SPICEとして策定されているプロセスの内容や、関連する規格の動向についてご紹介いたします。Engineeringと同様に、新たなプロセスが追加されます。SPICEでは、”Security”の最初の3文字を取ってIDに”SEC”が付き、SEC.1~6の合計6個のプロセスが定義される予定です。SEC系プロセスとして追加される6プロセスのうち、技術的な観点としては、システムレベルとソフトウェアレベルそれぞれに「セキュリティリスク分析およびセキュリティコンセプト」が追加されます。これらのプロセスは、システムレベルにおける脅威分析と、ソフトウェアレベルにおける脆弱性分析を含めたセキュリティリスクの分析・評価と、抽出されたリスクに対する対策の策定を求めています。別のプロセスとして、独立した立場からのセキュリティアセスメントも求められています。SPICEのもう一つの特徴としては、SOP後のすべてのライフサイクルを対象としていることにあります。これは、製品が市場にリリースされた後に見つかる脅威や脆弱性に対しても、必要な対策を講じるため仕組みの構築や維持に該当します。SPICE本体のプロセスに対しても、いくつかのプロセスのプロセス成果、アウトプット作業成果物、基本プラクティスとその備考に追加定義が行われます。SPICEとしての追加定義であり、ASPICE本体への変更は発生しません。プロジェクト管理プロセスにおいては、セキュリティ計画に関する考慮点が追加されます。(UNECE)の規制要件を反映する形で策定が進められており、高い親和性を持ちます。21434については、まもなくDIS版のドラフトが公開されますが、正式発行に向けて各社ともサイバーセキュリティ対応に向けた体制構築やプロセス構築への取り組みを急がれている状況かと思います。プロセス構築においては、前述のようにSOPまでの開発プロセスだけでなく、製品リリース後の対応に関するプロセスが必要になるため、プロセス全体の見直しが必要です。21434に関する最新情報をご提供すべくセミナーも計画しております。詳細が決まり次第、改めてメールマガジンにて案内をさせていただきます。