどういうものになるんですか?高橋氏:「サイバー脅威が起きた時に経営にどのくらいインパクトがあるのか?」ということですよね。脅威が起きると、もしかしたらクラスアクション(集団訴訟)とか、リコールといった事態になりかねない。「どういう脅威が起きた時に、どういう被害につながるものなのか?」というところで相談を受けることが多いです。高橋氏:セキュリティを起因とした車の事故が起こらないようにするには、そもそもそういう車をつくってはいけないし、万が一、何かあってもすぐ対処する体制を構築しなくてはいけない。そのために、開発段階におけるセキュリティ管理プロセスや現状のリスク評価の仕組みを作りたい、というご相談が一番のメインです。高田:おそらく、自動車をつくっている側の人は、「自動車が将来こうなる」みたいな目線はもちろんお持ちであり詳しいですが、そこでどういうセキュリティが必要になるのか、セキュリティを取り巻く他業界の動向としては、今どんなことがトピックになっているのか、といったことは外部の知見を参考にしたい風潮が強いと感じています。そのあたりを含めて、こういうふうにしていったらいい、というかたちで相談に乗る、というイメージでしょうか?高橋氏:そうですね。第三者から見てもしっかりガバナンスの仕組みができているのか、そこについての提言が欲しい、とよく強調されます。トーマツといえばもともと監査法人ということから、内部統制や評価・監査関連の実績が豊富なので、「デロイトさんに見てもらえば安心だね」というところもあるのではと思います。こんな攻撃があった、とか、ハッキングされた、といった具体的な例があれば教えていただきたいのですが。高橋氏:正直、現時点で、世の中で問題になったということはありません。米国の某社のEVが北米で事故を起こしたことがありましたが、それも別にハッキングやマルウエアなどによるものではなくて、単純に自動運転の認識レベルの問題なわけです。Unit)にパソコンを繋いでハッキングして、車の走行を停めた、とかドアロックを解除した、なんていう話もありましたが、それも大学や研究機関の実証実験でやっているわけで。それは実際に起きている悪意を前提とするセキュリティの脅威ではない。Air)と呼ばれる、無線通信でECUのソフトウエアを遠隔更新するものはいずれ出てくるでしょうが、世の中で「パンデミック」(感染症などの世界的大流行)が起きるような状況はまだまだ先のことです。Diagnostics)ポートに繋げるなどしなければならず、いずれにしてもハードルは高い、ということですね。あんな時代が来るのはかなり先です。シンギュラリティ(技術的特異点)といわれる、AIが人間の能力を超えるようなことがあると、どうなるかわからない。AIの進化は、2045年くらいまではなだらかに進んでいくといわれていますが、それ以降はAIがAIを進化させていくから成長スピードが急激に高くなるとも言われていて。なると、自動車のセキュリティもいろいろな新しい危険性を孕んでくる可能性があります。いって、今すぐその対策をしようという話にはならないですよね。雑談交じりの会話レベルでは出ますけど。高田:だからこそ今は、ガバナンスに注力しているわけですよね。いえ日本のOEMでも、今後はかなり先を見据えて、AIを活用した自動運転のセキュリティなども考えていかないと、という声が出ているのも事実です。いう意味での長期的なセキュリティ投資について相談を受けることも増えています。高田:そうなんですね。高橋氏:セキュリティって、ひと昔前は「どんどん技術が変わるから、あまり先のことなんて考えても仕方ないよね」みたいに言われていたんです。今はかなり遠い先のことまで、シーズから探してやっていかなくてはならない、という傾向が強くなっています。ないと欧米のOEMと戦う時に、どんどん後手後手になってしまいますから。高田:確かにそうですね。私自身、コンサルタント時代、セキュリティに関わっていたのですが、やはり皆さん、「やられてしまってから気づく」ものなんですよね。やられてしまってからでは遅いので、先のことを考えて対策していくことが大切だと思います。高橋氏:あるいは「やられてしまってからでも、その影響を最小化する」という方向ですよね。セキュリティは予防に限界があると言われている中で、被害を極小化し、早急に回復できるようにする、それによって経営被害を免れる、というのはすごく大事ですよね。これは車に限った話ではありませんが。高田:確かにそうですね。事前対策はもちろんしますが、全てを防ぐことは出来ない。それは自動車セキュリティでも同じ、ということですね。ハッキングなどで事故が起きた際、誰が責任を取る?高田:今のお話だともっと先の話になるとのことでしたが、ぜひ伺いことがありまして。?高橋氏:おお、痛いところを突いてきますね。それはポスト・マーケット・マネジメント、もしくはポスト・プロダクション・マネジメントと言われるところで、難しい話ではあるんです。現状は、そのあたりの責任がすごく曖昧で、売った後は所有者の責任になるような傾向がありますけど、OTAが全盛になり、リモートで自動車の機能がどんどんアップデートされるようになると、さすがに単純にそうも言えないだろうと。高橋氏:この課題は、実は自動車業界に限ったことではなくて。検討が進んでいるのは医療業界だと思います。Administration=アメリカ食品医薬品局)が、ポスト・マーケット・マネジメントに関するガイドラインを出していて、こういう医療機器には定期的にこういう検査をしなさい、というように、売った後の責任問題をきちんとやろうとガイドライン策定等の仕組み整備に着手しています。自動車業界でも今後、そういうものが必要になるでしょう。法制度も変わってくるでしょうし、そこはまだ過渡期なんですよ。2025年頃には、完全自動運転がある程度市場化されると言われているので、その頃にはかなり明確化されていると思いますが。高田:そういう意味でのガバナンスというのも大事になってきますよね。いろいろなステークホルダーがいる中で、どういう仕組みが必要になるかというのは、まさにガバナンスの話ですから。国やOEMなどがそれぞれどんなことをやらなくてはいけないのか、そういうガバナンスモデルを作るところは、我々としてもぜひやってきたいと考えています。タイ・インドでの広告代理店勤務を経て、1998年からライターとして活動を開始する。現在、ビジネス(特に人材・起業)、IT/デジタル機器、著名人インタビューなど幅広い分野で記事を執筆するほか、広告コピー分野でも活躍。サイバー合同会社(DTCY)への転職をお考えの方へIT業界出身のコンサルタントが、あなたの転職活動をフルサポートいたします。