Cibersegurança no sector automóvel: Novos regulamentos obrigatórios a partir de julho de 2024

CONTEÚDO

• Porque é que a cibersegurança automóvel é tão importante? 
• Porque é que a indústria automóvel está no centro de muitos ataques?
• Quais são os vectores de ataque?
• UNECE R 155 & 156: Regulamentos relativos à cibersegurança no sector automóvel 
• A quem se aplicam os novos regulamentos e quais são as suas implicações? 
• Em que consiste um sistema de gestão da cibersegurança (SGCS) e quais são as suas vantagens?
• O melhor caminho para um CSMS: ISO 21434 e a introdução da auditoria à cibersegurança dos veículos
• Como é que as organizações se podem preparar para uma auditoria VCS?
• Cibersegurança no sector automóvel: porque é que as organizações devem agir agora
• Certificação bem sucedida com DQS

Porquê Segurança Cibernética no Automóvel?

O desenvolvimento e a conceção dos veículos mudaram radicalmente nos últimos anos:O que antes era um meio de transporte mecânico há muito que se tornou num computador com rodas. As peças do veículo, como o pedal do travão e o travão ou a direção e o eixo dianteiro, estavam fisicamente ligadas, mas agora comunicam como um sistema exclusivamente através de controladores digitais que enviam sinais eléctricos para os actuadores. Quase todos os componentes de um veículo moderno estão ligados em rede digitalmente para garantir um desempenho ótimo e a segurança da condução. Como resultado, o automóvel inteligente moderno está sempre online - mas os vários computadores de bordo e sistemas de assistência são também um alvo crescente de ciberataques.

Um cenário realista e assustador é a manipulação do motor, dos travões ou da direção, que pode representar um perigo de vida para os ocupantes do veículo e para os outros utentes da estrada. A questão da condução autónoma é ainda mais explosiva: dependendo do poder de decisão dos sistemas de controlo eletrónico, a intervenção (remota) no seu comportamento de condução pode ter consequências fatais.

Porque é que a indústria automóvel está no centro de muitos ataques?

Enquanto a norma internacional ISO 27001 constitui a abordagem intersectorial da segurança da informação, o termo cibersegurança automóvel descreve a segurança dos sistemas digitais na indústria automóvel. Os nossos veículos a motor estão cada vez mais dependentes de sistemas electrónicos em rede e de aplicações de software. Consequentemente, a proteção e a segurança destes componentes estão a tornar-se cada vez mais importantes - em toda a indústria. Isto começa com o fabricante do veículo, continua com os fornecedores e prestadores de serviços de engenharia e estende-se aos fornecedores de software e de serviços de infra-estruturas TIC. Dois novos regulamentos das Nações Unidas, dirigidos aos fabricantes e aos seus fornecedores, foram concebidos para garantir a segurança das TI do sector automóvel.

"O Sistema de Gestão da Cibersegurança (SGCS) refere-se a uma abordagem sistemática e baseada no risco para estabelecer processos organizacionais, responsabilidades e governação na gestão dos riscos relacionados com as ciberameaças aos veículos e na proteção dos veículos contra ciberataques."

Fonte: Jornal Oficial da União Europeia, R 1

Quais são os vectores de ataque?

Um veículo moderno pode ser alvo de piratas informáticos de muitas formas diferentes. Eis alguns exemplos:

- Talvez as portas de entrada mais perigosas para o sistema do veículo e as UEC sejam as características de conetividade dos veículos modernos, especialmente as interfaces sem fios via Bluetooth e WLAN. Para além do sistema de infoentretenimento, a proliferação de aplicações complementares, que podem ser utilizadas para controlar funções críticas, constitui também uma vulnerabilidade significativa.

- Cada vez mais fabricantes de automóveis confiam nas actualizações over-the-air para se protegerem a si próprios e aos seus clientes de recolhas demoradas e visitas de serviço dispendiosas. No entanto, os veículos que podem receber actualizações por via aérea são também mais vulneráveis à infiltração de agentes maliciosos. As actualizações OTA representam o maior risco de ciberataques em grande escala que visam linhas inteiras de modelos.

- A conectividade veículo-tudo (V2X) também exigirá mais atenção no futuro. A conetividade V2X refere-se à comunicação constante entre veículos e entidades no seu ambiente, como entre os próprios veículos, para evitar engarrafamentos e acidentes, comparando a sua localização.

- A influência crescente da inteligência artificial já é evidente. Os métodos baseados na IA estão a tornar os atacantes mais rápidos e mais criativos. Esta situação deve ser contrariada com uma resposta robusta, como a análise preventiva de vulnerabilidades baseada em IA.

- Por vezes, o perigo é muito mais tangível: os sistemas de entrada sem chave, por exemplo, representam um risco de roubo de veículos através da interceção ou falsificação de sinais.

A quem se aplicam os novos regulamentos e quais são as suas implicações?

Os novos regulamentos aplicam-se a todas as organizações que colocam automóveis e outros veículos no mercado e obrigam-nas a garantir a cibersegurança dos seus produtos e sistemas ao longo de toda a cadeia de abastecimento. Os OEM são também responsáveis pelos seus fornecedores - e estão agora a obrigá-los contratualmente a implementar os novos requisitos

No passado recente, vários fabricantes de automóveis foram forçados a descontinuar completamente algumas linhas de modelos mais antigos. Não porque não fossem bem sucedidos, mas porque simplesmente não era viável (ou contratualmente aplicável) garantir actualizações de software durante todo o ciclo de vida desses modelos mais antigos.

A razão: um veículo tem normalmente um ciclo de vida muito mais longo do que as aplicações de software. A capacidade de fornecer actualizações em 10 ou mais anos não parecia garantida para os produtos que estavam a ser eliminados. Muitos OEM e fornecedores não tinham considerado os custos que poderiam advir das novas obrigações de diligência devida da UNECE R 155 durante o ciclo de vida do veículo. Os novos requisitos para o CSMS e as actualizações de software destinam-se a garantir que as responsabilidades em matéria de cibersegurança sejam acordadas contratualmente e que as aptidões e competências necessárias estejam disponíveis durante o ciclo de vida típico dos veículos, que é de 15 anos. As organizações podem obter prova de conformidade do seu CSMS através de uma auditoria VCS efectuada pela DQS.

O que é um sistema de gestão da cibersegurança (CSMS) e quais são as suas vantagens? 

O objectivo da implementação de um CSMS é sistematizar a cibersegurança na organização e alinhá-la com as normas nacionais ou internacionais estabelecidas. Os principais aspectos para o sucesso da implementação de um CSMS são

- A organização deve ter um sistema de gestão de riscos atualizado e processos sólidos definidos para a identificação, avaliação e atenuação dos riscos das ciberameaças.

- A gestão do risco abrange todo o ciclo de vida do produto - desde o desenvolvimento, produção e funcionamento até à eliminação. 

- A monitorização exaustiva de novas vulnerabilidades e ataques conhecidos permite uma resposta rápida a ciberataques com actualizações direccionadas.

Um CSMS oferece às organizações uma série de benefícios para além da mitigação de riscos e da conformidade: A principal delas é que torna a segurança cibernética da organização mensurável - normalmente como parte de uma avaliação independente por um fornecedor de serviços de auditoria autorizado. A organização sabe qual é a sua posição e pode prová-la em qualquer altura. Além disso, as auditorias externas proporcionam uma abertura imparcial aos aspectos da cibersegurança que ainda precisam de ser reforçados.

Além disso, como parte deste processo, os fornecedores do sector automóvel devem adotar uma abordagem aprofundada e orientada para o risco para manter a segurança da informação do veículo ao longo do seu ciclo de vida, sensibilizando assim todos os níveis hierárquicos para a cibersegurança. 

Para fazer face às crescentes ameaças à indústria automóvel, a ONU lançou dois novos regulamentos importantes no verão de 2020: UNECE R 155 e UNECE R 156.

- A UNECE R 155 define requisitos para a proteção dos veículos contra ciberataques e salienta o papel fundamental de um sistema de gestão da cibersegurança (SGCS) cuidadosamente implementado.

- A UNECE R 156, por outro lado, centra-se na garantia de segurança contínua ao longo do ciclo de vida de um veículo e exige a implementação e o funcionamento de um sistema de gestão de actualizações de software (SUMS) conforme com a norma.

Ambos os regulamentos entrarão em vigor no início de 2021, e o cumprimento só é obrigatório para os novos modelos de veículos desde julho de 2022. Finalmente, até 1 de julho de 2024, os regulamentos aplicar-se-ão a todos os veículos recentemente fabricados.

Embora não haja dúvidas de que os novos regulamentos são, de um modo geral, correctos, muitas organizações foram rápidas a criticar as novas regras: Eram demasiado gerais e ofereciam poucas recomendações concretas de ação. Vamos então analisar mais de perto os novos regulamentos.

O melhor caminho para um CSMS: ISO 21434 e a introdução da auditoria à cibersegurança dos veículos

Em agosto de 2021, a International Organization for Standardization (ISO) e a Society of Automotive Engineers (SAE) publicaram a ISO/SAE 21434, fornecendo uma diretriz internacionalmente válida para a implementação de um CSMS que as organizações podem utilizar como referência.

No entanto, como era de esperar, tem havido diferentes interpretações da norma na sua aplicação. Uma vez que a importância de medidas de segurança coerentes é particularmente elevada na indústria automóvel, com as suas cadeias de abastecimento profundamente integradas, a ENX introduziu prontamente melhorias: com as auditorias de cibersegurança dos veículos (VCS), apresentou uma nova opção de prova de conformidade mais uniforme e ainda melhor adaptada aos requisitos da indústria.

A auditoria VCS globalmente normalizada continua a basear-se na norma ISO 21434, mas foi complementada por uma série de extensões necessárias em estreita cooperação com organizações da indústria automóvel. Olhando para o futuro, o catálogo de auditorias foi concebido para ser rapidamente atualizado, conforme necessário, para responder mais rapidamente a novos desenvolvimentos na indústria automóvel ou ao panorama das ciberameaças.

Segurança Cibernética Automóvel: O que a UNECE R 156 regula?

O pré-requisito para uma auditoria VCS é uma avaliação TISAX®, que comprova a conformidade do ISMS central com o TISAX®. O ISMS garante o cumprimento das regras e procedimentos fundamentais para o processamento seguro da informação. O número de sítios incluídos na auditoria VCS deve ser um subconjunto dos sítios incluídos na avaliação TISAX®. Além disso, deve ser implementado um SGQ central na organização (possíveis normas: IATF 16949, ISO 10007, Automotive SPICE®, ISO/IEC 330xx, ISO/IEC/IEEE 15288 ou ISO/IEC/IEEE 12207).

A organização deve identificar qual a etiqueta que deve fornecer aos OEMs ou outros fornecedores. Estes requisitos de etiqueta determinam quais os requisitos específicos do catálogo de testes VCSA que devem ser cumpridos:

1. Desenvolvimento do VCS: a organização é responsável pelas actividades de desenvolvimento do VCS até à preparação para a produção
2. Produção de VCS: a organização fabrica componentes VCS pré-configurados de forma segura
3. Operações e manutenção do VCS: a organização monitoriza o funcionamento seguro dos componentes do VCS e gere os incidentes de segurança, por exemplo, desenvolvendo actualizações e fornecendo-as através do sistema central de gestão de frotas do OEM.

The VCS audit process consists of the following phases:

1. No pontapé inicial, o auditor líder de VCS apresenta o processo em detalhes e formula suas expectativas para a contribuição das pessoas e locais envolvidos. Nesta etapa, o auditor líder determina o número de projetos de VCS na organização e sua avaliação de risco.

2. A organização efectua uma autoavaliação do CSMS central com base no catálogo de auditoria ENX VCSA e apresenta o resultado, incluindo os documentos CSMS referenciados, ao auditor principal

3. No local onde o CSMS central é mantido, a conformidade das políticas e dos processos é verificada no local com base em provas.

4. O auditor principal selecciona uma amostra baseada no risco a partir do conjunto de projectos VCS. Os riscos podem ser derivados dos resultados da avaliação interna do projeto denominada Análise de Ameaças e Avaliação de Riscos (TARA). Se a amostra for invulgarmente maior do que a estimativa original, a estimativa DQS será ajustada para refletir o esforço acrescido.

5. Os projetos VCS na amostra determinam quais equipes de desenvolvimento em quais locais VCS são especificamente incluídos.

6. As equipas de desenvolvimento seleccionadas serão entrevistadas à distância, com a participação de um perito em VCS, para determinar o modo como o projeto VCS foi implementado e se os requisitos do CSMS foram cumpridos em todas as fases do ciclo de vida do componente VCS.

À semelhança do TISAX®, um cliente VCS auditado com sucesso recebe os rótulos acima mencionados na base de dados ENX e pode disponibilizar os resultados às partes interessadas (OEMs e clientes). Os rótulos VCS são válidos por 3 anos.  

Cibersegurança no sector automóvel: porque é que as organizações devem agir agora

Como mencionado acima, os novos regulamentos entrarão em vigor em 1 de julho de 2024 para todos os veículos recém-fabricados. Na pior das hipóteses, os fabricantes que não cumprirem os requisitos do CSMS e da atualização de software correm o risco de não receberem a aprovação para os tipos de veículos relevantes. A certificação de acordo com a nova auditoria VCS, por outro lado, envia um sinal forte aos reguladores e parceiros comerciais, certifica a implementação de todos os aspectos relacionados com a segurança e assegura a confiança a longo prazo ao longo de todo o ciclo de vida do veículo.

Certificação bem sucedida com DQS

A DQS é o seu especialista em auditorias e certificações de sistemas e processos de gestão. Como fornecedor reconhecido de serviços de auditoria da Associação ENX, oferecemos acreditações para todas as normas relevantes na indústria automóvel. Com os nossos produtos, tais como a gestão da qualidade de acordo com a IATF 16949 ou as nossas avaliações TISAX®, nós e os seus auditores DQS já adquirimos um vasto conhecimento da indústria.

Tire partido dos conhecimentos dos nossos especialistas e obtenha informações pormenorizadas sobre os novos regulamentos de cibersegurança automóvel e o seu impacto na sua organização. Com mais de 35 anos de experiência e o know-how de 2.500 auditores em todo o mundo, somos o seu parceiro de certificação competente e fornecemos respostas a todas as questões relacionadas com a proteção de dados e a segurança da informação.