指数関数的に増大するサイバーリスク。しかし、それを管理する体制はいまだ直線的な歩みにあります。
自動車のサイバーリスクは、もはや明確な順序をたどって発生するものではありません。従来型プラットフォーム、ソフトウェア・デファインド・ビークル（SDV）、コネクテッドサービス、AI対応機能が、同一の車両エコシステムの中で同時に動作しています。
リスクは重なり合い、複合的に拡大し、加速しています。それでも多くの組織は、それぞれのシステムが独立しているかのようにサイバーリスクを管理し続けています。
本レポートは、従来と同じ方法でサイバーリスクを管理し続けることがなぜ経営上の重大なリスクになりつつあるかを解説します。
オーバーラップ期 オーバーラップ期の自動車サイバーリスクに、単一のガバナンスモデルはもはや通用しません。
本レポートは、将来の脅威を描くものではありません。すでに今日発生している自動車サイバーインシデントが、従来のセキュリティ体制では抑えきれないビジネス影響をなぜ生み出しているのかを解説しています。
リスクが車両ドメイン、企業IT、サプライチェーン、ディーラー環境へと瞬時に波及する現在、責任の所在もまた、実際のリスク伝播の経路に合わせて再編される必要があります。
拡大し続けるアタックサーフェスに対し、 責任の所在を明確にする仕組みが追いついていません 独立したシステムから、重なり合うリスク領域へ
2024年と比べ、企業ITシステム（ランサムウェア攻撃やデータ漏洩など）、車両外システム、車載システムを同時に標的とする攻撃が常態化しています。これは攻撃者の行動が変化したのではなく、自動車システムの構造そのものが変化した結果です。
しかしガバナンスは依然として、これらのシステムが独立しているかのようにリスクを管理しています。所有権、説明責任、意思決定権限は、分断されたままです。
集約されていくシステムに対し、責任の所在はバラバラに分断され、不透明なままです。
サイバーリスクの33%が、ドライバー体験に直接影響を与えています
最新データは、こうした構造的な変化を裏付けています。攻撃者は引き続き企業ITシステムを標的としながら、車両アーキテクチャの上位層であるユーザー接点層へと攻撃を拡大しています。これは、攻撃者の成熟度が新たな段階に達したことを示しています。
ドライバーが日常的に利用する車載システムが主要な攻撃対象として浮上し、観測された攻撃の約 40% を占めています。
サイバーリスクがドライバーに近い層へ移行するにつれ、障害は信頼、購買意向、ブランド価値に直接影響する可視的なインシデントへと変わります。保険カバレッジがシステムの複雑化に追いつかない中、損失はメーカーへと転嫁される割合が高まっています。
サイバーリスクの11%は、管理できる範囲外に存在します
「制御できている」という誤認
重大なリスクが製品寿命を超えるとき、リスク露出は構造的な問題になります
緊急（Critical）」や「高（High）」深刻度の脆弱性は増加しているだけでなく、蓄積し続けています
これらは最も修正が困難な課題です。長い開発サイクルと限られたアップデート機会を必要とし、件数が増えるにつれて修復能力は圧迫されていきます。その結果、未対処の課題は解消スピードを上回る速さで蓄積し続けることになります。
長い製品ライフサイクルとプラットフォームの共通化を特徴とする自動車業界において、深刻度の高いリスクが自然に消え去ることはありません。それは世代をまたいで引き継がれ、一時的なセキュリティ費用に留まらず長期的な運用・財務上の負担となり、時間の経過とともに投資の柔軟性や製品戦略そのものを制約する要因となります。
リスクは製品の寿命よりも長く存続します。だからこそ、説明責任もまた、製品リリースの枠組みを超えて果たされ続けなければなりません。
旧来を維持し、次世代を守る 車両ドメインの変遷とともに進化するサイバーリスク
自動車業界に携わる組織には今、従来の車両プラットフォーム、SDV、AI定義型技術という性質の異なる領域におけるリスクを同時に管理することが求められています。 「過去・現在・未来」のフレームワークは、主要な車両機能領域においてリスクが現在どこに集中しているか、そして車両技術の進化とともにどう移行していくのかを把握するための指針となります。
IVI／スマートコックピットシステム
ADAS（先進運転支援システム）
パワートレイン
ボディ制御およびアクセスシステム
EV充電インフラ
AI定義型車両（AIDV）：: 台頭するAI関連の脅威
オーバーラップ期を切り拓く実践的な道筋
自動車業界は今、複数のリスク領域が複雑に重なり合う「オーバーラップ期」という、かつてない局面を迎えています。この時代における成功の鍵は、責任の所在を各領域でいかに一貫性を持って整合できるかにかかっています。
ガバナンス層：プレッシャー下での意思決定を確実にする
ガバナンスはもはや、個別のシステムや組織のサイロごとに構築することはできません。リスクが車両ドメイン、企業IT、サプライチェーン、ディーラー環境へと瞬時に波及する現在、責任の所在もまた、実際のリスク伝播の経路に合わせて再編される必要があります。これにより、インシデントが拡大した際にも迅速かつ一貫した意思決定が可能になります。
リスク算出層：リスクをリアルタイムに再計算できるようにする
定期的な評価や静的なリスクモデルでは、突発的に発生する領域横断型の攻撃には太刀打ちできません。組織には、脅威インテリジェンス、運用のテレメトリ、脆弱性の露出データを統合し、リスクを絶えず再計算する能力が求められます。これにより、状況の変化に応じて的確な優先順位付けを支える最新かつ共有されたリスク全体像が描き出されます。
運用フィードバック層：攻撃者よりも早い進化を確実にする
攻撃者がAIや自動化を駆使してくる以上、防御側も同じ速度で進化しなければなりません。AIを活用したセキュリティテストやレッドチーミングは単発的な評価を継続的な学習ループへと変えます。実際の攻撃経路から得られた知見をリスク算出に即座にフィードバックすることで、組織の適応力を高め、対応までの時間を短縮することができます。
今日下されるサイバーセキュリティに関する意思決定が、次の10年における車両への信頼の姿を形作ります
自動車サイバーセキュリティの未来
2026年の予測
サイバーインシデントは「リーダーシップの試金石」となる
サイバーインシデントは、もはや技術的障害として評価されるものではありません。それはリーダーシップの試金石であり、社会からの信頼は経営陣の対応の速さと明確さによって決まります。
AI学習データが新たなサプライチェーンリスクとなる
車両がAI定義型へと進化するにつれ、学習データの侵害は車両の挙動に世代を超えて残存する継続的なリスクをもたらし、容易には修正できない状態が生まれます。
ランサムウェアが車両群停止の武器となる
ランサムウェアはデータ窃取から車両群規模の業務麻痺へと進化しています。サイバーリスクはデータ損失だけでなく、可用性と収益継続性によって測られるようになります。
一度のOTA侵害が取締役会レベルの危機に直結する
OTAへの信頼が集中する現在の構造では、一度の侵害が車両群規模の影響をもたらします。プレッシャー下での意思決定が遅れれば、大規模リコールと多大な運用コストへと急速に発展する恐れがあります。