自动驾驶、联网汽车、电动汽车和共享移动性--近年来一直主导着汽车行业领导者的议程。这些创新建立在车载系统的数字化、汽车IT系统向后端延伸以及软件传播的基础上,将现代汽车变成了信息交流中心,同时也使它们成为网络攻击的诱人目标。

 a

目前,在现代汽车中处理网络安全问题是一个良好的做法,但并不代表申请车辆型号批准的正式监管要求......但这是在UNECE的世界车辆法规协调论坛通过新的UNECE WP.29法规R155 CSMS(网络安全管理系统)之前。

 a

这些将把网络安全作为确保60多个国家的市场准入和型号批准的必要条件,这些国家都是联合国欧洲经委会WP.29的成员之一。

新的监管要求是什么?

 

在UNECE WP.29规定的背景下,最近接受了两份新的文件,涉及未来的关键议题。网络安全(R155)和SW更新(R156)。本文只关注其中的第一份文件,但SW Update相关文件的制定方法非常相似,在制定法规要求(WP.29/R156)的同时,还制定了技术标准(ISO/CD 24089),最终将由各组织应用,以证明其符合最新的技术水平。

 a

对网络安全的新要求可分为以下两个主要类别。

 a

  • 建立网络安全管理系统(CSMS),涵盖处理与车辆、设备和服务的整个生命周期相关的网络风险的组织政策和流程。
  • 与汽车项目的安全开发有关的活动和文件,以及开发后的活动,如生产、运行、维护和退役。

 a

在不久的将来,这些目标必须由原始设备制造商、一级供应商和供应链的其他部分来证明,以便被授权将新车推向市场。

在欧盟,关于网络安全的新规定(UNECE WP.29/R155)将从2022年7月起强制适用于所有新的车辆类型。 从2022年7月起,所有新的车辆类型 并将成为强制性的 从2024年7月起,所有新生产的车辆都必须遵守

如何应对新的监管要求?

这个话题对于没有强烈意识到网络安全问题的汽车市场来说是一个巨大的挑战。事实上,从本质上讲,汽车组织大多在发展强大的安全文化,但互联汽车的强劲发展使得这些方法不足以应对围绕智能汽车,甚至潜在的自动驾驶汽车的全部新风险。

a

多年来,功能安全是整个供应链的关键话题,但众所周知的标准,如ISO26262只处理安全风险,并基于被认为是系统内在的方法和技术(如系统故障,随机HW故障等)。这些活动显然对解决某些风险是强制性的,但其他来自外部世界的风险呢?

a

这正是网络安全变得至关重要的地方,由于其系统的外在性质。如今,风险来源众多,其潜在的影响也可能比 "仅仅是 "安全问题更进一步。典型的汽车相关学科的风险评估方法是基于三个关键支柱来评估潜在的损害,即安全影响/严重程度、可能性/暴露和事件的可控性。这些支柱是量化和优先处理风险的关键,需要通过组织框架来解决。

a

在网络安全方面,方法有点不同。事实上,网络攻击的潜在影响可能是不同的,应该与组织的风险偏好紧密结合。影响评级的典型方法是在四个方面进行评估。安全、财务、运营和隐私(SFOP)。新法规的实施,如《通用数据保护条例》(GDPR),迫使企业也要考虑其他风险类别。

a

对于网络安全风险来说,不良事件的可能性或概率几乎不可能直接量化,因此,通常使用与攻击可行性有关的其他标准来评估风险(例如,所需设备、攻击者技能、机会之窗......)。

这些与评估有关的基本差异,以及威胁景观的动态性质,代表了以不同方式处理网络风险所需的具体方法的关键原因。

a

为了实施这些方法和新的流程,一个名为ISO/SAE 21434的新标准已经发布(最后一次发布:FDIS:March2021),定义了组织处理网络安全的框架,并与其他相关参考文献,如ISO26262保持一致。

将ISO/SAE 21434作为遵守法规的主要参考依据

 

如上所述,WP.29/R155和ISO/SAE 21434已被平行开发,以确保通过应用现有标准来满足监管要求。这份文件代表了业界对关键网络安全实践的共识,以达到整个汽车市场的安全态势。

a

2022年6月已经非常接近了,因此组织需要尽早开始工作,并将这一新的网络安全学科和那些新的参考资料整合到他们的政策和流程中,以便为向当局展示合规性做好准备,并且不被未来的归口计划所阻挠。2022年的第一个要求将集中在CSMS的演示上,你应该把你的努力集中在建立你的组织政策和流程作为一个框架。下一个目标将是展示你的框架在项目开发中的实际应用。换句话说,你必须证明截至2024年6月的工作产品/交付物的记录。

a

原始设备制造商不会是唯一受到这种新要求影响的利益相关者。事实上,他们中的一部分将要求原始设备制造商证明他们的供应商有能力考虑网络安全,以及他们自己项目的安全。因此,我们将看到新的网络安全要求在整个供应链中的整合。

最后但并非最不重要的是,网络安全合规性将被依法强制执行,但除此之外,你将不得不在你的组织中整合这些活动,以减少因重大网络事件而被黑客攻击并被挤出市场的风险,这可能对你的业务产生关键影响。

CertX如何支持您的合规路线图

 

作为整个汽车行业公认的认证机构,CertX可以根据你的成熟度和在供应链中的地位,以多种方式支持你的组织。以下是我们的网络安全团队提供的服务的简要概述。

  • 差距分析和预评估以确定薄弱点
    • 从符合UNECE WP.29/R155的角度出发,评估贵公司目前在组织层面(CSMS)或产品层面(特定产品文件)是否符合ISO/SAE 21434的要求。

  • 网络安全相关目标的认证
    • 这些活动有待于计划在2021年第二季度至第三季度正式出版的ISO/SAE 21434。

如果您对围绕汽车行业网络安全的新法规情况有任何疑问,或对如何应用相关标准和认证进行合规性论证有任何其他开放点,请随时联系我们的网络安全专家。Kilian Marty