Araç Siber Güvenliği (ISO/SAE 21434) Belgelendirmesi

ISO/SAE 21434, karayolu araçlarında siber güvenlik mühendisliği için şartları tanımlar. ISO 26262 fonksiyonel güvenliği (arıza kaynaklı riskler) ele alırken, 21434 kasıtlı saldırı kaynaklı riskleri ele alır. Kavram aşamasından hurdaya ayırmaya kadar tüm yaşam döngüsünü kapsar ve tehdit analizi ile risk değerlendirmesini (TARA) merkeze koyar.

• Araç üreticileri ve sistem entegratörleri
• ECU, telematik ve bağlantı modülü geliştiricileri
• Otomotiv yazılım tedarikçileri
• Uzaktan yazılım güncellemesi (OTA) sunan firmalar
• UNECE R155 kapsamında tip onayı alacak üreticiler

Standart olarak gönüllüdür ancak sonucu fiilen zorunludur: UNECE R155 regülasyonu, araç tip onayı için bir Siber Güvenlik Yönetim Sistemi (CSMS) bulundurulmasını şart koşar ve ISO/SAE 21434 bu şartın karşılanmasında referans alınan standarttır. Tedarikçiler için zorunluluk OEM sözleşmelerinden gelir.

• Organizasyonel siber güvenlik yönetimi: politika, roller, kültür, yetkinlik
• Proje bağımlı siber güvenlik yönetimi ve siber güvenlik planı
• Dağıtılmış siber güvenlik faaliyetleri: müşteri-tedarikçi arası sorumluluk paylaşımı
• Sürekli siber güvenlik faaliyetleri: zafiyet izleme, olay yönetimi ve müdahale
• Kavram aşaması: madde tanımı, siber güvenlik hedefleri
• Tehdit analizi ve risk değerlendirmesi (TARA): varlık tanımlama, tehdit senaryosu, etki değerlendirmesi, saldırı yolu analizi, fizibilite ve risk belirleme
• Ürün geliştirme: siber güvenlik spesifikasyonu, entegrasyon ve doğrulama
• Siber güvenlik doğrulama ve geçerli kılma; sızma testi
• Üretim, işletim ve bakım: güncelleme yönetimi
• Desteğin sonlandırılması ve hurdaya ayırma

1. 1BaşvuruKuruluşun faaliyet alanı, çalışan sayısı, saha sayısı ve kapsam sınırları belirlenir. Denetim gün sayısı bu bilgilere göre hesaplanır.
2. 2Doküman İncelemesi (Aşama 1)Yönetim sistemi dokümantasyonu, kapsam tanımı, risk değerlendirmesi ve iç denetim/YGG kayıtları incelenir; sahada denetime hazır olup olunmadığı değerlendirilir.
3. 3Belgelendirme Denetimi (Aşama 2)Sistemin sahada uygulandığı ve etkin olduğu yerinde doğrulanır. Bulgular majör/minör uygunsuzluk ve gözlem olarak sınıflandırılır.
4. 4Uygunsuzlukların KapatılmasıKuruluş kök neden analizi ve düzeltici faaliyet planı sunar. Majör uygunsuzluklar kapatılmadan belge düzenlenmez.
5. 5Belge DüzenlenmesiBağımsız bir karar vericinin gözden geçirmesinin ardından belge düzenlenir. Denetimi yapan ekip belge kararını veremez.
6. 6Gözetim DenetimleriBelge süresi boyunca yılda en az bir kez gözetim denetimi yapılır. İlk gözetim, Aşama 2'nin son gününden itibaren 12 ayı aşamaz.
7. 7Yeniden BelgelendirmeÜç yılın sonunda sistemin tamamı yeniden denetlenir; belge süresi dolmadan tamamlanması gerekir.

Yönetim sistemi belgeleri üç yıl geçerlidir. Bu süre boyunca yılda en az bir gözetim denetimi yapılır; gözetim yapılmazsa belge askıya alınır. Üçüncü yılın sonunda yeniden belgelendirme denetimi tamamlanır.

• Ticaret sicil kaydı ve faaliyet belgesi
• Kuruluş organizasyon şeması ve çalışan sayısı
• Kapsam kapsamındaki saha/şube listesi
• Yönetim sistemi el kitabı veya süreç dokümantasyonu
• İç denetim ve yönetimin gözden geçirmesi kayıtları
• Varsa yasal izin, ruhsat ve faaliyet belgeleri

Sabit bir liste fiyatı yoktur; maliyet aşağıdaki değişkenlere göre hesaplanır ve teklifte yazılı olarak verilir.

• Kapsama giren çalışan sayısı (denetim gün sayısını doğrudan belirler)
• Saha ve şube sayısı; çok sahalı örnekleme uygulanıp uygulanmadığı
• Faaliyetin risk seviyesi ve süreç karmaşıklığı
• Belgelendirilecek standart sayısı — entegre denetim gün sayısını düşürür
• Üç yıllık döngü: belgelendirme + iki gözetim denetimi

Yönetim sistemi belgelendirmesi ISO/IEC 17021-1 kapsamında yürütülür. Belgelendirme kuruluşu, IAF çok taraflı tanınma anlaşmasına (IAF MLA) taraf bir akreditasyon kuruluşu tarafından akredite edilir; bu anlaşma, bir ülkede düzenlenen belgenin diğer ülkelerde de kabul görmesini sağlayan uluslararası tanınma zincirini kurar. EUROLAB, ISO/IEC 17021-1 kapsamında IAF üyesi akreditasyon kuruluşlarından alınmış, uluslararası tanınan akreditasyona sahiptir.

Bu şemanın hangi kapsamda sunulabildiği ürününüze ve faaliyetinize göre değişir; teklif aşamasında yazılı olarak teyit edilir.

• ISO 26262Fonksiyonel Güvenlik
• TISAXOtomotiv Bilgi Güvenliği Değerlendirmesi
• IATF 16949Otomotiv Kalite Yönetimi
• VDA 6.1Otomotiv Kalite Yönetim Sistemi Denetimi
• VDA 6.3Proses Denetimi
• VDA 6.5Ürün Denetimi
• UNECEAraç Tip Onayı
• E-MarkAraç Homologasyonu