Cybersécurité automobile : Nouvelles réglementations obligatoires à partir de juillet 2024

CONTENU

• Pourquoi la cybersécurité automobile est-elle si importante ?
• Pourquoi l'industrie automobile est-elle au centre de tant d'attaques ?
• Quels sont les vecteurs d'attaque ? 
• À qui s'appliquent les nouvelles réglementations et quelles sont leurs implications ?
• Qu'est-ce qu'un système de gestion de la cybersécurité (SGCS) et quels en sont les avantages ? 
• UNECE R 155 & 156 : Réglementation de la cybersécurité automobile 
• Le meilleur chemin vers un SGSC : ISO 21434 et l'introduction de l'audit de cybersécurité du véhicule 
• Comment les entreprises peuvent-elles se préparer à un audit VCS ?
• Cybersécurité automobile : pourquoi les entreprises doivent agir maintenant
• Certification réussie avec DQS 

Pourquoi la cybersécurité automobile est-elle si importante ?

Le développement et la conception des véhicules ont évolué de manière spectaculaire ces dernières années : Ce qui était autrefois un moyen de transport mécanique est depuis longtemps devenu un ordinateur avec des roues. Alors qu'autrefois les pièces du véhicule, telles que la pédale de frein et le frein ou la direction et l'essieu avant, étaient physiquement connectées, elles communiquent désormais en tant que système exclusivement par l'intermédiaire de contrôleurs numériques qui envoient des signaux électriques aux actionneurs. Presque tous les composants d'un véhicule moderne sont mis en réseau numériquement pour garantir des performances et une sécurité de conduite optimales. Par conséquent, la voiture intelligente moderne est toujours en ligne, mais les divers ordinateurs de bord et systèmes d'assistance constituent également une cible de plus en plus importante pour les cyberattaques.

Un scénario réaliste et effrayant est la manipulation du moteur, des freins ou de la direction, qui pourrait mettre en danger la vie des occupants du véhicule et des autres usagers de la route. La question de la conduite autonome est encore plus explosive : selon le pouvoir de décision des systèmes de contrôle électronique, une intervention (à distance) dans leur comportement de conduite peut avoir des conséquences fatales.

Pourquoi l'industrie automobile est-elle au centre de nombreuses attaques ?

Alors que la norme internationale ISO 27001 constitue l'approche intersectorielle de la sécurité de l'information, le terme de cybersécurité automobile décrit la sécurité des systèmes numériques dans l'industrie automobile. Nos véhicules à moteur sont de plus en plus dépendants de systèmes électroniques et d'applications logicielles en réseau. Par conséquent, la protection et la sécurisation de ces composants deviennent de plus en plus importantes - dans l'ensemble de l'industrie. Cela commence par le constructeur automobile, se poursuit avec les fournisseurs et les prestataires de services d'ingénierie, et s'étend aux fournisseurs de logiciels et de services d'infrastructure TIC. Deux nouvelles réglementations des Nations Unies, destinées aux constructeurs et à leurs fournisseurs, visent à garantir la sécurité de l'informatique automobile.

Quels sont les vecteurs d'attaque ?

Un véhicule moderne peut être la cible de pirates informatiques de différentes manières. En voici quelques exemples :

- Les passerelles les plus dangereuses vers le système du véhicule et les calculateurs sont peut-être les fonctions de connectivité des véhicules modernes, en particulier les interfaces sans fil via Bluetooth et WLAN. Outre le système d'infodivertissement, la prolifération des applications compagnons, qui peuvent être utilisées pour contrôler des fonctions critiques, constitue également une vulnérabilité importante.

- De plus en plus de constructeurs automobiles s'appuient sur les mises à jour automatiques pour se protéger et protéger leurs clients contre les rappels fastidieux et les visites d'entretien coûteuses. Cependant, les véhicules qui peuvent recevoir des mises à jour en direct sont également plus vulnérables à l'infiltration par des acteurs malveillants. Les mises à jour OTA représentent le risque le plus élevé de cyberattaques à grande échelle visant des gammes entières de modèles.

- La connectivité de véhicule à tout (V2X) nécessitera également une plus grande attention à l'avenir. V2X fait référence à la communication constante entre les véhicules et les entités de leur environnement, comme entre les véhicules eux-mêmes, afin d'éviter les embouteillages et les accidents en comparant leurs emplacements.

- L'influence croissante de l'intelligence artificielle est déjà évidente. Les méthodes basées sur l'IA rendent les attaquants plus rapides et plus créatifs. Il convient de leur opposer une réponse solide, telle que l'analyse préventive des vulnérabilités basée sur l'IA.

- Parfois, le danger est beaucoup plus tangible : les systèmes d'entrée sans clé, par exemple, présentent un risque de vol de véhicules en interceptant ou en usurpant des signaux.

À qui s'applique la nouvelle réglementation et quelles sont ses implications ?

La nouvelle réglementation s'applique à toutes les organisations qui mettent des voitures et d'autres véhicules sur le marché et les oblige à garantir la cybersécurité de leurs produits et systèmes tout au long de la chaîne d'approvisionnement. Les équipementiers sont également responsables de leurs fournisseurs, qu'ils obligent désormais par contrat à mettre en œuvre les nouvelles exigences.

Récemment, plusieurs constructeurs automobiles ont été contraints d'abandonner complètement certaines gammes de modèles plus anciens. Non pas parce qu'ils n'avaient pas de succès, mais parce qu'il n'était tout simplement pas possible (ou pas contractuellement applicable) de garantir des mises à jour logicielles pour l'ensemble du cycle de vie de ces anciens modèles.

La raison : le cycle de vie d'un véhicule est généralement beaucoup plus long que celui des applications logicielles. La capacité à fournir des mises à jour dans 10 ans ou plus ne semblait pas assurée pour les produits en cours de suppression. De nombreux équipementiers et fournisseurs n'avaient pas envisagé les coûts qui pourraient résulter des nouvelles obligations de diligence raisonnable prévues par la norme CEE-ONU R 155 au cours du cycle de vie du véhicule. Les nouvelles exigences relatives aux CSMS et aux mises à jour logicielles visent à garantir que les responsabilités en matière de cybersécurité sont convenues par contrat et que les aptitudes et compétences nécessaires sont en place au cours du cycle de vie typique d'un véhicule, qui est de 15 ans. Les organisations peuvent obtenir la preuve de la conformité de leur CSMS par le biais d'un audit VCS réalisé par DQS.

Qu'est-ce qu'un système de gestion de la cybersécurité (SGCS) et quels en sont les avantages ? 

L'objectif de la mise en œuvre d'un SGCS est de systématiser la cybersécurité au sein de l'organisation et de l'aligner sur les normes nationales ou internationales établies. Les aspects clés d'une mise en œuvre réussie d'un SGCS sont les suivants

- L'organisation doit disposer d'un système de gestion des risques actualisé et de processus solides définis pour l'identification, l'évaluation et l'atténuation des risques liés aux cybermenaces.

- La gestion des risques couvre l'ensemble du cycle de vie du produit - du développement à l'élimination, en passant par la production et l'exploitation. 

- Un suivi complet des nouvelles vulnérabilités et des attaques connues permet de réagir rapidement aux cyberattaques grâce à des mises à jour ciblées.

Un CSMS offre aux organisations un certain nombre d'avantages qui vont au-delà de l'atténuation des risques et de la conformité : Le principal d'entre eux est qu'il permet de mesurer la cybersécurité de l'organisation, généralement dans le cadre d'une évaluation indépendante réalisée par un prestataire de services d'audit agréé. L'organisation sait à quoi s'en tenir et peut le prouver à tout moment. En outre, les audits externes permettent une ouverture impartiale sur les aspects de la cybersécurité qui doivent encore être renforcés.

En outre, dans le cadre de ce processus, les fournisseurs automobiles doivent adopter une approche approfondie et axée sur les risques pour maintenir la sécurité de l'information du véhicule tout au long de son cycle de vie, ce qui permet de sensibiliser tous les niveaux hiérarchiques à la cybersécurité. 

UNECE R 155 & 156 : Règlements sur la cybersécurité automobile

Pour faire face aux menaces croissantes qui pèsent sur l'industrie automobile, l'ONU a lancé deux nouvelles réglementations importantes au cours de l'été 2020 : UNECE R 155 et UNECE R 156.

- L'UNECE R 155 définit les exigences relatives à la protection des véhicules contre les cyberattaques et souligne le rôle clé d'un système de gestion de la cybersécurité (CSMS) soigneusement mis en œuvre.

- Le règlement CEE-ONU R 156, quant à lui, vise à garantir une sécurité continue tout au long du cycle de vie d'un véhicule et impose la mise en œuvre et le fonctionnement d'un système de gestion des mises à jour des logiciels (SUMS) conforme à la norme.

Les deux règlements entreront en vigueur au début de l'année 2021, et la conformité n'est obligatoire pour les nouveaux types de véhicules que depuis juillet 2022. Enfin, d'ici le 1er juillet 2024, les règlements s'appliqueront à tous les véhicules nouvellement fabriqués.

S'il ne fait aucun doute que les nouvelles règles sont généralement judicieuses, de nombreuses organisations les ont rapidement critiquées : Elles sont trop générales et offrent peu de recommandations d'action concrètes. Examinons donc de plus près les nouvelles réglementations. 

Le meilleur chemin vers un CSMS : ISO 21434 et l'introduction de l'audit de cybersécurité des véhicules

En août 2021, l'Organisation internationale de normalisation (ISO) et la Society of Automotive Engineers (SAE) ont publié la norme ISO/SAE 21434, qui fournit des lignes directrices internationalement valables pour la mise en œuvre d'un SGCV que les organisations peuvent utiliser comme référence.

Toutefois, comme on pouvait s'y attendre, l'application de la norme a fait l'objet d'interprétations diverses. L'importance de mesures de sécurité cohérentes étant particulièrement élevée dans l'industrie automobile avec ses chaînes d'approvisionnement profondément intégrées, ENX a rapidement apporté des améliorations : avec les audits de cybersécurité des véhicules (VCS), elle a présenté une nouvelle option de preuve de conformité qui est plus uniforme et encore mieux adaptée aux exigences de l'industrie.

L'audit VCS, normalisé au niveau mondial, est toujours basé sur la norme ISO 21434, mais il a été complété par un certain nombre d'extensions nécessaires en étroite collaboration avec des organisations de l'industrie automobile. Pour l'avenir, le catalogue d'audits est conçu pour être rapidement mis à jour en fonction des besoins, afin de répondre plus rapidement aux nouveaux développements dans l'industrie automobile ou dans le paysage des cybermenaces.

Comment les organisations peuvent-elles se préparer à un audit VCS ?

La condition préalable à un audit VCS est une évaluation TISAX®, qui prouve la conformité du SMSI central avec TISAX®. Le SMSI garantit le respect des règles et procédures fondamentales pour un traitement sécurisé de l'information. Le nombre de sites inclus dans l'audit VCS doit être un sous-ensemble des sites inclus dans l'évaluation TISAX®. En outre, un SMQ central doit être mis en place dans l'organisation (normes possibles : IATF 16949, ISO 10007, Automotive SPICE®, ISO/IEC 330xx, ISO/IEC/IEEE 15288 ou ISO/IEC/IEEE 12207).

L'organisation doit identifier le label qu'elle doit fournir aux OEM ou à d'autres fournisseurs. Ces exigences en matière d'étiquette déterminent les exigences spécifiques du catalogue d'essais VCSA qui doivent être respectées:

     1. Développement VCS : l'organisme est responsable des activités de développement VCS jusqu'à l'aptitude à la production.

      2. Production VCS : l'organisation fabrique des composants VCS préconfigurés de manière sécurisée.

      3. Exploitation et maintenance du VCS : l'organisation surveille le fonctionnement sécurisé des composants du VCS et gère les incidents de sécurité, par exemple en élaborant des mises à jour et en les diffusant par l'intermédiaire du système central de gestion du parc automobile de l'équipementier.

Le processus d'audit du VCS comprend les phases suivantes :

1. Lors du kickoff, l'auditeur principal du VCS présente le processus en détail et formule ses attentes quant à la contribution des personnes et des sites concernés. Au cours de cette étape, l'auditeur principal détermine le nombre de projets VCS dans l'organisation et leur évaluation des risques.
2. L'organisation effectue une auto-évaluation du SGC central sur la base du catalogue d'audit ENX VCSA et soumet le résultat, y compris les documents SGC référencés, à l'auditeur principal.
3. Sur le site où le CSMS central est maintenu, la conformité des politiques et des processus est vérifiée sur place sur la base de preuves.
4. L'auditeur principal sélectionne un échantillon basé sur les risques dans l'ensemble des projets VCS. Les risques peuvent être dérivés des résultats de l'évaluation interne du projet appelée Threat Analysis and Risk Assessment (TARA). Si l'échantillon est exceptionnellement plus important que l'estimation initiale, l'estimation du DQS sera ajustée pour refléter l'augmentation de l'effort.
5. Les projets VCS de l'échantillon déterminent quelles équipes de développement et quels sites VCS sont spécifiquement inclus.
6. Les équipes de développement sélectionnées seront interrogées à distance avec la participation d'un expert VCS afin de déterminer comment le projet VCS a été mis en œuvre et si les exigences du CSMS ont été respectées pendant toutes les phases du cycle de vie du composant VCS.

Comme pour TISAX®, un client VCS audité avec succès reçoit les labels susmentionnés dans la base de données ENX et peut mettre les résultats à la disposition des parties intéressées (OEM et clients). Les labels VCS sont valables pendant 3 ans. 

Cybersécurité automobile : pourquoi les entreprises doivent agir maintenant

Comme indiqué ci-dessus, les nouvelles réglementations entreront en vigueur le 1er juillet 2024 pour tous les véhicules nouvellement fabriqués. Dans le pire des cas, les constructeurs qui ne respectent pas les exigences en matière de CSMS et de mise à jour des logiciels risquent de ne pas recevoir d'homologation pour les types de véhicules concernés. La certification selon le nouvel audit VCS, en revanche, envoie un signal fort aux régulateurs et aux partenaires commerciaux, certifie la mise en œuvre de tous les aspects liés à la sécurité et garantit une confiance à long terme tout au long du cycle de vie du véhicule.

Certification réussie avec DQS

DQS est votre spécialiste pour les audits et les certifications des systèmes de gestion et des processus. En tant que prestataire de services d'audit reconnu par l'association ENX, nous vous proposons des accréditations pour toutes les normes pertinentes de l'industrie automobile. Avec nos produits tels que la gestion de la qualité selon IATF 16949 ou nos évaluations TISAX®, nous et vos auditeurs DQS avons déjà acquis une connaissance approfondie de l'industrie.

Profitez des connaissances de nos experts et obtenez des informations détaillées sur les nouvelles réglementations en matière de cybersécurité automobile et leur impact sur votre organisation. Avec plus de 35 ans d'expérience et le savoir-faire de 2 500 auditeurs dans le monde entier, nous sommes votre partenaire de certification compétent et nous répondons à toutes les questions concernant la protection des données et la sécurité de l'information.