Segurança cibernética automóvel certificada com o ENX VCS

Lista de conteúdos

• Regulamentos vinculativos de segurança cibernética
• ENX VCS - programa de auditoria mundial para a ISO/SAE 21434
• Auditorias padronizadas - resultados comparáveis
• ^TISAX® e VCS trabalham em conjunto
• Prova de conformidade de acordo com o ENX VCS
• DQS - Simplesmente alavancando a segurança

Regulamentação vinculativa em matéria de cibersegurança

Para fazer face às crescentes ameaças cibernéticas, as Nações Unidas adoptaram os regulamentos UNECE R 155 e 156, que incluem a implementação de um sistema de gestão da cibersegurança (CSMS) e de um sistema de gestão das actualizações de software (SUMS), respetivamente. Os regulamentos destinam-se a garantir a cibersegurança ao longo de todo o ciclo de vida de um modelo e ao longo de toda a cadeia de abastecimento. Na UE, os regulamentos são obrigatórios para todos os veículos recém-fabricados desde julho de 2024.

ENX VCS - programa de auditoria mundial para ISO/SAE 21434

Com a ISO/SAE 21434 (Veículos rodoviários - Engenharia de cibersegurança), foi feita uma tentativa no decurso dos regulamentos da ONU para criar uma diretriz e prova de conformidade para o cumprimento dos regulamentos. Na prática, porém, os respectivos programas de auditoria dos prestadores de serviços de ensaio revelaram-se demasiado diferentes - apesar das especificações da norma ISO/PAS 5112. Por conseguinte, os fabricantes continuavam a não ter a possibilidade de fornecer ao legislador provas fiáveis e comparáveis da conformidade dos seus fornecedores - que, por sua vez, tinham problemas em provar o cumprimento das suas disposições contratuais com base em ensaios comparáveis.

É por esta razão que a Associação ENX (uma associação de fabricantes, fornecedores e associações europeias do sector automóvel) concebeu o programa de auditoria ENX VCS. O ENX VCS audita a implementação de um sistema de gestão da cibersegurança automóvel (VCSMS) em conformidade com a ISO 21434 e a ISO
5112. A sua vantagem decisiva: a auditoria VCS é padronizada a nível mundial e pode ser adaptada mais rapidamente a novos desafios do que uma norma ISO. Um grupo de peritos internacionais revê regularmente o programa de auditoria para o manter atualizado.

Auditorias padronizadas - resultados comparáveis

Com a auditoria ENX VCS normalizada, as empresas evitam despesas desnecessárias, nomeadamente financeiras, que podem surgir de processos de auditoria multiplano e auditorias divergentes. Para garantir processos globalmente comparáveis em todos os fornecedores de auditoria, a ENX também publicou critérios específicos para fornecedores de auditoria e requisitos de avaliação (ACAR VCS) e um catálogo de auditoria vinculativo para auditorias de segurança cibernética de veículos (VCSA) no lançamento do programa. Estes definem uma série de competências obrigatórias e um modelo de procedimento vinculativo para os auditores VCS - para além da auditoria organizacional dos regulamentos V-CSMS, por exemplo, uma auditoria obrigatória de documentos e processos - e a formação de uma amostra aleatória orientada para o risco de todos os projectos relevantes para a cibersegurança. As equipas de engenharia responsáveis pelos projectos da amostra são então entrevistadas pelos auditores e peritos. Os resultados do trabalho da equipa são analisados para garantir que o V-CSMS é efetivamente utilizado na prática. Uma vez concluído o teste com êxito, as empresas podem solicitar à ENX um rótulo VCS correspondente e disponibilizá-lo às partes interessadas através do mecanismo de intercâmbio da ENX.

TISAX^® e VCS trabalham em conjunto

Estruturalmente, as auditorias VCS com o ACAR VCS baseiam-se na norma automóvel estabelecida TISAX^®. Os dois mecanismos de auditoria complementam-se mutuamente: enquanto o TISAX^®avalia a segurança da informação numa empresa, o rótulo VCS confirma a segurança cibernética dos componentes dos veículos. À semelhança do ^TISAX®, a auditoria VCS tem em conta os diferentes papéis dos fornecedores no fornecimento de componentes ciber-relevantes. Por conseguinte, cada fornecedor só deve cumprir os requisitos do catálogo de auditoria VCSA que correspondem à sua função específica atual. É feita uma distinção entre diferentes rótulos:

• Desenvolvimento VCS: A empresa efectua o desenvolvimento seguro de componentes VCS - a partir da integração. O processo de integração do sistema na arquitetura geral de segurança até à implementação segura e à transição segura para a produção.
• Produção VCS: A empresa produz componentes VCS e garante a sua configuração segura e equipamento de software.
• Operações e manutenção do VCS: A empresa é responsável pelos dados de registo da frota de veículos, o que permite identificar condições de funcionamento problemáticas ou incidentes de segurança específicos. Este rótulo também é adequado para empresas que precisam de manter os seus componentes VCS actualizados.