Ciberseguridad automotriz certificada con ENX VCS

Índice de contenidos

• Normas vinculantes de ciberseguridad
• ENX VCS - programa de auditoría mundial para ISO/SAE 21434
• Auditorías estandarizadas - resultados comparables
• TISAX ^® y VCS trabajan en conjunto
• Prueba de conformidad según ENX VCS
• DQS: cómo aprovechar al máximo la seguridad

Normas vinculantes de ciberseguridad

Para hacer frente a las crecientes amenazas cibernéticas, las Naciones Unidas adoptaron las normas UNECE R 155 y UNECE R 156, que incluyen la implementación de un Sistema de Gestión de Ciberseguridad (CSMS) y un Sistema de Gestión de Actualizaciones de Software (SUMS), respectivamente. Las normas tienen por objeto garantizar la ciberseguridad durante todo el ciclo de vida de un modelo y a lo largo de toda la cadena de suministro. En la UE, las normas son obligatorias para todos los vehículos de nueva fabricación desde julio de 2024.

ENX VCS - programa de auditoría mundial para ISO/SAE 21434

Con la ISO/SAE 21434 (Road Vehicles - Cybersecurity Engineering) se intentó crear, en el marco de la normativa de la ONU, una directriz y una prueba de conformidad para el cumplimiento de las normas. Sin embargo, en la práctica, los programas de auditoría de los proveedores de servicios de inspección resultaron ser demasiado diferentes, a pesar de las especificaciones de la ISO/PAS 5112. Por lo tanto, los fabricantes seguían careciendo de la posibilidad de proporcionar al legislador pruebas fiables y comparables del cumplimiento de sus proveedores, quienes a su vez tenían problemas para demostrar el cumplimiento de sus disposiciones contractuales sobre la base de una base de pruebas comparable.

Por este motivo, la Asociación ENX (asociación de fabricantes, proveedores y asociaciones de automóviles europeos) ha diseñado el programa de auditoría ENX VCS. ENX VCS audita la implementación de un Sistema de Gestión de Ciberseguridad del vehículo (VCSMS) de acuerdo con  ISO 21434  e ISO 5112. Su ventaja decisiva es que la auditoría VCS está estandarizada a nivel mundial y se puede adaptar a nuevos desafíos con mayor rapidez que una norma ISO. Un grupo de expertos internacionales revisa periódicamente el programa de auditoría para mantenerlo actualizado.

Auditorías estandarizadas - resultados comparables

Con la auditoría estandarizada ENX VCS, las empresas evitan los gastos innecesarios, sobre todo financieros, que pueden surgir de los procesos de auditoría en varios niveles y de auditorías divergentes. Para garantizar procesos globalmente comparables entre todos los proveedores de auditoría, ENX también publicó en el lanzamiento del programa unos criterios y requisitos de evaluación específicos para los proveedores de auditoría (ACAR VCS) y un catálogo de auditoría vinculante para las auditorías de ciberseguridad de vehículos (VCSA). Estos definen una serie de competencias obligatorias y un modelo de procedimiento vinculante para los auditores de VCS, además de la auditoría organizativa de las regulaciones V-CSMS, por ejemplo, una auditoría obligatoria de documentos y procesos, y la formación de una muestra aleatoria orientada al riesgo de todos los proyectos relevantes para la ciberseguridad. A continuación, los equipos de ingeniería responsables de los proyectos de la muestra son entrevistados por los auditores y expertos. Los resultados del trabajo del equipo se revisan para garantizar que el V-CSMS se utiliza realmente en la práctica. Una vez que se ha superado la prueba con éxito, las empresas pueden solicitar a ENX una etiqueta VCS correspondiente y ponerla a disposición de las partes interesadas a través del mecanismo de intercambio de ENX.

TISAX ^® y VCS trabajan en conjunto

Estructuralmente, las auditorías VCS con ACAR VCS se basan en el estándar de automoción establecido TISAX ^® Los dos mecanismos de auditoría se complementan: mientras que TISAX ^® evalúa la seguridad de la información en una empresa, la etiqueta VCS confirma la ciberseguridad de los componentes del vehículo. Similar a TISAX ^® La auditoría VCS tiene en cuenta los distintos roles de los proveedores en el suministro de componentes cibernéticos. Por lo tanto, cada proveedor debe cumplir únicamente los requisitos del catálogo de auditorías de VCSA que correspondan a su función real y específica. Se distinguen diferentes etiquetas:

• Desarrollo de VCS: La empresa se encarga del desarrollo seguro de los componentes del VCS, desde la integración del sistema en la arquitectura de seguridad general hasta la implementación segura y la transición segura a la producción.
• Producción VCS: La empresa produce componentes VCS y garantiza su configuración segura y el equipamiento de software.
• Operaciones y mantenimiento de VCS: La empresa recibe datos de registro de la flota de vehículos, lo que permite identificar condiciones de funcionamiento problemáticas o detectar incidentes de seguridad específicos. Esta etiqueta también es adecuada para empresas que necesitan mantener actualizados sus componentes VCS.