TARAとは
（21434のリスク分析の出だし）
TARAとは Threat Analysis and Risk Assessment（脅威分析とリスク評価） のことです。
ISO/SAE 21434の文脈では、製品の“どこが狙われ得るか（脅威）”と“どれくらい危ないか（リスク）”を整理し、セキュリティ目標（Cybersecurity Goals）や要件へ落とし込むための出発点になります。
ひとことで言うと、「守るべき対象（資産）」「攻撃の入口（攻撃経路）」「起きたら困ること（影響）」を言語化して、設計と運用の優先度を決める作業です。
21434でのTARAの位置づけ（なぜ「出だし」なのか）
TARAは、単に表を埋める作業ではなく、次の流れの“最初の根拠”になります。
セキュリティ目標
セキュリティ要件
設計/検証
運用（PSIRT含む）
OEM監査で見られるのは「立派なスコア」より、要件・設計・試験・運用が、TARAの結論とつながっているか（トレーサビリティ） です。
TARAで最低限そろえる成果物（中小サプライヤー向け最小セット）
兼務体制でも“監査で説明できる”最小セットは、まずこれで十分です。
- スコープ：どの機能/ECU/製品版数が対象か
- 資産（守るもの）：データ、機能、安全/品質に関わる要素
- 攻撃経路：外部IF（通信、診断、更新、クラウド連携等）
- ダメージシナリオ：何が起きると困るか（影響）
- リスク評価の根拠：定性的でもよいので“なぜそう判断したか”
- 結論：セキュリティ目標/要件（または当面の対策方針）
ポイントは「細かさ」より
“版数と前提条件が書けること” です。
PSIRTの影響判定（not_affected等）の根拠にも転用できます。
よくある誤解（OEM監査で詰まりやすい）
-
誤解1：TARAは一度作ったら終わり
→ 仕様変更、外部IF追加、OTA運用変更、重大CVEなどで見直しが必要です。 -
誤解2：スコアが高い/低いが重要
→ 監査では「前提」「攻撃経路」「対象版数」「要件への反映」が重視されます。 -
誤解3：PSIRTとは別物で関係ない
→ TARAの結論（到達性、前提条件、外部IF）は、CVEトリアージやOEM照会の説明根拠になります。
FAQ：TARAとは
脅威（Threat）を洗い出し、影響と起こりやすさを評価してリスク（Risk）を判断し、セキュリティ目標/要件へ落とすための作業です（ISO/SAE 21434の基本プロセス）。
まずはスコープ、資産、攻撃経路、影響（ダメージシナリオ）、判断根拠、結論（目標/要件）です。中小サプライヤーは“最小セット＋版数”で始めると止まりません。
設計変更（外部IF追加など）、運用変更（OTA/クラウド連携）、重大脆弱性やインシデント、OEM要求が入ったタイミングが代表的です。
CVE照会で「到達性がない」「前提条件が成立しない」などを説明する根拠になります。影響なし（not_affected）の条件を“言い切れる形”にできます。