Cibersegurança automotiva certificada com ENX VCS

Lista de Conteúdos

• Regulamentações obrigatórias de cibersegurança
• ENX VCS - programa de auditoria mundial para ISO/SAE 21434
• Auditorias padronizadas - resultados comparáveis
• TISAX ^® e VCS trabalham em conjunto
• Prova de conformidade de acordo com ENX VCS
• DQS - Simply leveraging Security

Regulamentações obrigatórias de cibersegurança

Para combater as crescentes ameaças cibernéticas, as Nações Unidas adotaram a UNECE R 155 e 156, que incluem a implementação de um Sistema de Gestão de Cibersegurança (CSMS) e um Sistema de Gestão de Atualizações de Software (SUMS), respectivamente. As regulamentações têm como objetivo garantir a cibersegurança ao longo de todo o ciclo de vida de um modelo e para toda a cadeia de fornecedores. Na UE, as regulamentações são obrigatórias para todos os veículos novos fabricados a partir julho de 2024.

ENX VCS - ENX VCS - Programa de auditoria mundial para ISO/SAE 21434

Com a ISO/SAE 21434 (Veículos Rodoviários - Engenharia de Cibersegurança), foi feita uma tentativa no escopo das regulamentações da ONU, de criar uma diretriz e uma comprovação de conformidade para o cumprimento das regulamentações. Na prática, no entanto, os respectivos programas de auditoria dos prestadores de serviços de teste mostraram-se muito diferentes - apesar das especificações da ISO/PAS 5112. Portanto, os fabricantes ainda não conseguiam a oportunidade de fornecer ao legislador evidências confiáveis e comparáveis da conformidade de seus fornecedores - que, por sua vez, tinham problemas para comprovar a conformidade com suas disposições contratuais tendo com parâmetro uma base de teste comparável.

É por isso que a ENX Association (uma associação de fabricantes, fornecedores e associações automotivas europeias) projetou o programa de auditoria ENX VCS. A ENX VCS audita a implementação de Sistemas de Gestão de Cibersegurança de Veículos (VCSMS) de acordo com a ISO 21434 e a ISO 5112. Sua vantagem decisiva: a auditoria VCS é padronizada mundialmente e pode ser adaptada mais rapidamente a novos desafios do que uma norma ISO. Um grupo de especialistas internacionais revisa regularmente o programa de auditoria para sempre mantê-lo atualizado.

Auditorias padronizadas - resultados comparáveis

Com a auditoria padronizada ENX VCS, as empresas evitam despesas desnecessárias, incluindo, entre outras, custos financeiros que podem surgir de processos de auditoria em várias etapas e divergentes. Para garantir processos globalmente comparáveis entre todos os provedores de auditoria, a ENX também publicou Critérios para Provedores de Auditoria e Requisitos de Avaliação específicos (ACAR VCS) e um catálogo de auditoria obrigatório para Auditorias de Cibersegurança Veicular (VCSA) no lançamento do programa. Estes definem uma série de competências obrigatórias e um modelo procedimental vinculativo para os auditores VCS – além da auditoria organizacional das regulamentações do V-CSMS, por exemplo, uma auditoria obrigatória de documentos e processos – e a formação de uma amostra orientada por riscos de todos os projetos relevantes para a cibersegurança. As equipes de engenharia responsáveis pelos projetos da amostra são então entrevistadas pelos auditores e especialistas. Os resultados do trabalho da equipe são revisados para garantir que o V-CSMS está sendo efetivamente utilizado na prática. Após a conclusão bem-sucedida do teste, as empresas podem solicitar à ENX um LAbel VCS correspondente e disponibilizá-lo para as partes interessadas através do mecanismo de troca da ENX.

TISAX ^® e VCS trabalham em conjunto

Estruturalmente, as auditorias VCS com o ACAR VCS são baseadas na avaliação TISAX®. Os dois mecanismos de auditoria se complementam: enquanto a TISAX® avalia a segurança da informação em uma empresa, o label VCS confirma a cibersegurança dos componentes veiculares. Similar a TISAX®, a auditoria VCS leva em consideração os diversos papéis dos fornecedores na prestação de componentes relevantes para a cibersegurança. Cada fornecedor, portanto, precisa atender apenas aos requisitos do catálogo de auditoria VCSA que correspondem ao seu papel específico. É feita uma distinção entre diferentes labels:

• Desenvolvimento VCS: A empresa realiza o desenvolvimento seguro de componentes VCS - desde a integração. O processo de integração do sistema na arquitetura geral de segurança até a implementação segura e a transição segura para a produção.
• Produção VCS: A empresa produz componentes VCS e garante sua configuração segura e equipamentos de software.
• Operações e Manutenção VCS: A empresa é encarregada de dados de log da frota de veículos, o que permite identificar condições operacionais problemáticas ou identificar incidentes de segurança específicos. Este label também é adequado para empresas que precisam manter seus componentes VCS atualizados.