Сертифікована кібербезпека автомобільного транспорту з ENX VCS

Зміст

• Обов'язкові правила кібербезпеки
• ENX VCS - всесвітня програма аудиту для ISO/SAE 21434
• Стандартизовані аудити – порівняльні результати
• ТІSАX^® і VCS працюють у тандемі
• Підтвердження відповідності ENX VCS
• DQS – Simply leveraging Security.

Обов'язкові правила кібербезпеки

Щоб протистояти зростаючим кіберзагрозам, Організація Об’єднаних Націй прийняла ЄЕК ООН R 155 і 156, які передбачають впровадження Системи управління кібербезпекою (CSMS - Cyber Security Management System) і Системи управління оновленнями програмного забезпечення (SUMS - Software Updates Management System ) відповідно. Правила призначені для забезпечення кібербезпеки протягом усього життєвого циклу моделей та вздовж усіх ланцюжків поставок. У ЄС ці правила стали обов’язковими для всіх нових автомобілів з липня 2024 року.

ENX VCS - всесвітня програма аудиту для ISO/SAE 21434

У стандарті ISO/SAE 21434 (Дорожні транспортні засоби – розробка кібербезпеки) у ході нормативних актів ООН була зроблена спроба створити керівні принципи та підтвердження відповідності нормативам. На практиці, однак, відповідні програми аудиту постачальників послуг тестування виявилися занадто різними - незважаючи на специфікації ISO/PAS 5112. Тому виробники все ще не мали можливості надати законодавцю надійні та порівняльні докази відповідності їхніх постачальників - які, у свою чергу, мали проблеми з підтвердженням дотримання своїх договірних положень на основі порівняльної тестової бази.

Ось чому асоціація ENX (асоціація європейських виробників, постачальників та асоціацій автомобілів) розробила програму аудиту ENX VCS. ENX VCS перевіряє впровадження систем управління кібербезпекою транспортних засобів (VCSMS) відповідно до стандартів ISO 21434 та ISO 5112. Це вирішальна перевага: аудит VCS стандартизований у всьому світі та може бути швидше адаптований до нових викликів, ніж стандарт ISO. Група міжнародних експертів регулярно перевіряє програму аудиту, щоб підтримувати її в актуальному стані.

Стандартизовані аудити – порівняльні результати

За допомогою стандартизованого аудиту ENX VCS компанії уникають непотрібних, не в останню чергу, фінансових витрат, які можуть виникнути в результаті багаторівневих процесів аудиту та різноманітних аудитів. Щоб забезпечити глобальне порівняння процесів у всіх постачальників аудиту, ENX також опублікувала спеціальні критерії та вимоги до постачальників аудиту (ACAR VCS) і обов’язковий каталог аудитів для аудитів кібербезпеки транспортних засобів (VCSA) під час запуску програми. Вони визначають серію обов’язкових компетенцій і обов’язкову процедурну модель для аудиторів VCS – на додаток до організаційного аудиту правил V-CSMS, наприклад, обов’язковий аудит документів і процесів – і формування орієнтованої на ризик випадкової вибірки усіх проектів, пов’язаних з кібербезпекою. Інженерні групи, відповідальні за проекти у вибірці, потім опитуються аудиторами та експертами. Результати роботи команди перевіряються, щоб переконатися, що V-CSMS дійсно використовується на практиці. Після завершення успішного тестування компанії можуть подати заявку в ENX на відповідну марку VCS і зробити її доступною для зацікавлених сторін через механізм обміну ENX.

ТІSAX^® і VCS працюють у тандемі

Конструктивно перевірки VCS з ACAR VCS базуються на встановленому автомобільному стандарті TISAX^®. Два механізми аудиту доповнюють один одного: тоді як TISAX^® оцінює інформаційну безпеку в компанії, маркування VCS підтверджує кібербезпеку компонентів автомобіля. Подібно до TISAX^®, аудит VCS враховує різні ролі постачальників у забезпеченні кіберважливих компонентів. Тому кожен постачальник повинен відповідати лише тим вимогам каталогу аудиту VCSA, які відповідають його фактичній, конкретній ролі. Розрізняють різні маркування:

• Розробка VCS: Компанія здійснює безпечну розробку компонентів VCS - від інтеграції. Процес від інтеграції системи в загальну архітектуру безпеки до безпечного впровадження та безпечного переходу до виробництва.
• Виробництво VCS: Компанія виробляє компоненти VCS та забезпечує їх безпечне налаштування та програмне обладнання.
• Експлуатація та технічне обслуговування VCS: Компанії довірено реєстраційні дані з автопарку, які дозволяють визначити проблемні умови експлуатації або ідентифікувати конкретні інциденти безпеки. Цей ярлик також підходить для компаній, які потребують оновлення своїх компонентів VCS.