Ciberseguridad del automóvil certificada con ENX VCS

Índice

• Normativa vinculante sobre ciberseguridad
• ENX VCS: programa mundial de auditorías para ISO/SAE 21434
• Auditorías estandarizadas: resultados comparables
• TISAX® y VCS trabajan en tándem
• Prueba de conformidad según ENX VCS
• DQS - Simplemente aprovechando la seguridad

Normativa vinculante sobre ciberseguridad

Para contrarrestar las crecientes amenazas cibernéticas, las Naciones Unidas adoptaron las normas UNECE R 155 y 156, que incluyen la implantación de un Sistema de Gestión de Ciberseguridad (CSMS) y un Sistema de Gestión de Actualizaciones de Software (SUMS), respectivamente. Las normativas pretenden garantizar la ciberseguridad a lo largo de todo el ciclo de vida de un modelo y de toda la cadena de suministro. En la UE, la normativa es obligatoria para todos los vehículos de nueva fabricación desde julio de 2024.

ENX VCS: programa de auditoría mundial para ISO/SAE 21434

Con la norma ISO/SAE 21434 (Vehículos de carretera - Ingeniería de ciberseguridad), se intentó crear una directriz y una prueba de conformidad para el cumplimiento de la normativa. En la práctica, sin embargo, los respectivos programas de auditoría de los proveedores de servicios de pruebas resultaron ser demasiado diferentes - a pesar de las especificaciones de la norma ISO/PAS 5112. Por lo tanto, los fabricantes seguían sin tener la oportunidad de proporcionar al legislador pruebas fiables y comparables del cumplimiento de la normativa por parte de sus proveedores, que a su vez tenían problemas para demostrar el cumplimiento de sus disposiciones contractuales sobre la base de pruebas comparables.

Por este motivo, la Asociación ENX (una asociación de fabricantes, proveedores y asociaciones europeas del sector del automóvil) ha diseñado el programa de auditoría ENX VCS. ENX VCS audita la implantación de un sistema de gestión de la ciberseguridad de los vehículos (VCSMS) de conformidad con las normas ISO 21434 e ISO
5112. Su ventaja decisiva: la auditoría VCS está estandarizada en todo el mundo y puede adaptarse más rápidamente a los nuevos retos que una norma ISO. Un grupo de expertos internacionales revisa periódicamente el programa de auditoría para mantenerlo actualizado.

Auditorías estandarizadas - resultados comparables

Con la auditoría ENX VCS estandarizada, las empresas evitan gastos innecesarios, sobre todo financieros, que pueden derivarse de procesos de auditoría multiplano y auditorías divergentes. Para garantizar procesos comparables a nivel mundial entre todos los proveedores de auditorías, ENX también publicó criterios y requisitos de evaluación específicos para proveedores de auditorías (ACAR VCS) y un catálogo de auditorías vinculante para auditorías de ciberseguridad de vehículos (VCSA) en el lanzamiento del programa. Estos definen una serie de competencias obligatorias y un modelo de procedimiento vinculante para los auditores VCS -además de la auditoría organizativa de la normativa V-CSMS, por ejemplo, una auditoría obligatoria de documentos y procesos- y la formación de una muestra aleatoria orientada al riesgo de todos los proyectos relevantes para la ciberseguridad. A continuación, los auditores y expertos entrevistan a los equipos de ingenieros responsables de los proyectos de la muestra. Los resultados del trabajo del equipo se revisan para garantizar que el V-CSMS se utiliza realmente en la práctica. Una vez superada la prueba, las empresas pueden solicitar a ENX la etiqueta VCS correspondiente y ponerla a disposición de los interesados a través del mecanismo de intercambio ENX.

TISAX^® y VCS trabajan en tándem

Estructuralmente, las auditorías VCS con el ACAR VCS se basan en el estándar de automoción establecido TISAX^®. Los dos mecanismos de auditoría se complementan: mientras que TISAX^®evalúa la seguridad de la información en una empresa, la etiqueta VCS confirma la ciberseguridad de los componentes de los vehículos. Al igual que ^TISAX®, la auditoría VCS tiene en cuenta las distintas funciones de los proveedores en el suministro de componentes ciberimportantes. Por tanto, cada proveedor debe cumplir únicamente los requisitos del catálogo de auditoría VCSA que correspondan a su función real y específica. Se distingue entre diferentes etiquetas:

• Desarrollo VCS: La empresa lleva a cabo el desarrollo seguro de componentes VCS - de la integración. El proceso de integración del sistema en la arquitectura general de seguridad hasta la implementación segura y la transición segura a la producción.
• Producción de VCS: La empresa produce componentes VCS y garantiza su configuración segura y el equipamiento del software.
• Operaciones y mantenimiento del VCS: La empresa se encarga de los datos de registro de la flota de vehículos, lo que permite identificar condiciones de funcionamiento problemáticas o identificar incidentes de seguridad específicos. Esta etiqueta también es adecuada para empresas que necesitan mantener actualizados sus componentes VCS.