Ασφάλεια στον κυβερνοχώρο της αυτοκινητοβιομηχανίας: Νέοι υποχρεωτικοί κανονισμοί

ΠΕΡΙΕΧΟΜΕΝΟ

• Γιατί η ασφάλεια στον κυβερνοχώρο της αυτοκινητοβιομηχανίας;
• Τι σημαίνει ασφάλεια στον κυβερνοχώρο στην αυτοκινητοβιομηχανία;
• Πρακτικό παράδειγμα: Επιπτώσεις μιας επίθεσης
• Ασφάλεια ΤΠ και ενημερώσεις λογισμικού οχημάτων
• Ποιος επηρεάζεται από τους νέους κανονισμούς;
• UNECE Ασφάλεια στον κυβερνοχώρο σύμφωνα με τον R 155
• Τι είναι ένα σύστημα διαχείρισης της ασφάλειας στον κυβερνοχώρο (CSMS);
• Τι ρυθμίζει η ενημέρωση λογισμικού της UNECE σύμφωνα με την R 156;
• Μπορεί να πιστοποιηθεί η ασφάλεια στον κυβερνοχώρο στην αυτοκινητοβιομηχανία;
• Το ISO/SAE 21434 ως ενισχυτικό της φήμης
• Παρέκβαση: Άλλοι σημαντικοί κανονισμοί για την αυτοκινητοβιομηχανία
• Κατάλογοι ελέγχου για τις απαιτήσεις της UNECE για την ασφάλεια των αυτοκινήτων
• Πιστοποίηση με την DQS

Γιατί ασφάλεια στον κυβερνοχώρο της αυτοκινητοβιομηχανίας;

Η ασφάλεια στον κυβερνοχώρο της αυτοκινητοβιομηχανίας είναι η πρόκληση της στιγμής για τους κατασκευαστές αυτοκινήτων. Κάθε πρόσθετη διεπαφή επικοινωνίας και εξάρτημα είναι ένα πιθανό σημείο επίθεσης για τους εγκληματίες του κυβερνοχώρου. Το δυναμικό ζημιών από τη χειραγώγηση αυξάνεται ραγδαία, για παράδειγμα όσον αφορά τα αυτόνομα ελεγχόμενα οχήματα ή τις ηλεκτρονικά ελεγχόμενες λειτουργίες οδήγησης και πέδησης.

Για το λόγο αυτό, τα Ηνωμένα Έθνη καθορίζουν τώρα το βασικό πλαίσιο για την ασφάλεια στον κυβερνοχώρο της αυτοκινητοβιομηχανίας με δύο νέους κανονισμούς. Πρόκειται για τον κανονισμό UNECE Cyber Security (UN R 155), ο οποίος αναφέρεται απευθείας στο νέο πρότυπο ISO/SAE 21434, και τον κανονισμό UNECE Software Updating (UN R 156). Οι κανονισμοί θα καταστούν υποχρεωτικοί για τους νέους τύπους οχημάτων ήδη από τον Ιούλιο του 2022. Επομένως, η αυτοκινητοβιομηχανία αντιμετωπίζει μεγάλες προκλήσεις - ιδίως καθώς πολλοί κατασκευαστές αρχικού εξοπλισμού (OEM) και προμηθευτές επικρίνουν τους νέους κανονισμούς ως πολύ γενικούς. Εδώ, υπάρχει μια ευρεία επιθυμία για συγκεκριμένες συστάσεις για δράση ως δεσμευτικό προστατευτικό κιγκλίδωμα.

Τι σημαίνει η ασφάλεια στον κυβερνοχώρο στην αυτοκινητοβιομηχανία;

Ενώ το διεθνές πρότυπο ISO 27001 αποτελεί τη διακλαδική προσέγγιση για την ασφάλεια των πληροφοριών, ο όρος κυβερνοασφάλεια στην αυτοκινητοβιομηχανία περιγράφει την ασφάλεια των ψηφιακών συστημάτων στην αυτοκινητοβιομηχανία. Τα μηχανοκίνητα οχήματά μας εξαρτώνται όλο και περισσότερο από δικτυωμένα ηλεκτρονικά συστήματα και εφαρμογές λογισμικού. Κατά συνέπεια, η προστασία και η ασφάλεια αυτών των στοιχείων αποκτά ολοένα και μεγαλύτερη σημασία - σε ολόκληρο τον κλάδο. Αυτό ξεκινά από τον κατασκευαστή του οχήματος, συνεχίζει με τους προμηθευτές και τους παρόχους υπηρεσιών μηχανικής και επεκτείνεται στους παρόχους υπηρεσιών λογισμικού και υποδομών ΤΠΕ. Δύο νέοι κανονισμοί των Ηνωμένων Εθνών, που απευθύνονται στους κατασκευαστές και τους προμηθευτές τους, έχουν σχεδιαστεί για να διασφαλίσουν την ασφάλεια της πληροφορικής των αυτοκινήτων.

ISO 27001 - το κλασικό πρότυπο για την ασφάλεια των πληροφοριών

Το ISO/IEC 27001 είναι το κορυφαίο διεθνές πρότυπο για την εισαγωγή ενός ολιστικού συστήματος διαχείρισης για την ασφάλεια των πληροφοριών.

Γιατί χρειαζόμαστε την ασφάλεια στον κυβερνοχώρο της αυτοκινητοβιομηχανίας;

Συνδεδεμένα οχήματα: αυτό σημαίνει καινοτόμα συστήματα υποβοήθησης, (εν μέρει) αυτόνομη οδήγηση, δικτυωμένη παραγωγή με τη συμμετοχή προμηθευτών, συνδεδεμένα αυτοκίνητα με συνδεδεμένες υπηρεσίες - η ψηφιοποίηση γίνεται σαφώς αισθητή σχεδόν σε κάθε τομέα της αυτοκινητοβιομηχανίας και εξελίσσεται με ταχείς ρυθμούς. Αλλά η αυξανόμενη συνδεσιμότητα σημαίνει τελικά όλο και περισσότερο κώδικα, και αυτός ο κώδικας μπορεί να τεθεί σε κίνδυνο με ποικίλους τρόπους. Εξάλλου, τα σύγχρονα αυτοκίνητα περιέχουν έως και 150 ηλεκτρονικές μονάδες ελέγχου και περίπου 100 εκατομμύρια γραμμές κώδικα, οι οποίες αναμένεται να τριπλασιαστούν έως το 2030. Η ποσότητα λογισμικού στα σημερινά οχήματα είναι ήδη τετραπλάσια από εκείνη ενός μαχητικού αεροσκάφους.

Δεν είναι μόνο μετά την πανδημία Corona και τη συνακόλουθη αύξηση των επιθέσεων στον κυβερνοχώρο που πρέπει να δοθεί ιδιαίτερη προσοχή στην ασφάλεια της πληροφορικής ή στην ασφάλεια στον κυβερνοχώρο των αυτοκινήτων. Ένα όχημα πρέπει να είναι σε θέση να εγγυάται τη λειτουργική του ασφάλεια ανά πάσα στιγμή. Το δυναμικό ζημιών από κυβερνοεπιθέσεις σε έξυπνα αυτοκίνητα είναι τεράστιο. Πρέπει να ληφθούν υπόψη τα σενάρια τρόμου των επιθέσεων μεγάλου όγκου ("Όλα τα ηλεκτρονικά φρένα στα οχήματα ενός κατασκευαστή παραλύουν ταυτόχρονα από μια επίθεση χάκερ."). Αυτό που χρειάζεται εδώ είναι ακριβείς, αποτελεσματικές έννοιες ασφάλειας.

Πρακτικό παράδειγμα: Επιπτώσεις μιας επίθεσης

Το 2015, δύο Αμερικανοί εμπειρογνώμονες πληροφορικής κατέδειξαν τις πιθανές επιπτώσεις ενός hack σε ένα Jeep Cherokee. Έθεσαν σε κίνδυνο το σύστημα Uconnect, το οποίο συνδυάζει πολλές ηλεκτρονικές λειτουργίες του οχήματος, από infotainment έως πλοήγηση. Χρησιμεύει επίσης ως διεπαφή για κινητές συσκευές και ανοίγει ένα hotspot WLAN κατόπιν αιτήματος - με άλλα λόγια, διαθέτει διεύθυνση IP. Για να επιδείξουν τις ικανότητές τους, οι δύο χάκερ προσκάλεσαν έναν δημοσιογράφο, ο οποίος λίγη ώρα αργότερα αναγκάστηκε να παρακολουθήσει ανήμπορος να χάσει τον έλεγχο του οχήματος.

Από απόσταση άνω των 1.000 χιλιομέτρων, οι χάκερς ενεργοποίησαν αρχικά τον κλιματισμό και το ραδιόφωνο μέσω του φορητού υπολογιστή τους. Στη συνέχεια ψέκασαν με νερό τους υαλοκαθαριστήρες στο παρμπρίζ και τέλος απλά έσβησαν τον κινητήρα - στη μέση ενός διαπολιτειακού αυτοκινητόδρομου (το αντίστοιχο ενός ευρωπαϊκού αυτοκινητόδρομου). Μετά από αυτή την πρώτη απόδειξη των σοβαρών τρωτών σημείων στις υποδομές πληροφορικής των οχημάτων, προχώρησαν μάλιστα λίγο παραπέρα. Απέδειξαν σε ένα άδειο πάρκινγκ ότι μπορούσαν ακόμη και να επηρεάσουν το τιμόνι ή να παρακάμψουν τα φρένα. Οι συνέπειες αυτού ήταν η ανάκληση 1,4 εκατομμυρίων οχημάτων και η επιβολή προστίμου ύψους 105 εκατομμυρίων δολαρίων.

Ασφάλεια ΤΠ και ενημερώσεις λογισμικού οχημάτων

Σήμερα, τα επιλεκτικά μέτρα δεν επαρκούν πλέον για την ολιστική προστασία των οχημάτων. Αντίθετα, απαιτούνται συστηματικές και στρατηγικές προσεγγίσεις που καθορίζουν σαφείς απαιτήσεις για το πεδίο εφαρμογής, την απόδοση και τον έλεγχο ενός συστήματος ασφαλείας. Η στρατηγική προσέγγιση πρέπει να καλύπτει ολόκληρο τον κύκλο ζωής του προϊόντος. Εδώ, η εστίαση πρέπει να είναι στη μακροπρόθεσμη διαθεσιμότητα των ενημερώσεων λογισμικού, για παράδειγμα, ή στην ενσωμάτωση ολόκληρης της αλυσίδας εφοδιασμού.

Για τη δημιουργία ενός κατάλληλου πλαισίου για την ασφάλεια στον κυβερνοχώρο της αυτοκινητοβιομηχανίας, το Παγκόσμιο Φόρουμ για την εναρμόνιση των κανονισμών για τα οχήματα της Οικονομικής Επιτροπής των Ηνωμένων Εθνών για την Ευρώπη (UNECE) ενέκρινε για πρώτη φορά δύο δεσμευτικούς κανονισμούς το καλοκαίρι του 2020. Δημοσιευμένοι με τις συντομογραφίες UNECE R 155 και UNECE R 156, οι κανόνες αφορούν την ασφάλεια της πληροφορικής και τις ενημερώσεις λογισμικού στα οχήματα, και ως εκ τούτου συνδέονται στενά μεταξύ τους.

Οι κανονισμοί τέθηκαν σε ισχύ στις αρχές του 2021. Από τον Ιούλιο του 2022, η συμμόρφωση θα είναι υποχρεωτική για τους νέους τύπους οχημάτων. Οι κατασκευαστές που δεν πληρούν τις απαιτήσεις θα βρεθούν τότε αντιμέτωποι με τη μη ταξινόμηση των σχετικών τύπων οχημάτων. Τέλος, από τον Ιούλιο του 2024, οι κανονισμοί θα ισχύουν για όλα τα νεότευκτα οχήματα.

Οι κανονισμοί απαιτούν ουσιαστικά την εφαρμογή μέτρων σε τέσσερις τομείς:

• Διαχείριση των κινδύνων στον κυβερνοχώρο για τα οχήματα
• Προστασία των οχημάτων σύμφωνα με την προσέγγιση της ασφάλειας από τον σχεδιασμό για τον μετριασμό των κινδύνων κατά μήκος της αλυσίδας αξίας
• Ανίχνευση και άμυνα κατά των επιθέσεων σε ολόκληρο τον στόλο οχημάτων
• Παροχή ενημερώσεων λογισμικού όσον αφορά την ασφάλεια και θέσπιση νομικής βάσης για τις ενημερώσεις του λογισμικού των οχημάτων μέσω του αέρα (O.T.A.)

Ασφάλεια στον κυβερνοχώρο της αυτοκινητοβιομηχανίας: Ποιος επηρεάζεται από τους νέους κανονισμούς;

Οι κανονισμοί του ΟΗΕ μιλούν κυρίως για τους κατασκευαστές οχημάτων που υποχρεούνται να εφαρμόσουν τις νέες απαιτήσεις. Ωστόσο, αυτό περιλαμβάνει την παρακολούθηση και τον έλεγχο της ασφάλειας στον κυβερνοχώρο σε όλη την αλυσίδα εφοδιασμού, ώστε να αποδεικνύεται ανά πάσα στιγμή η εφαρμογή των κανονισμών. Συνεπώς, ο κατασκευαστής υποχρεούται να παρακολουθεί τους προμηθευτές. Και ως εκ τούτου, είναι πολύ πιθανό να απαιτήσει από τους προμηθευτές του να εφαρμόσουν επίσης τα νέα πρότυπα.

Οι δύο κανονισμοί ισχύουν για επιβατικά αυτοκίνητα, φορτηγά, φορτηγά και λεωφορεία, εφόσον είναι εξοπλισμένα με λειτουργίες αυτοματοποιημένης οδήγησης. Στην κατηγορία αυτή περιλαμβάνονται επίσης νέοι τύποι αυτοματοποιημένων pods, shuttles ή συγκρίσιμα οχήματα. Επιπλέον, οι κανονισμοί ισχύουν και για τα ρυμουλκούμενα που περιέχουν τουλάχιστον μία ηλεκτρονική μονάδα ελέγχου.

Τι καλύπτει η ασφάλεια στον κυβερνοχώρο της UNECE βάσει του R 155;

Η UNECE R 155 ορίζει τις απαιτήσεις για την προστασία των οχημάτων από επιθέσεις στον κυβερνοχώρο. Βασικό σημείο εδώ είναι η εφαρμογή ενός συστήματος διαχείρισης της ασφάλειας στον κυβερνοχώρο (CSMS) σε όλες τις εταιρείες που διαθέτουν οχήματα στην αγορά. Το συναρπαστικό είναι ότι αυτή η απαίτηση αλλάζει την οπτική γωνία των κατασκευαστών. Οι δραστηριότητες ανάπτυξής τους δεν τελειώνουν πλέον με την έναρξη της παραγωγής (SOP). Αντιθέτως, υπάρχει μια συνεχής υποχρέωση ελέγχου των συστημάτων ασφαλείας καθ' όλη τη διάρκεια του κύκλου ζωής ενός οχήματος, συμπεριλαμβανομένων τυχόν αναγκαίων βελτιώσεων.

Με αυτόν τον τρόπο, ο νομοθέτης λαμβάνει υπόψη τον ιδιαίτερα δυναμικό χαρακτήρα της ανάπτυξης λογισμικού και της διασφάλισης λογισμικού. Επιπλέον, το σύστημα διαχείρισης αποσκοπεί στη διασφάλιση της συμμόρφωσης με τις απαιτήσεις ασφαλείας κατά μήκος της αλυσίδας εφοδιασμού. Αυτό δεν είναι εύκολη υπόθεση, δεδομένου ότι οι προμηθευτές αντιπροσωπεύουν σήμερα πάνω από το 70 % του όγκου του λογισμικού.

Για να διασφαλιστεί η ασφάλεια από άκρη σε άκρη παρά τις πολυπλοκότητες αυτές - από την ανάπτυξη μέχρι το τελικό όχημα στο δρόμο - είναι σημαντικό να σκεφτούμε ένα CSMS ολιστικά. Επιπλέον, τα οχήματα πρέπει να σχεδιάζονται με βάση μια προσέγγιση της ασφάλειας κατά το σχεδιασμό. Η πρόθεση είναι να διατηρηθεί η πύλη εισόδου για τους επιτιθέμενους όσο το δυνατόν μικρότερη από την αρχή.

Τι είναι ένα σύστημα διαχείρισης της ασφάλειας στον κυβερνοχώρο (CSMS);

Τα βασικά χαρακτηριστικά ενός CSMS είναι τα εξής:

• Διαχείριση κινδύνων: ένας οργανισμός χρησιμοποιεί διαδικασίες για τον εντοπισμό, την αξιολόγηση και τον μετριασμό των κινδύνων από απειλές στον κυβερνοχώρο.
• Η διαχείριση κινδύνου καλύπτει ολόκληρο τον κύκλο ζωής του προϊόντος - από την ανάπτυξη έως τη φάση λειτουργίας στον τελικό πελάτη.
• Παρακολούθηση των νέων ευπαθειών και των γνωστών επιθέσεων για την ανταπόκριση με νέες ενημερώσεις.
• Επιτρέπει την ανεξάρτητη αξιολόγηση από διαπιστευμένο ινστιτούτο δοκιμών.

Σημαντικό πλεονέκτημα στην πράξη: η συστηματοποίηση της ασφάλειας στον κυβερνοχώρο που συνοδεύει την εισαγωγή ενός CSMS καθιστά υποχρεωτική για τις εταιρείες την αντιμετώπιση του ζητήματος της ασφάλειας των πληροφοριών με προσανατολισμό στον κίνδυνο.

Αυτό περιλαμβάνει τον πλήρη ορισμό και την αξιολόγηση των κινδύνων και τη σκέψη για το πόσο πιθανό είναι να συμβούν. Αυτή η αξιολόγηση κινδύνων παρέχει ένα ισχυρό σημείο εκκίνησης για τη μείωση της συγκεκριμένης δυνητικής ζημίας σε αποδεκτό επίπεδο - μια αποδεδειγμένη και ρεαλιστική προσέγγιση.

Ασφάλεια στον κυβερνοχώρο της αυτοκινητοβιομηχανίας: Τι ρυθμίζει η UNECE R 156;

Δεδομένου ότι τα πλήρως αυτόνομα οχήματα θα συμμετέχουν επίσης στην κυκλοφορία στο ορατό μέλλον, είναι κεντρικής σημασίας η κατάλληλη συντήρηση του λογισμικού του οχήματος και η διαρκής ενημέρωσή του, για παράδειγμα μέσω διορθώσεων σφαλμάτων ή ενημερώσεων. Ως εκ τούτου, η R 156 προβλέπει την εισαγωγή και λειτουργία ενός συμβατού με το πρότυπο συστήματος διαχείρισης ενημερώσεων λογισμικού (SUMS) για όλα τα οχήματα. Σκοπός του είναι να παρέχει μόνιμη ασφάλεια σε ολόκληρο τον κύκλο ζωής ενός οχήματος.

Ακόμη και μετά από πολλά χρόνια ή δεκαετίες, πρέπει να είναι δυνατή η ασφαλής και αξιόπιστη εγκατάσταση ενημερώσεων. Επιπλέον, η R 156 θέτει τα νομικά θεμέλια για τις λεγόμενες "Over-the-Air" ενημερώσεις (O.T.A.), οι οποίες επιτρέπουν στα οχήματα να ενημερώνονται σε σύντομο χρονικό διάστημα και ανά πάσα στιγμή, ανεξάρτητα από την τοποθεσία τους.

Συγκριτικά, οι σημερινοί κατασκευαστές κινητών τηλεφώνων παρέχουν ελάχιστες εγγυήσεις ως προς το πόσες επερχόμενες γενιές λογισμικού θα υποστηρίζουν ή σε ποιες χρονικές περιόδους οι παλαιότερες συσκευές θα εξακολουθούν να εφοδιάζονται με ενημερώσεις ασφαλείας. Εάν οι κατασκευαστές κινητών τηλεφώνων με έφεση στην ΤΠ θέλουν να αποφύγουν τις προκλήσεις του κύκλου ζωής των προϊόντων τους όσο το δυνατόν νωρίτερα, τότε αυτό δείχνει ξεκάθαρα τις προκλήσεις που σχετίζονται με την ΤΠ που αντιμετωπίζει τώρα η αυτοκινητοβιομηχανία με τους μεγάλους κύκλους ζωής των προϊόντων της.

Μπορεί να πιστοποιηθεί η σύγχρονη ασφάλεια στον κυβερνοχώρο στην αυτοκινητοβιομηχανία;

Σύμφωνα με τους κανονισμούς της ΕΕ, οι κατασκευαστές πρέπει να διασφαλίζουν ανά πάσα στιγμή τη λειτουργικότητα των συστημάτων διαχείρισής τους και να τεκμηριώνουν εκτενώς την κατάσταση όλου του λογισμικού τους.

Για την παροχή ενός πιστοποιήσιμου προτύπου για τη λειτουργικότητα ενός CSMS, ο Διεθνής Οργανισμός Τυποποίησης (ISO), μαζί με την Εταιρεία Μηχανικών Αυτοκινήτων (SAE), δημοσίευσε τον Αύγουστο του 2021 το ISO/SAE 21434. Στους επαγγελματικούς κύκλους, το ISO/SAE 21434 αναμένεται να παρέχει μια βάση αναγνωρισμένη από τις εγκριτικές αρχές για την εφαρμογή ενός συστήματος διαχείρισης της ασφάλειας στον κυβερνοχώρο σε έναν κατασκευαστή οχημάτων.

Η γερμανική ένωση αυτοκινητοβιομηχανίας (VDA) έχει δημιουργήσει μια συμπληρωματική βάση δοκιμών για το εν λόγω πρότυπο, την οποία μπορεί να χρησιμοποιήσει ένας κατασκευαστής οχημάτων για τον έλεγχο του CSMS του προμηθευτή του ή του παρόχου υπηρεσιών μηχανικής. Με αυτόν τον τρόπο, το CSMS του κατασκευαστή μπορεί να έχει θετικό αποτέλεσμα κατά την έννοια των κανονισμών της UNECE μέχρι το επίπεδο του προμηθευτή.

Για την πιστοποίηση ενός συστήματος διαχείρισης ενημερώσεων λογισμικού, το ISO 24089 πρόκειται να γίνει το πρότυπο. Ωστόσο, ο σχεδιασμός είναι ακόμη ανοικτός σε αυτό το χρονικό σημείο (Ιανουάριος 2022).

Διαφοροποίηση από την TISAX®

Είναι αλήθεια ότι το TISAX® είναι επίσης μια διαδικασία δοκιμής για την ασφάλεια των πληροφοριών στην αυτοκινητοβιομηχανία. Και παρόμοια με μια πιστοποίηση, η εκπλήρωση των απαιτήσεων μπορεί να αποδειχθεί μέσω μιας αξιολόγησης. Ωστόσο, το TISAX® απευθύνεται κυρίως σε παρόχους υπηρεσιών ή προμηθευτές στον κλάδο της αυτοκινητοβιομηχανίας, οι οποίοι πρέπει να αποδείξουν στους πελάτες τους ότι πληρούν ορισμένες απαιτήσεις ασφάλειας πληροφοριών. Ένα παράδειγμα είναι ο ασφαλής χειρισμός δεδομένων και πληροφοριών που παρέχονται σε έναν προμηθευτή από τον πελάτη για μια διαδικασία ανάπτυξης και κατασκευής, για παράδειγμα. Το ISO/SAE 21434, από την άλλη πλευρά, απευθύνεται στους κατασκευαστές οχημάτων, δηλαδή στους κατασκευαστές αρχικού εξοπλισμού (OEM).

Το ISO/SAE 21434 ως ενισχυτικό της φήμης

Η προσέγγιση του ISO 21434, ανάλογη με τα κοινά συστήματα διαχείρισης, όπως το ISO 27001, απαιτεί την εφαρμογή διαδικασιών και διαδικασιών λαμβάνοντας παράλληλα υπόψη τους εντοπισμένους κινδύνους.

Διακηρυγμένος στόχος του προτύπου είναι η διασφάλιση της ασφάλειας όλων των ηλεκτρικών και, κυρίως, των ηλεκτρονικών συστημάτων επεξεργασίας δεδομένων καθ' όλη τη διάρκεια του κύκλου ζωής ενός οχήματος, μέχρι και την απόρριψή του. Με τον τρόπο αυτό, φιλοδοξεί να καταστεί ένα καθιερωμένο και δεσμευτικό πρότυπο ποιότητας για την ασφάλεια στον κυβερνοχώρο στον τομέα της αυτοκινητοβιομηχανίας.

Για την επίτευξη αυτής της ολιστικής προσέγγισης, το πρότυπο ορίζει ένα CSMS για τους τομείς του σχεδιασμού ασφάλειας, της ανάπτυξης προϊόντων, της συντήρησης προϊόντων, της ανίχνευσης κινδύνων, του μετριασμού των κινδύνων, της διάθεσης προϊόντων και των σχετικών συνεχιζόμενων διαδικασιών. Περιλαμβάνει επίσης κανονισμούς για τις ευθύνες στην περίπτωση κατανεμημένης ανάπτυξης προϊόντων μεταξύ κατασκευαστών και προμηθευτών, χωρίς να προδιαγράφει συγκεκριμένες τεχνολογίες ή λύσεις με συγκεκριμένους όρους.

Οι κατασκευαστές οχημάτων και οι προμηθευτές δεν θα πρέπει να θεωρούν την εφαρμογή του ISO 21434 ως πρόσθετη επιβάρυνση στην καθημερινή τους δραστηριότητα. Αντιθέτως, οι πιστοποιήσεις προσφέρουν πραγματική προστιθέμενη αξία σε πολλούς τομείς - λέξεις-κλειδιά: ασφάλιση στον κυβερνοχώρο, ευθύνη στον κυβερνοχώρο και φήμη στην αγορά. Ως αποτέλεσμα, μπορούν μερικές φορές να αποτελέσουν ακόμη και ανταγωνιστικό πλεονέκτημα. Εξάλλου, η υπερσύγχρονη ασφάλεια ΤΠ που επιβεβαιώνεται από ανεξάρτητους εμπειρογνώμονες και η επιβεβαιωμένη προστασία δεδομένων θεωρούνται όλο και περισσότερο ως σημαντικά ποιοτικά χαρακτηριστικά στον κλάδο.

Παρέκβαση: Άλλοι σημαντικοί κανονισμοί για την αυτοκινητοβιομηχανία

IATF 16949

Η αυτοκινητοβιομηχανία δεσμεύεται για την άριστη ποιότητα των διαδικασιών, τις διαδικασίες συνεχούς βελτίωσης, τα υψηλότερα πρότυπα και την καινοτομία. Το IATF 16949 είναι το πρότυπο για τα συστήματα διαχείρισης ποιότητας των προμηθευτών στην αυτοκινητοβιομηχανία.

Ποιότητα στην αυτοκινητοβιομηχανία

Αναζητάτε πρόσβαση στην αγορά της αυτοκινητοβιομηχανίας ή θα θέλατε να την αποκτήσετε ως κορυφαίος προμηθευτής; Οι κατασκευαστές αυτοκινήτων περιμένουν από εσάς να προσκομίσετε ουσιαστική απόδειξη της ικανότητάς σας στον τομέα της ποιότητας: ένα πιστοποιητικό σύμφωνα με το IATF 16949.

TISAX®

ΤοTISAX® είναι μια κοινή διαδικασία δοκιμών και ανταλλαγών για τον τομέα της αυτοκινητοβιομηχανίας. Βασίζεται στο ερωτηματολόγιο "ISA - Information Security Assessment" που αναπτύχθηκε από τη Γερμανική Ένωση Βιομηχανίας Αυτοκινήτων (VDA). Αυτό με τη σειρά του περιέχει βασικές πτυχές του διεθνούς προτύπου ISO/IEC 27001 και τις επεκτείνει με ένα μοντέλο ωριμότητας.

TISAX® - Ασφάλεια πληροφοριών στην αυτοκινητοβιομηχανία

Ως πάροχος υπηρεσιών ή προμηθευτής στην αυτοκινητοβιομηχανία, πρέπει να αποδεικνύετε στους πελάτες σας ότι συμμορφώνεστε με τις απαιτήσεις ασφάλειας πληροφοριών.

ISO 26262

Η εφαρμογή του προτύπου αποσκοπεί στη διασφάλιση της λειτουργικής ασφάλειας ενός συστήματος με ηλεκτρικά ή ηλεκτρονικά εξαρτήματα σε ένα μηχανοκίνητο όχημα. Το πρότυπο αποτελείται από δώδεκα μέρη. Μέρος 1: Λεξιλόγιο, Μέρος 2: Διαχείριση λειτουργικής ασφάλειας, Μέρος 3: Φάση σύλληψης, Μέρος 4: Ανάπτυξη προϊόντος σε επίπεδο συστήματος, Μέρος 5: Ανάπτυξη προϊόντος σε επίπεδο υλικού, Μέρος 6: Ανάπτυξη προϊόντος σε επίπεδο λογισμικού, Μέρος 7: Παραγωγή, λειτουργία, συντήρηση και παροπλισμός, Μέρος 8: Μέρος 9: Ανάλυση με προσανατολισμό στο επίπεδο ακεραιότητας της ασφάλειας των αυτοκινήτων (ASIL) και στην ασφάλεια, Μέρος 10: Κατευθυντήριες γραμμές για το ISO 26262, Μέρος 11: Κατευθυντήριες γραμμές για την εφαρμογή του ISO 26262 σε ημιαγωγούς και Μέρος 12: Προσαρμογή για μοτοσικλέτες.

Λίστες ελέγχου: Πληρείτε τις απαιτήσεις της UNECE για την ασφάλεια των αυτοκινήτων;

Ο κατάλογος απαιτήσεων της UNECE είναι ευρύς και μπορεί να είναι συντριπτικός με την πρώτη ματιά. Οι παρακάτω τρεις κατάλογοι ελέγχου θα σας δώσουν μια συμπαγή επισκόπηση των κανονισμών - και μια πρώτη εντύπωση για το αν τα υφιστάμενα συστήματα διαχείρισης συμμορφώνονται ήδη με τους κανονισμούς της UNECE.

Σύμφωνα με τον κανονισμό της UNECE για την ασφάλεια στον κυβερνοχώρο και τα συστήματα διαχείρισης της ασφάλειας στον κυβερνοχώρο, προκειμένου να λάβουν έγκριση τύπου, οι κατασκευαστές πρέπει να πληρούν τις ακόλουθες απαιτήσεις.

Απαιτήσεις Συστήματα διαχείρισης της ασφάλειας στον κυβερνοχώρο.

• Ένα CSMS είναι σε ισχύ και μπορεί να εφαρμοστεί στις φάσεις ανάπτυξης, παραγωγής και μεταπαραγωγής των οδικών οχημάτων.
• Πραγματοποιούνται αναλύσεις εκτίμησης κινδύνου και εξυπηρετούν τον σκοπό τους.
• Προσδιορίζονται μέτρα μετριασμού των κινδύνων.
• Η λειτουργικότητα του μετριασμού των κινδύνων είναι επαληθεύσιμη μέσω δοκιμών.
• Εφαρμόζονται μέτρα για τον εντοπισμό και την άμυνα έναντι επιθέσεων στον κυβερνοχώρο.
• Η μεθοδική εγκληματολογία δεδομένων επιτρέπει την ανάλυση επιτυχημένων επιθέσεων.
• Υπάρχουν μέτρα για την υποστήριξη της ικανότητας παρακολούθησης των σχετικών απειλών, τρωτών σημείων και επιθέσεων στον κυβερνοχώρο.
• Ο κατασκευαστής του οχήματος υποβάλλει εκθέσεις στην εγκριτική αρχή τουλάχιστον μία φορά το χρόνο.

Σύμφωνα με τον κανονισμό της UNECE για τις ενημερώσεις λογισμικού και τα συστήματα διαχείρισης ενημερώσεων λογισμικού, προκειμένου να λάβουν έγκριση τύπου, οι κατασκευαστές πρέπει να πληρούν τις ακόλουθες απαιτήσεις.

Απαιτήσεις Συστήματα διαχείρισης ενημερώσεων λογισμικού

• Υπάρχει σύστημα διαχείρισης ενημερώσεων λογισμικού και μπορεί να εφαρμοστεί σε οδικά οχήματα.
• Ο κατασκευαστής τεκμηριώνει πλήρως τις ενημερώσεις.
• Ο μηχανισμός παράδοσης ενημερώσεων προστατεύεται από παραποίηση και μπορεί να διασφαλιστεί η ακεραιότητα και η αυθεντικότητα των ενημερώσεων.
• Οι αναγνωριστικοί αριθμοί λογισμικού ή οι εκδόσεις λογισμικού προστατεύονται από μη εξουσιοδοτημένη τροποποίηση.
• Ο αριθμός αναγνώρισης λογισμικού είναι αναγνώσιμος από το όχημα μέσω διεπαφής.

Απαιτήσεις για ενημερώσεις λογισμικού μέσω του αέρα

• Υπάρχει λειτουργία αποκατάστασης σε περίπτωση αποτυχίας της ενημέρωσης.
• Το λογισμικό ενημερώνεται μόνο όταν υπάρχει επαρκής ισχύς.
• Μπορεί να εξασφαλιστεί η ασφαλής εκτέλεση των ενημερώσεων.
• Οι χρήστες ειδοποιούνται για κάθε ενημέρωση και για το πότε αυτή ολοκληρώνεται.
• Οι ενημερώσεις εκτελούνται μόνο όταν το όχημα είναι σε θέση να το κάνει (για παράδειγμα, ορισμένες ενημερώσεις δεν μπορούν να γίνουν κατά την οδήγηση).
• Οι χρήστες ενημερώνονται όταν απαιτείται μηχανικός.

Ορίστε την πορεία για επιτυχή πιστοποίηση με το DQS

Η ασφάλεια των πληροφοριών και η προστασία των δεδομένων είναι σύνθετα ζητήματα που υπερβαίνουν κατά πολύ την ασφάλεια της πληροφορικής. Περιλαμβάνουν τεχνικές, οργανωτικές και υποδομικές πτυχές και αγγίζουν τις νομοθετικές απαιτήσεις. Ένα σύστημα διαχείρισης της ασφάλειας πληροφοριών (ISMS) σύμφωνα με το ISO/IEC 27001 είναι κατάλληλο για αποτελεσματικά μέτρα προστασίας, και αυτό μπορεί να συμπληρωθεί ιδανικά από ένα σύστημα διαχείρισης πληροφοριών προστασίας της ιδιωτικής ζωής (PIMS) σύμφωνα με το ISO/IEC 27701. Το ISO 21434, με τη σειρά του, θα μπορούσε να αποτελέσει τη βάση για το σύστημα διαχείρισης της ασφάλειας στον κυβερνοχώρο (CSMS) που θα απαιτηθεί σύντομα από τις αρχές αδειοδότησης.

Η DQS είναι ο ειδικός σας για ελέγχους και πιστοποιήσεις συστημάτων διαχείρισης και διαδικασιών. Με τα προϊόντα μας για την αυτοκινητοβιομηχανία, όπως η διαχείριση ποιότητας σύμφωνα με την IATF 16949 ή η προστασία πρωτοτύπων σε προμηθευτές σύμφωνα με το TISAX®, εμείς και οι ελεγκτές μας έχουμε ήδη αποκτήσει εκτεταμένη γνώση του κλάδου. Με την εμπειρία περισσότερων από 35 ετών και την τεχνογνωσία 2.500 ελεγκτών παγκοσμίως, είμαστε ο αρμόδιος συνεργάτης σας για την πιστοποίηση και παρέχουμε απαντήσεις σε όλα τα ερωτήματα που αφορούν την προστασία δεδομένων και την ασφάλεια πληροφοριών.