Автомобільна кібербезпека: нові обов’язкові правила з липня 2024 року

ЗМІСТ

• Чому кібербезпека автомобілів така важлива?
• Що є центром такої кількості атак на автомобільну промисловість?
• Які вектори атаки?
• Кого стосуються нові правила і які вони мають наслідки?
• Що таке система управління кібербезпекою (CSMS) і які її переваги?
• UNECE R 155 & 156: Правила автомобільної кібербезпеки
• Найкращий шлях до CSMS: ISO 21434 і впровадження аудиту кібербезпеки транспортних засобів
• Як організації можуть підготуватися до аудиту VCS?
• Автомобільна кібербезпека: чому організації повинні діяти зараз
• Успішна сертифікація з DQS

Чому кібербезпека автомобілів така важлива?

За останні роки розробка та дизайн транспортних засобів кардинально змінилися: те, що колись було механічним засобом пересування, давно стало комп’ютером із колесами. Коли колись такі частини транспортного засобу, як педаль гальма та гальмо або рульове керування та передня вісь, були фізично з’єднані, тепер вони взаємодіють як система виключно через цифрові контролери, які надсилають електричні сигнали виконавчим механізмам. Майже всі компоненти сучасного автомобіля об’єднані в цифрову мережу для забезпечення оптимальної продуктивності та безпеки водіння. Як наслідок, сучасний розумний автомобіль завжди в мережі, але різноманітні бортові комп’ютери та допоміжні системи також стають все більшою мішенню для кібератак.
Реалістичним і страшним сценарієм є маніпуляції з двигуном, гальмами або кермом, які можуть становити небезпеку для життя пасажирів автомобіля та інших учасників дорожнього руху. Питання автономного водіння є ще більш вибухонебезпечним: залежно від того, скільки повноважень електронних систем керування мають приймати рішення, (дистанційне) втручання в поведінку водіїв може мати фатальні наслідки.

Чому автомобільна промисловість є центром багатьох атак?

Хоча міжнародний стандарт ISO 27001 є міжгалузевим підходом до інформаційної безпеки, термін автомобільна кібербезпека описує безпеку цифрових систем в автомобільній промисловості. Наші автомобілі все більше залежать від мережевих електронних систем і програмного забезпечення. Як наслідок, захист і безпека цих компонентів стає все більш важливим у всій галузі. Це починається з виробника автомобіля, продовжується з постачальниками rкомпонентів та інженерних послуг і поширюється на програмне забезпечення та постачальників послуг інфраструктури ICT. Дві нові норми ООН, спрямовані на виробників та їхніх постачальників, призначені для забезпечення безпеки автомобільних ІТ.

Які вектори атаки?

Сучасний автомобіль може стати мішенню хакерів різними способами. Ось кілька прикладів:

- Можливо, найнебезпечнішими шлюзами в систему автомобіля та ECU є функції підключення сучасних автомобілів, особливо бездротові інтерфейси через Bluetooth і WLAN. Окрім інформаційно-розважальної системи, значною вразливістю також є велика кількість додатків-супутників, які можна використовувати для керування критично важливими функціями.

- Все більше і більше автовиробників покладаються на бездротові оновлення, щоб захистити себе та своїх клієнтів від тривалих відкликань і дорогих візитів до сервісного центру. Однак транспортні засоби, які можуть отримувати оновлення по повітрю, також більш уразливі до проникнення зловмисників. Оновлення OTA становлять найвищий ризик для масштабних кібератак, націлених на цілі лінійки моделей.

- Підключення Vehicle-to-everything (V2X) також вимагатиме більше уваги в майбутньому. V2X означає постійний зв’язок між транспортними засобами та об’єктами в їхньому оточенні, наприклад між самими транспортними засобами, щоб уникнути заторів і аварій шляхом визначення їхнього розташування.

- Зростаючий вплив штучного інтелекту вже очевидний. Методи на основі ШІ роблять зловмисників швидшими та креативнішими. Цьому потрібно протистояти надійною реакцією, як-от превентивне сканування вразливостей на основі ШІ.

- Іноді небезпека набагато відчутніша: наприклад, системи без ключового доступу створюють ризик викрадення автомобіля, перехоплюючи або підробляючи сигнали.

Кого стосуються нові правила і які вони мають наслідки?

Нові правила поширюються на всі організації, які розміщують автомобілі та інші транспортні засоби на ринку, і зобов’язують їх забезпечувати кібербезпеку своїх продуктів і систем у всьому ланцюжку постачання. Виробники комплектного обладнання також несуть відповідальність за своїх постачальників і тепер зобов’язують їх за контрактом виконувати нові вимоги.

Нещодавно кілька автовиробників були змушені повністю припинити випуск деяких старих модельних рядів. Не тому, що вони не були успішними, а тому, що було просто неможливо (або не було передбачено договором) гарантувати оновлення програмного забезпечення протягом усього життєвого циклу цих старих моделей.

Причина: транспортний засіб зазвичай має набагато довший життєвий цикл, ніж програмне забезпечення. Можливість надавати оновлення через 10 або більше років не здавалася гарантованою для продуктів, які поступово виводяться з виробництва. Багато виробників комплектного обладнання та постачальників не враховували витрати, які могли виникнути внаслідок нових зобов’язань щодо належної перевірки UNECE R 155 у життєвому циклі автомобіля. Нові вимоги до CSMS і оновлень програмного забезпечення розроблені для того, щоб гарантувати, що обов’язки з кібербезпеки узгоджені в договорі та що необхідні навички та компетенції існують протягом типового життєвого циклу транспортного засобу в 15 років. Організації можуть отримати підтвердження відповідності для свого CSMS через аудит VCS, який проводить DQS.

Що таке система управління кібербезпекою (CSMS) і які її переваги?

Метою впровадження CSMS є систематизація кібербезпеки в організації та узгодження її з установленими національними або міжнародними стандартами. Ключовими аспектами для успішного впровадження CSMS є

- Організація повинна мати сучасну систему управління ризиками та визначені надійні процеси для ідентифікації ризиків, оцінки ризиків та пом’якшення ризиків кіберзагроз.

- Управління ризиками охоплює весь життєвий цикл продукту - від розробки, виробництва та експлуатації до утилізації.

- Комплексний моніторинг нових уразливостей і відомих атак дозволяє швидко реагувати на кібератаки за допомогою цільових оновлень.

CSMS пропонує організаціям низку переваг, окрім зменшення ризиків і дотримання нормативних вимог: головна з них полягає в тому, що вона робить кібербезпеку організації доступною для вимірювання – як правило, у рамках незалежної оцінки, яку проводить уповноважений постачальник послуг аудиту. Організація знає, де вона стоїть, і може довести це в будь-який момент. Крім того, зовнішні аудити забезпечують неупереджену відкритість щодо тих аспектів кібербезпеки, які все ще потребують посилення.

Крім того, у рамках цього процесу постачальники автомобільної продукції повинні застосувати глибокий і орієнтований на ризик підхід до підтримки інформаційної безпеки автомобіля протягом усього його життєвого циклу, таким чином підвищуючи обізнаність про кібербезпеку на всіх ієрархічних рівнях.

UNECE R 155 & 156: Правила автомобільної кібербезпеки

Щоб усунути зростаючі загрози для автомобільної промисловості, влітку 2020 року ООН запровадила два важливі нові правила: UNECE R 155 та UNECE R 156.

- UNECE R 155 визначає вимоги до захисту транспортних засобів від кібератак і підкреслює ключову роль ретельно впровадженої Системи управління кібербезпекою (CSMS).

- UNECE R 156, з іншого боку, зосереджується на забезпеченні безперервної безпеки протягом усього життєвого циклу транспортного засобу та зобов’язує впровадження та роботу системи управління оновленнями програмного забезпечення (SUMS), яка відповідає стандартам.

Обидві норми набудуть чинності на початку 2021 року, і з липня 2022 року відповідність є обов’язковою лише для нових типів транспортних засобів. Нарешті, до 1 липня 2024 року норми поширюватимуться на всі нові транспортні засоби.

Хоча немає сумніву, що нові правила загалом є обґрунтованими, багато організацій поспішили розкритикувати нові правила: вони були надто загальними та пропонували мало конкретних рекомендацій щодо дій. Тож розглянемо нові правила ближче.

Кращий шлях до CSMS: ISO 21434 і впровадження аудиту кібербезпеки транспортних засобів

У серпні 2021 року Міжнародна організація зі стандартизації (ISO) і Товариство автомобільних інженерів (SAE) опублікували ISO/SAE 21434, надавши міжнародні чинні рекомендації щодо впровадження CSMS, які організації можуть використовувати як довідковий матеріал.

Проте, як і очікувалося, у застосуванні існували різні тлумачення стандарту. Оскільки важливість узгоджених заходів безпеки є особливо високою в автомобільній промисловості з її глибоко інтегрованими ланцюгами поставок, ENX негайно вніс удосконалення: за допомогою аудитів Vehicle Cyber ​​Security (VCS) він представив нову опцію підтвердження відповідності, яка є більш уніфікованою та навіть краще пристосована до вимог галузі.

Глобально стандартизований аудит VCS все ще базується на стандарті ISO 21434, але був доповнений низкою необхідних розширень у тісній співпраці з організаціями в автомобільній промисловості. Дивлячись у майбутнє, каталог аудиту розроблений таким чином, щоб швидко оновлюватися в міру необхідності, щоб швидше реагувати на нові події в автомобільній промисловості або ландшафті кіберзагроз.

Як організації можуть підготуватися до аудиту VCS?

Передумовою для аудиту VCS є оцінка TISAX^®, яка підтверджує відповідність центральної ISMS TISAX^®. ISMS забезпечує дотримання основних правил і процедур безпечної обробки інформації. Кількість сайтів, включених до аудиту VCS, має бути підмножиною сайтів, включених до оцінки TISAX®. Крім того, в організації має бути впроваджено центральну систему управління якістю (можливі стандарти: IATF 16949, ISO 10007, Automotive SPICE^®, ISO/IEC 330xx, ISO/IEC/IEEE 15288 або ISO/IEC/IEEE 12207).

Організація повинна визначити, яку етикетку вона повинна надати виробникам комплектного обладнання або іншим постачальникам. Ці вимоги до етикетки визначають, які конкретні вимоги каталогу випробувань VCSA мають бути виконані:

 1. VCS Development: організація відповідає за діяльність з розробки СВК до готовності до виробництва

 2. VCS Production: організація виготовляє попередньо налаштовані компоненти VCS безпечним способом

 3. VCS Operations & Maintenance: організація контролює безпечну роботу компонентів VCS та керує інцидентами безпеки, наприклад, розробляючи оновлення та доставляючи їх через центральну систему керування автопарком OEM.

Процес аудиту VCS складається з наступних етапів:

1. На початку провідний аудитор VCS детально представляє процес і формулює свої очікування щодо внеску залучених людей і сайтів. На цьому етапі провідний аудитор визначає кількість проектів VCS в організації та оцінку їх ризиків.
2. Організація виконує самооцінку для центрального CSMS на основі каталогу аудиту ENX VCSA та подає результат, включаючи посилання на документи CSMS, головному аудитору.
3. На місці, де підтримується центральний CSMS, відповідність політик і процесів перевіряється на місці на основі доказів.
4. Провідний аудитор вибирає вибірку, засновану на оцінці ризику, з набору проектів VCS. Ризики можна визначити за результатами внутрішньої оцінки проекту під назвою «Аналіз загроз та оцінка ризиків» (TARA - Threat Analysis and Risk Assessment). Якщо вибірка надзвичайно велика, ніж початкова оцінка, оцінку DQS буде скориговано, щоб відобразити збільшення зусиль.
5. Проекти VCS у вибірці визначають, які групи розробників у яких місцях VCS конкретно включені.
6. Відібрані команди розробників пройдуть дистанційну співбесіду із залученням експерта VCS, щоб визначити, як був реалізований проект VCS і чи відповідали вимогам CSMS на всіх етапах життєвого циклу компонента VCS.

Подібно до TISAX^®, клієнт VCS, який пройшов успішний аудит, отримує згадані вище позначки в базі даних ENX і може надавати результати зацікавленим сторонам (виробникам комплектного обладнання та клієнтам). Етикетки VCS дійсні протягом 3 років.

Автомобільна кібербезпека: чому організації повинні діяти зараз

Як зазначалося вище, нові правила набудуть чинності 1 липня 2024 року для всіх нових автомобілів. У найгіршому випадку виробники, які не дотримуються вимог CSMS та оновлення програмного забезпечення, ризикуватимуть не отримати схвалення для відповідних типів транспортних засобів. З іншого боку, сертифікація відповідно до нового аудиту VCS надсилає потужний сигнал регуляторам і діловим партнерам, засвідчує впровадження всіх аспектів, пов’язаних з безпекою, і забезпечує довгострокову впевненість протягом усього життєвого циклу автомобіля.

Успішна сертифікація з DQS

DQS — ваш фахівець з аудитів та сертифікації систем і процесів менеджменту. Як визнаний постачальник аудиторських послуг Асоціації ENX, ми пропонуємо вам акредитацію за всіма відповідними стандартами в автомобільній промисловості. Завдяки нашим продуктам, таким як управління якістю відповідно до IATF 16949 або наші оцінки TISAX^®, ми та ваші аудитори DQS вже набули широких галузевих знань.

Скористайтеся знаннями наших експертів і отримайте детальну інформацію про нові правила автомобільної кібербезпеки та їхній вплив на вашу організацію. Маючи понад 35 років досвіду та ноу-хау 2500 аудиторів у всьому світі, ми є вашим компетентним партнером із сертифікації та надаємо відповіді на всі запитання щодо захисту даних та інформаційної безпеки.