自動車および組込みシステムのセキュリティに関する上級者向けトレーニング

自動運転車に対する期待はますます高まり、自動車業界は大きな転換点を迎えようとしています。今後は快適性、利便性、安全性の面で大きなメリットがあると考える人もいれば、自動車の自律性やハッカーによる車両への攻撃を懸念する人もいます。しかし、自動車の効果的な組み込みセキュリティに対するニーズは自動運転車が出現する前から存在していました。今日の車両は、走行距離計の不正操作、車両エレクトロニクスへの望ましくないアクセスやその他の数多くの脅威からの保護を既に必要としているのです。

このセキュリティトレーニングは、自動車産業固有のITセキュリティに関する知識を学ぶことを目的としています。そのため当社ではセキュアなECU設計からセキュアなオンボードネットワーキングやセキュアなコネクテッドカーへとつながる全体論的なアプローチを取っています。トレーニングで学習した内容が身につくよう、応用問題と事例も用意されています。

• 期間：2日間
• レベル：上級

参加対象者

• ECU、車載ネットワーク、コネクテッドカーサービスのセキュアな設計のために、自動車セキュリティの原理をしっかりと理解する必要がある製品マネージャやプロジェクトマネージャ
• セキュリティ要件およびセキュリティコンセプトの分析と定義を担当する自動車製品エンジニア

トレーニングの目標

• 自動車セキュリティの現状を知る
• 自動車セキュリティの全体像を把握する
• セキュアなECU開発の課題と解決策を理解する
• セキュアなネットワーキングの課題と可能性を理解する
• セキュアなコネクテッドカーの課題と可能性を理解する
• 学習で学んだ理論を実際の事例に応用する方法を学ぶ
• 最も重要な自動車セキュリティ基準について学ぶ

必要条件

• 自動車システムに関する基本的な技術（エンジニアレベル）を理解していること
• 暗号およびITセキュリティに関する基本的な技術（セキュアな製品設計または同等の知識）を理解していること

このトレーニングでは、基本的な接続性の概要と、IoTプロトコルおよびテクノロジーに関する詳細情報の両方を扱います。

• 期間1日
• レベル：上級

参加対象者

• コネクテッドまたはIoT製品のセキュアな設計に関して確実に理解する必要がある製品マネージャまたはプロジェクトマネージャ
• セキュリティ要件の分析と定義やコネクテッドまたはIoT製品のセキュリティコンセプトの定義を担当する製品エンジニア

トレーニングの目標

• 接続性に関して他とは異なるセキュリティ側面を理解する
• 高度なアクセス制御の重要な側面を理解する
• セキュアなプロトコル構成および落とし穴に関する概観的知識を確立する
• モノのインターネット（IoT）のプロトコルに関する基礎を学習する
• インターフェースに対する脅威とその軽減法を理解する
• ウェブサービスと考えられる脆弱性に関する基礎を身につける

必要条件

• 数学および情報技術に関する基本的な技術（エンジニアレベル）を理解していること

• 暗号およびITセキュリティに関する基本的な技術（セキュアな製品設計または同等の知識）を理解していること

製品開発の組織的および技術的側面に対応する基本的なITセキュリティトレーニングです。このトレーニングでは古典的な開発プロセスとアジャイル開発プロセスにおけるセキュリティタスク、暗号技術、基本的なITセキュリティ対策に重点が置かれています。

• 期間：2日間
• レベル：ベーシック

参加対象者

• セキュアな製品設計に必要な一般的なセキュリティ原理、プロセスおよびツールに関して確実に理解する必要がある製品またはプロジェクトマネージャ
• セキュリティ要件の分析と定義やセキュリティコンセプトの定義を担当する製品エンジニア

トレーニングの目標

• セキュリティのさまざまな側面を理解する（理論と実践、課題など）
• セキュリティの基礎を学習し理解する（基本用語など）
• セキュアなソフトウェア開発ライフサイクルの確立方法を学習する
• 暗号ツール、アルゴリズム、およびプロトコルに関する基礎知識の確立
• アクセス制御の重要な側面（認証および承認）を理解する
• 主要なセキュリティ原理を適用する方法を学習する
• セキュアなコーディングテクニックを理解する

必要条件

• 数学および情報技術に関する基本的な技術（エンジニアレベル）を理解していること

このセキュリティトレーニングでは、自動車製品の一般的なサイバーセキュリティテストライフサイクルについて学び、実践的で効果的なセキュリティテスト手法の概要を理解し、グローバルな自動車規制・規格の要件を満たす方法を理解します。

• 期間：1日間
• レベル：ベーシック

参加者

• セキュリティテスト方法と開発ライフサイクル全体でのテストの適用方法に関して確実に理解する必要がある製品マネージャ、プロジェクトマネージャ、テストマネージャ、およびセキュリティマネージャ
• テスト戦略の実行を担当するシステムエンジニア、システムアーキテクト、およびテスター

トレーニングの目標

• セキュリティテストの目的、課題、および制限事項を理解する
• 製品開発ライフサイクルを通じてセキュリティテストを十分に考察する方法を学習する（ライフサイクルのさまざまな段階でのテスト活動など
• さまざまなセキュリティテスト手法の概要を知り、その違いを理解する
• セキュリティテストの基本原則を学び、理解する
• セキュリティテストのどのテストセットアップで「何」をターゲットにするかを学習し理解する（システム、デバイス、コンポーネント、インターフェースなど）
• 特定された弱点にどのように対処し、どのような緩和策があるかを知る
• 最も著名な規格や規制からセキュリティテストの要件を理解する
• 個々のトピックの理解を深めるために対話型の練習問題を行う

必要条件

• システム／製品およびシステム／製品開発に関する技術を理解していること
• ITセキュリティの基礎を理解していればなお良い

しっかりとした脅威分析とリスクアセスメント（TARA）は、徹底したセキュリティコンセプトの基礎であり、開発プロセスにおけるすべてのセキュリティ関連ステップの基礎でもあります。この上級コーチングでは、共通の基準に基づき、ISO/SAE 21434 に完全に沿った、確立され承認済みのTARA の方法論について説明します。

理論を学習した後の実践的なパートでは、参加者が自社のためにTARAを作成し、ETASのトレーナーがサポートとレビューを行います。

• 期間3日間（約3ヶ月間）
• レベル: コーチング

参加対象者

• 製品開発プロセスにおける脅威分析とリスクアセスメントの方法論を理解する必要がある製品マネージャ、およびプロジェクトマネージャ
• 製品開発プロセスにおける脅威分析とリスク評価の実施に責任を負うセキュリティ管理者

コーチングのトピック

• 脅威分析とリスクアセスメントが、効率的かつ効果的なリスク管理にどのように寄与するかを学び、理解する（ISO/SAE 21434など）。
• 脅威分析とリスク評価がどのように行われるかを知る
• システムの脅威分析とリスクアセスメントの実施

フィールドへの導入から開始し、お客様のセキュリティテストの現状を評価し、ギャップを特定し、将来に向けた戦略を開発します。

• 期間：1日間
• レベル: コーチング

参加対象者

• セキュリティテスト方法と開発ライフサイクル全体でのテストの適用方法に関して確実に理解する必要がある製品マネージャ、プロジェクトマネージャ、テストマネージャ、およびセキュリティマネージャ

トレーニング目標

• セキュリティテストの目的、課題、および制限事項を理解する
• 製品開発ライフサイクルにおけるセキュリティテストの徹底的な検討方法（ライフサイクルの各フェーズにおけるテスト活動など）を知る
• さまざまなセキュリティテスト手法の概要を知り、その違いを理解する
• セキュリティテストの基本原則を学び、理解する
• セキュリティテストのどのテストセットアップで「何」をターゲットにするかを学習し理解する（システム、デバイス、コンポーネント、インターフェースなど）
• 特定された弱点にどのように対処し、どのような緩和策があるかを知る
• ワークショップの期間中にセキュリティテスト戦略の原案を作成する
• 最も著名な規格や規制からセキュリティテストの要件を理解する
• トレーナーとともに自社の現状を分析する
• 現状をベストプラクティスやその他の要件と比較する
• 将来の目標像を描き、次のステップを明確にする

必要条件

• システム／製品およびシステム／製品開発に関する技術を理解していること
• ITセキュリティの基礎を理解していればなお良い
• 可能な場合は、自社のセキュリティテスト戦略について全体像を把握しておくこと

このトレーニングでは、最新の国際規格が求めるセキュリティ要件と、その実装方法を学びます。

• 期間：1日間
• レベル：ベーシック

参加対象者

• 要求水準やカタログ、国際規格に示されたセキュリティ目標について学びたいリスクマネージャ
• 標準的なカタログからセキュリティ要件を導き出す基礎を学びたい製品オーナー

トレーニングの目標

• 情報セキュリティ基準の紹介
• ISO 27001（情報セキュリティマネジメント）
• OWASP ASVS（アプリケーションセキュリティ検証標準）v4.X
• OWASP MASVS（モバイルアプリケーションセキュリティ検証標準）v1.2
• NIST 800-53（セキュリティ及びプライバシー管理のカタログ）

必要条件

• マネジメントシステムの基礎知識があること
• セキュリティ基準に関する基礎知識があること

ISO/SAE21434の要件と、国連規則155（UNECE WP.29）に関するサイバーセキュリティ管理全体に重点を置いた、高度なITセキュリティトレーニングです。このトレーニングでは、リスクアセスメントや、コンセプトから開発、開発後までのさまざまなエンジニアリングフェーズをカバーします。

参加者は、TÜV [PA(SB3)] Rheinlandによる「Cybersecurity Automotive Professional」の個人認定を受けることができます。

• 期間：2日間
• レベル：上級

参加対象者

• セキュリティマネージャ、製品マネージャ、プロジェクトマネージャ
• システムエンジニア、ソフトウェアエンジニア、ハードウェアエンジニア、開発者

トレーニングの目標

• ISO/SAE 21434準拠のセキュリティエンジニアリングの構成要素を学ぶ
• ISO/SAE 21434が国連規則155の要求事項を満たすためにどのように役立つかの概要を知る
• 製品セキュリティに対するISO/SAE 21434のリスクベースのアプローチを理解する
• 事例を通じて、ISO/SAE 21434に関する当社の専門知識を学ぶ
• サイバーセキュリティとの関連性評価、セキュリティ目標、セキュリティコンセプトなど、構想段階におけるセキュリティエンジニアリングについて詳しく知る
• サイバーセキュリティDIA、設計、実装、V&Vなど、開発段階におけるセキュリティエンジニアリングの重要性について知る
• 生産、運用、保守、廃止措置におけるサイバーセキュリティに関する当社の知識を活用できる

必要条件

• 自動車システムに関する基本的な技術（エンジニアレベル）を理解していること

内容

• セキュリティ工学入門
• ガバナンスとエコシステム
• リスク管理
• コンセプトと開発
• 生産と運用

製品開発における組織的・技術的側面をカバーするITセキュリティ基礎研修です。この研修では、従来の開発プロセスとアジャイル開発プロセスにおけるセキュリティタスク、暗号技術、基本的なITセキュリティ対策に重点を置いています。

• 期間：2日間
• レベル：ベーシック

参加対象者

• セキュアな製品設計に必要な一般的なセキュリティ原則、プロセス、ツールに関する確実な理解を必要とする製品マネージャまたはプロジェクトマネージャ
• セキュリティ要件の分析と定義、セキュリティコンセプトの定義を担当する製品エンジニア

トレーニングの目標

• セキュリティの概要（理論と実践、課題など）を知る
• セキュリティの基本（基本用語など）を学び、理解する
• 安全なソフトウェア開発ライフサイクルの設定方法を理解する
• 暗号ツール、アルゴリズム、プロトコルに関する基礎知識を確立する
• アクセス制御（認証と認可）の重要な側面を理解する
• 主なセキュリティ原則の適用方法を学ぶ
• 安全なコーディング技術を理解する

必要条件

数学および情報技術に関する基本的な技術（エンジニアレベル）を理解していること

Windowsに対する主な攻撃について学び、コマンド＆コントロールフレームワークやMimikatzのようなマルウェアなどのツールについて習得します。

• 期間：1日間
• レベル：ベーシック

参加対象者

• Windows管理者
• Windowsホストに基づくアプリケーションやサービスの管理者
• システム、アプリケーション、サービスの開発者および設計者
• Windowsシステムのセキュリティとハードニングオプションの評価に関心のある方

トレーニングの目標

• Windowsに対する主な攻撃について学ぶ
• 攻撃者が実際に使う可能性のあるツールについて理解する
• 設定ミスと権限昇格の可能性を発見する方法を学ぶ
• Windowsのハードニングオプションと対策について理解を深める
• ハッキングラボに参加し、全パートの演習を行う。

必要条件

• Windowsに関する基礎知識があること
• ITセキュリティに関する一般的な知識があること

脅威とリスク分析、脅威モデルの構築、実行、評価方法に関する詳細な情報を提供する、上級者向けのトレーニングです。

• 期間：2日間
• レベル：上級

参加者

• 脅威モデルの手法とアウトプットについて理解が必要なプロダクトマネージャやプロジェクトマネージャ
• 脅威モデルのアウトプットを実行または理解する責任を負うセキュリティ管理者
• システム、ソフトウェア、ハードウェアのエンジニア、開発者

トレーニングの目標

• 脅威とリスクの分析／脅威モデルとは何かを一般的に理解する
• STRIDE手法で脅威モデルを実行する4つの段階をより深く理解する
• 信頼境界を含む、製品/サービス/ソリューションのデータフロー図を作成する方法を学ぶ
• リスクや脅威の評価・識別方法について基本的な理解を深める
• 特定された各脅威に対する対策や緩和策を練る方法を学ぶ
• 参加者各自の分析結果の評価方法に複数のオプションがあることを理解し、適切なアクションアイテムを詳細に検討する

必要条件

• ITセキュリティに関する一般的な知識があること
• システムの概要、技術、およびこれらのコンポーネント間の通信に関する知識があること

Web アプリケーションの最も一般的なセキュリティ脆弱性を紹介し、Web アプリケーションを保護する方法を習得する、基礎的なトレーニングです。

• 期間：1日間
• レベル：ベーシック

参加対象者

• 基本的なWebアプリケーションの脆弱性とその対策方法の習得を希望する開発者
• ウェブアプリケーションやプラットフォームのセキュリティについて学習を希望するアーキテクト

トレーニングの目標

• OWASPトップ10を網羅したWebアプリケーションセキュリティの概要を理解する
• 最も一般的な脆弱性とその緩和策に関する知識を深める
• 最も一般的な攻撃のデモを含むOWASPトップ10
• 脆弱性：
  • Injection
  • Cryptographic failures
  • Server-side request forgery
  • Vulnerable and outdated components
  • Identification and authentication failures
  • Security misconfigurations
• ハッキングラボでの実践を通して基本的なペネトレーションテストのスキルを学ぶ

必要条件

• ウェブアプリケーションの基礎知識があること
• エンタープライズITテクノロジーに関するバックグラウンドがあること

クラウドセキュリティの基本、潜在的な攻撃経路、およびその緩和策について、実践的なCTFスタイルの演習を交えて学びます。

• 期間：1日間（参加者の経験により最大2日間）
• レベル：上級

参加対象者

• クラウドエコシステムで業務を行う必要のあるプロダクトマネージャ、およびプロジェクトマネージャ
• クラウド上の製品を担当するセキュリティマネージャ
• システム、ソフトウェア、ハードウェアのエンジニア、クラウド上で業務を行う開発者

トレーニングの目標

• クラウドセキュリティとは何かを理解する
• サイバーキルチェーンに対する深い洞察と、それがクラウドシナリオにどのように適用されるかを知る
• クラウド攻撃のキルチェーンを理解する
• クラウド攻撃のキルチェーンを実際の脆弱な環境に適用する
• アーキテクチャとクラウドインフラにおける対策と緩和策について学ぶ

必要条件

• ITセキュリティに関する一般的な知識があること
• システムの概要、技術、およびこれらのコンポーネント間の通信に関する知識があること
• クラウドの基礎知識があること