Cybersécurité automobile certifiée avec ENX VCS

Liste des contenus

• Réglementations contraignantes en matière de cybersécurité
• ENX VCS - programme d'audit mondial pour ISO/SAE 21434
• Audits standardisés - résultats comparables
• ^TISAX® et VCS fonctionnent en tandem
• Preuve de conformité selon ENX VCS
• DQS - Tirer parti de la sécurité, tout simplement

Des réglementations contraignantes en matière de cybersécurité

Afin de contrer les cybermenaces croissantes, les Nations unies ont adopté les règlements CEE-ONU 155 et 156, qui prévoient la mise en œuvre d'un système de management de la cybersécurité (CSMS) et d'un système de management des mises à jour des logiciels (SUMS) respectivement. Ces règlements visent à garantir la cybersécurité tout au long du cycle de vie d'un modèle et de la chaîne d'approvisionnement. Dans l'UE, les règlements sont obligatoires pour tous les véhicules nouvellement fabriqués depuis juillet 2024.

ENX VCS - programme d'audit mondial pour ISO/SAE 21434

Avec la norme ISO/SAE 21434 (Véhicules routiers - Ingénierie de la cybersécurité), on a tenté, dans le cadre de la réglementation de l'ONU, de créer une ligne directrice et une preuve de conformité pour le respect de la réglementation. Dans la pratique, cependant, les programmes d'audit respectifs des prestataires de services d'essai se sont avérés trop différents, malgré les spécifications de la norme ISO/PAS 5112. Les fabricants n'avaient donc toujours pas la possibilité de fournir au législateur des preuves fiables et comparables de la conformité de leurs fournisseurs - qui, à leur tour, avaient des difficultés à prouver le respect de leurs dispositions contractuelles sur la base d'essais comparables.

C'est pourquoi l'association ENX (une association de constructeurs automobiles européens, de fournisseurs et d'associations) a conçu le programme d'audit ENX VCS. ENX VCS vérifie la mise en œuvre d'un système de management de la cybersécurité des véhicules (VCSMS) conformément aux normes ISO 21434 et ISO
5112. Son avantage décisif : l'audit VCS est normalisé à l'échelle mondiale et peut être adapté plus rapidement aux nouveaux défis qu'une norme ISO. Un groupe d'experts internationaux révise régulièrement le programme d'audit afin de le maintenir à jour.

Audits standardisés - résultats comparables

Grâce à l'audit ENX VCS standardisé, les entreprises évitent les dépenses inutiles, notamment financières, qui peuvent résulter de processus d'audit à plusieurs niveaux et d'audits divergents. Pour garantir des processus comparables à l'échelle mondiale entre tous les fournisseurs d'audit, ENX a également publié des critères et exigences d'évaluation spécifiques pour les fournisseurs d'audit (ACAR VCS) et un catalogue d'audit contraignant pour les audits de cybersécurité des véhicules (VCSA) lors du lancement du programme. Ceux-ci définissent une série de compétences obligatoires et un modèle de procédure contraignant pour les auditeurs VCS - en plus de l'audit organisationnel des règlements V-CSMS, par exemple, un audit obligatoire des documents et des processus - et la formation d'un échantillon aléatoire axé sur le risque de tous les projets pertinents en matière de cybersécurité. Les équipes d'ingénieurs responsables des projets de l'échantillon sont ensuite interrogées par les auditeurs et les experts. Les résultats du travail de l'équipe sont examinés pour s'assurer que le V-CSMS est réellement utilisé dans la pratique. Une fois le test réussi, les entreprises peuvent demander à ENX un label VCS correspondant et le mettre à la disposition des parties intéressées via le mécanisme d'échange d'ENX.

TISAX^® et VCS fonctionnent en tandem

Structurellement, les audits VCS avec l'ACAR VCS sont basés sur la norme automobile établie TISAX^®. Les deux mécanismes d'audit se complètent : alors que TISAX^®évalue la sécurité de l'information dans une entreprise, le label VCS confirme la cybersécurité des composants automobiles. Tout comme ^TISAX®, l'audit VCS tient compte des différents rôles des fournisseurs dans la fourniture de composants cybernétiques. Chaque fournisseur ne doit donc satisfaire qu'aux exigences du catalogue d'audit VCSA correspondant à son rôle réel et spécifique. Une distinction est faite entre les différents labels :

• VCS Development : L'entreprise réalise le développement sécurisé des composants VCS - de l'intégration. Le processus d'intégration du système dans l'architecture générale de sécurité jusqu'à la mise en œuvre sûre et la transition sûre vers la production.
• Production VCS : L'entreprise produit des composants VCS et veille à leur configuration sécurisée et à leur équipement logiciel.
• Exploitation et maintenance du VCS : L'entreprise se voit confier les données d'enregistrement de la flotte de véhicules, ce qui permet d'identifier les conditions d'exploitation problématiques ou les incidents de sécurité spécifiques. Ce label convient également aux entreprises qui doivent maintenir leurs composants VCS à jour.