Кибербезопасность транспортных средств (ISO/SAE 21434) — сертификация

ISO/SAE 21434 определяет требования к обеспечению кибербезопасности дорожных транспортных средств. Если ISO 26262 рассматривает функциональную безопасность (риски, связанные с сбоями), то ISO 21434 рассматривает риски, возникающие в результате преднамеренного нападения. Он охватывает весь жизненный цикл от этапа разработки концепции до вывода из эксплуатации и ставит в центр анализ угроз и оценку рисков (TARA).

• Производители автомобилей и системные интеграторы
• Разработчики ЭБУ, телематики и модулей связи.
• Поставщики автомобильного программного обеспечения
• Фирмы, предлагающие обновления программного обеспечения по беспроводной сети (OTA)
• Производители получают одобрение типа согласно UNECE R155.

Добровольный стандарт, но его результаты фактически обязательны: регламент ЕЭК ООН R155 требует наличия системы управления кибербезопасностью (CSMS) для утверждения типа транспортного средства, а ISO/SAE 21434 является стандартом, на который ссылаются для удовлетворения этого требования. Для поставщиков обязательства вытекают из контрактов OEM.

• Управление организационной кибербезопасностью: политика, роли, культура, компетентность
• Управление кибербезопасностью в зависимости от проекта и план кибербезопасности
• Распределенная деятельность в области кибербезопасности: разделение ответственности между заказчиком и поставщиком
• Непрерывная деятельность в области кибербезопасности: мониторинг уязвимостей, управление инцидентами и реагирование на них
• Фаза концепции: определение объекта, цели кибербезопасности
• Анализ угроз и оценка рисков (TARA): идентификация активов, сценарии угроз, рейтинг воздействия, анализ пути атаки, осуществимость и определение рисков.
• Разработка продукта: спецификация кибербезопасности, интеграция и проверка
• Проверка и валидация кибербезопасности; тестирование на проникновение
• Производство, эксплуатация и техническое обслуживание: управление обновлениями
• Окончание поддержки и вывод из эксплуатации

1. 1ОбращениеОпределяются сфера деятельности организации, численность персонала, количество объектов и границы масштабов. На основании этой информации рассчитывается количество аудиторских дней.
2. 2Проверка документов (этап 1)Проверяются документация системы менеджмента, определение объема работ, оценка рисков и записи внутреннего аудита/проверки со стороны руководства; оценивается готовность к выездной проверке.
3. 3Сертификационный аудит (2 этап)На месте проверяется, что система внедрена и эффективна. Выводы классифицируются как значительные/незначительные несоответствия или наблюдения.
4. 4Закрытие несоответствийОрганизация представляет анализ первопричин и план корректирующих действий. Сертификат не выдается до тех пор, пока не будут устранены серьезные несоответствия.
5. 5Выдача сертификатаСертификат выдается после проверки независимым лицом, принимающим решения. Аудиторская группа не может принять решение о сертификации.
6. 6Надзорные аудитыНадзорный аудит проводится не реже одного раза в год в течение срока действия сертификата. Срок первого наблюдения не может превышать 12 месяцев с последнего дня Этапа 2.
7. 7РесертификацияПо истечении трех лет вся система проходит повторный аудит; его необходимо завершить до истечения срока действия сертификата.

Сертификаты системы менеджмента действительны в течение трех лет. В этот период проводится не менее одной надзорной проверки в год; действие сертификата приостанавливается, если надзор не проводится. Ресертификационный аудит завершается в конце третьего года.

• Запись в торговом реестре и лицензия на деятельность
• Организационная структура организации и численность персонала
• Список сайтов/филиалов в рамках
• Руководство по системе менеджмента или технологическая документация
• Записи внутреннего аудита и анализа со стороны руководства
• Юридические разрешения, лицензии и эксплуатационные документы, если таковые имеются.

Фиксированной прейскурантной цены нет; стоимость рассчитывается на основе следующих переменных и предоставляется в письменном виде в предложении.

• Численность персонала в объеме (напрямую определяет количество дней аудита)
• Количество сайтов и филиалов; применяется ли выборка из нескольких мест
• Уровень риска деятельности и сложность процесса
• Количество стандартов, подлежащих сертификации — комплексный аудит сокращает количество дней
• Трехлетний цикл: сертификация + два надзорных аудита.

Сертификация системы менеджмента осуществляется в рамках стандарта ISO/IEC 17021-1. Орган по сертификации аккредитован органом по аккредитации, подписавшим соглашение о многостороннем признании IAF (IAF MLA); Это соглашение устанавливает цепочку международного признания, гарантирующую, что документ, выданный в одной стране, будет принят в других странах. EUROLAB имеет международно признанную аккредитацию органов по аккредитации членов IAF в рамках ISO/IEC 17021-1.

Область, в которой может быть предложена эта схема, зависит от вашей продукции и деятельности; подтверждается в письменном виде на этапе предложения.

• ISO 26262Функциональная безопасность
• TISAXОценка автомобильной информационной безопасности
• IATF 16949Управление качеством автомобильной промышленности
• VDA 6.1Аудит системы менеджмента качества автомобильной промышленности
• VDA 6.3Аудит процесса
• VDA 6.5Аудит продукта
• UNECEОдобрение типа транспортного средства
• E-MarkОмологация автомобиля