ما هي الشهادة؟
يحدد المعيار ISO/SAE 21434 متطلبات هندسة الأمن السيبراني في مركبات الطرق. حيث يتناول المعيار ISO 26262 السلامة الوظيفية (المخاطر الناجمة عن الفشل)، يتناول المعيار 21434 المخاطر الناشئة عن الهجوم المتعمد. وهو يغطي دورة الحياة بأكملها بدءًا من مرحلة المفهوم وحتى إيقاف التشغيل ويضع تحليل التهديدات وتقييم المخاطر (TARA) في مركزه.
لمن هو مطلوب؟
- مصنعي المركبات ومتكاملي الأنظمة
- مطورو وحدات التحكم الإلكترونية وأجهزة التحكم عن بعد ووحدات الاتصال
- موردي برامج السيارات
- الشركات التي تقدم تحديثات البرامج عبر الأثير (OTA).
- الشركات المصنعة تحصل على موافقة النوع بموجب UNECE R155
هل هو إلزامي؟
طوعي كمعيار، ولكن نتيجته إلزامية فعليًا: تتطلب لائحة UNECE R155 نظام إدارة الأمن السيبراني (CSMS) للموافقة على نوع السيارة، ومعيار ISO/SAE 21434 هو المعيار المشار إليه لتلبية هذا المطلب. بالنسبة للموردين، يأتي الالتزام من عقود تصنيع المعدات الأصلية.
نطاق المواصفة
- إدارة الأمن السيبراني التنظيمي: السياسة والأدوار والثقافة والكفاءة
- إدارة الأمن السيبراني المعتمدة على المشروع وخطة الأمن السيبراني
- أنشطة الأمن السيبراني الموزعة: تقاسم المسؤولية بين العميل والمورد
- أنشطة الأمن السيبراني المستمرة: مراقبة الثغرات الأمنية وإدارة الحوادث والاستجابة لها
- مرحلة المفهوم: تعريف البند، أهداف الأمن السيبراني
- تحليل التهديدات وتقييم المخاطر (TARA): تحديد الأصول، وسيناريوهات التهديد، وتقييم التأثير، وتحليل مسار الهجوم، والجدوى، وتحديد المخاطر
- تطوير المنتج: مواصفات الأمن السيبراني والتكامل والتحقق
- التحقق من الأمن السيبراني والتحقق من صحته؛ اختبار الاختراق
- الإنتاج والعمليات والصيانة: إدارة التحديث
- نهاية الدعم وإيقاف التشغيل
عملية منح الشهادة
- 1التقديميتم تحديد مجال نشاط المنظمة وعدد الموظفين وعدد المواقع وحدود النطاق. يتم حساب عدد أيام التدقيق من هذه المعلومات.
- 2مراجعة المستندات (المرحلة 1)يتم فحص وثائق نظام الإدارة، وتعريف النطاق، وتقييم المخاطر، وسجلات المراجعة الداخلية/المراجعة الإدارية؛ يتم تقييم الاستعداد للتدقيق في الموقع.
- 3تدقيق الشهادة (المرحلة 2)يتم التحقق في الموقع من أن النظام مطبق وفعال. يتم تصنيف النتائج على أنها عدم مطابقة رئيسية/ثانوية أو ملاحظة.
- 4إغلاق حالات عدم المطابقةتقدم المنظمة تحليلاً للأسباب الجذرية وخطة عمل تصحيحية. ولا يتم إصدار الشهادة حتى يتم إغلاق حالات عدم المطابقة الرئيسية.
- 5إصدار الشهادةيتم إصدار الشهادة بعد المراجعة من قبل صانع قرار مستقل. لا يمكن لفريق التدقيق اتخاذ قرار الاعتماد.
- 6عمليات تدقيق المراقبةيتم إجراء تدقيق المراقبة مرة واحدة على الأقل سنويًا خلال فترة صلاحية الشهادة. لا يمكن أن تتجاوز المراقبة الأولى 12 شهرًا من اليوم الأخير للمرحلة الثانية.
- 7إعادة الاعتمادوفي نهاية ثلاث سنوات، تتم إعادة تدقيق النظام بأكمله؛ ويجب إكماله قبل انتهاء صلاحية الشهادة.
مدة الصلاحية
شهادات نظام الإدارة صالحة لمدة ثلاث سنوات. يتم إجراء تدقيق مراقبة واحد على الأقل سنويًا خلال هذه الفترة؛ يتم تعليق الشهادة في حالة عدم إجراء المراقبة. يتم الانتهاء من تدقيق إعادة الاعتماد في نهاية السنة الثالثة.
المستندات المطلوبة
- سجل السجل التجاري ورخصة التشغيل
- الهيكل التنظيمي للمنظمة وعدد الموظفين
- قائمة المواقع/الفروع ضمن النطاق
- دليل نظام الإدارة أو وثائق العملية
- سجلات التدقيق الداخلي ومراجعة الإدارة
- التصاريح القانونية والتراخيص ووثائق التشغيل إن وجدت
تكلفة الشهادة
لا يوجد سعر قائمة ثابت؛ يتم حساب التكلفة بناءً على المتغيرات التالية وتقديمها كتابياً في عرض السعر.
- عدد الموظفين ضمن النطاق (يحدد بشكل مباشر عدد أيام التدقيق)
- عدد المواقع والفروع؛ ما إذا كان يتم تطبيق أخذ العينات من مواقع متعددة
- مستوى خطورة النشاط وتعقيد العملية
- عدد المعايير التي سيتم اعتمادها — يؤدي التدقيق المتكامل إلى تقليل عدد الأيام
- دورة مدتها ثلاث سنوات: شهادة + عمليتي تدقيق للمراقبة
الاعتماد
يتم تنفيذ شهادة نظام الإدارة ضمن نطاق ISO/IEC 17021-1. هيئة الاعتماد معتمدة من قبل هيئة اعتماد طرف في اتفاقية الاعتراف المتعددة الأطراف IAF (IAF MLA)؛ تنشئ هذه الاتفاقية سلسلة من الاعتراف الدولي الذي يضمن قبول الوثيقة الصادرة في دولة ما في الدول الأخرى. حصلت EUROLAB على اعتماد معترف به دوليًا من هيئات اعتماد أعضاء IAF ضمن نطاق ISO/IEC 17021-1.
يختلف النطاق الذي يمكن تقديم هذا المخطط ضمنه حسب منتجكم ونشاطكم؛ ويتم تأكيده كتابياً في مرحلة عرض السعر.
النطاق والتفويضاتشهادات ذات صلة
الأسئلة الشائعة
ما هي العلاقة بين ISO/SAE 21434 وUNECE R155؟
R155 عبارة عن لائحة وتتطلب نظام CSMS للموافقة على نوع السيارة؛ ISO/SAE 21434 هو المعيار الذي يصف كيفية بناء هذا النظام. يتم تقييم الامتثال لـ R155 من قبل هيئة الموافقة على النوع؛ الامتثال لـ 21434 ينتج الأدلة الهندسية التي تدعمه.
ما هو الفرق بين تارا وهارا؟
تحلل HARA (ISO 26262) مخاطر السلامة الناشئة عن الأعطال، بينما تحلل TARA (ISO/SAE 21434) مخاطر الأمن السيبراني الناشئة عن الهجوم المتعمد. كلاهما تحليلان منفصلان، لكن نتائجهما يمكن أن تؤثر على بعضهما البعض: يمكن أن يؤدي الهجوم الإلكتروني إلى فشل ينتهك هدف السلامة.