自工会サイバーセキュリティガイドラインは、自動車業界のサプライチェーン全体で共通のセキュリティ基準を設けるフレームワークです。製造業のIT担当者は自社のレベルを評価し、取引先からの要求に備えましょう。
ガイドラインの概要
日本自動車工業会（JAMA）と日本自動車部品工業会（JAPIA）が共同で策定する「自工会/部工会・サイバーセキュリティガイドライン」は、自動車産業のサプライチェーン全体で共通のセキュリティ水準を確保するためのガイドラインです。
自動車メーカーだけでなく、部品メーカー、素材メーカーなどサプライチェーン上の全企業が対象であり、取引先への要求事項としても活用されています。
対策レベルの分類
| レベル | 対象 | 概要 |
|---|---|---|
| Lv1 | 全企業 | 最低限実施すべき基本的なセキュリティ対策 |
| Lv2 | 自動車業界として標準的に実施すべき企業 | 業界標準のセキュリティ対策 |
| Lv3 | 機密性の高い情報を扱う企業 | 高度なセキュリティ対策 |
セキュリティ対策は導入して終わりではなく、日々の運用と検知後の初動が成果を分けます。情シス365では Defender／Intune の運用も含めて、必要な時間数に応じた月額制（月12万円〜）でご支援しています。
情シス365（セキュリティ運用） を見る →対策項目の領域
- ラベル1〜24の項目で構成され、以下の領域をカバー
- 情報セキュリティの方針・体制
- 情報資産の管理
- アクセス制御・認証
- ネットワークセキュリティ
- インシデント対応
- 教育・訓練
- 外部委託先の管理
サプライチェーンへの影響
自動車メーカーがTier1企業にガイドライン準拠を要求し、Tier1企業がTier2以下に同様の要求を行うことで、サプライチェーン全体のセキュリティ水準を底上げする仕組みです。取引先としてガイドラインへの対応を求められるケースが増えています。
対応の進め方
| Step | 作業 | 期間目安 |
|---|---|---|
| 1. 求められるレベルの確認 | 取引先から指定されている水準（Lv1／Lv2／Lv3）を確認する。指定がない場合は取扱情報の機微度で判断する | 1〜2週間 |
| 2. 自己チェックの実施 | ガイドラインのチェックシートで現状を評価する。判断に迷う項目は「未達」に倒す | 2〜4週間 |
| 3. ギャップの分類 | 設定変更で済むもの、文書化が必要なもの、新規導入が必要なものに分ける | 1〜2週間 |
| 4. 対策の実装 | 設定変更から着手する。MFA・EDR・ログ管理はMicrosoft 365の範囲で対応できる項目が多い | 2〜4か月 |
| 5. 提出と維持 | 取引先へ回答し、以降は年次で更新する | 継続 |
自己チェックは「やっているつもり」を排除することが肝心です。文書化されていない運用は未達として扱い、実装と記録の両方を揃えてください。
SCS評価制度との関係
自工会/部工会ガイドラインとSCS評価制度は、目的も運営主体も異なりますが、要求される対策には重なりが多くあります。
| 観点 | 自工会ガイドライン | SCS評価制度 |
|---|---|---|
| 策定主体 | JAMA／JAPIA（業界団体） | 経済産業省（IPA運営） |
| 対象 | 自動車産業のサプライチェーン | 全業種横断 |
| 評価 | 自己チェック | ★1〜★5の格付け。★4以上は第三者評価 |
| 公開性 | 取引先間での共有 | 格付けが公開される |
自動車業界のサプライヤーは、当面は両方に対応することになります。MFA・EDR・アクセス管理・ログ管理・インシデント対応といった中核の対策は共通して使えるため、実装と証跡は1セットで揃え、提出形式だけを各制度に合わせるのが効率的です。
よくある質問
自工会サイバーセキュリティガイドラインとは何ですか？
日本自動車工業会（JAMA）と日本自動車部品工業会（JAPIA）が共同で策定する「自工会/部工会・サイバーセキュリティガイドライン」で、自動車産業のサプライチェーン全体で共通のセキュリティ水準を確保することを目的としています。
対策レベルはどう分かれていますか？
Lv1は全企業が最低限実施すべき基本的な対策、Lv2は自動車業界として標準的に実施すべき対策、Lv3は機密性の高い情報を扱う企業向けの高度な対策という3段階です。
どんな項目が含まれますか？
情報セキュリティの方針・体制、情報資産の管理をはじめとする複数の領域をカバーする項目で構成されています。
なぜ対応を求められるのですか？
自動車メーカーがTier1企業にガイドライン準拠を要求し、Tier1企業がTier2以下に同様の要求を行うことで、サプライチェーン全体のセキュリティ水準を底上げする仕組みだからです。取引先として対応を求められるケースが増えています。
まとめ
自工会サイバーセキュリティガイドラインは、自動車業界のサプライチェーン全体で共通のセキュリティ基準を設けるフレームワークです。製造業のIT担当者は自社のレベルを評価し、取引先からの要求に備えましょう。