Giải thích về an ninh mạng cho xe cộ

Bản đánh giá độc lập từ DQS, một tổ chức chứng nhận được công nhận.

ENX VCS (An ninh mạng xe hơi) là chương trình đánh giá của ngành công nghiệp ô tô nhằm đánh giá mức độ an ninh mạng của một tổ chức. Hệ thống quản lý an ninh mạng (CSMS) dành cho xe cộ và các bộ phận của chúng. Được phát triển bởi Hiệp hội ENX – cùng một tổ chức điều hành TISAX® – ENX VCS cung cấp cơ sở thử nghiệm tiêu chuẩn hóa toàn cầu, thông qua đó các nhà cung cấp có thể chứng minh rằng họ triển khai CSMS phù hợp với tiêu chuẩn ISO/SAE 21434 và hướng dẫn của ISO/PAS 5112, đồng thời hỗ trợ tuân thủ các yêu cầu quy định của Quy định số 155 của UNECE (UN R155).

ENX VCS phù hợp với các tổ chức trong chuỗi giá trị ngành ô tô có sản phẩm, linh kiện, phần mềm hoặc dịch vụ đóng góp vào an ninh mạng xe hơi. Điều này bao gồm các nhà sản xuất ô tô (OEM), nhà cung cấp cấp 1 các bộ điều khiển điện tử và linh kiện kết nối, nhà cung cấp phần mềm và nền tảng, và nhà cung cấp dịch vụ kỹ thuật. Khách hàng – đặc biệt là các nhà sản xuất ô tô phải tuân thủ các nghĩa vụ phê duyệt kiểu loại theo tiêu chuẩn UN R155 – ngày càng yêu cầu các nhà cung cấp của họ chứng minh được hệ thống quản lý an ninh mạng (CSMS) đã được đánh giá độc lập.

ENX VCS được ra mắt vào tháng 6 năm 2024 và đã liên tục mở rộng kể từ đó. Việc đăng ký miễn phí trong giai đoạn đầu kéo dài đến hết năm 2024, với việc triển khai rộng rãi hơn tiếp tục vào năm 2025 và 2026. ENX VCS bổ sung vào danh mục các chương trình ENX bên cạnh TISAX, với quy mô hiện tại. Nhãn TISAX Thường đóng vai trò là điều kiện tiên quyết cho các cuộc kiểm toán ENX VCS.

Một trong những điểm khác biệt chính của ENX VCS so với ISO/SAE 21434 là các yêu cầu về trình độ chuyên môn được quy định nghiêm ngặt đối với đội ngũ đánh giá. Cụ thể, mỗi đội ngũ đánh giá phải bao gồm một chuyên gia VCS có kinh nghiệm thực tiễn đã được chứng minh trong lĩnh vực an ninh mạng ô tô và an ninh mạng xe hơi (VCS).

Mặc dù các yêu cầu về trình độ chuyên môn này chắc chắn sẽ làm tăng chi phí đánh giá VCS, nhưng chúng cũng mang lại giá trị đáng kể cho khách hàng. Sự tham gia của các chuyên gia VCS giàu kinh nghiệm giúp đảm bảo một đánh giá nhất quán và có tính kỹ thuật cao, cho phép các cuộc thảo luận có ý nghĩa hơn trong các cuộc phỏng vấn, và cho phép khách hàng hưởng lợi từ kinh nghiệm thực tiễn của các chuyên gia đánh giá trong việc triển khai an ninh mạng thực tế trong ngành công nghiệp ô tô.

Khách hàng có thể nhận được một hoặc nhiều trong ba nhãn VCS cho các địa điểm liên quan đến VCS của họ: “Phát triển VCS”, “Sản xuất VCS” và “Vận hành và Bảo trì VCS”. Các nhãn này cho phép các tổ chức chứng minh khả năng an ninh mạng cụ thể của họ cho khách hàng và các bên khác. các bên quan tâm Tùy thuộc vào các hoạt động của VCS mà họ chịu trách nhiệm theo hợp đồng.

Quy định UN R155 có hiệu lực từ tháng 1 năm 2021. Tuy nhiên, thời điểm bắt buộc tuân thủ khác nhau tùy theo từng khu vực pháp lý. Tại Liên minh Châu Âu, UN R155 áp dụng cho tất cả các loại xe mới được phê duyệt từ tháng 7 năm 2022 và cho tất cả các loại xe mới sản xuất từ tháng 7 năm 2024. Trung Quốc đã ban hành quy định an ninh mạng quốc gia riêng, GB 44495:2024, nhìn chung phù hợp với mục tiêu của UN R155 nhưng là một khung pháp lý riêng biệt. Quy định này áp dụng cho các loại xe mới được phê duyệt từ tháng 1 năm 2026 và cho tất cả các loại xe mới sản xuất từ tháng 1 năm 2028.

Từ góc nhìn của một tổ chức chứng nhận, ENX VCS là gì?

Từ góc độ của một tổ chức chứng nhận, ENX VCS là chương trình đánh giá của ngành công nghiệp ô tô, trong đó nhà cung cấp dịch vụ kiểm toán được Hiệp hội ENX phê duyệt sẽ đánh giá hệ thống quản lý an toàn và bảo mật (CSMS) của một tổ chức dựa trên các yêu cầu của tiêu chuẩn ISO/SAE 21434, hướng dẫn của ISO/PAS 5112 và các yêu cầu của chương trình ENX VCS. Kết quả đánh giá là kết quả kiểm toán ENX VCS được trao đổi thông qua Cổng thông tin ENX – tương tự về mặt khái niệm với việc trao đổi nhãn TISAX – thay vì một chứng chỉ theo kiểu ISO.

ENX VCS nằm cùng với TISAX như một phần của danh mục chương trình ENX: TISAX tập trung vào bảo mật thông tin tại địa điểm của nhà cung cấp; ENX VCS tập trung vào hệ thống quản lý an toàn và bảo mật (CSMS) của nhà cung cấp đối với xe và các bộ phận của nó. Chứng nhận TISAX hiện tại và đã được chứng minh. Hệ thống quản lý chất lượng (QMS) Nhìn chung, đây là những điều kiện tiên quyết cho các cuộc kiểm toán ENX VCS. Đánh giá của bên thứ ba do nhà cung cấp kiểm toán được phê duyệt thực hiện là cách thức được công nhận rộng rãi trong ngành để chứng minh hệ thống quản lý an toàn khách hàng (CSMS), và kết quả kiểm toán được các khách hàng OEM tham gia chấp nhận thông qua cơ chế trao đổi ENX.

Với tư cách là một tổ chức chứng nhận, DQS đánh giá sự phù hợp – chứ không phải thiết kế hay triển khai hệ thống quản lý an ninh mạng của bạn. Điều đó có nghĩa là... độc lập Điều tạo nên giá trị của kết quả kiểm toán ENX VCS chính là: tổ chức xây dựng và vận hành hệ thống quản lý an toàn mạng (CSMS), và nhà cung cấp dịch vụ kiểm toán được phê duyệt sẽ xác minh hệ thống đó dựa trên các yêu cầu của chương trình.

Những thông tin chính về ENX VCS (Tổng quan)

Bối cảnh và động lực thúc đẩy ENX VCS

UN R155 và Phê duyệt kiểu xe

Quy định số 155 của UNECE thiết lập các điều khoản thống nhất cho việc phê duyệt xe cộ liên quan đến an ninh mạng và hệ thống quản lý an ninh mạng. Các nhà sản xuất xe phải chứng minh rằng họ vận hành một hệ thống quản lý an ninh mạng (CSMS) giải quyết vấn đề an ninh mạng trong suốt vòng đời phát triển, sản xuất và sau sản xuất. Các nhà sản xuất thiết bị gốc (OEM) được yêu cầu truyền đạt các kỳ vọng về CSMS cho các nhà cung cấp của họ, những người này đến lượt mình cần một hệ thống CSMS hiệu quả và có thể chứng minh được.

ISO/SAE 21434 và ISO/PAS 5112

Tiêu chuẩn ISO/SAE 21434 (Xe đường bộ – Kỹ thuật an ninh mạng) là tiêu chuẩn tham chiếu kỹ thuật cho kỹ thuật an ninh mạng trong suốt vòng đời sản phẩm ô tô. Tiêu chuẩn ISO/PAS 5112 (Hướng dẫn kiểm toán kỹ thuật an ninh mạng) cung cấp hướng dẫn về việc kiểm toán triển khai hệ thống quản lý an ninh mạng (CSMS). Chỉ riêng tiêu chuẩn ISO/SAE 21434 là không đủ để đáp ứng tất cả các yêu cầu của UN R155; UN R155 tham chiếu tiêu chuẩn này nhưng bổ sung thêm các kỳ vọng quy định khác. ENX VCS sử dụng các tài liệu này làm cơ sở đánh giá trong khi thực hiện các thủ tục của chương trình nhằm đảm bảo kết quả kiểm toán có thể so sánh và trao đổi được trong toàn ngành.

Công nhận lẫn nhau và giảm thiểu các cuộc kiểm toán trùng lặp

Các nhà cung cấp phụ tùng ô tô ngày càng phải chịu nhiều cuộc kiểm toán an ninh mạng từ các khách hàng OEM khác nhau. ENX VCS được thiết kế dựa trên sự công nhận lẫn nhau: một tổ chức ủy thác một cuộc đánh giá và chia sẻ kết quả thông qua Cổng thông tin ENX, giảm thiểu sự trùng lặp. Sự kết hợp giữa TISAX và ENX VCS cung cấp cho các nhà sản xuất OEM một bức tranh toàn diện – an ninh thông tin tại địa điểm của nhà cung cấp, cộng với kỹ thuật an ninh mạng cho các sản phẩm và linh kiện xe hơi.

Các yêu cầu cốt lõi cho ENX VCS

Quản trị an ninh mạng và bối cảnh tổ chức

Thiết lập văn hóa an ninh mạng, vai trò quản trị, chính sách và cam kết của ban quản lý. Hệ thống quản lý an ninh mạng (CSMS) phải được lồng ghép vào hệ thống quản trị rộng hơn của tổ chức và tích hợp với quản lý chất lượng, an ninh thông tin và an toàn chức năng.

Quản lý rủi ro an ninh mạng (TARA)

Phân tích mối đe dọa và đánh giá rủi ro có hệ thống (TARA) theo tiêu chuẩn ISO/SAE 21434, được áp dụng cho các tài sản trên xe và các giao diện liên quan đến an ninh mạng. Các rủi ro được xác định sẽ được đánh giá và xử lý thông qua các biện pháp kiểm soát và quyết định thiết kế được ghi chép lại.

An ninh mạng trong vòng đời sản phẩm

Các hoạt động an ninh mạng trải dài từ khâu lên ý tưởng, phát triển sản phẩm, hậu phát triển (sản xuất, vận hành, bảo trì, ngừng hoạt động) và các quy trình hỗ trợ – bao gồm quản lý yêu cầu, thiết kế, tích hợp, xác minh và thẩm định.

Các hoạt động an ninh mạng liên tục

Giám sát an ninh mạng, quản lý lỗ hổng bảo mật Việc xử lý sự cố, ứng phó sự cố và hỗ trợ sau sản xuất là những hoạt động liên tục trong suốt vòng đời của xe. Quy định UN R155 yêu cầu rõ ràng rằng khả năng của Hệ thống Quản lý An ninh mạng (CSMS) phải được duy trì liên tục. Theo đó, ENX VCS đánh giá không chỉ mức độ hoàn thiện ban đầu của các quy trình này mà còn cả khả năng của tổ chức trong việc duy trì chúng theo thời gian.

Yêu cầu duy trì nhãn TISAX hợp lệ bổ sung cho mục tiêu này bằng cách đảm bảo rằng tư thế bảo mật thông tin của tổ chức vẫn hiệu quả trước các mối đe dọa CNTT đang phát triển có thể ảnh hưởng đến các hoạt động an ninh mạng xe cộ của tổ chức.

Quản lý phát triển nhà cung cấp và phân phối

Quản lý an ninh mạng trong chuỗi cung ứng: chuyển giao yêu cầu đến nhà cung cấp, đánh giá năng lực nhà cung cấp, thỏa thuận giao diện và các hoạt động an ninh mạng chung. ENX VCS hỗ trợ các nhà sản xuất thiết bị gốc (OEM) trong việc chứng minh năng lực an ninh mạng của nhà cung cấp trên toàn bộ chuỗi cung ứng của họ.

Quy trình kiểm toán và trao đổi

Việc đánh giá được thực hiện bởi các nhà cung cấp dịch vụ kiểm toán được Hiệp hội ENX phê duyệt. Các phát hiện được ghi chép và phân loại, và kết quả đánh giá được chia sẻ thông qua Cổng thông tin ENX với các khách hàng tham gia theo sự đồng ý của nhà cung cấp và các quy tắc của chương trình ENX VCS.

Các bên quan tâm có thể đăng ký tham gia ENX để có được thông tin theo thời gian thực về trạng thái nhãn VCS hiện tại của nhà cung cấp. Điều này cho phép Cổng thông tin ENX hoạt động như một công cụ quản lý nhà cung cấp hiệu quả, giúp các tổ chức xác minh và liên tục giám sát trạng thái đánh giá an ninh mạng của chuỗi cung ứng.

Nhóm khách hàng mục tiêu và lĩnh vực ứng dụng của ENX VCS

ENX VCS hướng đến các tổ chức có sản phẩm, linh kiện, phần mềm hoặc dịch vụ đóng góp vào an ninh mạng ô tô. Phạm vi điển hình bao gồm các nhà sản xuất thiết bị gốc (chuẩn bị và duy trì chứng nhận kiểu loại UN R155), nhà cung cấp cấp 1 các bộ điều khiển điện tử (ECU), bộ xử lý thông tin di động, cổng kết nối, hệ thống thông tin giải trí và các linh kiện kết nối, nhà cung cấp cấp 2 các chất bán dẫn, phần mềm nhúng và mô-đun phần cứng có liên quan đến an ninh mạng, nhà cung cấp nền tảng phần mềm/cơ sở hạ tầng trong xe và phía máy chủ, và các nhà cung cấp dịch vụ kỹ thuật thực hiện phát triển thay mặt cho các nhà sản xuất thiết bị gốc và nhà cung cấp cấp 1.

Các nhà sản xuất thiết bị gốc (OEM) và khách hàng cấp 1 sử dụng kết quả kiểm toán ENX VCS – cùng với nhãn TISAX – làm cơ sở cho việc đánh giá năng lực nhà cung cấp và quản lý nhà cung cấp liên tục. Chương trình này hỗ trợ các quyết định tìm nguồn cung ứng sáng suốt của các bộ phận mua sắm, an ninh mạng và kỹ thuật trong các tổ chức khách hàng, đồng thời giảm bớt gánh nặng kiểm toán cho các nhà cung cấp phục vụ nhiều OEM.

Các tổ chức bên ngoài hệ sinh thái ô tô thường dựa vào ISO/IEC 27001 hoặc các khung bảo mật thông tin và an ninh mạng chuyên ngành khác thay vì ENX VCS. Trường hợp nhà cung cấp phục vụ cả ngành ô tô và các ngành liên quan (ví dụ: điều khiển công nghiệp, thiết bị y tế), các chứng nhận và đánh giá song song thường được duy trì.

Các tiêu chuẩn liên quan đến ENX VCS

Mối quan hệ với TISAX®

TISAX là chương trình đánh giá an ninh thông tin dành cho ngành công nghiệp ô tô và tập trung vào hệ thống quản lý an ninh thông tin cấp nhà máy của nhà cung cấp. ENX VCS tập trung vào hệ thống quản lý an ninh mạng của nhà cung cấp đối với xe và các bộ phận của chúng. Nhãn TISAX hiện hành thường là điều kiện tiên quyết để được kiểm toán bằng ENX VCS. Hai chương trình này là những phần bổ sung cho nhau trong danh mục sản phẩm của ENX và không thể thay thế cho nhau.

ISO/SAE 21434 – Tiêu chuẩn kỹ thuật tham chiếu

Tiêu chuẩn ISO/SAE 21434 là tiêu chuẩn quốc tế về kỹ thuật an ninh mạng cho xe đường bộ và là cơ sở kỹ thuật của ENX VCS. Tuy nhiên, chỉ riêng ISO/SAE 21434 không đủ để đáp ứng tất cả các yêu cầu của UN R155. ENX VCS sử dụng ISO/SAE 21434 và ISO/PAS 5112 trong một chương trình đánh giá có cấu trúc nhằm hỗ trợ sự phù hợp giữa nhà sản xuất thiết bị gốc (OEM) và nhà cung cấp với UN R155.

Nghị định thư UN R155 và bối cảnh pháp lý

UN R155 là một quy định của UNECE thiết lập các yêu cầu phê duyệt đối với xe cộ liên quan đến an ninh mạng và hệ thống quản lý an toàn (CSMS). UN R155 là luật điều chỉnh ở nhiều quốc gia sau khi được thông qua. ENX VCS hỗ trợ chứng minh một CSMS phù hợp với các kỳ vọng của UN R155, nhưng kết quả kiểm toán của ENX VCS tự bản thân nó không cấu thành phê duyệt kiểu loại theo UN R155 – trách nhiệm này vẫn thuộc về các cơ quan phê duyệt kiểu loại có thẩm quyền.

Tiêu chuẩn ISO/IEC 27001 và Quản lý An ninh Thông tin

ISO/IEC 27001 là tiêu chuẩn hệ thống quản lý quốc tế có thể chứng nhận về an ninh thông tin. Mặc dù phạm vi của nó rộng hơn so với an ninh mạng trong ngành ô tô, ISO/IEC 27001 có cấu trúc phù hợp với tư duy hệ thống quản lý làm nền tảng cho ISO/SAE 21434 và ENX VCS. Nhiều nhà cung cấp phụ tùng ô tô duy trì chứng nhận ISO/IEC 27001 song song với nhãn TISAX và kết quả kiểm toán ENX VCS.