Cibersegurança Automotiva: Novos regulamentos obrigatórios a partir de julho de 2024

CONTEÚDO

• Por que a Cibersegurança Automotiva é tão importante?
• Por que a indústria automotiva está no centro de tantos ataques?
• Quais são os vetores de ataque?
• UNECE R 155 e 156: Regulamentos para Cibersegurança Automotiva
• A quem se aplicam os novos regulamentos e quais são as suas implicações?
• O que é um Sistema de Gestão de Cibersegurança (CSMS) e quais são seus benefícios?
• O melhor caminho para um CSMS: ISO 21434 e a introdução da auditoria de Cibersegurança de veículo
• Como as organizações podem se preparar para uma auditoria VCS?
• Cibersegurança automotiva: por que as organizações devem agir agora
• Certificação bem sucedida com a DQS

Por que a cibersegurança automotiva é tão importante?

O desenvolvimento e o design dos veículos mudaram drasticamente nos últimos anos: o que antes era um meio de transporte mecânico tornou-se há muito tempo um computador com rodas. Onde antes partes do veículo, como o pedal do freio e o freio ou a direção e o eixo dianteiro, estavam fisicamente conectadas, agora elas se comunicam como um sistema exclusivamente por meio de controladores digitais que enviam sinais elétricos aos atuadores. Quase todos os componentes de um veículo moderno estão conectados digitalmente em rede para garantir desempenho ideal e segurança ao dirigir. Como resultado, o carro inteligente moderno está sempre online – mas os vários computadores de bordo e sistemas de assistência também são um alvo crescente de ataques cibernéticos.

Um cenário realista e assustador é a manipulação do motor, dos travões ou da direção, que pode representar um perigo de vida para os ocupantes do veículo e outros utentes da estrada. A questão da condução autónoma é ainda mais explosiva: dependendo do poder de decisão dos sistemas de controlo eletrônico, a intervenção (remota) no seu comportamento de condução pode ter consequências fatais.

Por que a indústria automotiva está no centro de tantos ataques?

Com a digitalização, o risco de ataque aumentou rapidamente. As montadoras são um alvo atraente para os criminosos cibernéticos por vários motivos. Em primeiro lugar, são quase sempre grandes empresas que estão sob os olhos do público devido ao seu alto perfil e à ampla distribuição dos seus produtos. O recall de um veículo de uma montadora de renome tende a gerar muito mais publicidade do que um recall de eletrodomésticos ou mesmo de produtos alimentícios. Em segundo lugar, um hackeamento bem-sucedido de veículos tem consequências imediatas e potencialmente fatais, colocando pressão adicional sobre os fabricantes e tornando o setor particularmente vulnerável a ataques de ransomware. E terceiro, os líderes devem admitir que a cibersegurança no setor automotivo está longe de ser tão avançada quanto em outras indústrias de alta tecnologia.

Atualmente, os ataques tendem a se concentrar em comprometer os sistemas dos OEMs (fabricantes de equipamentos originais) ou de seus fornecedores e mantê-los como reféns. Além do alto potencial de dano, o setor automotivo também é vulnerável de outra maneira: o setor é caracterizado por cadeias de suprimentos otimizadas pelo tempo e, portanto, uma rede em que a falha de um fornecedor chave pode resultar em uma quase completa paralisação das instalações de produção do OEM. Em junho de 2023, um ataque de ransomware a um grande fornecedor resultou em uma exigência de cerca de USD 70 milhões - o maior resgate já exigido em um ataque cibernético.

Quais são os vetores de ataque?

Um veículo moderno pode ser alvo de hackers de muitas maneiras diferentes. Aqui estão alguns exemplos:

• Talvez as portas de entrada mais perigosas para o sistema do veículo e as ECUs (Unidades de Controle Eletrônico) sejam os recursos de conectividade dos veículos modernos, especialmente as interfaces sem fio via Bluetooth e WLAN. Além do sistema de infotainment, a proliferação de aplicativos complementares, que podem ser usados para controlar funções críticas, também é uma vulnerabilidade significativa.
• Cada vez mais, as montadoras estão recorrendo a atualizações over-the-air (OTA) para se protegerem e protegerem seus clientes de recalls demorados e visitas de serviço caras. No entanto, veículos que podem receber atualizações OTA também são mais vulneráveis à infiltração por atores mal-intencionados. Atualizações OTA representam o maior risco para ataques cibernéticos em grande escala, visando linhas de modelos inteiras.
• A conectividade veículo-para-tudo (Vehicle-to-Everything - V2X) também exigirá mais atenção no futuro. V2X refere-se à comunicação constante entre veículos e entidades em seu ambiente, como entre os próprios veículos, para evitar congestionamentos e acidentes ao comparar suas localizações.
• A crescente influência da inteligência artificial já é evidente. Os métodos baseados em IA estão tornando os invasores mais rápidos e criativos. Isto deve ser combatido com uma resposta robusta, como a verificação preventiva de vulnerabilidades baseada em IA.
• Às vezes, o perigo é muito mais tangível: sistemas de entrada sem chave, por exemplo, representam um risco de roubo de veículos ao interceptar ou falsificar sinais.

UNECE R 155 e 156: Regulamentos para Cibersegurança Automotiva

Para fazer frente às ameaças crescentes à indústria automotiva, a ONU lançou dois novos regulamentos importantes no verão de 2020: UNECE R 155 e UNECE R 156.

• UNECE R 155 define requisitos para a proteção de veículos contra ataques cibernéticos e enfatiza o papel fundamental de um Sistema de Gestão de Cibersegurança (CSMS) cuidadosamente implementado.
• A UNECE R 156, por outro lado, concentra-se em garantir a segurança contínua ao longo do ciclo de vida de um veículo e exige a implementação e operação de um Sistema de Gestão de Atualização de Software (SUMS) compatível com os padrões.

Ambos os regulamentos entrarão em vigor no início de 2021, e a conformidade só é obrigatória para novos tipos de veículos desde julho de 2022. Finalmente, até 1 de julho de 2024, os regulamentos serão aplicados a todos os veículos recém-fabricados.

Embora não haja dúvida de que os novos regulamentos são geralmente sólidos, muitas organizações foram rápidas a criticar as novas regras: eram demasiado gerais e ofereciam poucas recomendações concretas para ação. Então, vamos dar uma olhada mais de perto nos novos regulamentos.

A quem se aplicam os novos regulamentos e quais são as suas implicações?

Os novos regulamentos aplicam-se a todas as organizações que colocam automóveis e outros veículos no mercado e obrigam-nas a garantir a cibersegurança dos seus produtos e sistemas ao longo da cadeia de abastecimento. Os OEMs também são responsáveis ​​pelos seus fornecedores – e agora os obrigam contratualmente a implementar os novos requisitos.

No passado recente, vários fabricantes de automóveis foram forçados a descontinuar completamente algumas linhas de modelos mais antigos. Não porque não tenham tido sucesso, mas porque simplesmente não era viável (ou contratualmente aplicável) garantir atualizações de software durante todo o ciclo de vida destes modelos mais antigos.

A razão: um veículo normalmente tem um ciclo de vida muito mais longo do que os aplicativos de software. A capacidade de fornecer atualizações em 10 anos ou mais não parecia garantida para os produtos que estavam sendo descontinuados. Muitos OEMs e fornecedores não consideraram os custos que poderiam surgir das novas obrigações de due diligence UNECE R 155 no ciclo de vida do veículo. Os novos requisitos para CSMS e atualizações de software foram concebidos para garantir que as responsabilidades de cibersegurança sejam acordadas contratualmente e que as habilidades e competências necessárias estejam implementadas ao longo do ciclo de vida típico do veículo de 15 anos. As organizações podem obter prova de conformidade para o seu CSMS através de uma auditoria VCS pela DQS.

O que é um Sistema de Gestão de Cibersegurança (CSMS) e quais são seus benefícios?

O objetivo de implementar um CSMS é sistematizar a Cibersegurança na organização e alinhá-la com as normas nacionais ou internacionais estabelecidas. Os principais aspectos para a implementação bem-sucedida de um CSMS são:

• A organização deve ter um sistema de gestão de risco atualizado e processos robustos definidos para identificação de risco, avaliação de risco e mitigação de risco de ameaças cibernéticas.
• A gestão de risco abrange todo o ciclo de vida do produto - do desenvolvimento, produção e operação ao descarte.
• O monitoramento abrangente de novas vulnerabilidades e ataques conhecidos permite uma resposta rápida a ataques cibernéticos com atualizações direcionadas.

Um CSMS oferece às organizações uma série de benefícios além da mitigação de risco e conformidade: o principal deles é que ele torna a cibersegurança da organização mensurável - normalmente como parte de uma avaliação independente por um provedor de serviços de auditoria autorizado pela ENX. A organização sabe onde está e pode comprovar isso a qualquer momento. Além disso, auditorias externas fornecem um insight imparcial para os aspectos da cibersegurança que ainda precisam ser fortalecidos.

Além disso, como parte desse processo, os fornecedores automotivos devem adotar uma abordagem aprofundada e orientada ao risco para manter a segurança das informações do veículo durante todo o seu ciclo de vida, aumentando assim a conscientização sobre a cibersegurança em todos os níveis hierárquicos.

O melhor caminho para um CSMS: ISO 21434 e a introdução da auditoria de Cibersegurança de veículos

Em agosto de 2021, a Organização Internacional para Padronização (ISO) e a Sociedade de Engenheiros Automotivos (SAE) publicaram a ISO/SAE 21434, fornecendo uma diretriz válida internacionalmente para a implementação de um CSMS que as organizações podem usar como referência.

Como esperado, no entanto, houve interpretações variadas da norma na aplicação. Como a importância de medidas de segurança coerentes é particularmente alta na indústria automotiva com suas cadeias de suprimentos profundamente integradas, a ENX prontamente fez melhorias: com as auditorias de Cyber segurança de Veículos (VCS), ela apresentou uma nova opção para comprovação de conformidade que é mais uniforme e ainda melhor adaptada aos requisitos da indústria automotiva.

A auditoria VCS padronizada globalmente ainda é baseada no padrão ISO 21434, mas foi complementada por uma série de extensões necessárias em estreita cooperação com organizações da indústria automotiva. Olhando para o futuro, o catálogo de auditoria foi projetado para ser atualizado rapidamente, conforme necessário, para responder mais rapidamente a novos desenvolvimentos na indústria automotiva ou no cenário de ameaças cibernéticas.
 

Como as organizações podem se preparar para uma auditoria VCS?

O pré-requisito para uma auditoria VCS é uma avaliação TISAX®, que comprova a conformidade do ISMS central com o TISAX®. O ISMS garante que as regras e procedimentos fundamentais para o processamento seguro de informações sejam respeitados. O número de sites incluídos na auditoria VCS deve ser um subconjunto dos sites incluídos na avaliação TISAX®. Além disso, um QMS central deve ser implementado na organização (padrões possíveis: IATF 16949, ISO 10007, Automotive SPICE®, ISO/IEC 330xx, ISO/IEC/IEEE 15288 ou ISO/IEC/IEEE 12207).

A organização deve identificar qual “label” deve fornecer aos OEMs ou outros fornecedores. Esses requisitos de “label” determinam quais requisitos específicos do catálogo de testes VCSA devem ser atendidos:

1. Desenvolvimento VCS: a organização é responsável pelas atividades de desenvolvimento VCS até a prontidão para a produção.
    
2. Produção VCS: a organização fabrica componentes VCS pré-configurados de forma segura.
    
3. Operações e manutenção VCS: a organização monitora a operação segura dos componentes VCS e gerencia incidentes de segurança, por exemplo, desenvolvendo atualizações e entregando-as por meio do sistema central de gerenciamento de frota do OEM.

O processo de auditoria VCS consiste nas seguintes fases:

1. No Kickoff, o auditor líder VCS apresenta o processo detalhadamente e formula suas expectativas em relação a contribuição das pessoas e dos locais envolvidos. Nesta etapa, o auditor líder determina o número de projetos VCS na organização e sua avaliação de risco.
2. A organização realiza um “self-assessment” para o CSMS central com base no catálogo de auditoria ENX VCSA e envia o resultado, incluindo os documentos CSMS referenciados, ao auditor líder.
3. No local onde o CSMS central é mantido, a conformidade das políticas e processos é verificada no local com base em evidências.
4. O auditor líder seleciona uma amostra baseada em risco do conjunto de projetos VCS. Os riscos podem ser derivados dos resultados da avaliação interna do projeto chamada Threat Analysis and Risk Assessment (TARA). Se a amostra for excepcionalmente maior do que a estimativa original, a estimativa DQS de tempo de auditoria será ajustada para refletir o esforço aumentado.
5. Os projetos VCS na amostra determinam quais equipes de desenvolvimento em quais locais VCS estão especificamente incluídas.
6. As equipes de desenvolvimento selecionadas serão entrevistadas remotamente com o envolvimento de um especialista em VCS para determinar como o projeto VCS foi implementado e se os requisitos CSMS foram atendidos em todas as fases do ciclo de vida do componente VCS.

Semelhante ao TISAX®, um cliente VCS auditado com sucesso recebe os “labels” mencionados acima no banco de dados ENX e pode disponibilizar os resultados para as partes interessadas (OEMs e clientes). Os “labels” VCS são válidos por 3 anos.

Cibersegurança automotiva: por que as organizações devem agir agora

Conforme mencionado acima, os novos regulamentos entrarão em vigor em 1º de julho de 2024 para todos os veículos recém-fabricados. No pior cenário, os fabricantes que não cumprirem os requisitos do CSMS e de atualização de software correrão o risco de não receber aprovação para os tipos de veículos importantes. A certificação de acordo com a nova auditoria VCS, por outro lado, envia um sinal forte aos reguladores e parceiros de negócios, certifica a implementação de todos os aspectos relacionados à segurança e garante confiança de longo prazo durante todo o ciclo de vida do veículo.

Certificação bem sucedida com a DQS

A DQS é sua especialista em auditorias e certificações de sistemas e processos de gestão. Como um provedor de serviços de auditoria reconhecido da ENX Association, oferecemos a você e a sua empresa acreditações para todos as normas mais relevantes na indústria automotiva. Com nossos produtos e serviços de auditoria, como a gestão de qualidade automotiva de acordo com a norma IATF 16949 e as nossas avaliações TISAX®, nossos auditores DQS já possuem amplo conhecimento no setor automotivo.

Aproveite o conhecimento de nossos especialistas e obtenha informações detalhadas sobre os novos regulamentos de cibersegurança automotiva e seu impacto em sua organização. Com mais de 35 anos de experiência e o know-how de 2.500 auditores em todo o mundo, somos seu parceiro de certificação competente e fornecemos respostas a todas as perguntas sobre proteção de dados e segurança da informação.