La industria automotriz se enfrenta a un cambio de paradigma radical: con el rápido ritmo de la digitalización, cada vez más sistemas de control electrónico, componentes inteligentes, sistemas integrados e interfaces API se abren paso en los vehículos, haciéndolos más potentes, seguros e inteligentes que nunca. Sin embargo, la creciente dependencia de la electrónica también alberga peligros. Por eso, ya es hora de analizar las nuevas normas, también desde la perspectiva de un auditor.

Loading...

¿Por qué la ciberseguridad en la industria automotriz?

La ciberseguridad en la industria automotriz es el reto del momento para los fabricantes de automóviles. Cada interfaz y componente de comunicación adicional es un punto potencial de ataque para los ciberdelincuentes. El potencial de daño de la manipulación está aumentando rápidamente, por ejemplo, con respecto a los vehículos controlados autónomamente o las funciones de conducción y frenado controladas electrónicamente.

Por esta razón, las Naciones Unidas están definiendo ahora el marco básico de la ciberseguridad en la industria automotriz con dos nuevos reglamentos. Se trata de la Ciberseguridad de la CEPE (UN R 155), que remite directamente a la nueva norma ISO/SAE 21434, y de la Actualización de Software de la CEPE (UN R 156). Estas normas serán obligatorias para los nuevos tipos de vehículos a partir de julio de 2022. Por tanto, la industria del automóvil se enfrenta a grandes retos, sobre todo porque muchos fabricantes de equipos originales (OEM) y proveedores critican la nueva normativa por considerarla muy general. En este sentido, existe un deseo generalizado de que se formulen recomendaciones de actuación concretas a modo de barandilla vinculante.

 

¿Qué significa la ciberseguridad en la industria automotriz?

Mientras que la norma internacional ISO 27001 es el enfoque intersectorial de la seguridad de la información, el término ciberseguridad automotriz, describe la seguridad de los sistemas digitales en la industria automotriz. Nuestros vehículos dependen cada vez más de sistemas electrónicos y aplicaciones de software en red. Por ello, proteger y asegurar estos componentes es cada vez más importante, en toda la industria. Esto comienza con el fabricante de vehículos, continúa con los proveedores y los prestadores de servicios de ingeniería, y se extiende a los proveedores de servicios de software e infraestructura de TIC. Dos nuevas normativas de las Naciones Unidas, dirigidas a los fabricantes y sus proveedores, están diseñadas para garantizar la seguridad de las IT del automóvil.

ISO 27001: el clásico de la seguridad de la información

La norma ISO/IEC 27001 es la principal norma internacional para la implantación de un sistema de gestión integral de la seguridad de la información.

¿Por qué necesitamos la ciberseguridad industria automotriz?

Vehículos conectados: esto significa sistemas de asistencia innovadores, conducción (parcialmente) autónoma, producción en red con la participación de los proveedores, coches conectados con servicios conectados - la digitalización se está haciendo sentir claramente en casi todas las áreas de la industria del automóvil, y está progresando rápidamente. Pero el aumento de la conectividad significa en última instancia más y más código, y ese código puede verse comprometido de muy diversas maneras. Al fin y al cabo, los coches modernos contienen hasta 150 unidades de control electrónico y alrededor de 100 millones de líneas de código, que se espera que se tripliquen para 2030. La cantidad de software en los vehículos actuales es ya cuatro veces superior a la de un avión de combate.

No sólo desde la pandemia del coronavirus y el consiguiente aumento de los ciberataques hay que prestar especial atención a la seguridad informática o a la ciberseguridad del automóvil. Un vehículo debe ser capaz de garantizar su seguridad funcional en todo momento. El potencial de daño de los ciberataques a los coches inteligentes es enorme. Hay que tener en cuenta los escenarios de horror de los ataques de gran volumen ("Todos los frenos electrónicos de los vehículos de un fabricante se paralizan simultáneamente por un ataque de hackers"). Lo que se necesita aquí son conceptos de seguridad precisos y eficaces.

 

Ejemplo práctico: Efectos de un ataque

En 2015, dos expertos informáticos estadounidenses demostraron el impacto potencial de un hackeo en un Jeep Cherokee. Pusieron en peligro el sistema Uconnect, que combina muchas funciones electrónicas del vehículo, desde el infoentretenimiento hasta la navegación. También sirve de interfaz para los dispositivos móviles y abre un punto de acceso WLAN a petición, es decir, tiene una dirección IP. Para demostrar sus habilidades, los dos hackers invitaron a un periodista, que poco después tuvo que ver impotente cómo perdía el control del vehículo.

Desde una distancia de más de 1.000 kilómetros, los hackers encendieron primero el aire acondicionado y la radio a través de su ordenador portátil. Luego rociaron el parabrisas con agua del limpiaparabrisas y, por último, simplemente apagaron el motor, en medio de una autopista interestatal (el equivalente a una autopista europea). Tras esta primera prueba de las graves vulnerabilidades de la infraestructura informática de los vehículos, fueron incluso un poco más allá. Demostraron en un aparcamiento vacío que podían incluso influir en la dirección o anular los frenos. Las consecuencias fueron la retirada de 1,4 millones de vehículos y una multa de 105 millones de dólares.

 

La seguridad informática y las actualizaciones del software de los vehículos

Hoy en día, las medidas selectivas ya no son suficientes para proteger los vehículos de forma integral. En su lugar, se requieren enfoques sistemáticos y estratégicos que especifiquen requisitos claros para el alcance, el rendimiento y la auditoría de un sistema de seguridad. El enfoque estratégico debe abarcar todo el ciclo de vida del producto. En este caso, la atención debe centrarse en la disponibilidad a largo plazo de las actualizaciones de software, por ejemplo, o en la integración de toda la cadena de suministro.

Para crear un marco adecuado para la ciberseguridad del automóvil, el Foro Mundial para la Armonización de las Reglamentaciones sobre Vehículos de la Comisión Económica para Europa de las Naciones Unidas (CEPE) adoptó por primera vez en el verano de 2020 dos reglamentos vinculantes. Publicadas bajo las siglas UNECE R 155 y UNECE R 156, las normas se refieren a la seguridad informática y a las actualizaciones de software en los vehículos, por lo que están estrechamente relacionadas.

La normativa entró en vigor a principios de 2021. A partir de julio de 2022, su cumplimiento será obligatorio para los nuevos tipos de vehículos. Los fabricantes que no cumplan los requisitos se enfrentarán a la no matriculación de los tipos de vehículos correspondientes. Por último, a partir de julio de 2024, la normativa se aplicará a todos los vehículos de nueva fabricación.

La normativa exige esencialmente la aplicación de medidas en cuatro ámbitos:

  • Gestión de los riesgos cibernéticos de los vehículos
  • Protección de los vehículos según un enfoque de seguridad por diseño para mitigar los riesgos a lo largo de la cadena de valor
  • Detección y defensa de los ataques en toda la flota de vehículos
  • Provisión de actualizaciones de software en términos de seguridad e introducción de una base legal para las actualizaciones over-the-air (O.T.A.) del software del vehículo

 

Ciberseguridad en la industria automotriz: ¿A quién afecta la nueva normativa?

La normativa de la ONU habla principalmente de que los fabricantes de vehículos deben aplicar los nuevos requisitos. Sin embargo, esto incluye la supervisión y auditoría de la ciberseguridad en toda la cadena de suministro para demostrar el cumplimiento de la normativa en todo momento. Por tanto, el fabricante está obligado a supervisar a los proveedores. Y, por tanto, es muy probable que exija a sus proveedores que también apliquen las nuevas normas.

Las dos normativas se aplican a los turismos, furgonetas, camiones y autobuses, siempre que estén equipados con funciones de conducción automatizada. En esta categoría también se incluyen los nuevos tipos de cápsulas automatizadas, lanzaderas o vehículos comparables. Además, los reglamentos también se aplican a los remolques que contienen al menos una unidad de control electrónico.

 

¿Qué cubre la ciberseguridad de la CEPE en el marco del R 155?

El R 155 de la CEPE define los requisitos para la protección de los vehículos contra los ciberataques. Un punto clave aquí es la implementación de un Sistema de Gestión de Ciberseguridad (CSMS) en todas las empresas que comercializan vehículos. Lo interesante es que este requisito cambia la perspectiva de los fabricantes. Sus actividades de desarrollo ya no terminan con el inicio de la producción (SOP). En su lugar, existe la obligación permanente de comprobar los sistemas de seguridad a lo largo de todo el ciclo de vida de un vehículo, incluidas las mejoras necesarias.

De este modo, el legislador tiene en cuenta la naturaleza altamente dinámica del desarrollo y la garantía del software. Además, el sistema de gestión pretende garantizar el cumplimiento de los requisitos de seguridad a lo largo de la cadena de suministro. No es una tarea fácil si se tiene en cuenta que los proveedores representan actualmente más del 70% del volumen de software.

Reglamento nº 155 de las Naciones Unidas - Disposiciones uniformes relativas a la homologación de vehículos en materia de ciberseguridad y al sistema de gestión de la ciberseguridad [2021/387]. El texto del reglamento puede encontrarse aquí.

Para garantizar la seguridad de principio a fin a pesar de estas complejidades, desde el desarrollo hasta el vehículo terminado en la carretera, es importante pensar en un CSMS de forma holística. Además, los vehículos deben diseñarse sobre la base de un enfoque de seguridad por diseño. La intención es mantener la puerta de entrada para los atacantes lo más pequeña posible desde el principio.

¿Qué es un sistema de gestión de la ciberseguridad (CSMS)?

Las principales características de un CSMS son

  • Gestión de riesgos: una organización utiliza procesos para identificar, evaluar y mitigar los riesgos de las ciberamenazas.
  • La gestión de riesgos abarca todo el ciclo de vida del producto, desde el desarrollo hasta la fase operativa en el cliente final.
  • Monitorización de nuevas vulnerabilidades y ataques conocidos para responder con nuevas actualizaciones.
  • Permite la evaluación independiente por parte de un instituto de pruebas acreditado.

Importante punto a favor en la práctica: la sistematización de la ciberseguridad que conlleva la introducción de un CSMS obliga a las empresas a abordar la cuestión de la seguridad de la información de forma orientada al riesgo.

"El sistema de gestión de la ciberseguridad (CSMS) se refiere a un enfoque sistemático, basado en el riesgo, para establecer los procesos organizativos, las responsabilidades y la gobernanza en la gestión de los riesgos relacionados con las amenazas cibernéticas para los vehículos y la protección de los vehículos contra los ciberataques."

Fuente: Diario Oficial de la Unión Europea en R 155

Esto incluye definir y evaluar completamente los riesgos, y pensar en la probabilidad de que ocurran. Esta evaluación de riesgos proporciona un punto de partida sólido para reducir los daños potenciales específicos a un nivel aceptable, un enfoque probado y pragmático.

 

Ciberseguridad en la industria automotriz: ¿Qué regula la norma UNECE R 156?

Dado que los vehículos totalmente autónomos también participarán en el tráfico en un futuro previsible, es de vital importancia mantener el software del vehículo adecuadamente y mantenerlo permanentemente actualizado, por ejemplo, mediante correcciones de errores o actualizaciones. Por lo tanto, la norma R 156 prescribe la introducción y el funcionamiento de un sistema de gestión de actualizaciones de software (SUMS) conforme a la norma para todos los vehículos. Su objetivo es proporcionar una seguridad permanente durante todo el ciclo de vida de un vehículo.

Incluso después de muchos años o décadas, debe ser posible instalar actualizaciones de forma segura y fiable. Además, la R 156 sienta las bases legales para las llamadas actualizaciones "Over-the-Air" (O.T.A.), que permiten actualizar los vehículos con poca antelación y en cualquier momento, independientemente de su ubicación.

Reglamento nº 156 de la ONU - Disposiciones uniformes relativas a la homologación de vehículos de motor en lo que respecta a la actualización del software y al sistema de gestión de la actualización del software [2021/388]. El texto del reglamento puede encontrarse aquí.

En comparación, los actuales fabricantes de teléfonos móviles dan pocas garantías sobre cuántas generaciones de software futuras soportarán o sobre qué periodos de tiempo los dispositivos más antiguos seguirán recibiendo actualizaciones de seguridad. Si los fabricantes de teléfonos móviles afines a la informática quieren evitar los retos del ciclo de vida de sus productos lo antes posible, esto muestra claramente los retos relacionados con la informática a los que se enfrenta ahora la industria del automóvil con sus largos ciclos de vida de los productos.

 

¿Se puede certificar la ciberseguridad actual en la industria automotriz?

Según la normativa de la UE, los fabricantes deben garantizar la funcionalidad de sus sistemas de gestión en todo momento y documentar ampliamente el estado de todo su software.

Para proporcionar un estándar certificable para la funcionalidad de un CSMS, la Organización Internacional de Normalización (ISO), junto con la Sociedad de Ingenieros de Automoción (SAE), publicó la norma ISO/SAE 21434 en agosto de 2021. En los círculos profesionales, se espera que la norma ISO/SAE 21434 proporcione una base reconocida por las autoridades de homologación para la implantación de un sistema de gestión de la ciberseguridad en un fabricante de vehículos.

La Asociación Alemana de la industria automotriz (VDA) ha creado una base de pruebas complementaria a esta norma, que un fabricante de vehículos puede utilizar para auditar el CSMS de su proveedor o proveedor de servicios de ingeniería. De este modo, el CSMS del fabricante puede tener un efecto positivo en el sentido de la normativa de la CEPE hasta el nivel del proveedor.

Para la certificación de un sistema de gestión de actualizaciones de software, la norma ISO 24089 se convertirá en el estándar. Sin embargo, el diseño sigue abierto en este momento (enero de 2022).

Diferenciación de TISAX

Es cierto que TISAX® es también un procedimiento de prueba para la seguridad de la información en la industria automotriz. Y, al igual que una certificación, el cumplimiento de los requisitos puede demostrarse mediante una evaluación. Sin embargo, TISAX® se dirige principalmente a los proveedores de servicios o a los suministradores de la industria automotriz que tienen que demostrar a sus clientes que cumplen determinados requisitos de seguridad de la información. Un ejemplo es el manejo seguro de los datos y la información que el cliente proporciona a un proveedor para un proceso de desarrollo y fabricación, por ejemplo. La norma ISO/SAE 21434, por su parte, está dirigida a los fabricantes de vehículos, es decir, a los fabricantes de equipos originales (OEM).

La norma ISO/SAE 21434 como elemento potenciador de la reputación

El enfoque de la ISO 21434, análogo al de los sistemas de gestión comunes como la ISO 27001, exige la aplicación de procesos y procedimientos teniendo en cuenta los riesgos identificados.

El objetivo declarado de la norma es garantizar la seguridad de todos los sistemas eléctricos y, sobre todo, electrónicos de procesamiento de datos a lo largo de todo el ciclo de vida de un vehículo, hasta su eliminación. Con ello, pretende convertirse en una norma de calidad establecida y vinculante para la ciberseguridad en el sector del automóvil.

ISO/SAE 21434:2021 - Vehículos de carretera - Ingeniería de ciberseguridad - Fecha de emisión 2021-08. La norma está disponible en el sitio web de la ISO.

Para cumplir con este enfoque holístico, la norma define un CSMS para las áreas de diseño de seguridad, desarrollo de productos, mantenimiento de productos, detección de riesgos, mitigación de peligros, eliminación de productos y procesos continuos relacionados. También incluye normas sobre las responsabilidades en el caso de desarrollo de productos distribuidos entre fabricantes y proveedores, sin prescribir tecnologías o soluciones específicas en términos concretos.

Los fabricantes y proveedores de vehículos no deben considerar la aplicación de la norma ISO 21434 como una carga adicional a su actividad diaria. Al contrario, las certificaciones ofrecen un valor añadido real en muchos ámbitos, palabras clave: ciberseguro, ciberresponsabilidad y reputación en el mercado. Como resultado, a veces pueden incluso convertirse en una ventaja competitiva. Al fin y al cabo, la seguridad informática de vanguardia confirmada por expertos independientes y la protección de datos confirmada se consideran cada vez más características de calidad importantes en el sector.

 

Otras normas importantes del sector automotriz

 

IATF 16949

La industria automotriz está comprometida con la excelente calidad de los procesos, los procesos de mejora continua, los más altos estándares y la innovación. IATF 16949 es la norma para los sistemas de gestión de la calidad de los proveedores en la industria automotriz.

Calidad en la industria automotriz

¿Busca acceder al mercado de la industria automotriz o le gustaría obtenerlo como proveedor de primer nivel? Los fabricantes de automóviles esperan que proporcione una prueba significativa de su capacidad de calidad: un certificado según la norma IATF 16949.

TISAX

TISAX® es un procedimiento de prueba e intercambio común para el sector de la automoción. Se basa en el cuestionario "ISA - Information Security Assessment" desarrollado por la Asociación Alemana de la Industria del Automóvil (VDA). Éste, a su vez, contiene aspectos esenciales de la norma internacional ISO/IEC 27001 y los amplía con un modelo de madurez.

TISAX® - Seguridad de la información en la industria automotriz

Como proveedor de servicios o suministrador en la industria del automóvil, necesita demostrar a sus clientes que cumple con los requisitos de seguridad de la información.

ISO 26262

La aplicación de la norma tiene por objeto garantizar la seguridad funcional de un sistema con componentes eléctricos o electrónicos en un vehículo de motor. La norma consta de doce partes. Parte 1: Vocabulario, Parte 2: Gestión de la seguridad funcional, Parte 3: Fase de concepto, Parte 4: Desarrollo de productos a nivel de sistema, Parte 5: Desarrollo de productos a nivel de hardware, Parte 6: Desarrollo de productos a nivel de software, Parte 7: Producción, operación, servicio y desmantelamiento, Parte 8: Procesos de apoyo, Parte 9: Análisis orientado al nivel de integridad de la seguridad del automóvil (ASIL) y orientado a la seguridad, Parte 10: Directrices sobre la norma ISO 26262, Parte 11: Directrices sobre la aplicación de la norma ISO 26262 a los semiconductores y Parte 12: Adaptación para motocicletas.

ISO 26262-1(bis 12):2018-12 - Vehículos de carretera - Seguridad funcional. Las normas están disponibles en el sitio web de la ISO.

Listas de comprobación: ¿cumple los requisitos de seguridad de la CEPE para automóviles?

El catálogo de requisitos de la CEPE es amplio y puede resultar abrumador a primera vista. Las siguientes tres listas de comprobación deberían ofrecerle una visión general compacta de la normativa, así como una primera impresión de si sus sistemas de gestión existentes ya cumplen con la normativa de la CEPE.

Según el Reglamento de la CEPE sobre ciberseguridad y sistemas de gestión de la ciberseguridad, para obtener la homologación, los fabricantes deben cumplir los siguientes requisitos.

Requisitos Sistemas de gestión de la ciberseguridad.

  • Existe un CSMS que puede aplicarse a las fases de desarrollo, producción y postproducción de los vehículos de carretera.
  • Se realizan análisis de evaluación de riesgos y cumplen su objetivo.
  • Se identifican las medidas de mitigación de riesgos.
  • La funcionalidad de la mitigación de riesgos es verificable mediante pruebas.
  • Existen medidas para identificar y defenderse de los ciberataques.
  • Un análisis forense metódico de los datos permite analizar los ataques exitosos.
  • Existen medidas para apoyar la capacidad de supervisión de las amenazas, vulnerabilidades y ciberataques pertinentes.
  • El fabricante de vehículos informa a la autoridad de homologación al menos una vez al año.

Según el Reglamento de la CEPE sobre actualizaciones de software y sistemas de gestión de actualizaciones de software, para obtener la homologación, los fabricantes deben cumplir los siguientes requisitos.

Requisitos Sistemas de gestión de actualizaciones de software

  • Existe un sistema de gestión de actualizaciones de software que puede aplicarse a los vehículos de carretera.
  • El fabricante documenta completamente las actualizaciones.
  • El mecanismo de entrega de actualizaciones está protegido contra la manipulación y puede garantizarse la integridad y la autenticidad de las actualizaciones.
  • Los números de identificación del software o las versiones del software están protegidos contra las modificaciones no autorizadas.
  • El número de identificación del software es legible desde el vehículo a través de una interfaz.

Requisitos para las actualizaciones de software por vía aérea

  • Existe una función de recuperación si la actualización falla.
  • El software sólo se actualiza cuando hay suficiente energía disponible.
  • Se puede garantizar la ejecución segura de las actualizaciones.
  • Los usuarios son notificados de cada actualización y de cuándo se ha completado.
  • Las actualizaciones sólo se ejecutan cuando el vehículo es capaz de hacerlo (por ejemplo, algunas actualizaciones no pueden realizarse mientras se conduce).
  • Los usuarios son informados cuando se necesita un mecánico.

Establezca el rumbo para una certificación exitosa con DQS

La seguridad de la información y la protección de datos son cuestiones complejas que van mucho más allá de la seguridad informática. Abarcan aspectos técnicos, organizativos y de infraestructura y tocan los requisitos legislativos. Un sistema de gestión de la seguridad de la información (ISMS) de acuerdo con la norma ISO/IEC 27001 es adecuado para tomar medidas de protección eficaces, y esto se puede complementar idealmente con un sistema de gestión de la información sobre la privacidad (PIMS) de acuerdo con la norma ISO/IEC 27701. La ISO 21434, a su vez, podría convertirse en la base del Sistema de Gestión de Ciberseguridad (CSMS) que pronto exigirán las autoridades encargadas de conceder licencias.

DQS es su especialista en auditorías y certificaciones de sistemas y procesos de gestión. Con nuestros productos para la industria de la automoción, como la gestión de la calidad según la norma IATF 16949 o la protección de prototipos en los proveedores según TISAX®, nosotros y nuestros auditores ya hemos adquirido un amplio conocimiento del sector. Con la experiencia de más de 35 años y los conocimientos técnicos de 2.500 auditores en todo el mundo, somos su socio de certificación competente y damos respuesta a todas las preguntas relacionadas con la protección de datos y la seguridad de la información.

fragen-antwort-dqs-fragezeichen auf wuerfeln aus holz auf tisch
Loading...

Estaremos encantados de responder a sus preguntas

¿Cuáles son los requisitos para la certificación ISO 27001, ISO 27701, IATF 16949 o una evaluación TISAX®? ¿Y cuánto esfuerzo hay que esperar? Descúbralo. De forma gratuita y sin compromiso.

Autor
Holger Schmeken

Director de producto y experto en seguridad de la información y desarrollo de software. Holger Schmeken también aporta su experiencia como auditor de la norma ISO 27001 con competencia en el procedimiento de auditoría KRITIS y Jefe de Seguridad de la Información de DQS BIT GmbH.

Loading...