自動車のサイバーセキュリティおよびデータセキュリティ市場（2026年）

サイバーセキュリティおよびデータセキュリティに関する調査 - インテリジェント・コネクテッド・ビークルが「体系的な攻防とAI主導のセキュリティ」の時代を迎えます。

当レポートでは、2026年のスマートコネクテッドカーにおけるサイバーセキュリティおよびデータセキュリティの全体像を軸に、車両の全領域にわたる攻撃シナリオやAIがもたらす攻撃対象領域の拡大、脆弱性の現状分析、全リンク保護システム、データの分類・格付け、国境を越えたコンプライアンスといった中核的なテーマを分析しています。さらに、7社のデータセキュリティ企業（Agile Technology、Eagle Cloudなど）、7社の代表的なOEM（Seres、NIO、BYD、など）、自動車セキュリティハードウェアサプライヤー8社（UniSentry Intelligent Technology、ThinkTechなど）、自動車セキュリティソフトウェアサプライヤー7社（Software Security Technology、Anban Techなど）、および車載インターネット（IoV）セキュリティサービスプロバイダー12社（Vecentek、Callisto Technology、GoGoByteなど）のセキュリティ保護の実践事例を通じて、コンプライアンス認証、技術導入、サプライチェーンセキュリティガバナンスにおける業界の最先端の進展を体系的に紹介しています。また、本レポートでは、車両へのAI導入によって生じる新たなリスク（サプライチェーンの改ざんやプロンプトハイジャックなど）を明らかにし、スマートコネクテッドカー向けのセキュリティソリューションをまとめ、業界の発展動向を予測しています。

主なポイント

政策に牽引されるコンプライアンスの向上 - 検査合格から体系的な運用へ

頻発するサプライチェーン侵害 - セキュリティガバナンスは全領域および全ライフサイクルを網羅する必要があります

両刃の剣としてのAI - 攻撃対象領域が意図層にまで拡大、防御には「AI対AI」のアプローチが必要

サイバーセキュリティは、受動的な対応から能動的な脅威ハンティングへと進化しています

データセキュリティは、プライバシーコンプライアンスから全リンクにわたるガバナンスへと移行し、国境を越えたデータ管理が必須の課題となります

セキュリティは、コストセンターから中核的な競争優位性へと変革される必要があります

2026年、インテリジェント・コネクテッド・ビークル（ICV）業界は重要な転換点に立っています。一方では、GB 44495/44496に代表される国家強制基準の全面施行により、業界はコンプライアンスの模索段階から、本格的なコンプライアンス管理段階へと正式に移行しました。他方では、車両への大規模AIモデルの導入や、国境を越えたデータフローの常態化により、車両の攻撃対象領域が急速に拡大しており、前例のないセキュリティ上の課題をもたらしています。自動車メーカーにとって、単なる受動的なコンプライアンス対応や単一ポイントでの防御だけでは、もはや複雑なサイバー脅威に対処することはできません。ライフサイクル全体、サプライチェーン全体を網羅し、AIを活用した能動的防御を特徴とする体系的な攻防体制への転換が、もはや不可欠となっています。

I.政策に牽引されるコンプライアンスの高度化 - 「検査合格」から体系的な運用へ

2026年、中国の自動車サイバーセキュリティおよびデータセキュリティに関する規制の枠組みは、閉ループを形成しました。GB 44495-2024「自動車サイバーセキュリティに関する技術要件」やGB 44496-2024「自動車のソフトウェア更新に関する一般技術要件」などの強制基準、および「自動車データの国外移転セキュリティに関するガイドライン（2026年）」の実施に基づき、自動車メーカーに対するコンプライアンス要件は、従来の推奨参照基準から、強制力のある最低限のルールへと引き上げられました。企業は、セキュリティ戦略、組織体制、および業務ワークフローを包括的に再構築する必要があります。

また、規制は多額の罰金を通じて執行されています。2026年5月、欧州のデータ保護当局は、配車アプリ「Yango」の運営事業者に対し、EU法で義務付けられた保護措置を講じずにユーザーの個人データをロシアへ転送したとして、1億ユーロ（約8億100万人民元）の罰金を科しました。同月、ゼネラル・モーターズ（GM）は、ユーザーの同意なしに運転データを収集・販売したとして、約9,000万人民元の罰金を科されました。これは、カリフォルニア州消費者プライバシー法（CCPA）の施行以来、最大規模の罰金となります。これらの罰則の背後にある論理は明確です。データは、自動車メーカーが恣意的に取得したり販売したりできる資産ではないのです。

厳しい規制圧力に直面し、大手自動車メーカー各社は、受動的なコンプライアンスから、能動的なリスク予防・管理への転換を加速させています。Seres社はその典型的な例です。同社は「クラウド・パイプ・デバイス・チップ」を網羅する多層防御システムを構築し、中国で初めて「自動車データセキュリティ管理システム認証」および「国家データセキュリティ成熟度モデル（DSMM）レベル3認証」を取得し、業界をリードする体系的なセキュリティ能力を証明しました。一方、BYDは自社開発の「iDDog」インテリジェントセキュリティプラットフォームを活用し、「データの迂回、浄化、活性化」という3段階のロジックに従って、データのサイロ化を解消し、高品質なデータインフラを構築しています。また、3つの主要なAIエージェントを導入してセキュリティ運用の効率を高め、コンプライアンス要件を堅牢な運用能力として定着させています。中国自動車工業協会（CAAM）が主導する「5つのコンプライアンス検査」は引き続き進展しており、第3弾では13社の49車種、第4弾では9社の43車種が検査に合格しました。車外で収集された人間の顔データの匿名化や、コックピットデータの車内処理といった要件は、業界における標準的な構成となりつつあります。

事実が証明しているように、コンプライアンスはあくまで出発点に過ぎません。セキュリティ能力を持続可能な運用上の強みへと転換することこそが、企業が産業サイクルを乗り切るための競争優位性となります。

II.頻発するサプライチェーン侵害 - セキュリティガバナンスは全領域および全ライフサイクルを網羅しなければならない

2025年の自動車業界における最も痛ましい教訓を問われたら、その答えはおそらくこうなるでしょう。「攻撃者はもはや総当たり攻撃による侵入を試みるのではなく、信頼されたパートナーのチャネルを通じて潜入する」ということです。スマートコネクテッドカーのサプライチェーンは極めて複雑であり、どのリンクに1つの脆弱性があるだけでも、蟻の巣が原因で堤防が決壊するような壊滅的な結果を招く恐れがあります。

2025年3月、ハッカー「Rey」が、ソースコード、開発ログ、従業員データベースを含むジャガー・ランドローバーの内部文書約700件をダークウェブ上に流出させましたが、これは単なるイントロダクションに過ぎませんでした。同年8月、ハッカー集団「Scattered Lapsus$Hunters」が同社の世界の生産システムに侵入し、英国の製造工場の全面操業停止と、3万3,000人の従業員に対する強制休暇を余儀なくさせました。また8月には、日産傘下の設計子会社が脅威アクター「Qilin」によるランサムウェア攻撃を受け、4TBもの中核的な設計データが盗まれました。クラウドストレージサービスプロバイダーのSnowflakeも侵害され、自動車部品小売業者のAdvance Auto Partsを含む165社の下流企業に二次被害が及びました。2025年末までに、世界のワイヤーハーネス大手である矢崎グループは、ランサムウェア攻撃者によって350GBのデータを盗まれ、その中にはBMWや日産に供給される部品の完全なドキュメントが含まれていました。タイのOEMであるTRUの事例はさらに典型的なものです。1TBのデータが盗まれ、ESXiサーバーが暗号化の標的となり、ERPおよび物流システムが広範囲にわたりオフライン状態となり、一部の生産ラインは手動によるスケジューリングへの切り替えを余儀なくされました。

これらのインシデントを総合すると、攻撃パターンにおいて3つの明確な変化が浮かび上がります：

標的の具体化 - 攻撃者は、単なるデータ窃取から、知的財産の流出や生産活動の直接的な麻痺へと手口をエスカレートさせています；

サプライチェーンを標的とした攻撃経路 - 全インシデントの半数以上が、クラウドサービスプロバイダー、IT子会社、およびサードパーティサプライヤーを介して間接的に実行されており、サプライチェーンが最も脆弱な部分となっています；

標的型ランサムウェア - 悪意のある攻撃者は、設計図面などの高価値データを特に標的にしています。

こうした脆弱性の露呈により、業界の対策強化が進められています。自動車メーカーは、サプライチェーンのセキュリティに対する主要な責任主体として広く認識されており、「サイバーセキュリティ・インターフェース協定（CIA）」を締結することで、ティア1サプライヤーに責任を転嫁しています。ISO/SAE 21434認証は、ティア1サプライヤーにとって必須の参入要件となっており、この「セキュリティ信用状」がなければ、企業は中核となるサプライチェーンに参入することができません。欧州市場をターゲットとする企業にとって、TISAX認証は避けて通れない要件です。それにもかかわらず、全体的な状況は依然として「大手OEMが主導権を握る一方で、中小のサプライヤーは遅れをとっている」という特徴を呈しています。中小のTier 2およびTier 3サプライヤーに対しては、ほとんどの自動車メーカーが書類監査のみを実施しており、現地検証のカバー率は極めて低く、トレーサビリティの連鎖も不完全なままです。

全領域・全ライフサイクルにわたるサプライチェーンセキュリティシステムの構築は、業界の共通認識となっています。Geelyは、その模範となるベンチマークを示しています。同社は、中国で初めてCNAS認定を受けたIoVサイバーセキュリティ研究所の一つを設立し、システムセキュリティ、通信セキュリティ、データセキュリティなど12の主要な試験項目について、攻撃者の視点から200以上の定期的な試験項目を実施し、その研究成果を先行研究開発のワークフローにフィードバックしています。2025年12月、吉利は「世界の全領域セキュリティセンター」および「全領域セキュリティ2.0」技術システムを正式に立ち上げました。この2.0システムは、その視点を「車両全体のセキュリティ」から、「人・車・道路・クラウド・衛星」という生態系的な視点へと拡大しています。生命の安全、健康の安全、財産の安全、プライバシーの安全という4つの中核的なセキュリティ領域を維持しつつ、9つの主要なセキュリティシステムを反復・アップグレードし、あらゆるシナリオとライフサイクルを網羅する保護ネットワークを構築しています。

一方、サプライチェーンメーカーに対するセキュリティ適合性評価の精緻化が継続的に進められており、以下の厳格な要件が導入されています。サードパーティ製コンポーネントには、6ヶ月以上前に公開された未修正の高リスク脆弱性が含まれていてはなりません。高リスク脆弱性は72時間以内に修正され、再検証されなければなりません。OTAアップデートパッケージにはOEM独自の鍵による署名が必要であり、特定のシナリオではサプライヤーとOEMによる二重署名が求められます。また、車載端末は、署名が欠落、偽造、または改ざんされたアップデートパッケージを識別し、遮断しなければなりません。例えば、Seres社は300社あったティア1サプライヤーを100社に絞り込み、CATL社やBosch社と深く組み込まれたセキュリティ連携を確立することで、セキュリティ管理の範囲を管理可能な規模に縮小しました。基盤となるハードウェア層では、例えばThinkTech社のAlioth TTA8シリーズMCUが、ASIL-D機能安全規格とEVITA FULLサイバーセキュリティを統合しており、シャーシドメインのマスター制御チップにおける国内のギャップを埋め、サプライチェーンの独立した制御性と安全性を源流から保証しています。

サプライチェーンセキュリティの本質は、セキュリティの境界を「自社の車両」から「車両内のすべてのコード行、すべてのチップ、すべてのサプライヤー」へと拡大することにあります。全領域および全ライフサイクルを網羅することが不可欠であり、どのリンクも省略してはなりません。

III.諸刃の剣としてのAI - 攻撃対象領域は意図層にまで拡大し、防御には「AIでAIに対抗する」ことが求められる

車両への大規模モデルの導入は、コックピットのスマート化をもたらすだけでなく、まったく新しい攻撃の次元ももたらします。サプライチェーンの汚染、プロンプトハイジャック、過剰なプロキシなど、AIに特有のリスクが、急速に車両端末へと移行しつつあります。車両の大規模モデルが、ナビゲーション、決済、充電、車両制御のためのツールチェーンと接続されると、もともとクラウドチャットボットに限定されていた攻撃チェーンが、そのまま車両に移植される可能性があります。特にMCP接続のエコシステム内では、ツールポイズニングなどの高リスクな攻撃ベクトルが、LinuxやAndroidを実行するIVIシステムを直接脅かしています。

OpenClawに代表される新しいエージェントは、高いレベルのシステム権限を活かし、意図の理解からタスクの完了に至るまでの閉ループを形成することに優れています。しかし、車載環境においては、これはシステム内に永続的なデジタルエンティティが存在することを意味し、そのエンティティは車両データへの部分的なアクセス権や、車両制御コマンドを呼び出す権限を保持することになります。プロンプトの注入により、エージェントに意図しない操作を実行させることが可能です。改ざんされたサードパーティ製のナビゲーションプラグインは、運転習慣を漏洩させる永続的なトロイの木馬として機能する恐れがあります。また、Q&Aシナリオにおける無害な「幻覚」も、プロキシシナリオでは重要データの削除といった危険な操作へとエスカレートする可能性があります。さらに厄介なのは、規制上の矛盾です。ISO 26262、UN R155/R156、GB 44495などの規格は、決定論的、予測可能、検証可能、かつ追跡可能なシステム挙動を義務付けていますが、エージェントは本質的に非決定論的であり、創発的な特性を備えています。業界の解決策は、「完全な委任ではなく権限の付与」です。つまり、権限サンドボックスや機能フェンスを導入し、エージェントの動作をインフォテインメントやその他の低リスク領域に限定します。すべての車両制御要求は、セキュリティミドルウェア層による仲裁を義務付けなければなりません。また、高リスクな操作についてはHMIを介して確認を行い、安全上重要なすべての決定において、人間がループ内に留まることを確実にします。

攻撃対象領域が進化するにつれ、防御メカニズムもそれに合わせて進化させなければなりません。業界の解決策は明快です。AIにはAIで対抗するということです。

AIがもたらす「槍」に直面し、業界はさらに鋭い「盾」を打ち立てなければなりません。例えば、Anban Techは、新しいインテリジェント・コネクテッド・ビークル（ICV）のセキュリティパラダイムを、「AI大規模モデル駆動型エージェント保護＋車両通信プロトコルセキュリティ＋クローズドループ型サプライチェーンセキュリティ」に据えています。これにより、セキュリティ機能は従来の後付けパッチ適用から、ライフサイクル全体にわたるプロアクティブなガバナンスへと移行します：

大規模モデルを活用し、自然言語を通じて車両のEEアーキテクチャ文書全体、モデル横断データベース、およびVSOC資産インベントリを解析し、ECU、センサー、通信インターフェース、その他の重要資産を自動的に特定して、資産相関フレームワークをマッピングします。LLMを活用したインテリジェントTARAプラットフォームは、セキュリティ対象、セキュリティ要件、脅威シナリオ、攻撃経路を自動的に生成し、自動化された可視化されたリスク評価を可能にします。

リスク是正の際、本プラットフォームは影響の深刻度、攻撃の実現可能性、およびリスク評価マトリックスを組み合わせて、是正措置の決定を自動的に生成し、作業指示を発行します。これにより、「AIによる検知-AIによる分析-AIによる決定-AIによる閉ループ」という運用ワークフローを形成し、車両セキュリティ評価サイクルを大幅に短縮します。

QAX AISOCは、このアプローチの代表的な例です。本システムには、データ収集、脅威検知、インテリジェントな判断、インテリジェントな調査、インテリジェントな対応、インシデントの根絶、最適化フィードバック、レポート生成という8つの運用リンクを担当する8つのエージェントが組み込まれています。OODAループに基づき、自律的な防御システムを構築し、セキュリティ運用を「人間主導の脅威ハンティング」から「自動化された脅威通知」へと変革します。実証データによると、AISOCを導入した世界の高級自動車メーカーでは、1件のアラートに対する分析・評価時間を9秒未満に短縮し、有効なアラートの識別精度は93.1％に達しており、従来の手動モードに比べて2.7倍の改善を実現しています。

従来のセキュリティ分析プロセスであるTARAも、AIによって再構築が進められています。GoGoByte DefenseWeaverにはGoGoAIエージェントが組み込まれており、モデル、学習および推論データ、プロンプトのエントリポイント、ナレッジベース、ツールの呼び出しチェーンといった、あらゆる新たなリスクベクトルをTARAの範囲に組み込んでいます。同ツールは、リスクが単にコードの脆弱性から生じるだけでなく、誤ったモデル、汚染されたデータ、誤用されたツールからも生じると判断しています。このツールは、FAW BestuneやLuxshare Precisionといった顧客企業に加え、CATARC、中国招商自動車技術研究院、CEPREIなどの国家検査機関にも利用されており、TARAの効率を80％向上させています。Callisto S3-TARAは異なるアプローチを採用しています。10体以上のエージェントが連携して、16の候補となる「思考の連鎖（Chains of Thought - CoT）」から最適な解決策を選別します。これは、10万件以上の因果連鎖データセット、300万件以上のセキュリティシナリオサンプル、および100万件以上のナレッジベースQ&Aペアに基づいて構築されたデータ基盤によって支えられています。

自動車メーカーも手をこまねいてはいません。BYDのiDDogプラットフォームは、メールフィッシング、端末からのデータ漏洩、異常トラフィックを対象とした3つのAIエージェントを実装し、セキュリティインシデントへの対応時間を45分から5分に短縮しました。Li AutoはVolcano Engineと提携し、Feishuのグループチャットで指示を受けると、作業指示書の自動作成、コードのスキャン、脆弱性の修正、再検証を実行できるAIインテリジェントアシスタントを開発しました。これにより、人間の承認を得て、ワンストップのクローズドループ解決が可能になりました。AIネイティブは、単なる概念的なスローガンから、日々のセキュリティ運用へと移行しています。

IV.サイバーセキュリティは、受動的な対応から能動的な脅威ハンティングへと進化しています

サイバーセキュリティの分野において、従来の受動的な防御の考え方は、急速に進化する攻撃ベクトルにもはや追いつくことができません。2025年だけで、206件の自動車セキュリティインシデントと238件の新規脆弱性が記録されました。脅威アクターは、その目的をデータ窃取から知的財産の流出、さらには生産・製造業務の直接的な麻痺にまでエスカレートさせています。したがって、自動車メーカーは、脅威の検出、分析、対応、是正を網羅する能動的な脅威ハンティング機能を備えた、実戦対応可能なサイバーセキュリティシステムを構築しなければなりません。

セキュリティ専門家たちが提案する解決策は、体系的な防御にあります。Seres社は、「クラウド・パイプ・デバイス・チップ」という多層的な深層防御アーキテクチャを展開し、QAX社と連携して、CANバス、車載ホスト、イーサネット各層に侵入検知システムを導入しています。同社のVSOCプラットフォームは約20万台の車両を監視し、EUへ輸出される車種に対して「サイバーセキュリティ適合証明書」を発行しています。そのインテリジェントセキュリティシステムは、200以上の車両使用シナリオと400以上のセキュリティ機能を網羅しています。2026年4月には、「Security 4.0」をリリースし、受動的・能動的安全からインテリジェントセキュリティへと進化させました。

専門のセキュリティプロバイダーも、ツールキットをアップグレードしています。次世代のインテリジェント・コネクテッド・ビークル（ICV）セキュリティ運用プラットフォームである「ACT VSOC+」は、この理念を体現しています。AIストリーミングコンピューティングエンジンを搭載し、脅威検知性能を500％向上させ、2,800以上の車両信号に基づく車両セキュリティのデジタルツインモデルを構築します。さらに、ECU、信号、シナリオの3つの側面から脅威を正確に特定することで、脅威の検知および対応サイクルを「日単位」から「分単位」へと短縮します。

基盤となるプロトコルセキュリティ層では、TICPSH社の「SmartRocket TestSec」という自動化されたインテリジェントファジー侵入テストツールが、SOME/IP、DoIP、CAN/CAN FDなどの主要な車両プロトコルに対してディープファジー攻撃や侵入テストを実行し、潜在的な脆弱性を先制的に発見することで、セキュリティの防衛ラインを研究開発（R&D）のテスト段階へと前倒ししています。UniSentry Intelligent Technology社のSecIC-HSMファームウェアは、約30社のOEMに採用されており、インフィニオン社のAURIX TC4X上で4.8GbpsのAESスループットを実現し、CANバスの伝送を中断することなく、OTA更新の検証とセキュア・オンボード・コミュニケーション（SecOC）の並行実行を可能にしています。これらのソリューションは、自動車メーカーが単なるコンプライアンスの遵守から、先を見据えたセキュリティへの飛躍を遂げるのに役立ちます。

OEMやサプライヤーの間で、孤立したスタンドアロンのセキュリティ製品では体系的なセキュリティ問題を解決できず、多層的な深層防御と能動的な免疫システムこそが正しい解決策であるというコンセンサスが形成されています。

V.データセキュリティはプライバシーコンプライアンスからフルリンクガバナンスへと移行し、国境を越えたデータ管理が必須の課題となる

データはスマートビークルの「血液」であり、そのセキュリティは収集、送信、保存、利用、共有、破棄というライフサイクル全体に及びます。自動車データセキュリティの独特な特徴は、データがプライバシーとコンプライアンスの両方の属性を持ちながら、知覚トレーニング、地図サービス、モデル反復、遠隔操作、事故の追跡可能性を直接サポートしている点にあります。データの不適切な収集、送信、利用、または改ざんは、規制当局による罰金にとどまらず、車両の挙動に悪影響を及ぼす可能性もあります。

2026年2月3日、工業情報化部や中国サイバー空間管理局を含む8つの省庁が共同で、「自動車データの国外移転セキュリティに関するガイドライン（2026）」を発表しました。同ガイドラインでは、海外へ転送されるデータを「一般」「重要」「機密」の3段階に分類するとともに、品質保証・保守データ、OTA更新データ、セキュリティ脆弱性修正資料など、9つの適用除外シナリオを定義しています。また、明確な届出基準が設けられており、企業は「重要」データを海外へ転送する場合、または100万人以上の個人情報／1万人以上の機密個人情報を外国の事業体と共有する場合、越境データ転送のセキュリティ評価を実施しなければなりません。2026年上半期に前年同期比65.3％の輸出伸びを記録した中国の自動車産業にとって、このガイドラインは国境を越えるデータフローにおけるグレーゾーンを解消し、業界の取り組みを「試行的な模索」から「明確なコンプライアンス」へと転換させるものです。同時に、海外の規制も強化されています。輸出を主軸とするOEMには12段階のGDPRコンプライアンス・ロードマップが適用され、日本の改正個人情報保護法（APPI法）では初めて利益に基づく罰金算定が導入され、韓国の個人情報保護法（PIPA）は厳格なガバナンス段階に入りました。国境を越えるデータフローのガバナンスは、複数の法域にまたがる必須のコンプライアンス課題となっています。

自動車メーカー各社は、独自の対応策を講じています。NIOの「Sentry Mode」リモートビュー機能は、エンドツーエンドの暗号化とリアルタイムのデータ非識別化を実装しており、ナンバープレートや人物の顔を自動的にぼかし、NIO自身でさえ復号できない映像を実現することで、コンプライアンスに準拠したリモートビュー機能を提供する中国初のOEMとなりました。同社が独自に開発したNPCCフレームワークは、業界初のデバイス・クラウド統合型AIエージェントセキュリティフレームワークであり、機密データに対して「計算後の即時データ消去」を徹底しています。Leapmotorは車内処理の原則を遵守しており、車載カメラはローカル計算用の特徴点のみを収集し、クラウドへのアップロードは行わず、すべての通信トラフィックはAES-256によるエンドツーエンド暗号化で保護されています。ZEEKRの「Data Safe」システムは、ゼロトラスト方式の多段階アクセス制御を実装しており、不正な異常アクセスを検知すると20秒以内にデータサーキットブレーカーを作動させ、ストレージメディアの物理的なデータ破壊機能も備えています。XpengはAlibaba Cloudと提携し、新型モデルP7にポスト量子セキュリティアルゴリズムを導入しました。これは、デジタルキー、車両のリモート制御、およびすべての車両モードにおけるOTAをカバーしています。

NPCC（NIOが業界で初めて導入したデバイス・クラウド統合型AIエージェントセキュリティフレームワーク）の「Sentry Mode」における「Remote View」

データセキュリティサービスプロバイダー各社は、ソリューションをさらに洗練させています。Eagle Cloud Hub AI-DLPは、ガバナンスの対象を「人間」から「人間スタッフ＋AIスタッフ」という二重の主体へと拡大し、両者に対して統一されたID管理、一貫したセキュリティポリシー、標準化された監査を実施するとともに、外部への配布、ダウンロード、コピー、スクリーンショットなど、データ漏洩の経路に対するきめ細かな制御を実現しています。同社の顧客には、吉利控股（Geely Holding）、Li Auto、Leapmotor、Seresなどが名を連ねています。Agile Technology社のEDLPソリューションは、暗号化とDLPを深く統合した革新的なアーキテクチャを特徴としています。データの発生源から着手し、「識別・分類・暗号化・アクセス制御・監査」を網羅する完全な閉ループ型の予防・制御システムを構築することで、AI時代において設計図面や研究開発データなどの重要な営業秘密のセキュリティを確保します。2026年5月、Agile Technologyは自動車業界のリーディングカンパニーから、5,000ノード規模のデータセキュリティプロジェクトの入札を勝ち取りました。

国境を越えたデータコンプライアンスに関しては、CATARCが「経路計画－リスク評価－ポリシー策定－評価申告」という4段階の包括的なサービスワークフローを提供し、OEM各社がデータフローの全経路を明確化し、予防・管理・追跡が可能なコンプライアンスを実現できるよう支援します。

VI.セキュリティは「コストセンター」から「中核的な競争優位性」へと変革される必要があります

明確な動向が特定された今、どのようにエンジニアリングを実装すべきでしょうか。主要企業の事例を参考にすると、自動車メーカーが直ちに取り組むべき行動がいくつかあります：

システムを表面的なコンプライアンス文書として扱うのではなく、中核となるワークフローに組み込むこと。ISO/SAE 21434規格を中心としたフルライフサイクルのCSMS/SUMSシステムを構築し、TARA脅威モデリングをコンセプトおよび設計段階へと前倒しすることで、セキュリティの「左シフト」を実現すること。サプライヤーに対してSBOMおよびコードセキュリティ要件を義務付け、サイバーセキュリティ・インターフェース契約（CIA）を通じてセキュリティの責任を下流へ波及させること。

VSOC（車両セキュリティ運用センター）を、単なるアラートダッシュボードから中核的な運用ハブへと変革します。具体的な効率化策は以下の通りです。すべてのアラートに根本原因のタグを付与することで、アラートガバナンスを「件数削減」から「根本原因の閉ループ管理」へと転換すること。静的なリスク格付けを動的な重み付けモデルに置き換えること。ワンクリックでのコンテキストカプセル化により、アラート1件あたり15分かかる手動分析時間を短縮すること。シナリオベースの緊急対応カードを作成し、発生頻度の高いシナリオに対しては半自動のSOAR（セキュリティ・オーケストレーション、自動化、および対応）プレイブックを導入し、証拠の自動保存とレポートの自動生成を実現します。基盤となる車両セキュリティデータセンターを構築し、オペレーターが単一のVINを取得するためだけに5～6つの別々のシステムにログインする必要をなくします。チームレベルでは、SOPライブラリやナレッジベースを整備し、年1回の大規模な演習を、定期的な小規模な実践セッションに置き換えます。

フルリンクのデータセキュリティエンジニアリングを実施します。データ分類と格付けを基盤とし、暗号化、非識別化、アクセス制御、国境を越えたモニタリングを中核的な運用ツールとします。国境を越えた事業に対しては、「ルート計画→リスク評価→ポリシー策定→コンプライアンス宣言」という4段階のワークフローを採用し、その場限りのプロジェクト対応から、標準化された継続的な運用へと移行します。

適切なシナリオでAIを導入します。AI TARAプラットフォームを活用して脅威モデリングの効率を高め、AI SOCシステムを活用してアラート分析のオーバーヘッドを削減し、デジタルツイン技術を採用してリスクの粒度を精緻化するとともに、車両エージェントに対して権限サンドボックスと機能フェンスを適用し、すべてのハイリスクな操作については、必ず人間による承認ゲートを維持します。

セキュリティ開発は、「コストセンター」から「中核能力」へと転換しなければなりません。コンプライアンスが基盤となり、セキュリティ運用がその上限を決定します。業界がAI主導の車両時代へとさらに深く進むにつれ、この原則はますます重要性を増していくでしょう。

目次

定義

第1章 自動車サイバーセキュリティ

• インテリジェントビークルのサイバーセキュリティ攻撃シナリオ
• サイバーセキュリティ攻撃シナリオ1：IVI
• サイバーセキュリティ攻撃シナリオ2：T-BOX
• サイバーセキュリティ攻撃シナリオ3：自動車ゲートウェイ
• サイバーセキュリティ攻撃シナリオ4：OTA
• サイバーセキュリティ攻撃シナリオ5：TSP
• サイバーセキュリティ攻撃シナリオ6：OBD
• サイバーセキュリティ攻撃シナリオ7：UDS
• サイバーセキュリティ攻撃シナリオ8：ADAS
• サイバーセキュリティ攻撃シナリオ9：充電ネットワークシステム
• サイバーセキュリティ攻撃シナリオ10：電話IoVアプリ
• インテリジェントドライビングのサイバーセキュリティリスク
• 保護リンク1：ハードウェアセキュリティ
• 保護リンク2：ファームウェアのセキュリティ
• 保護リンク3：システムセキュリティ
• 保護リンク4：バスのセキュリティ
• 保護リンク5：無線セキュリティ
• 保護リンク6：ネットワークシステムセキュリティ
• 保護リンク7：クラウドセキュリティ
• 保護リンク8：センサーセキュリティ
• 保護リンク9：アルゴリズムのセキュリティ
• 保護リンク10：データセキュリティリスク
• 保護リンク11：ビジネスロジックのセキュリティ
• 2025年～2026年5月までの主要自動車セキュリティインシデントのサマリー
• 観察視点1：サイバーセキュリティ脅威の概観
• 観察の視点2：インテリジェントコネクテッドカーの脆弱性の現状
• 観察の視点３：インテリジェントコネクテッドビークルクラウドプラットフォームの脆弱性状況（１）
• 観察の視点３：インテリジェントコネクテッドカークラウドプラットフォームの脆弱性状況
• 対策：車両クラウドセキュリティに関する10の推奨事項
• 攻撃の変遷動向とセキュリティ構築に関する推奨事項
• インテリジェントコネクテッドカーサプライチェーンセキュリティ
• インテリジェントコネクテッドカーサプライチェーンのサイバーセキュリティの概念
• サプライチェーンにおけるサイバーセキュリティ管理の現状
• サプライチェーンにおけるサイバーセキュリティ問題の分析
• サプライチェーンのサイバーセキュリティ保護アーキテクチャ
• インテリジェントコネクテッドカーサプライチェーンのサイバーセキュリティに関する受入評価
• 自動車データセキュリティシステムの評価
• 技術要件および試験評価
• AIの導入により攻撃対象領域が拡大
• 車両へのAI導入別もたらされる新たなリスクの分析
• OpenClawの導入は危険を伴うため、車両への展開には「安全ベルト」が必要
• 自動車サイバーセキュリティ構築に関する推奨事項
• AI攻撃対応事例1：QAX AISOC
• AI攻撃対応事例2：AI TARAツールDefenseWeaver
• AI攻撃対応事例3：ThreatTrace
• AI攻撃対応事例4：SecZone SecONE

第2章 自動車データセキュリティ

• データセキュリティリスク
• 中国乗用車に関する国家強制規格のサマリー
• インテリジェントドライビングのサイバーセキュリティおよびデータセキュリティに関する方針と規制
• インテリジェントドライビングサイバーセキュリティ標準システム：サイバーセキュリティ基準
• インテリジェントドライビングサイバーセキュリティ標準システム：データセキュリティ基準
• インテリジェントドライビングサイバーセキュリティ標準システム：AIセキュリティ標準
• 自動車データセキュリティコンプライアンス要件5項目に適合する車両モデル49車種
• 企業にとって国境を越えたデータ転送は必須業務である
• 自動車データの送信セキュリティに関するガイドライン（2026年）
• 自動車データの国外移転に関する届出が免除される9つのシナリオ
• 予防可能、制御可能、追跡可能なデータセキュリティシステムソリューションの事例：アジャイルテクノロジー
• GDPR準拠のための12ステップロードマップ
• 世界自動車メーカー向け越境データ転送：日本から中国、中国から日本
• 世界自動車メーカー向け越境データ転送：韓国から中国、中国から韓国
• 世界自動車メーカー向け越境データ転送：韓国-中国間、中国-韓国間
• 事例1：CATARCが国境を越えたデータ転送コンプライアンスのためのフルプロセスサービスシステムを構築
• 事例2：EY Tech Horizon「世界の越境データ転送および自動車サイバーセキュリティコンプライアンスプラットフォーム」ソリューション
• データセキュリティ事例1：Agile Technology
• データセキュリティ事例2：Eagle Cloud
• データセキュリティ事例3：SafePloy
• データセキュリティ事例4：Hongtu Technology
• データセキュリティ事例5：Jilin University Zhengyuan (JIT)
• データセキュリティ事例6：China Machinery Boye
• データセキュリティ事例7：Sheng An Information

第3章 代表的なOEM企業のサイバーセキュリティ／データセキュリティ対策

• Seres
• Leapmotor
• Xpeng
• NIO
• Li Auto
• BYD
• Geely

第4章 代表的な自動車セキュリティハードウェアサプライヤー

• UniSentry Intelligent Technology
• ThinkTech
• Shanghai Hangxin
• HSEC
• Nsing Technologies
• Huada Electronic
• Tongxin Micro

第5章 主要な自動車セキュリティソフトウェアサプライヤー

• ソフトウェアセキュリティサプライヤー
• Anban Tech
• SOURCEGUARD
• Swift SCA
• TICPSH
• Chiwu Technology
• ZC Technology

第6章 一般的な車両インターネット（IoV）セキュリティプロバイダー

• Vecentek
• Callisto Technology
• R-IDPS
• GoGoByte
• INCHTEK
• inTARA-NEO
• inHSM
• IDPS
• Secdeer
• Topsec
• VSOC
• Anda Tianxia
• Zijin Zhilian
• Sheng An Information

第7章 動向とサマリー

• 代表的な自動車セキュリティハードウェアサプライヤーとそのソリューションのサマリー
• 主要な自動車セキュリティソフトウェアサプライヤーとそのソリューションのサマリー
• 代表的なIoVセキュリティプロバイダーとそのソリューションのサマリー
• 主要OEM間のサイバーセキュリティとデータセキュリティの比較
• データセキュリティサービスプロバイダーの代表的なソリューションのサマリー
• IDPS/VSOCのサマリーと、インテリジェントコネクテッドカー向け統合ソリューション
• VSOCの運用効率を向上させるための実践方法
• トレンド