Certifikované kybernetické zabezpečení automobilů s ENX VCS

Seznam obsahu

• Závazné předpisy v oblasti kybernetické bezpečnosti
• ENX VCS - celosvětový program auditů pro ISO/SAE 21434
• Standardizované audity - srovnatelné výsledky
• ^TISAX® a VCS pracují v tandemu
• Prokázání shody podle ENX VCS
• DQS - Jednoduché využití bezpečnosti

Závazné předpisy v oblasti kybernetické bezpečnosti

V rámci boje proti rostoucím kybernetickým hrozbám přijala EHK OSN pravidla R 155 a 156, která zahrnují zavedení systému řízení kybernetické bezpečnosti (CSMS), respektive systému řízení aktualizací softwaru (SUMS). Cílem těchto předpisů je zajistit kybernetickou bezpečnost v průběhu celého životního cyklu modelu a v celém dodavatelském řetězci. V EU jsou tyto předpisy povinné pro všechna nově vyrobená vozidla od července 2024.

ENX VCS - celosvětový program auditů pro ISO/SAE 21434

V rámci normy ISO/SAE 21434 (Silniční vozidla - technika kybernetické bezpečnosti) byl v průběhu platnosti předpisů OSN učiněn pokus o vytvoření směrnice a důkazu shody pro dodržování předpisů. V praxi se však ukázalo, že příslušné programy auditů poskytovatelů zkušebních služeb jsou příliš odlišné - navzdory specifikacím normy ISO/PAS 5112. Výrobci proto stále neměli možnost poskytnout zákonodárci spolehlivé a srovnatelné důkazy o shodě svých dodavatelů - ti zase měli problémy s prokazováním shody se svými smluvními ustanoveními na základě srovnatelného zkušebního základu.

Proto sdružení ENX (sdružení evropských výrobců automobilů, dodavatelů a sdružení) navrhlo program auditu ENX VCS. ENX VCS audituje implementaci systému řízení kybernetické bezpečnosti vozidel (VCSMS) v souladu s normami ISO 21434 a ISO 5112. Jeho rozhodující výhoda: audit VCS je celosvětově standardizovaný a lze jej rychleji přizpůsobit novým výzvám než normu ISO. Skupina mezinárodních odborníků pravidelně přezkoumává program auditu, aby byl stále aktuální.

Standardizované audity - srovnatelné výsledky

Díky standardizovanému auditu ENX VCS se společnosti vyhnou zbytečným, v neposlední řadě finančním, výdajům, které mohou vzniknout v důsledku víceúrovňových auditních procesů a rozdílných auditů. Aby byly zajištěny globálně srovnatelné procesy u všech poskytovatelů auditu, zveřejnila společnost ENX při spuštění programu také specifická kritéria a požadavky na poskytovatele auditu (ACAR VCS) a závazný katalog auditů pro audity kybernetické bezpečnosti vozidel (VCSA). Ty definují řadu povinných kompetencí a závazný procesní model pro auditory VCS - kromě organizačního auditu předpisů V-CSMS například povinný audit dokumentů a procesů - a tvorbu rizikově orientovaného náhodného vzorku všech projektů relevantních z hlediska kybernetické bezpečnosti. Inženýrské týmy odpovědné za projekty ve vzorku jsou pak dotazovány auditory a odborníky. Výsledky práce týmu jsou přezkoumány, aby se zajistilo, že V-CSMS je skutečně používán v praxi. Po úspěšném dokončení testu mohou společnosti požádat ENX o odpovídající označení VCS a zpřístupnit je zájemcům prostřednictvím výměnného mechanismu ENX.
.

TISAX^® a VCS pracují v tandemu

Strukturálně jsou audity VCS s ACAR VCS založeny na zavedeném automobilovém standardu TISAX^®. Oba mechanismy auditu se vzájemně doplňují: zatímco TISAX^®hodnotí bezpečnost informací ve společnosti, značka VCS potvrzuje kybernetickou bezpečnost součástí vozidla. Podobně jako u systému ^TISAX® audit VCS zohledňuje různé role dodavatelů při poskytování kyberneticky relevantních součástí. Každý dodavatel proto musí splňovat pouze požadavky katalogu auditu VCSA, které odpovídají jeho skutečné, specifické roli. Rozlišuje se mezi různými označeními:

• Vývoj VCS: Společnost provádí bezpečný vývoj komponent VCS - od integrace. Proces integrace systému do obecné bezpečnostní architektury až po bezpečnou implementaci a bezpečný přechod do výroby.
• Výroba VCS: VCS se vyrábí v rámci tzv: Společnost vyrábí komponenty VCS a zajišťuje jejich bezpečnou konfiguraci a softwarové vybavení.
• Provoz a údržba VCS: Společnosti jsou svěřeny protokolové údaje z vozového parku, které umožňují identifikovat problematické provozní stavy nebo identifikovat konkrétní bezpečnostní incidenty. Toto označení je vhodné i pro společnosti, které potřebují udržovat své komponenty VCS v aktuálním stavu.