セキュリティとコンプライアンス

すべてのシステムにおいて、最小権限の原則、多要素認証、ロールベースのアクセス制御を導入し、アクセス権限を定期的に見直します。

データは保管時および転送時に業界標準のアルゴリズムを用いて暗号化し、暗号鍵の管理・ローテーション手順を定めています。

リスクを継続的に特定・評価・追跡し、その結果をセキュリティ対策や是正対応の優先順位に直接反映します。

定期的なスキャンと期限を定めた是正対応により、脆弱性が悪用される前に特定、評価し、パッチを適用します。

エスカレーション経路と顧客への通知手順を明記したインシデント対応計画に基づき、インシデント発生時の迅速な封じ込めと通知を徹底します。

災害復旧計画および事業継続計画を定期的にテストし、障害発生時のレジリエンスを確保するとともに、顧客への影響を最小限に抑えます。

開発着手前に、すべての製品を対象として脅威分析およびリスク評価（TARA）を実施します。ISO/SAE 21434 の箇条 15 に基づき、攻撃経路や損害シナリオを特定し、サイバーセキュリティ保証レベル（CAL）を設定します。評価結果は、サイバーセキュリティ目標および要件に直接反映されます。

TARA から導き出されたサイバーセキュリティ目標を、検証可能なエンジニアリング要件へと具体化します。ISO/SAE 21434 の箇条 9 および 10 に基づき、サイバーセキュリティ コンセプトでは、各システムおよびソフトウェア コンポーネントに適用する対策を定義します。

アーキテクチャ レベルで攻撃対象領域を分析し、多層防御の原則を適用します。実装前に各コンポーネントへセキュリティ要件を割り当て、各開発フェーズへの移行にあたって設計レビューを実施します。

TARA で特定した攻撃経路に基づいてテストケースを作成し、ファジング テスト、インターフェース テスト、独立性を確保したペネトレーション テストを実施します。ISO/SAE 21434 の箇条 11 に基づき、CAL レベルの要件に照らしてテスト カバレッジを確認します。

すべてのソフトウェア コンポーネントを対象に、CVE およびセキュリティ アドバイザリを継続的に監視します。ISO/SAE 21434 の箇条 8 に基づき、トリアージ SLA、協調的な脆弱性開示プロセス、顧客への通知手順を整備しています。

サードパーティ製コンポーネントについては、統合前にサイバーセキュリティへの準拠状況を評価します。ISO/SAE 21434 の箇条 7 に定める分散開発に基づき、開発パートナーとのインターフェースに関する合意事項で、サイバーセキュリティ上の責任と要件を明確に定めます。

当社のソフトウェア エレメントは、文書化されたデコンポジションに基づき、ASIL B および ASIL D レベルで開発されています。各コンポーネントへの ASIL の割り当ては、顧客に提供するセーフティ プランに記載されています。

各製品には、体系化されたセーフティ ケース、HARA の成果物、検証エビデンスが付属しており、顧客は自社の ISO 26262 関連資料にそのまま活用できます。

安全性に関わるすべての製品には、使用上の前提条件、統合時の制約、顧客環境で必要となる対策を定めたセーフティ マニュアルが付属します。

SIL および HIL テストを通じて、通常条件およびフォールト インジェクション条件下で安全要件を検証します。すべてのテスト記録は、安全性に関するエビデンス パッケージに含まれます。

安全性に関わるプロセスで使用する開発ツールは、ISO 26262 Part 8 に基づいて認定しています。認定レポートは、サプライヤー監査の際に顧客が確認可能です。

顧客と協力し、Applied Intuition と顧客それぞれの安全上の責任範囲を正式に文書化します。これには、SEooC の前提条件やインターフェースに関する合意事項も含まれます。

ソフトウェア要件を体系的に抽出・分析し、顧客ニーズとのトレーサビリティを確保します。変更についても完全なトレーサビリティを維持しながら管理し、開発チーム全体で共有しています。

アーキテクチャと詳細設計は、実装前に文書化・レビューし、ベースラインとして確定します。設計上の判断は要件まで追跡可能で、体系的なレビューを通じて検証されます。

定義された仕様に基づいてソフトウェア ユニットを実装し、ユニットテストを通じて検証します。テスト結果は文書化され、対応する要件に紐付けられます。

ソフトウェア コンポーネントを段階的に統合し、アーキテクチャ仕様に基づいてテストします。統合テストの結果はベースラインとして確定し、顧客による確認が可能です。

すべての作業成果物は、構成管理のもとで識別・保管・管理されます。定められたマイルストーンごとにベースラインを設定し、サプライヤー監査時に確認できる状態を維持します。

明確な目標に基づいて開発活動を計画し、実績と照らし合わせながら進捗を把握するとともに、計画との差異を早期に特定して是正措置を文書化し、完了まで確実にフォローします。

すべてのリリース前にピアレビュー、自動テスト、回帰検証、リリース準備状況の確認など、複数の品質チェックを実施します。問題をできるだけ早い段階で特定・対処することで、リリースの安定性を高め、不確実性を抑えます。

製品ライフサイクル全体を通じてリスクを先回りして特定・評価・管理し、製品提供や顧客への影響を未然に防ぎます。リスクは定期的に見直し、定められた対応策によって軽減することで、困難な状況や変化の中でも安定した業務遂行と事業継続を支えます。

顧客からのフィードバックは、品質向上における重要な要素です。品質状況やサポートの傾向、顧客から寄せられる意見を定期的に確認し、製品の改善、プロセスの見直し、顧客体験の向上につなげます。

問題が確認された場合は、影響範囲を把握し、根本原因を特定したうえで、適切な解決策を講じます。顧客の導入や運用に影響する可能性がある場合は、明確なコミュニケーションを重視し、顧客と緊密に連携しながら対応を進めます。

開発ライフサイクル全体を通じて、エンドツーエンドのトレーサビリティを維持します。各リリースは、要件、設計上の判断、レビュー、検証活動まで遡って確認できるため、提供する製品の透明性を確保し、製品への信頼につなげます。

問題や得られた知見、顧客からのフィードバックのすべてを、改善の機会と捉えます。根本原因を体系的に分析し、是正措置を完了まで追跡したうえで、改善をプロセスや製品に反映します。