این گواهی چیست؟
ISO/SAE 21434 الزامات مهندسی امنیت سایبری را در وسایل نقلیه جاده ای تعریف می کند. در جایی که ISO 26262 به ایمنی عملکردی (خطرات ناشی از شکست) می پردازد، 21434 به خطرات ناشی از حمله عمدی می پردازد. این کل چرخه حیات از مرحله مفهومی تا خلع ید را پوشش می دهد و تجزیه و تحلیل تهدید و ارزیابی ریسک (TARA) را در مرکز خود قرار می دهد.
برای چه کسانی لازم است؟
- سازندگان خودرو و یکپارچه سازان سیستم
- توسعه دهندگان ECU، تلماتیک و ماژول های اتصال
- تامین کنندگان نرم افزار خودرو
- شرکت‌هایی که به‌روزرسانی‌های نرم‌افزار هوایی (OTA) را ارائه می‌کنند
- تولیدکنندگانی که تأییدیه نوع را تحت UNECE R155 دریافت می کنند
آیا اجباری است؟
به عنوان یک استاندارد داوطلبانه است، اما نتیجه آن عملاً اجباری است: مقررات UNECE R155 به یک سیستم مدیریت امنیت سایبری (CSMS) برای تأیید نوع خودرو نیاز دارد، و ISO/SAE 21434 استانداردی است که برای برآورده کردن این الزام به آن ارجاع شده است. برای تامین کنندگان، این تعهد ناشی از قراردادهای OEM است.
دامنه استاندارد
- مدیریت امنیت سایبری سازمانی: سیاست، نقش ها، فرهنگ، شایستگی
- مدیریت امنیت سایبری وابسته به پروژه و طرح امنیت سایبری
- فعالیت های امنیت سایبری توزیع شده: تقسیم مسئولیت بین مشتری و تامین کننده
- فعالیت های مستمر امنیت سایبری: نظارت بر آسیب پذیری، مدیریت حوادث و پاسخ
- فاز مفهومی: تعریف آیتم، اهداف امنیت سایبری
- تجزیه و تحلیل تهدید و ارزیابی ریسک (TARA): شناسایی دارایی، سناریوهای تهدید، رتبه بندی تاثیر، تجزیه و تحلیل مسیر حمله، امکان سنجی و تعیین ریسک
- توسعه محصول: مشخصات امنیت سایبری، ادغام و تأیید
- تأیید و اعتبار سنجی امنیت سایبری؛ تست نفوذ
- تولید، عملیات و نگهداری: مدیریت به روز رسانی
- پایان پشتیبانی و انحلال
فرآیند صدور گواهی
- 1درخواستحوزه فعالیت، تعداد کارمندان، تعداد سایت ها و محدوده محدوده سازمان تعیین می شود. تعداد روزهای حسابرسی از این اطلاعات محاسبه می شود.
- 2بررسی سند (مرحله 1)مستندات سیستم مدیریت، تعریف محدوده، ارزیابی ریسک و سوابق ممیزی داخلی/مدیریت بررسی می شود. آمادگی برای ممیزی در محل ارزیابی می شود.
- 3ممیزی گواهینامه (مرحله 2)در سایت تأیید می شود که سیستم پیاده سازی و مؤثر است. یافته ها به عنوان عدم انطباق یا مشاهده عمده/ جزئی طبقه بندی می شوند.
- 4بستن موارد عدم انطباقسازمان یک تجزیه و تحلیل ریشه ای و برنامه اقدام اصلاحی ارائه می دهد. تا زمانی که عدم انطباق های عمده بسته نشود، گواهی صادر نمی شود.
- 5صدور گواهینامهگواهی پس از بررسی توسط یک تصمیم گیرنده مستقل صادر می شود. تیم حسابرسی نمی تواند تصمیم گیری برای صدور گواهینامه بگیرد.
- 6ممیزی های نظارتیممیزی نظارت حداقل یک بار در سال در طول مدت اعتبار گواهی انجام می شود. اولین نظارت نمی تواند از 12 ماه از آخرین روز مرحله 2 تجاوز کند.
- 7صدور گواهینامه مجدددر پایان سه سال، کل سیستم دوباره ممیزی می شود. باید قبل از انقضای گواهی تکمیل شود.
مدت اعتبار
گواهینامه های سیستم مدیریت به مدت سه سال معتبر است. حداقل یک ممیزی نظارتی در سال در این دوره انجام می شود. در صورت عدم نظارت، گواهی تعلیق می شود. ممیزی صدور گواهینامه مجدد در پایان سال سوم تکمیل می شود.
مدارک لازم
- سوابق ثبت تجارت و پروانه بهره برداری
- نمودار سازمانی و تعداد کارکنان سازمان
- لیست سایت ها/شاخه های موجود در محدوده
- کتابچه راهنمای سیستم مدیریت یا مستندات فرآیند
- سوابق ممیزی داخلی و بازنگری مدیریت
- مجوزهای قانونی، مجوزها و اسناد بهره برداری در صورت وجود
هزینه صدور گواهی
قیمت فهرست ثابتی وجود ندارد؛ هزینه بر اساس متغیرهای زیر محاسبه و به‌صورت مکتوب در پیش‌فاکتور ارائه می‌شود.
- تعداد کارمندان در محدوده (مستقیماً تعداد روزهای حسابرسی را تعیین می کند)
- تعداد سایت ها و شعبه ها؛ آیا نمونه برداری چند سایتی اعمال می شود
- سطح ریسک فعالیت و پیچیدگی فرآیند
- تعداد استانداردهایی که باید تایید شوند — ممیزی یکپارچه تعداد روزها را کاهش می دهد
- چرخه سه ساله: صدور گواهینامه + دو ممیزی نظارتی
اعتباربخشی
صدور گواهینامه سیستم مدیریت در محدوده ISO/IEC 17021-1 انجام می شود. نهاد صدور گواهینامه توسط یک نهاد تأیید صلاحیت طرف قرارداد شناسایی چندجانبه IAF (IAF MLA) معتبر است. این توافق نامه زنجیره ای از به رسمیت شناختن بین المللی را ایجاد می کند که تضمین می کند سند صادر شده در یک کشور در کشورهای دیگر پذیرفته می شود. EUROLAB دارای اعتبار بین المللی شناخته شده از نهادهای اعتباربخشی اعضای IAF در محدوده ISO/IEC 17021-1 است.
دامنه‌ای که این طرح می‌تواند در آن ارائه شود بسته به محصول و فعالیت شما متفاوت است؛ در مرحله پیش‌فاکتور به‌صورت مکتوب تأیید می‌شود.
محدوده و مجوزهاگواهینامههای مرتبط
پرسش‌های متداول
رابطه بین ISO/SAE 21434 و UNECE R155 چیست؟
R155 یک مقررات است و برای تأیید نوع خودرو به CSMS نیاز دارد. ISO/SAE 21434 استانداردی است که نحوه ساخت آن سیستم را توضیح می دهد. مطابقت با R155 توسط مرجع تایید نوع ارزیابی می شود. مطابقت با 21434 شواهد مهندسی را ایجاد می کند که آن را پشتیبانی می کند.
تفاوت بین TARA و HARA چیست؟
HARA (ISO 26262) خطرات ایمنی ناشی از خرابی ها را تجزیه و تحلیل می کند، در حالی که TARA (ISO/SAE 21434) خطرات امنیت سایبری ناشی از حمله عمدی را تجزیه و تحلیل می کند. این دو تجزیه و تحلیل جداگانه هستند، اما نتایج آنها می تواند بر یکدیگر تأثیر بگذارد: یک حمله سایبری می تواند منجر به شکستی شود که یک هدف ایمنی را نقض می کند.