PSIRT運用構築コンサルティング

製品・サービスを対象とするセキュリティ対応組織（PSIRT: Product Incident Response Team）の構築をご支援します。

製品セキュリティは、開発時のみだけでなく、製造後の問題にも対応する必要があります。 攻撃が成立するのは、攻撃者の動機、攻撃の機会、攻撃に必要な知識・技術が揃った場合と言われています。車両を含むIoT機器はインターネットに接続されているため、攻撃の機会にさらされています。 また、製品を構成するOSSに関する新たな脆弱性が日々報告されており、それらを悪用した攻撃に備える必要があります。

本サービスでは、製造後のセキュリティ問題に対応する組織構築に必要な、脆弱性情報管理手順、インシデント対応手順等の社内規定・ガイドライン策定をご支援します。 また、体制構築後の継続的な活動のご支援として、脆弱性情報の収集、トリアージ、関連部署へのアラート、関連組織への定期訓練等も提供します。

①PSIRT構築支援 ~体制構築に必要な関連文書整備~

UN-R155の要件を満たすよう、ISO/SAE 21434（脆弱性・インシデント対応）等を参考に活動内容を定義します。 お客様の組織内の関係部署のご意見を取り入れながら、以下のご支援を行います。

• 脆弱性管理手順文書策定
• 有事対応手順策定
• 組織内PSIRT運用アセスメント

②PSIRT運用支援 ~構築後の運用支援~

自動車業界での実績がある専門スキルを備えたスタッフが、脆弱性情報を継続的に監視します。 製品との関連性および重大性を考慮し、必要に応じて関係部署にアラートを通知します。

• 脆弱性情報共有DBの提供
• 脆弱性情報のトリアージ・アラート
• 重大脆弱性の解説

また、体制構築時に策定した規定・ガイドラインに従い、適切に脆弱性・インシデント対応ができるよう、定期的な教育・訓練の場もご提供します。

［参考］

UN-R155の要件を満たすためには、以下が求められます。

• 開発・製造する車種に関連する脆弱性情報を継続的に監視し最新に保つこと
• 収集した脆弱性情報を共有するプラットフォームを有すること
• 脆弱性情報を監視するスタッフは必要な専門スキルを備えていること
• 収集した脆弱性情報と各車種との関連性を判断できること
• 収集した脆弱性情報に優先順位をつけること